Die fünf „Strände“ der IT-Sicherheit: Ein Framework für Defense in Depth

1. Physische Sicherheit – Der Küstenperimeter

Schützt greifbare Assets: Server, Endgeräte, Medien, Einrichtungen. Kontrollen: Zutrittskontrolle (Badges, Biometrie, Mantraps), Überwachung (CCTV, Wachen), Umwelt (Brandlöschung, HLK), Asset-Tracking, sichere Entsorgung. Analogie: Strandmauer, Wachposten, ID-Check.

2. Netzwerksicherheit – Die Hoheitsgewässer

Schützt Kommunikationsinfrastruktur: LAN/WAN, Wireless, Cloud-Konnektivität. Kontrollen: Firewalls (Next-Gen, WAF), IDS/IPS, VPN/Zero Trust Network Access, Segmentierung (VLANs, Micro-Segmentierung), DDoS-Schutz, DNS-Sicherheit, NAC. Analogie: Küstenwache, Patrouillenboote, Sonarnetze.

3. Anwendungssicherheit – Die Hafenanlagen

Schützt Software-Logik und Schnittstellen: Web, Mobile, API, Legacy. Kontrollen: Sicheres SDLC (DevSecOps), SAST/DAST/IAST/SCA, Eingabevalidierung, Ausgabe-Kodierung, AuthZ/AuthN (OAuth, OIDC, MFA), WAF, RASP, API-Gateways. Analogie: Zollinspektion, Frachtprüfung, Manifest-Verifizierung.

4. Datensicherheit – Die Fracht und Lager

Schützt Information im Ruhezustand, in Übertragung, in Nutzung: Verschlüsselung (AES-256, TLS 1.3, homomorph), Tokenisierung, DLP, CASB, Schlüsselmanagement (HSM, KMS), Klassifizierung/Labeling, Backup/Recovery, Datenschutz (DSGVO, CCPA). Analogie: Tresore, versiegelte Container, Manifeste, Chain of Custody.

5. Incident Response – Die Notfalldienste

Erkennt, eindämmt, beseitigt, stellt nach Verstößen wieder her: SOC/SIEM/SOAR, Threat Intelligence, Playbooks, Forensik (Disk, Memory, Network), Tabletop-Übungen, Red Team/Purple Team, Verletzungsmeldung, Post-Mortem, kontinuierliche Verbesserung. Analogie: Feuerwehr/Rettung, Hazmat, Bergung, Untersuchung, Wiederaufbau.

Jenseits der Fünf: Moderne Erweiterungen

• Identitätssicherheit (der „sechste Strand“): IAM, PAM, IG, CIEM – nun fundamental.
• Cloud-Sicherheit: CSPM, CWPP, CIEM, SSPM – geteilte Verantwortung.
• Lieferketten-Sicherheit: SBOM, SLSA, Vendor Risk.
• OT/ICS-Sicherheit: Purdue-Modell, Air Gaps, Anomalieerkennung.

Die „Strände“-Metapher betont gestaffelte Verteidigung (Defense in Depth) – ein Angreifer muss mehrere Zonen durchbrechen. Kein einzelner Strand hält; Resilienz kommt durch Integration, Transparenz und schnelle Reaktion über alle Domänen.