Sicherheit

Welche SMTP-Authentifizierung ist wann sinnvoll – PLAIN, LOGIN, CRAM-MD5 und OAuth2 im direkten Vergleich

| Tipps & Tricks

Beim Versand von E-Mails über Submission (typisch Port 587) ist SMTP-Authentifizierung der zentrale Kontrollpunkt: Ohne belastbare Authentisierung wird aus einem Mailserver schnell ein offenes Relais oder ein Einfallstor für Kontoübernahmen, Missbrauch von Versandkontingenten und forensisch schwer auflösbare Spam-Wellen. In der Praxis treffen Administratorinnen und Administratoren dabei auf historisch gewachsene Mechanismen wie PLAIN und LOGIN, Challenge-Response-Varianten wie CRAM-MD5 sowie moderne Token-Verfahren wie OAuth2.

Welche SMTP-Authentifizierung ist wann sinnvoll – PLAIN, LOGIN, CRAM-MD5 und OAuth2 im direkten Vergleich Weiterlesen »

blank

Welche HTTP-Sicherheitsheader brauche ich – und wie setze ich CSP, HSTS, X-Frame-Options & Co. korrekt?

| Tipps & Tricks

Wer Webanwendungen betreibt, muss nicht nur Code absichern, sondern auch das Verhalten des Browsers steuern. HTTP-Sicherheitsheader greifen genau hier ein: Sie definieren, welche Inhalte geladen werden dürfen, ob Verbindungen zwangsweise über TLS laufen, ob eine Seite in Frames eingebettet werden darf oder wie der Browser mit sensiblen Metadaten umgeht. In der Praxis entstehen viele Sicherheitslücken oder Betriebsprobleme nicht durch fehlende Header, sondern durch unpräzise Direktiven, widersprüchliche Kombinationen oder Annahmen über Browser-Verhalten, die in modernen Engines nicht mehr gelten. Administratoren, Entwickler und Security-Verantwortliche stehen daher häufig vor der konkreten Frage, welche Header in welcher Form gesetzt werden sollten, wie sich einzelne Direktiven auf typische Web-Patterns (Single-Page-Apps, CDN-Assets, OAuth-Redirects, Embedded Content) auswirken und welche Fehlkonfigurationen zu Blockaden, Downgrades oder Scheinsicherheit führen.

Welche HTTP-Sicherheitsheader brauche ich – und wie setze ich CSP, HSTS, X-Frame-Options & Co. korrekt? Weiterlesen »

blank

Welche TLS-Versionen und Cipher Suites sollte ich heute auf dem Webserver erlauben?

| Tipps & Tricks

Wer TLS auf einem Webserver betreibt, entscheidet mit wenigen Parametern über reale Sicherheits- und Kompatibilitätseigenschaften: Welche Protokollversionen sind aktiviert, welche Cipher Suites werden angeboten, welche Schlüsselaustausch- und Signaturalgorithmen sind möglich, und welche Hash- bzw. AEAD-Verfahren kommen tatsächlich zum Einsatz. In der Praxis entstehen daraus typische Zielkonflikte: Ältere Clients benötigen oft TLS 1.0/1.1 oder RSA-Key-Exchange, während moderne Browser und Security-Scanner diese Kombinationen als unsicher einstufen oder aktiv blockieren.

Welche TLS-Versionen und Cipher Suites sollte ich heute auf dem Webserver erlauben? Weiterlesen »

blank

Wie erkenne ich Dateitypen zuverlässig anhand von Dateisignaturen (Magic Numbers) statt nur über die Dateiendung?

| Tipps & Tricks

Dateiendungen sind lediglich Metadaten auf Dateisystemebene und lassen sich ohne jeden inhaltlichen Eingriff umbenennen. In Incident Response, Malware-Analyse, Forensik, E-Mail-Security oder bei Importpipelines in Anwendungen reicht es deshalb nicht aus, Dateitypen über den Namen zu bewerten. Viele Formate tragen im Dateiheader oder an definierten Positionen charakteristische Bytefolgen, sogenannte Dateisignaturen oder Magic Numbers. Diese Kennungen erlauben eine belastbare Einschätzung, ob eine Datei überhaupt zu dem erwarteten Format passt, ob Containerformate vorliegen oder ob Inhalte verschleiert wurden.

Wie erkenne ich Dateitypen zuverlässig anhand von Dateisignaturen (Magic Numbers) statt nur über die Dateiendung? Weiterlesen »

blank

Warum scheitern Online-Verwaltungsprozesse trotz BundID – und an welchen technischen Bruchstellen?

| Tipps & Tricks

Viele Verwaltungsleistungen lassen sich heute über Portale anstoßen, und mit der BundID steht ein zentrales Nutzerkonto für Identifikation und Anmeldung bereit. In der Praxis erleben Antragstellende dennoch, dass Vorgänge abbrechen, wiederholt Daten abgefragt werden oder ein online gestarteter Prozess am Ende doch auf Papier, Termin oder Postversand hinausläuft. Für IT-Verantwortliche in Behörden, Fachverfahrensbetreiber und kommunale Dienstleister stellt sich dabei weniger die Frage, ob eine Identität grundsätzlich nachgewiesen werden kann, sondern ob die bestätigte Identität in allen beteiligten Systemen konsistent ankommt und eine Transaktion über Portale, Vermittlungsdienste und Backend-Fachverfahren hinweg durchgängig bleibt.

Warum scheitern Online-Verwaltungsprozesse trotz BundID – und an welchen technischen Bruchstellen? Weiterlesen »

Nach oben scrollen