Ein Angriffsvektor ist auch nur ein Vektor
Mein Tagesgeschäft als ehemaliger UNITS-Student
Kontext
Im Rahmen der Veranstaltung 15 Jahre UNITS - Unternehmens- und IT-Sicherheit in Theorie & Praxis am 16.04.2026 durfte ich als ehemaliger Student der Hochschule Offenburg einen Einblick in meine aktuelle Arbeit als IT-Sicherheitsberater bei cirosec geben. Der Vortrag richtete sich an Studierende, Lehrende und Praktiker und zeigte, wie sich das offensive und defensive Arbeiten in der IT-Sicherheit in den letzten Jahren verändert hat.
Der Vortrag wurde nicht aufgezeichnet.
Abstract
Moderne IT-Sicherheit besteht längst nicht mehr aus einzelnen Schwachstellen oder spektakulären Exploits. Stattdessen bilden Angriffsvektoren ein komplexes Zusammenspiel aus Technik, Organisation und menschlichem Verhalten. In diesem Vortrag gab ich einen persönlichen Rückblick auf meinen Weg vom UNITS-Studenten zum Berater bei cirosec und zeigte, welche Themen uns im Alltag aktuell wirklich beschäftigen.
Ausgehend von der Unified Cyber Kill Chain sprach ich über aktuelle Herausforderungen in der Reconnaissance, beim Social Engineering und bei der Exploitation. Besonders zwei Entwicklungen standen im Fokus:
- Browser-Erweiterungen als Angriffsvektor: Trotz Manifest v3 sind Browser-Erweiterungen realistische und vollig unterschätzte Angriffswerkzeuge. Einschränkungen wie begrenzte Hintergrundskripte, Sandboxing oder vermeintlich entfernte Netzwerk-APIs lassen sich mit der Alarms-API, Scripting-API oder dem weiterhin trivialen Zugriff auf Browser-Cookies umgehen. Der Angriff entwickelt sich dabei vom klassischen Phishing über Cookie-Diebstahl bis hin zur gezielten Installation manipulierter Erweiterungen.
- Supply-Chain-Angriffe: Durch den rasanten Einsatz von DevOps und Cloud-Umgebungen sind Supply-Chain-Schwachstellen relevanter denn je. Spezialisierte Tools helfen zwar, aber am Ende bleiben klassische Maßnahmen wie Least Privilege, Mikrosegmentierung, Monitoring und gutes Risikomanagement der wirksamste Schutz.
Im Schlussteil setzte ich sich mit der Marketing-Hype-Maschinerie auseinander: AI-Security nutzt oft gar keine echte KI, Zero-Trust-Lösungen sind oft nur hübsche Firewalls und Secrets-Scanner arbeiten auch nur im großen Stil mit Regex. Am Ende bleibt die Erkenntnis: Jeder Angriffsvektor ist auch nur ein Vektor - und lässt sich mit der richtigen Kombination aus Technik, Prozessen und Menschen beherrschen.