--- title: "VORNAC Glossar · Sicherheits-, Compliance- und Pentest-Vokabular." description: "Ein kuratiertes, zweisprachiges Glossar der Sicherheits-, Compliance- und Pentest-Begriffe der VORNAC-Site. Ein bis zwei Sätze pro Eintrag, EN und DE im Gleichschritt." url: https://www.vornac.com/glossary lang: de published: 2026-06-02 updated: 2026-09-09 alternate_en: https://www.vornac.com/en/glossary --- VORNAC Glossar · Zweisprachige Referenz # Das Glossar. Definitionen für die Sicherheits-, Compliance- und Pentest-Begriffe, die auf der VORNAC-Site verwendet werden. Ein bis zwei Sätze pro Begriff, ohne Marketing-Stimme, EN und DE im Gleichschritt. 162 Begriffe 8 Kategorien 24 Buchstaben abgedeckt 1 : 1 EN und DE Nach Kategorie filtern Zum Buchstaben springen A B C D E F G H I J K L M N O P Q R S T U V W X Y Z A 10 Begriffe - ### Active Directory (AD) Identität & Kryptografie Microsofts Enterprise-Directory und -Authentifizierungsdienst. In den meisten Enterprise-Umfeldern die reichhaltigste Angriffsfläche, mit etablierten Kill-Chains vom niedrigprivilegierten User zum Domain Admin. Siehe auch Kerberos, LDAP, Privilege Escalation, Lateral Movement - ### Adversary Emulation Engagement-Typ Eine Red-Team-Variante, in der die Operatoren einen spezifischen benannten Threat-Actor imitieren (seine TTPs, Tooling, Infrastruktur-Muster), um zu prüfen, ob speziell auf diesen Actor abgestimmte Defenses ihn tatsächlich erkennen. Siehe auch Red Team, MITRE ATT&CK, APT - ### AEV Adversarial Exposure Validation Methodik Gartners Marktkategorie für Werkzeuge, die durch das Ausführen von Angreifertechniken in Live-Umgebungen belegen, welche Schwachstellen ausnutzbar sind; sie fasst die früheren Kategorien BAS und automatisiertes Pentesting zusammen. Anbieter wie Pentera, Cymulate, Picus und VORNAC werden hier eingeordnet. Siehe auch Exposure Validation, CTEM, BAS, Automated Penetration Testing - ### AI Act EU-Verordnung über Künstliche Intelligenz Compliance & Regulatorik EU-Verordnung (2024/1689), die KI-Systeme nach Risiko-Tier mit entsprechenden Pflichten klassifiziert. Cybersicherheits-Pflichten gelten für Hochrisiko-Systeme und General-Purpose-AI-Modelle. Siehe auch CRA, GDPR / DSGVO - ### API Gateway Cloud, OT & Emerging Eine verwaltete Eingangstür für APIs: übernimmt Authentifizierung, Rate Limiting, Request-Routing und Observability. Wo der Großteil des modernen Web-Traffics tatsächlich zuerst auf ein Sicherheits-Control trifft. Siehe auch WAF, OAuth 2.0, JWT - ### APT Advanced Persistent Threat Angriffstechnik Ein Threat-Actor, charakterisiert durch nachhaltige, gut ausgestattete, mehrstufige Operationen gegen spezifische Ziele: typischerweise staatsnah oder staatlich gesponsert. Der Begriff wird inflationär verwendet; die Bedeutung ist operativ, nicht juristisch. Siehe auch Threat Actor, Adversary Emulation, TTP - ### Assumed Breach Engagement-Typ Ein Engagement, das innerhalb des Perimeters startet (beispielsweise mit einer angreifer-kontrollierten Workstation), um die (bereits getestete) externe Oberfläche zu umgehen und sich auf Lateral Movement und Blast Radius zu konzentrieren. Siehe auch Red Team, Lateral Movement, Blue Team - ### Assumed Breach Simulation (ABS) Assumed Breach Simulation (interne Angriffssimulation) Engagement-Typ Eine interne Angriffssimulation, die von einer bereits kompromittierten Position ausgeht (Arbeitsplatz, Benutzerkonto, VPN-Sitzung) und zeigt, wie weit ein Angreifer von dort kommt. Die wiederkehrende, werkzeuggestützte Form eines Assumed-Breach-Engagements. Siehe auch Assumed Breach, Lateral Movement, BAS - ### Authentication Bypass Schwachstellenklasse Erreichen eines authentifizierten Zustands ohne gültige Zugangsdaten: über Logikfehler, hardcodierte Credentials, Mass-Assignment oder Session-Handling-Defekte. Siehe auch Session Fixation, JWT - ### Automated Penetration Testing Automatisierte Penetrationstests (autonomes Pentesting) Engagement-Typ Sicherheitsprüfung, bei der Software Angriffstechniken selbstständig gegen ein Zielsystem ausführt, gefundene Schwachstellen ausnutzt und die Ausnutzbarkeit belegt. Vom Schwachstellenscan unterscheidet sie der Exploit-Nachweis, von BAS die Suche nach unbekannten Angriffspfaden statt dem Abspielen bekannter. Siehe auch Penetration Test, BAS, PTaaS, AEV B 10 Begriffe - ### BaFin Bundesanstalt für Finanzdienstleistungsaufsicht Compliance & Regulatorik Die integrierte deutsche Aufsicht für Banken, Versicherer, Zahlungsdienstleister und Wertpapiermärkte. Veröffentlicht die BAIT/VAIT/KAIT/ZAIT-Anforderungen und ist die nationale Zuständigkeitsbehörde unter DORA. Siehe auch BAIT, VAIT, KAIT, ZAIT, DORA, MaRisk - ### BAIT Bankaufsichtliche Anforderungen an die IT Compliance & Regulatorik Die IT-Aufsichtsanforderungen der BaFin für Kreditinstitute: IT-Governance, Informationssicherheit, Identitäts- und Berechtigungsmanagement, Auslagerung. Der Auslegungsrahmen für §25a KWG. Siehe auch BaFin, VAIT, MaRisk, DORA - ### BAS Breach and Attack Simulation (Angriffssimulation) Methodik Software, die eine Bibliothek bekannter Angriffstechniken gegen eine Umgebung abspielt und prüft, ob vorhandene Schutzmaßnahmen sie erkennen und blockieren. Prüft die Kontrollen, nicht den unbekannten Angriffspfad; ergänzt einen Penetrationstest. Siehe auch Automated Penetration Testing, Assumed Breach Simulation (ABS), MITRE ATT&CK - ### Black Box Testing Engagement-Typ Tests aus der Perspektive eines externen Angreifers, ohne internes Wissen, Zugänge oder Quellcode. Maximiert Realismus, minimiert Tiefe pro Zeiteinheit. Siehe auch White Box Testing, Grey Box Testing, Assumed Breach - ### Blue Team Engagement-Typ Das defensive Gegenstück zum Red Team: die Personen, das Tooling und die Detektionen, die schützen, überwachen und reagieren. Im Übungskontext: das getestete Team. Siehe auch Red Team, Purple Team, SOC - ### BSI Bundesamt für Sicherheit in der Informationstechnik Compliance & Regulatorik Die deutsche Bundesbehörde für Cybersicherheit. Definiert technische Baselines (IT-Grundschutz, C5), zertifiziert Produkte und Personen, beaufsichtigt KRITIS-Betreiber und ist nationale NIS2-Zuständigkeitsbehörde. Siehe auch KRITIS, BSI IT-Grundschutz, BSI C5, NIS2 - ### BSI C5 Cloud Computing Compliance Criteria Catalogue Compliance & Regulatorik Ein vom BSI veröffentlichter Audit-Katalog für Cloud-Service-Provider, der zunehmend von deutschen öffentlichen Stellen und regulierten Kunden beim Cloud-Einkauf gefordert wird. Siehe auch BSI, ISO/IEC 27001 - ### BSI IT-Grundschutz Compliance & Regulatorik Der modulare Control-Katalog des BSI zum Management von Informationssicherheits-Risiken in deutschen Organisationen. ISO/IEC 27001-kompatibel; üblicher Zertifizierungspfad für öffentliche Stellen und KRITIS-Betreiber. Siehe auch BSI, ISO/IEC 27001 - ### Bug Bounty Engagement-Typ Ein Programm, das externe Researcher für valide Schwachstellen-Berichte gegen einen definierten Scope vergütet. Ergänzt engagement-basierte Tests, ersetzt sie nicht. Siehe auch Responsible Disclosure, Penetration Test - ### Business Logic Flaw Schwachstellenklasse Ein Defekt, bei dem jede einzelne Anfrage korrekt authentifiziert und autorisiert wird, die Sequenz oder Kombination der Anfragen jedoch die beabsichtigten Anwendungsregeln verletzt: z. B. ein doppelt angewendeter Rabatt, ein Checkout ohne Zahlung. Siehe auch IDOR, Race Condition C 16 Begriffe - ### CER Richtlinie zur Resilienz kritischer Einrichtungen Compliance & Regulatorik EU-Richtlinie (2022/2557) zur physischen Resilienz kritischer Einrichtungen: das Nicht-Cyber-Gegenstück zu NIS2. Siehe auch NIS2, KRITIS - ### Certificate Authority (CA) Identität & Kryptografie Eine Entität, die digitale Zertifikate ausstellt, nachdem sie die Identität des Antragstellers verifiziert hat. Vertrauen in eine CA ist Vertrauen in ihre Policies, Audits und Schlüssel-Verwahrung. Siehe auch PKI, TLS - ### CI/CD Continuous Integration / Continuous Delivery Cloud, OT & Emerging Die automatisierte Pipeline, die Software bei jeder Änderung baut, testet und deployt. Sicherheitsrelevante Engstellen sind Secret-Handling, Supply-Chain-Vertrauen und Verwahrung von Deployment-Keys. Siehe auch IaC, DevSecOps - ### Command & Control (C2) Angriffstechnik Der Kommunikationskanal zwischen einem kompromittierten Host und angreifer-kontrollierter Infrastruktur, der Befehle gibt und Ergebnisse empfängt. Modernes C2 imitiert häufig legitimen Web- oder Cloud-Traffic. Siehe auch Persistence, Foothold - ### Command Injection Schwachstellenklasse Injektion angreifer-kontrollierter Kommandos in einen Aufruf, der an die zugrundeliegende Betriebssystem-Shell weitergegeben wird. Führt typischerweise zu sofortiger Remote Code Execution unter dem Anwendungs-Nutzer. Siehe auch SQL Injection, Insecure Deserialization - ### Container Cloud, OT & Emerging Ein leichtgewichtiges, isoliertes Prozess-Bündel, das den Host-Kernel teilt, aber eigenes Dateisystem, Netzwerk und Prozess-Sicht hat. Die Standard-Paketierung für Cloud-native Anwendungen. Siehe auch Kubernetes (K8s), IaC - ### CORS Misconfiguration Cross-Origin Resource Sharing, Fehlkonfiguration Schwachstellenklasse Zu großzügige CORS-Header (z. B. \`Access-Control-Allow-Origin: \*\` in Kombination mit Credentials), die angreifer-kontrollierten Origins erlauben, geschützte Responses zu lesen. Siehe auch XSS, CSRF - ### CRA Cyber Resilience Act Compliance & Regulatorik EU-Verordnung (2024/2847), die horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt: über Hardware und Software hinweg. Tritt ab 2026 gestaffelt in Kraft. Siehe auch ENISA, AI Act, NIS2 - ### Cryptographic Failure Schwachstellenklasse Der von OWASP umbenannte Sammelbegriff für das, was früher Sensitive Data Exposure hieß: fehlende Verschlüsselung, schwache Algorithmen, schlechtes Key-Management, falsch gehandhabte Zertifikate. Siehe auch TLS, Hash Function, PKI - ### CSRF Cross-Site Request Forgery Schwachstellenklasse Ein Angriff, der den Browser eines authentifizierten Nutzers dazu bringt, eine unbeabsichtigte zustandsändernde Anfrage an eine vertrauenswürdige Anwendung zu senden. Wird durch Anti-Forgery-Tokens oder SameSite-Cookie-Policies abgewehrt. Siehe auch XSS - ### CTEM Continuous Threat Exposure Management Methodik Ein von Gartner geprägtes Programm-Rahmenwerk mit fünf Phasen (Scoping, Discovery, Priorisierung, Validierung, Mobilisierung), um die ausnutzbare Angriffsfläche einer Organisation fortlaufend zu verringern. Ein Rahmenwerk, kein Produkt; Validierungswerkzeuge wie automatisiertes Pentesting liefern die vierte Phase. Siehe auch AEV, Exposure Validation, Automated Penetration Testing - ### CTF Capture The Flag Engagement-Typ Ein Wettbewerbsformat zum Kompetenzaufbau, bei dem Teilnehmer präparierte Challenges exploiten, um versteckte Tokens (Flags) zu bergen. Zwei Hauptvarianten: Jeopardy und Attack-Defense. - ### CVE Common Vulnerabilities and Exposures Schwachstellenklasse Das von MITRE kuratierte Identifier-System für öffentlich bekannt gemachte Schwachstellen. Ein CVE ist ein Name; CVSS ist eine Bewertung; KEV ist ein kuratiertes Subset aktiv ausgenutzter CVEs. Siehe auch CVSS, CWE, Zero-Day - ### CVSS Common Vulnerability Scoring System Schwachstellenklasse Ein standardisiertes Severity-Bewertungs-Framework von 0,0 bis 10,0 für Schwachstellen. CVSS 3.1 ist die aktuell verbreitete Version; CVSS 4.0 (2023) ergänzt weitere Kontext-Metriken. Siehe auch CVE, CWE - ### CWE Common Weakness Enumeration Schwachstellenklasse Eine von MITRE kuratierte Taxonomie für Software-Schwachstellen-Typen. Wo CVE eine spezifische Instanz benennt, benennt CWE die Klasse, zu der sie gehört. Siehe auch CVE, CVSS - ### Cyber Kill Chain Methodik Ein Sieben-Schritt-Modell einer Intrusion (Recon, Weaponization, Delivery, Exploitation, Installation, Command-and-Control, Actions on Objectives), 2011 von Lockheed Martin eingeführt. Hilfreich für narrative Berichte; weniger granular als ATT&CK. Siehe auch MITRE ATT&CK, Diamond Model D 8 Begriffe - ### DCS Distributed Control System Cloud, OT & Emerging Eine ICS-Variante für anlagenweite Prozesssteuerung (Raffinerien, Energieerzeugung, Chemiewerke) mit Controllern, HMIs und Engineering-Stations in einem eng integrierten Netzwerk. Siehe auch ICS, SCADA - ### Defense in Depth Defensive Operations Das klassische Prinzip, unabhängige Controls so zu schichten, dass das Versagen einer einzelnen Schicht das System nicht kompromittiert. Komplementär zu Zero Trust, nicht durch es ersetzt. Siehe auch Zero Trust, Schweizer-Käse-Modell - ### DevSecOps Cloud, OT & Emerging Die Praxis, Sicherheitsaktivitäten (Threat Modeling, automatisierte Tests, Dependency-Scanning) in dieselbe Pipeline zu integrieren, die Software baut und deployt. Siehe auch CI/CD, IaC - ### Diamond Model Methodik Ein analytisches Vier-Knoten-Framework (Adversary, Capability, Infrastructure, Victim) für strukturierte Notizen zu einem einzelnen Intrusion-Event. Ergänzt sich natürlich mit ATT&CK für TTPs. Siehe auch MITRE ATT&CK, Cyber Kill Chain - ### Directory Fuzzing Angriffstechnik Brute-Force-Enumeration von Pfaden und Dateien auf einem Webserver, mit auf den erkannten Stack abgestimmten Wortlisten. Legt versteckte Admin-Panels, Backup-Dateien, Legacy-Endpoints offen. Siehe auch Fingerprinting - ### DLP Data Loss Prevention Defensive Operations Controls (auf Endpoint-, Netzwerk- und Cloud-Storage-Ebene), die sensible Daten klassifizieren und unerlaubte Transfers blockieren. Wirksam gegen Versehen und nachlässige Insider, umgehbar durch motivierte Angreifer. Siehe auch Exfiltration - ### DOM XSS Schwachstellenklasse Eine XSS-Variante, bei der der bösartige Payload vollständig im Browser über unsichere DOM-Sinks eingeführt und ausgeführt wird, ohne serverseitige Reflektion. Siehe auch XSS - ### DORA Digital Operational Resilience Act Compliance & Regulatorik EU-Verordnung (2022/2554) für den Finanzsektor, die IKT-Risikomanagement, Vorfallmeldungen, Resilienztests (inklusive TLPT) und die Aufsicht über kritische Drittanbieter harmonisiert. Seit Januar 2025 unmittelbar anwendbar. Siehe auch NIS2, TLPT, TIBER-EU, BaFin, BAIT, VAIT E 8 Begriffe - ### Edge Computing Cloud, OT & Emerging Compute und Storage in der Nähe von Datenquellen oder Endnutzern, statt in zentralen Rechenzentren oder Cloud-Regionen. Reduziert Latenz; vervielfacht die physisch zu schützende Angriffsfläche. Siehe auch IoT, OT - ### EDR Endpoint Detection and Response Defensive Operations Endpoint-residente Agents, die Prozess-, Datei-, Netzwerk- und Registry-Aktivität beobachten, Telemetrie liefern und Remote-Response-Aktionen ermöglichen. Der Nachfolger des klassischen Antivirus. Siehe auch XDR, MDR - ### eIDAS Verordnung über elektronische Identifizierung und Vertrauensdienste Compliance & Regulatorik EU-Verordnung über elektronische Identifizierung und Vertrauensdienste (Signaturen, Siegel, Zeitstempel). eIDAS 2.0 führt die EU Digital Identity Wallet ein. Siehe auch PKI, Certificate Authority (CA) - ### ENISA Agentur der Europäischen Union für Cybersicherheit Compliance & Regulatorik Die EU-Agentur für Cybersicherheit. Veröffentlicht Threat-Landscape-Berichte, Zertifizierungsschemata und Umsetzungsleitfäden: u. a. für NIS2, CRA und den Cybersecurity Act. Siehe auch NIS2, CRA, AI Act - ### ENX Association Compliance & Regulatorik Die gemeinnützige Governance-Organisation für TISAX und ENX, das sichere Branchennetzwerk der Automobilindustrie. Akkreditiert TISAX-Audit-Anbieter und betreibt das Ergebnis-Austauschportal. Siehe auch TISAX, VDA ISA - ### Exfiltration Angriffstechnik Die Auslagerung von Daten aus dem Zielumfeld in angreifer-kontrollierten Speicher. Moderne Exfiltration ist gedrosselt und kanal-getarnt, um Data Loss Prevention zu umgehen. Siehe auch DLP, Post-Exploitation - ### Exploit Schwachstellenklasse Funktionierender Code, der eine Schwachstelle von theoretisch zu praktisch macht: unauthorisierten Zugriff, Ausführung oder Daten zu erlangen. Unterscheidet sich von einem Proof-of-Concept durch Intent und Zuverlässigkeit. Siehe auch Proof-of-Concept (PoC), Zero-Day, CVE - ### Exposure Validation Methodik Der Schritt in einem Exposure-Management-Programm, der prüft, ob eine erkannte Schwachstelle in der konkreten Umgebung tatsächlich ausnutzbar ist und ob vorhandene Kontrollen den Versuch stoppen. Macht aus einer Liste von Befunden eine Liste belegter Risiken. Siehe auch AEV, CTEM, Automated Penetration Testing F 2 Begriffe - ### Fingerprinting Angriffstechnik Identifikation des spezifischen Software-Stacks (Server, Framework, Library-Version) eines Ziels über Header-Muster, Error-Pages, Default-Inhalte oder Verhaltens-Probes. Siehe auch Reconnaissance, Directory Fuzzing - ### Foothold Angriffstechnik Eine persistente Präsenz im Zielumfeld, von der aus ein Angreifer operieren kann. Typischerweise ein kompromittierter Host mit zuverlässigem Callback zur angreifer-kontrollierten Infrastruktur. Siehe auch Initial Access, Command & Control (C2), Persistence G 2 Begriffe - ### GDPR / DSGVO Datenschutz-Grundverordnung Compliance & Regulatorik EU-Verordnung 2016/679 über die Verarbeitung personenbezogener Daten. Verlangt technische und organisatorische Maßnahmen, Meldung von Datenpannen innerhalb von 72 Stunden und das Auskunftsrecht der Betroffenen. Siehe auch LINDDUN, DLP - ### Grey Box Testing Engagement-Typ Tests mit partiellen Informationen: typischerweise authentifizierte Nutzer-Accounts und High-Level-Architektur, aber kein Quellcode. Der häufigste Modus für Anwendungs-Assessments. Siehe auch Black Box Testing, White Box Testing H 6 Begriffe - ### Hardcoded Credentials Schwachstellenklasse Authentifizierungsmaterial, das in Quellcode, Konfigurationsdateien oder Firmware-Images eingebacken ist. Wird durch Secret Manager und Build-Time-Injection beseitigt, nicht durch \`.gitignore\`. Siehe auch Misconfiguration, HSM - ### Hash Function Identität & Kryptografie Eine Einwegfunktion, die beliebige Eingaben auf einen Digest fester Länge abbildet. Sicherheitsrelevante Eigenschaften: Pre-Image-Resistenz, Second-Pre-Image-Resistenz, Kollisionsresistenz. Siehe auch SHA-256, HMAC, Salt - ### HMAC Hash-based Message Authentication Code Identität & Kryptografie Eine Konstruktion, die einen kryptografischen Hash mit einem geteilten Geheimnis kombiniert, um einen Message Authentication Code zu erzeugen. Resistent gegen Length-Extension-Angriffe, anders als naives \`hash(key || message)\`. Siehe auch Hash Function, SHA-256 - ### HMI Human Machine Interface Cloud, OT & Emerging Die operatorseitige Anzeige- und Bedienoberfläche eines industriellen Prozesses. Zunehmend browserbasiert, zunehmend denselben Schwachstellenklassen wie Web-Anwendungen ausgesetzt. Siehe auch SCADA, PLC - ### Honeypot Defensive Operations Ein absichtlich exponiertes System ohne legitimen Zweck, das Angreifer anlocken soll, sodass deren Verhalten (und Indicators) erfasst werden können. Nützlich für Frühwarnung und Threat Intelligence. Siehe auch IOC, Threat Hunting - ### HSM Hardware Security Module Identität & Kryptografie Ein manipulationsresistentes Hardware-Gerät, das kryptografische Schlüssel erzeugt, speichert und einsetzt, ohne das Schlüsselmaterial je in den Host-Speicher zu exponieren. Pflicht für hohe Vertraulichkeitsanforderungen an Schlüsselverwahrung. Siehe auch PKI, Certificate Authority (CA) I 13 Begriffe - ### IaC Infrastructure as Code Cloud, OT & Emerging Bereitstellung und Konfiguration von Infrastruktur über maschinenlesbare Definitionen (Terraform, Pulumi, CloudFormation) statt Konsolen-Klicks. Ermöglicht Review und Reproduzierbarkeit. Siehe auch Container, CI/CD - ### IAM Identity and Access Management Cloud, OT & Emerging Die Disziplin und das Tooling für die Verwaltung, wer was in einem System tun darf: User, Gruppen, Rollen, Policies, Sessions. In Cloud-Kontexten die hebelwirksamste Angriffsfläche. Siehe auch SSO, MFA, Zero Trust - ### ICS Industrielle Steuerungssysteme Cloud, OT & Emerging Der Oberbegriff für Systeme, die physische industrielle Prozesse überwachen und steuern: vom einzelnen PLC bis zum anlagenweiten DCS. Das Sicherheitsmodell unterscheidet sich grundlegend von IT: Sicherheit und Verfügbarkeit zuerst, Vertraulichkeit zuletzt. Siehe auch SCADA, PLC, DCS, OT - ### IDOR Insecure Direct Object Reference Schwachstellenklasse Ein Autorisierungsfehler, bei dem ein Nutzer auf Datensätze anderer zugreifen kann, indem er einen Identifier in der Anfrage rät oder verändert: weil der Server zwar Authentifizierung, aber nicht Eigentümerschaft prüft. Siehe auch Business Logic Flaw, Authentication Bypass - ### IDS Intrusion Detection System Defensive Operations Ein Monitoring-System, das Netzwerk- oder Host-Aktivität beobachtet und Alerts auslöst, wenn sie Angriffssignaturen oder Anomalie-Profilen entspricht. Reine Detektion, kein Blocking. Siehe auch IPS, SIEM - ### Initial Access Angriffstechnik Der erste Foothold, den ein Angreifer in einem Zielumfeld etabliert: über Phishing, exponierte Credentials, einen ausnutzbaren Dienst oder eine Supply-Chain-Kompromittierung. Siehe auch Phishing, Foothold, Lateral Movement - ### Insecure Deserialization Schwachstellenklasse Rekonstruktion angreifer-kontrollierter serialisierter Objekte (Java, .NET, PHP, Python), die zu Gadget-Chain-Remote-Code-Execution führt. Ohne Library-Upgrades schwer zu beheben. Siehe auch Command Injection, - ### Insecure File Upload Schwachstellenklasse Eine Schwachstellenklasse, bei der der Server hochgeladene Dateien ohne hinreichende Validierung speichert oder ausführt: was Webshells, Archive-Bomben oder Content-Type-Confusion-Angriffe ermöglicht. Siehe auch Path Traversal, Command Injection - ### IOC Indicator of Compromise Defensive Operations Ein beobachtbares Artefakt (IP-Adresse, File-Hash, Domain, Registry-Key), das auf eine erfolgte Intrusion hindeutet. Nützlich für Known-Bad-Detection; spröde gegen neuartige Adversaries. Siehe auch TTP, STIX / TAXII - ### IoT Internet of Things Cloud, OT & Emerging Vernetzte Embedded-Geräte außerhalb des klassischen IT-Inventars: Sensoren, Kameras, Gebäudeautomation, Consumer-Elektronik. Berüchtigt für ungepatche Stacks und hardcodierte Credentials. Siehe auch OT, Hardcoded Credentials - ### IPS Intrusion Prevention System Defensive Operations Eine IDS-Variante, die inline sitzt und Traffic verwirft, zurücksetzt oder umschreibt, wenn er einem Angriffsmuster entspricht. Aktive Mitigation; birgt Risiko durch False-Positive-Störungen. Siehe auch IDS, WAF - ### ISO/IEC 27001 Compliance & Regulatorik Der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Spezifiziert den Prozess; Anhang A listet die Controls. Die Revision von 2022 hat den Control-Satz modernisiert. Siehe auch ISO/IEC 27002, BSI IT-Grundschutz, SOC 2 - ### ISO/IEC 27002 Compliance & Regulatorik Der Begleitstandard zu ISO/IEC 27001, der Umsetzungsleitfäden für jeden Annex-A-Control bereitstellt. Referenz, kein Zertifizierungsziel. Siehe auch ISO/IEC 27001 J 1 Begriffe - ### JWT JSON Web Token Identität & Kryptografie Ein signiertes, base64-kodiertes Token-Format für zustandslose Authentifizierung. Leicht falsch einzusetzen: das Akzeptieren von \`alg: none\`, schwache Signing-Keys und fehlende Audience-Validierung sind wiederkehrende Fallen. Siehe auch OIDC, OAuth 2.0 K 4 Begriffe - ### KAIT Kapitalverwaltungsaufsichtliche Anforderungen an die IT Compliance & Regulatorik Die IT-Aufsichtsanforderungen der BaFin für Kapitalverwaltungsgesellschaften (Asset Manager unter dem KAGB). Siehe auch BaFin, BAIT, VAIT - ### Kerberos Identität & Kryptografie Ein ticket-basiertes Netzwerk-Authentifizierungsprotokoll aus den 1980er-Jahren und die Grundlage der Active-Directory-Authentifizierung. Angriffe umfassen Kerberoasting, AS-REP-Roasting und Golden-Ticket-Forgery. Siehe auch Active Directory (AD), Privilege Escalation - ### KRITIS Kritische Infrastrukturen Compliance & Regulatorik Die deutsche Regulierungskategorie für Betreiber kritischer Infrastrukturen über neun Sektoren. Unterliegt der BSI-Aufsicht, verpflichtenden Stand-der-Technik-Sicherheitsmaßnahmen und Meldepflichten. Setzt NIS2 teilweise um. Siehe auch BSI, NIS2, BSI IT-Grundschutz - ### Kubernetes (K8s) Cloud, OT & Emerging Ein Open-Source-Orchestrierungssystem für containerisierte Workloads. Mächtig und komplex; fehlkonfigurierte Cluster-Rollen und exponierte Dashboards sind das wiederkehrende Schwachstellenmuster. Siehe auch Container, IAM L 3 Begriffe - ### Lateral Movement Angriffstechnik Die Bewegung vom anfänglichen Foothold zu anderen Systemen im selben Umfeld: mit gestohlenen Credentials, ausgenutzten Vertrauensbeziehungen oder Remote-Execution-Primitiven. Siehe auch Pivoting, Privilege Escalation, Kerberos - ### LDAP Lightweight Directory Access Protocol Identität & Kryptografie Das Directory-Protokoll unter Active Directory und mehreren Open-Source-IAM-Stacks. LDAP-Injection ist ein paralleles Risiko zu SQL-Injection, wo Filter-Strings unsicher konkateniert werden. Siehe auch Active Directory (AD), SQL Injection - ### LINDDUN Methodik Ein datenschutzfokussiertes Threat-Modeling-Framework: Linkability, Identifiability, Non-Repudiation, Detectability, Disclosure of Information, Unawareness, Non-Compliance. Wird verwendet, wo DSGVO-relevante Daten im Scope sind. Siehe auch STRIDE, GDPR / DSGVO M 8 Begriffe - ### MaRisk Mindestanforderungen an das Risikomanagement Compliance & Regulatorik Die Mindestanforderungen der BaFin an das Risikomanagement für Kreditinstitute. Setzt die qualitative Messlatte, die BAIT für die IT-Dimension dann konkretisiert. Siehe auch BaFin, BAIT - ### MDR Managed Detection and Response Defensive Operations Ein ausgelagerter SOC-Dienst: meist aufgebaut auf EDR oder XDR plus einem 24/7-Analystenteam. Wo ein 24/7-In-House-SOC unwirtschaftlich ist. Siehe auch SOC, EDR, XDR - ### Memory Corruption Schwachstellenklasse Eine Schwachstellenklasse in Code unsicherer Sprachen, bei der Annahmen über das Speicherlayout verletzt werden: Buffer Overflows, Use-after-Free, Type Confusion. Mitigiert durch ASLR, Stack-Canaries und zunehmend durch speichersichere Sprachen. Siehe auch Zero-Day, - ### MFA Multi-Faktor-Authentifizierung Identität & Kryptografie Authentifizierung, die zwei oder mehr unabhängige Faktoren aus den Kategorien Wissen, Besitz und Inhärenz verlangt. Phishing-resistente MFA (WebAuthn, Hardware-Keys) ist der moderne Standard. Siehe auch SSO, SAML, OIDC - ### Misconfiguration Schwachstellenklasse Eine Schwachstelle, die in einer Konfigurationsentscheidung wurzelt (nicht in einer unsicheren Primitive) und Daten oder Funktionalität ungewollt freilegt. Default-Credentials, offene S3-Buckets, exponierte Management-Konsolen sind typisch. Siehe auch Hardcoded Credentials, - ### MITRE ATT&CK Methodik Eine community-kuratierte Wissensbasis realer Adversary-Tactics, -Techniques und -Procedures (TTPs), nach Plattform und Adversary-Gruppe indiziert. Die Lingua franca für Blue-Team-Detection-Abdeckung und Red-Team-Scope. Siehe auch TTP, Cyber Kill Chain, Diamond Model - ### Modbus Cloud, OT & Emerging Ein 1979 entstandenes serielles Industrieprotokoll, das in Feldgeräten allgegenwärtig ist. Keine native Authentifizierung oder Verschlüsselung: Sicherheit hängt vollständig von Netzwerk-Isolation ab. Siehe auch OPC UA, ICS - ### mTLS mutual TLS Identität & Kryptografie TLS, bei dem sowohl Client als auch Server Zertifikate vorzeigen und validieren. Wird für Service-to-Service-Authentifizierung eingesetzt, wo Bearer-Tokens nicht ausreichen. Siehe auch TLS, PKI N 4 Begriffe - ### NIS2 Network- und Informationssicherheits-Richtlinie 2 Compliance & Regulatorik EU-Richtlinie (2022/2555), die Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen über 18 Sektoren hinweg verschärft. Ersetzt die ursprüngliche NIS-Richtlinie; durchgesetzt über nationale Umsetzungsgesetze. Siehe auch DORA, CER, KRITIS, BSI - ### NIST 800-53 Compliance & Regulatorik Der US-Föderal-Control-Katalog für Informationssysteme. Dicht quervernetzt, auch außerhalb US-bundesbehördlicher Procurement-Kontexte als Vokabular verwendet. Siehe auch NIST CSF, ISO/IEC 27001 - ### NIST CSF NIST Cybersecurity Framework Methodik Ein Framework des US National Institute of Standards and Technology, das Sicherheit um fünf Funktionen organisiert: Identify, Protect, Detect, Respond, Recover (Version 2.0 ergänzt Govern). International als Reifegrad-Gerüst weit zitiert. Siehe auch ISO/IEC 27001, BSI IT-Grundschutz - ### NoSQL Injection Schwachstellenklasse Das NoSQL-Pendant zur SQL-Injection: Manipulation von Query-Operatoren (z. B. MongoDB \`$ne\`, \`$gt\`) oder JavaScript-Auswertung in der Datenbank-Engine. Siehe auch SQL Injection O 9 Begriffe - ### OAuth 2.0 Identität & Kryptografie Ein Autorisierungs-Framework, das einem Nutzer erlaubt, einem Dritten gescopten Zugriff auf seine Ressourcen zu gewähren, ohne Credentials zu teilen. Autorisierung, nicht Authentifizierung: OIDC ergänzt die Authentifizierung. Siehe auch OIDC, JWT - ### OIDC OpenID Connect Identität & Kryptografie Eine Identity-Schicht auf OAuth 2.0, die standardisierte ID-Tokens hinzufügt. Der moderne Standard für Föderation in neuen Anwendungen. Siehe auch OAuth 2.0, SAML, SSO, JWT - ### OPC UA Open Platform Communications, Unified Architecture Cloud, OT & Emerging Ein plattformunabhängiges Industrie-Kommunikationsprotokoll mit erstklassiger Sicherheit (Verschlüsselung, Authentifizierung, Zertifikate). Der moderne Nachfolger des älteren OPC Classic. Siehe auch Modbus, ICS - ### OSINT Open-Source Intelligence Angriffstechnik Sammlung von Informationen aus öffentlich verfügbaren Quellen (DNS, Code-Repositories, Breach-Daten, Social Media, Archive), um ein Zielbild ohne aktive Interaktion aufzubauen. Siehe auch Reconnaissance, Fingerprinting - ### OT Operational Technology Cloud, OT & Emerging Der Oberbegriff für Technologie, die mit der physischen Welt interagiert: ICS, SCADA, Gebäudeautomation, Medizingeräte. Unterscheidet sich von IT durch andere Prioritäten (Safety, Verfügbarkeit) und deutlich längere Lebenszyklen. Siehe auch ICS, IoT - ### OWASP Open Worldwide Application Security Project Methodik Eine gemeinnützige Stiftung, die frei verfügbare Standards, Leitfäden und Tooling für Anwendungssicherheit veröffentlicht. Ihre Ergebnisse (Top 10, ASVS, Testing Guide, Cheat Sheets) sind die De-facto-Referenz für Web- und API-Sicherheitsarbeit. Siehe auch OWASP Top 10, OWASP ASVS - ### OWASP ASVS Application Security Verification Standard Methodik Ein dreistufiger Anforderungskatalog (L1 opportunistisch, L2 standard, L3 fortgeschritten) zur Verifikation von Anwendungssicherheits-Controls. Dient als Spezifikation, wenn ein Audit nachweisbare Evidenz pro Control verlangt. Siehe auch OWASP, OWASP Top 10 - ### OWASP Testing Guide Methodik Ein umfangreiches Handbuch, das die Testfälle für jede OWASP-anerkannte Schwachstellenklasse vorschreibt. Die Pre-Flight-Checkliste für Web-Assessments. Siehe auch OWASP, OWASP ASVS - ### OWASP Top 10 Methodik Ein zehnstufiges Ranking der wirkungsstärksten Web-Anwendungs-Sicherheitsrisiken, alle drei bis vier Jahre aktualisiert. Wird zur Stakeholder-Briefing-Zusammenfassung und als Mindest-Scope-Grenze in Routine-Assessments verwendet. Siehe auch OWASP, OWASP ASVS P 15 Begriffe - ### Path Traversal Schwachstellenklasse Verwendung relativer Pfad-Segmente (z. B. \`../\`) in Eingaben, um aus einem vorgesehenen Verzeichnis auszubrechen und beliebige Dateien zu lesen oder zu schreiben. Oft mit File-Upload-Schwächen kombiniert. Siehe auch XXE, Insecure File Upload - ### PCI DSS Payment Card Industry Data Security Standard Compliance & Regulatorik Der von den Kartenmarken vorgeschriebene Standard für jede Umgebung, die Zahlungskartendaten speichert, verarbeitet oder überträgt. Aktuell v4.0 mit gestaffelten Compliance-Daten bis 2025. Siehe auch ISO/IEC 27001, SOC 2 - ### Penetration Test Engagement-Typ Ein autorisierter, zeitlich begrenzter Angriffstest gegen ein System oder Umfeld, der ausnutzbare Schwächen offenlegen und Controls validieren soll. Das Ergebnis ist ein Report mit bestätigten Befunden samt Reproduktionsschritten. Siehe auch Red Team, TLPT, Black Box Testing, Assumed Breach - ### Persistence Angriffstechnik Mechanismen, die einem Angreifer erlauben, Zugriff über Reboots, Credential-Änderungen oder teilweise Bereinigungen hinweg zu behalten: Registry-Autoruns, Scheduled Tasks, Service-Installationen, bösartige Zertifikate. Siehe auch Foothold, Command & Control (C2) - ### Phishing Angriffstechnik Social-Engineering-Angriffe mit hohem Volumen, typischerweise per E-Mail: der Empfänger soll Credentials preisgeben oder einen Payload ausführen. Der häufigste Initial-Access-Vektor. Siehe auch Spear Phishing, Social Engineering, Initial Access - ### Pivoting Angriffstechnik Tunneling von Netzwerk-Traffic durch einen kompromittierten Host, um Systeme zu erreichen, zu denen der Angreifer keine direkte Route hat. Die mechanische Schicht unter Lateral Movement. Siehe auch Lateral Movement, Command & Control (C2) - ### PKI Public Key Infrastructure Identität & Kryptografie Das System aus Policies, Prozessen und Komponenten (Root-CAs, Intermediate-CAs, Registration Authorities, Revocation Lists), das öffentliche Schlüssel an Identitäten bindet. Siehe auch Certificate Authority (CA), TLS, HSM - ### PLC Speicherprogrammierbare Steuerung Cloud, OT & Emerging Ein robuster Industrie-Computer, der deterministische Steuerlogik für eine einzelne Maschine oder Zelle ausführt. Die atomare Einheit eines ICS und der häufigste Angriffspunkt für Ladder-Logic-Manipulation. Siehe auch ICS, HMI, SCADA - ### Post-Exploitation Angriffstechnik Alles, was ein Angreifer nach erfolgreichem Foothold tut: Situational Awareness, Credential-Harvesting, Lateral Movement, Persistence, Exfiltration. Siehe auch Foothold, Lateral Movement, Exfiltration - ### Privilege Escalation Angriffstechnik Erhöhung von einem niedrigprivilegierten in einen höheren Kontext: lokal (User → root/SYSTEM) oder remote (Standard-User → Domain-Admin). Siehe auch Lateral Movement, Kerberos, Active Directory (AD) - ### Proof-of-Concept (PoC) Schwachstellenklasse Minimaler Demonstrations-Code, der zeigt, dass eine Schwachstelle real und ausnutzbar ist: häufig eingesetzt, um Anbieter oder Stakeholder zu überzeugen. Nicht auf Zuverlässigkeit oder Weaponization ausgelegt. Siehe auch Exploit, CVE - ### PSD2 Zahlungsdiensterichtlinie 2 Compliance & Regulatorik EU-Richtlinie, die Bankkonto-Zugänge für lizenzierte Dritte öffnete und starke Kunden-Authentifizierung für elektronische Zahlungen vorschrieb. Siehe auch ZAIT, MFA - ### PTaaS Pentest as a Service (Penetrationstest als Dienst) Engagement-Typ Penetrationstests als Abonnement über eine Plattform statt als Einzelprojekt: Tests werden online beauftragt, verfolgt und berichtet und wiederholen sich über die Vertragslaufzeit. Die Ausführung reicht von wiederkehrenden manuellen Tests bis zu vollautomatischen Läufen. Siehe auch Penetration Test, Automated Penetration Testing, Bug Bounty - ### PTES Penetration Testing Execution Standard Methodik Ein praxisdefiniertes Sieben-Phasen-Pentest-Framework: Pre-Engagement, Intelligence Gathering, Threat Modeling, Vulnerability Analysis, Exploitation, Post-Exploitation, Reporting. Das am häufigsten referenzierte methodische Rückgrat technischer Sicherheitstests. Siehe auch OWASP, MITRE ATT&CK - ### Purple Team Engagement-Typ Eine kollaborative Übung, in der Red und Blue Seite an Seite arbeiten: Red führt eine bekannte TTP aus, Blue bestätigt (oder verfehlt) die Detektion in Echtzeit. Optimiert Detection-Abdeckung, nicht Überraschung. Siehe auch Red Team, Blue Team, MITRE ATT&CK R 4 Begriffe - ### Race Condition Schwachstellenklasse Ein Defekt, der entsteht, wenn parallele Anfragen sich in unerwarteter Reihenfolge verzahnen und eine vom Code als atomar angenommene Invariante brechen. Im Sicherheitskontext klassisch ein Double-Spend oder Double-Redeem. Siehe auch Business Logic Flaw - ### Reconnaissance Angriffstechnik Die erste Phase eines Engagements: Identifikation von Zielen, Oberflächen und Zugangsvektoren. Unterteilt in passiv (kein Traffic zum Ziel) und aktiv (Probes, Scans). Siehe auch OSINT, Fingerprinting - ### Red Team Engagement-Typ Eine offensive Sicherheitsoperation, die einen spezifischen Adversary gegen die gesamte Angriffsfläche simuliert: Menschen, Prozesse, Technologie. Scope-leicht, zielgetrieben, oft den Verteidigern nicht angekündigt. Siehe auch Blue Team, Purple Team, Adversary Emulation, TLPT - ### Responsible Disclosure Engagement-Typ Die Praxis (und Norm), eine entdeckte Schwachstelle zunächst privat an die betroffene Partei zu melden: mit einem Remediation-Fenster vor Veröffentlichung. Wird auch als Coordinated Disclosure bezeichnet. Siehe auch Bug Bounty, CVE S 19 Begriffe - ### SaaS / PaaS / IaaS Software, Platform, Infrastructure as a Service Cloud, OT & Emerging Drei Schichten des Cloud-Service-Modells. SaaS liefert eine fertige Anwendung; PaaS liefert eine Laufzeitumgebung; IaaS liefert rohe Compute-, Storage- und Netzwerk-Ressourcen. Jede verschiebt die Sicherheitsverantwortungs-Grenze. Siehe auch IAM, VPC - ### Salt Identität & Kryptografie Ein einzigartiger, zufälliger Wert, der vor dem Hashing mit einem Passwort gemischt wird, damit gleiche Passwörter unterschiedliche Digests ergeben. Pflicht für jedes Stored-Password-Schema. Siehe auch Hash Function - ### SAML Security Assertion Markup Language Identität & Kryptografie Ein XML-basiertes Föderationsprotokoll für SSO, dominant in Enterprise-Integrationen. Wortreich, aber die einzige praktikable Wahl, wenn eine Partei nur SAML spricht. Siehe auch SSO, OIDC - ### Sandbox Defensive Operations Eine isolierte Laufzeitumgebung, in der nicht vertrauenswürdiger Code oder Dateien ausgeführt werden, sodass ihr Verhalten beobachtet werden kann, ohne den Host zu beeinflussen. Wird in der Malware-Analyse und in Browser-Sicherheitsarchitekturen verwendet. Siehe auch EDR, Honeypot - ### SCADA Supervisory Control and Data Acquisition Cloud, OT & Emerging Eine spezifische Klasse von ICS, die verteilte Assets überwacht (Pipelines, Stromnetze, Wassernetze) über Fern-Telemetrie und Remote-Control. Das klassische High-Impact-Ziel. Siehe auch ICS, PLC - ### Schweizer-Käse-Modell Methodik Das Schweizer-Käse-Modell (James Reason) vergleicht geschichtete Defenses mit hintereinanderliegenden Käsescheiben (latente Bedingungen und aktive Fehler) und schreibt Schaden dem Moment zu, in dem sich die Löcher über die Schichten hinweg ausrichten. Die Standard-Metapher dafür, warum Defense-in-Depth Risiko reduziert, aber nicht eliminiert. Siehe auch Defense in Depth, NIST CSF - ### Session Fixation Schwachstellenklasse Ein Opfer wird gezwungen, einen dem Angreifer bekannten Session-Identifier zu nutzen: der Angreifer übernimmt die Session nach der Anmeldung. Wird durch Regenerieren der Session-ID beim Login mitigiert. Siehe auch Authentication Bypass - ### SHA-256 Identität & Kryptografie Das 256-Bit-Mitglied der SHA-2-Familie. Der aktuelle Default für kryptografisches Hashing: etwa für TLS-Zertifikate und Content-Addressing. Siehe auch Hash Function, HMAC - ### SIEM Security Information and Event Management Defensive Operations Eine Plattform, die Logs aus einer ganzen Umgebung einsammelt, normalisiert, Detektionsregeln anwendet und Alerts hervorhebt. Das zentrale Nervensystem eines SOC. Siehe auch SOC, SOAR, EDR - ### SOAR Security Orchestration, Automation and Response Defensive Operations Tooling, das Analysten-Playbooks kodifiziert, sodass Routine-Triage- und Response-Schritte automatisch über den Security-Stack hinweg ausgeführt werden. Sitzt auf einem SIEM, nicht statt eines SIEM. Siehe auch SIEM, SOC - ### SOC Security Operations Center Defensive Operations Die Funktion (intern oder ausgelagert), die Sicherheits-Events überwacht, Alerts triagiert und Incident Response durchführt. Gemessen an Mean Time to Detect und Mean Time to Respond. Siehe auch SIEM, SOAR, MDR - ### SOC 2 System and Organization Controls 2 Compliance & Regulatorik Ein AICPA-Attestierungsbericht über die operativen Controls einer Dienstleistungsorganisation, gemessen an fünf Trust-Services-Kriterien. Das De-facto-Procurement-Dokument im US-Enterprise-Vertrieb. Siehe auch ISO/IEC 27001, PCI DSS - ### Social Engineering Angriffstechnik Manipulation von Menschen (durch Impersonation, Pretext, Dringlichkeit oder Autorität), um Informationen oder Handlungen zu erlangen, die technische Controls umgehen. Siehe auch Phishing, Spear Phishing - ### Spear Phishing Angriffstechnik Phishing, das auf eine Einzelperson oder kleine Gruppe abzielt: mit personalisiertem Kontext, der die Klickrate dramatisch erhöht. Siehe auch Phishing, Social Engineering - ### SQL Injection Schwachstellenklasse Injektion angreifer-kontrollierter SQL-Fragmente in eine Query, typischerweise über nicht-parametrisierte Konkatenation von Nutzereingaben. Konsequenzen reichen von Auth-Bypass bis zur vollständigen Datenbank-Extraktion. Siehe auch NoSQL Injection, Command Injection - ### SSO Single Sign-On Identität & Kryptografie Eine Architektur, bei der ein einziges Authentifizierungs-Event Zugang zu mehreren nachgelagerten Anwendungen über föderierte Tokens gewährt: typischerweise SAML oder OIDC. Siehe auch SAML, OIDC, OAuth 2.0 - ### SSRF Server-Side Request Forgery Schwachstellenklasse Ein Server wird gezwungen, eine angreifer-kontrollierte Netzwerk-Anfrage zu senden: an interne Dienste, Cloud-Metadata-Endpoints oder beliebige URLs. Ein zentraler Pfad in ansonsten unerreichbare interne Infrastruktur. Siehe auch XXE - ### STIX / TAXII Structured Threat Information Expression / Trusted Automated Exchange of Intelligence Information Defensive Operations STIX ist das Format zur Darstellung strukturierter Threat Intelligence; TAXII ist der Transport zu deren Austausch. Zusammen ermöglichen sie maschinenlesbares Teilen von Indicators und TTPs. Siehe auch TTP, IOC - ### STRIDE Methodik Eine Sechs-Kategorien-Threat-Modeling-Mnemonik: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Ursprünglich von Microsoft, weiterhin das am besten lehrbare Einstiegs-Framework. Siehe auch LINDDUN, Threat Modeling T 8 Begriffe - ### Threat Actor Angriffstechnik Eine Einzelperson oder Gruppe mit Intent und Capability, eine definierte Zielmenge anzugreifen. Wird nach Name, Tooling, Infrastruktur und TTP-Signatur katalogisiert. Siehe auch APT, TTP, MITRE ATT&CK - ### Threat Hunting Defensive Operations Hypothesengetriebene proaktive Suche durch Telemetrie nach Adversary-Aktivität, die der automatisierten Detektion entgangen ist. Vom Alert-Triage dadurch unterschieden, wer die Untersuchung gestartet hat: der Hunter, nicht das SIEM. Siehe auch SOC, SIEM, TTP - ### Threat Modeling Methodik Die strukturierte Übung, plausible Bedrohungen gegen ein System zu enumerieren, bevor sie eintreten. Ergebnisse sind Control-Lücken und Test-Prioritäten, keine Vorhersagen. Siehe auch STRIDE, LINDDUN, Diamond Model - ### TIBER-EU Threat Intelligence-based Ethical Red Teaming, Europäisches Rahmenwerk Methodik Ein von der EZB veröffentlichtes Framework für intelligence-led Red-Team-Tests gegen Finanzsektor-Entitäten, mit nationalen Ausprägungen (TIBER-DE, TIBER-NL, etc.). Die Umsetzungsgrundlage für die Threat-Led-Penetration-Testing-Anforderung der DORA. Siehe auch DORA, TLPT, Red Team - ### TISAX Trusted Information Security Assessment Exchange Compliance & Regulatorik Der Informationssicherheits-Bewertungs- und Austauschmechanismus der deutschen Automobilindustrie, von ENX getragen und auf dem VDA ISA basierend. Voraussetzung für die Teilnahme an OEM-Lieferketten. Siehe auch ENX Association, VDA ISA, ISO/IEC 27001 - ### TLPT Threat-Led Penetration Testing Engagement-Typ Intelligence-getriebene Red-Team-Tests gegen kritische Systeme, für in-scope Finanzentitäten unter DORA verpflichtend. Die Umsetzung folgt TIBER-EU und seinen nationalen Varianten. Siehe auch DORA, TIBER-EU, Red Team - ### TLS Transport Layer Security Identität & Kryptografie Das kryptografische Protokoll, das den Großteil des HTTP-, SMTP- und Datenbank-Traffics absichert. TLS 1.2 ist der Mindeststandard; TLS 1.3 ist aktuell; SSL ist veraltet. Siehe auch mTLS, PKI, Certificate Authority (CA) - ### TTP Tactics, Techniques, and Procedures Defensive Operations Der Verhaltens-Fingerprint eines Adversary: was er tut (Tactics), wie (Techniques), und genau wie (Procedures). Wird von MITRE ATT&CK katalogisiert. Siehe auch MITRE ATT&CK, IOC, Threat Actor U 1 Begriffe - ### UNECE R155 / R156 Compliance & Regulatorik UN-Regelungen für Cybersicherheit (R155) und Software-Update-Management (R156) von Straßenfahrzeugen. Voraussetzung für Fahrzeugtypgenehmigungen in UN-1958-Märkten, einschließlich der EU. Siehe auch TISAX V 3 Begriffe - ### VAIT Versicherungsaufsichtliche Anforderungen an die IT Compliance & Regulatorik Die IT-Aufsichtsanforderungen der BaFin für Versicherungsunternehmen, parallel zu BAIT strukturiert. Für betroffene Entitäten inzwischen mit DORA überlagert. Siehe auch BaFin, BAIT, DORA - ### VDA ISA VDA Information Security Assessment Compliance & Regulatorik Der Control-Katalog, gegen den TISAX-Assessments geprüft werden. Vom Verband der Automobilindustrie (VDA) gepflegt, an ISO/IEC 27001 ausgerichtet mit automobil-spezifischen Erweiterungen. Siehe auch TISAX, ENX Association, ISO/IEC 27001 - ### VPC Virtual Private Cloud Cloud, OT & Emerging Ein isoliertes Netzwerksegment innerhalb eines Public-Cloud-Anbieters, mit eigenem Adressraum, Routing und Zugriffs-Controls. Die Einheit des Netzwerk-Blast-Radius in modernen Cloud-Architekturen. Siehe auch IAM W 2 Begriffe - ### WAF Web Application Firewall Defensive Operations Ein Reverse-Proxy-Filter für HTTP-Traffic, der signatur- und anomalie-basierte Regeln anwendet, um bekannte Angriffsmuster zu blockieren. Eine nützliche Bremse, kein Fix; Schwachstellen dahinter müssen weiterhin gepatcht werden. Siehe auch IDS, IPS - ### White Box Testing Engagement-Typ Tests mit vollständigen Informationen: Quellcode, Architekturdiagramme, Zugänge. Maximiert Abdeckung und Defekt-Dichte; nützlich vor einem Code-Release. Siehe auch Black Box Testing, Grey Box Testing X 3 Begriffe - ### XDR Extended Detection and Response Defensive Operations Eine Kategorie, die den Endpoint-Fokus von EDR um E-Mail-, Netzwerk-, Cloud- und Identity-Telemetrie unter einer einzigen Korrelations-Schicht erweitert. Eher hersteller- als standarddefiniert. Siehe auch EDR, SIEM - ### XSS Cross-Site Scripting Schwachstellenklasse Injektion angreifer-kontrollierten Skripts in eine Seite, die im Browser eines anderen Nutzers gerendert wird. Drei Hauptmodi: reflected, stored, DOM-based. Siehe auch DOM XSS, CSRF - ### XXE XML External Entity Schwachstellenklasse Missbrauch von XML-Parsern, die externe Entity-Referenzen auflösen: ermöglicht Datei-Auslesen, SSRF und in manchen Konfigurationen Remote Code Execution. Wird durch Deaktivieren der DTD-Verarbeitung mitigiert. Siehe auch SSRF, Path Traversal Z 3 Begriffe - ### ZAIT Zahlungsdiensteaufsichtliche Anforderungen an die IT Compliance & Regulatorik Die IT-Aufsichtsanforderungen der BaFin für Zahlungsinstitute und E-Geld-Institute. Siehe auch BaFin, BAIT, VAIT, PSD2 - ### Zero Trust Defensive Operations Ein Architekturprinzip, das keinen impliziten Vertrauensvorschuss anhand des Netzwerk-Standorts gewährt und stattdessen jede Anfrage gegen Identität, Device-Posture und Least-Privilege-Policy prüft. Anspruchsvoll in der Skalierung; in der Praxis selektiv. Siehe auch Defense in Depth, IAM - ### Zero-Day Schwachstellenklasse Eine Schwachstelle, für die zum Zeitpunkt der Ausnutzung noch kein öffentlicher Patch existiert. Ein Countdown-Begriff; in der Praxis ist die aussagekräftige Frage die Sichtbarkeit der Ausnutzung, nicht die Existenz des Patches. Siehe auch CVE, Exploit **Keine Begriffe in dieser Kategorie.** Wähle eine andere Kategorie, oder hebe den Filter auf, um den vollständigen Index zu sehen. Referenz ## Jeder Begriff verlinkt zurück dorthin, wo die Arbeit passiert. Das Glossar ist redaktionell, kein Wiki. Jeder Eintrag ist handgeschrieben, knapp gehalten und wird aktualisiert, wenn sich ein Standard verändert. Akronyme werden genau einmal ausgeschrieben, in dem Eintrag, dem sie gehören. Die Abdeckung orientiert sich daran, worauf der Rest der VORNAC-Site tatsächlich aufbaut: den Rahmenwerken, gegen die unsere Kunden geprüft werden, dem Vokabular unserer Reports, den Techniken aus dem Research Index. [Zum Research Index](https://www.vornac.com/research) Von der Definition zur Evidenz ## Validiere die Controls hinter dem Vokabular.