Ungeprüft zusammengesetzte Datenbankabfragen können Eingaben als SQL-Befehle interpretieren. Parametrisierte Abfragen beziehungsweise Prepared Statements trennen Befehlsstruktur und Daten. Zusätzlich: Eingaben passend validieren und dem Datenbankkonto nur erforderliche Rechte geben. Eingabeprüfung allein ersetzt keine Parametrisierung.
Eine Anwendung gibt fremde Inhalte so aus, dass der Browser sie als ausführbaren Code behandelt. Schutz: kontextgerechte Ausgabekodierung, sichere Framework-Funktionen und bei erlaubtem HTML eine geeignete Bereinigung. Eine bloße Suche nach verdächtigen Wörtern reicht nicht.
SQL-Injection beeinflusst Datenbankabfragen. XSS betrifft die Ausführung eingeschleuster Inhalte im Browser. Deshalb unterscheiden sich die Hauptmaßnahmen: Abfragen parametrisieren beziehungsweise Ausgaben sicher kodieren.
Gefälschte Nachrichten oder Anmeldeseiten sollen etwa Zugangsdaten erbeuten. Gegenmaßnahmen: Absender und Zieladresse prüfen, bekannte Zugangswege nutzen, verdächtige Nachrichten melden, Schulungen und MFA einsetzen. MFA senkt das Risiko, macht aber nicht jede Phishing-Variante wirkungslos.
Angreifer nutzen Hilfsbereitschaft, Angst oder Zeitdruck, um Menschen zu unerwünschten Handlungen zu bewegen. Beispiel: ein angeblicher Supportmitarbeiter verlangt einen Anmeldecode. Schutz: Identität über einen bekannten, unabhängigen Kontaktweg prüfen und Freigabeprozesse einhalten.
Malware ist der Oberbegriff für Schadsoftware. Ein Virus verbreitet sich über infizierte Wirtsdateien. Ein Trojaner tarnt sich als nützliches Programm. Ransomware sperrt oder verschlüsselt Daten zur Erpressung; auch Datendiebstahl kann dazugehören.
Aktuelle Software, geeigneter Endgeräteschutz, eingeschränkte Benutzerrechte, vorsichtiger Umgang mit Anhängen und überprüfte Backups. Kein einzelnes Produkt verhindert jeden Angriff.
Automatisiertes Durchprobieren möglicher Zugangsdaten. Lange, einzigartige Passwörter erschweren das Erraten. Rate-Limiting begrenzt Versuche; MFA ergänzt den Schutz. Fehlversuche sollten überwacht werden.
Ein Angreifer positioniert sich zwischen Kommunikationspartnern, um Daten mitzulesen oder zu verändern. Korrekt eingesetztes TLS mit Zertifikatsprüfung schützt die Verbindung. Zertifikatswarnungen dürfen nicht einfach übergangen werden.
Viele verteilte Quellen überlasten einen Dienst oder dessen Anbindung. Hauptsächlich betroffen ist die Verfügbarkeit. Lastverteilung kann helfen, reicht bei überlasteter Leitung aber nicht aus. Vorgeschaltete Filterung und DDoS-Schutz beim Anbieter können notwendig sein.
Die Angriffsfläche gezielt verkleinern: unnötige Dienste und Schnittstellen abschalten, Updates einspielen, Rechte begrenzen, sichere Anmeldung durchsetzen, Firewall-Regeln einschränken sowie Protokollierung und Überwachung einrichten.
Neue Schwachstellen, installierte Programme und geänderte Anforderungen beeinflussen die Sicherheitslage. Konfigurationen, Updates und Berechtigungen müssen deshalb regelmäßig überprüft werden.
Ein Informationssicherheitsmanagementsystem legt fest, wie eine Organisation Informationssicherheit steuert: Verantwortlichkeiten, Risiken, Ziele, Maßnahmen und deren Überprüfung. Es umfasst Menschen und Abläufe ebenso wie Technik.
IT-Grundschutz: Methodik und Anforderungen des BSI zur systematischen Absicherung. ISO/IEC 27001: internationaler Standard mit Anforderungen an ein ISMS. Eine Zertifizierung bezieht sich auf einen festgelegten Geltungsbereich; sie garantiert keine absolute Angriffssicherheit.
Keine Zugangsdaten herausgeben. Anfrage über den bekannten Supportkanal überprüfen und den Verdacht melden. Einordnung: Social Engineering; die behauptete Dringlichkeit soll die normale Prüfung umgehen.