>_ help
Hilfe & Methodik
Wie funktionieren STRIDE-LM, OWASP ASVS und der Threat-Modeling-Composer? Ein Überblick über Methodik und Frameworks.
Der Composer
Statt eine Wissensdatenbank zu durchsuchen, wählst du die Assets und Features deines Projekts (Login, Zahlungen, API, ...), optional die verarbeiteten Datenkategorien und dein Hosting-Modell. Der Composer erstellt daraus ein Risiko-Register ohne Doppelungen, aufgeteilt in drei Schichten.
1. Auswahl
Assets/Features, Datenkategorien (z.B. Gesundheits-, HR-, Finanzdaten) und Hosting-Modell (On-Premise/IaaS/SaaS).
2. STRIDE-LM-Risiken
Die relevanten Bedrohungen pro gewähltem Asset. Jedes Risiko erscheint nur einmal.
3. ASVS-5.0-Anforderungen (Code)
Konkrete Anforderungen nach OWASP ASVS 5.0. Dieselbe Liste dient als Entwickler-Checkliste und als Pentest-Scope.
4. Kompensierende Massnahmen
CIS-v8- und NIST-CSF-Controls für Infrastruktur und Betrieb (WAF, IAM, Netzwerksegmentierung). Sie bieten zusätzlichen Schutz, ersetzen aber keinen sauberen Code.
STRIDE-LM
STRIDE ist ein Modell zur Identifizierung von Computersicherheitsbedrohungen. Wir nutzen die erweiterte Variante STRIDE-LM, um moderne Cloud- und Netzwerk-Architekturen abzubilden.
Spoofing
Identitätsvortäuschung
Tampering
Datenmanipulation
Repudiation
Abstreitbarkeit
Information Disclosure
Informationsenthüllung
Denial of Service
Dienstverweigerung
Elevation of Privilege
Rechteausweitung
Lateral Movement
Seitwärtsbewegung im Netzwerk
Monitoring Gaps
Lücken in Überwachung & Logging
OWASP ASVS 5.0
Der Application Security Verification Standard definiert 345 code-nahe Anforderungen in 17 Kapiteln (Authentication, Authorization, Kryptografie, ...), jeweils als "Verify that…" formuliert und in drei aufeinander aufbauende Levels gestaffelt. Im Composer dient dieselbe Liste als Entwickler-Checkliste und als Pentest-Scope.
CIS Controls
Die Center for Internet Security (CIS) Controls sind eine priorisierte Reihe von Sicherheitsmassnahmen gegen die häufigsten Cyberangriffe.
Offizielle Webseite →NIST CSF
Das Cybersecurity Framework des NIST bietet einen Leitfaden für organisatorische Cybersicherheit und Risikomanagement.
Offizielle Webseite →NIST AI RMF
Das NIST AI Risk Management Framework (AI RMF 1.0, veröffentlicht 2023) ist ein eigenständiges Framework neben dem NIST CSF. Es hilft Organisationen, Risiken von KI-Systemen zu erkennen, zu bewerten und zu verringern, etwa bei Vertrauenswürdigkeit, Fairness, Transparenz und Sicherheit.
DSGVO
Statt alle 99 Artikel aufzuführen, verweisen wir nur auf die Artikel, auf die sich unsere technischen Controls tatsächlich beziehen. Das ergänzt eine Rechtsberatung, ersetzt sie aber nicht. Da sich DSG und DSV in Liechtenstein und der Schweiz eng an der DSGVO orientieren, passen die Verweise auch dort.
Controls Bibliothek
Die Controls-Bibliothek enthält alle Sicherheitsmassnahmen der Plattform mit Zuordnung zu CIS v8, NIST CSF 2.0, NIST AI RMF, OWASP ASVS 5.0 und DSGVO. Mit dem Framework-Filter zeigst du die Controls nach Standard an, gruppiert nach CIS-Kontrollgruppe (1–18), NIST-CSF-Funktion (GV · ID · PR · DE · RS · RC), ASVS-Kapitel oder DSGVO-Artikel.
Security-Assessment-Methodik
Das Security Assessment gibt es in zwei Varianten. Der KMU-Check (17 Fragen nach Alltagssituationen) richtet sich an die Geschäftsleitung und zeigt die drei grössten Risiken mit konkreten ersten Schritten. Der Technische Check (40 Kernfragen, Vertiefung bei Teilumsetzung, optional 44 erweiterte Kontrollen) richtet sich an IT-Verantwortliche und ordnet jede Lücke NIST CSF 2.0, CIS v8 und MITRE ATT&CK zu.
KMU-Check
Rund 5 Minuten, vier Reifegradstufen pro Frage, Ergebnis in Geschäftssprache
Technischer Check
Vertiefung bei Teilumsetzungen, Auswertung pro NIST-CSF-2.0-Funktion und ATT&CK-Technik
N/A — Nicht zutreffend
Nicht zutreffende Fragen fliessen nicht in die Bewertung ein; «Weiss nicht» erscheint als Klärungsbedarf
Ampelfarben
Grün ≥ 75 · Gelb 40–74 · Rot < 40, pro Bereich und gewichtet gesamt
TLP 2.0
Das Traffic Light Protocol (TLP) ist ein von FIRST (Forum of Incident Response and Security Teams) definierter Standard zur Klassifizierung sensibler Informationen. TLP legt fest, mit wem Informationen geteilt werden dürfen. Version 2.0 umfasst fünf Klassifizierungsstufen.
Keine Einschränkung
Informationen können ohne Einschränkung verbreitet werden. Empfänger können diese Information frei weitergeben, ohne dabei Quellen oder Formatierungen berücksichtigen zu müssen.
Community-Weitergabe
Informationen sind für die gesamte Community bestimmt. Sie können innerhalb der Community, aber nicht öffentlich oder ausserhalb davon geteilt werden.
Eingeschränkte Weitergabe
Informationen dürfen innerhalb der empfangenden Organisation an Personen weitergegeben werden, die sie benötigen. Eine Weitergabe ausserhalb der Organisation ist nicht erlaubt.
Nur direkte Empfänger
Wie TLP:AMBER, jedoch noch restriktiver: Informationen dürfen ausschliesslich an die direkten Empfänger weitergegeben werden – nicht an andere Personen innerhalb der Organisation.
Keine Weitergabe
Informationen dürfen nicht weitergegeben werden. Sie sind nur für die direkt beteiligten Personen bestimmt. Mündliche oder persönliche Kommunikation ist inbegriffen.