Anfangs Oktober 2024 haben wir den Start der CYREN^ZH Cybersecurity Clinic angekündigt. In dieser Clinic bieten Studierende der ZHAW School of Engineering, der ZHAW School of Management and Law und der Universität Zürich ausgewählten Organisationen wie KMUs, Start-ups, Gemeinden, Schulen, Non-Profit-Organisationen und Vereinen pro bono Cybersecurity-Services an. Die Services decken ein breites Spektrum der Cybersecurity ab, von technischen Sicherheitsaspekten bis hin zu Security Risk Assessments und Human Factors.

Mit der Clinic wollen wir die Cybersecurity-Situation, das Wissen und das Bewusstsein dieser Organisationen verbessern und gleichzeitig die Ausbildung der nächsten Generation von Cybersecurity-Experten vertiefen, indem die Studierenden das im Unterricht erworbene Wissen in der realen Welt anwenden.

Die ersten vier Clinic-Projekte wurden im Herbstsemester 2024 gestartet und konnten in der Zwischenzeit alle abgeschlossen werden. Insgesamt 10 Studierende bearbeiteten die Projekte und konnten wertvolle Praxiserfahrung sammeln. Im Folgenden werden wir auf all diese vier Projekte eingehen und über die erreichten Ergebnisse berichten.

Wenn auch Sie Interesse an der Durchführung eines solchen Projekts haben, dann zögern Sie nicht, uns zu kontaktieren. Auf der Website der CYREN^ZH Cybersecurity Clinic finden Sie alle relevanten Informationen.

Das erste Projekt: Penetration Test einer Webapplikation von TrueYouOmics

Durch die Integration von personenbezogen und damit sehr sicherheitskritischen Daten ist es für TrueYouOmics wichtig, dass die Webapplikation hohe Sicherheit aufweist. Deshalb wurde bereits während des Entwicklungsprozesses ein starker Fokus auf Sicherheit gesetzt. Zusätzlich sollte die Sicherheit nun auch von Dritten untersucht werden, im Rahmen eines Penetration Tests, woraus dieses Clinic-Projekt entstand.

Das Projekt wurde von Tobias Leu und James Leadbeater bearbeitet, als Teil einer Projektarbeit im Informatik Bachelorstudium an der ZHAW School of Engineering. Die Betreuung wurde von Prof. Dr. Marc Rennhard und Thomas Sutter sichergestellt. Die Arbeit stellte sich als sehr herausfordernd dar, da die Webapplikation auf mehreren modernen Technologien basiert und auch Services von Dritten integriert. Entsprechend mussten sich die Studierenden als Teil der Arbeit in diese Technologien und auch Angriffstechniken wie Prompt-Injection einarbeiten. Da die Studierenden aber bereits umfassende Grundkenntnisse aus dem Studium aufwiesen, unter anderem auch in Angriffstechniken auf Webapplikationen, konnten sich die beiden die noch fehlenden Kenntnisse effizient als Teil des Projekts erarbeiten.

Der Penetration Test hat aufgezeigt, dass die Webapplikation insgesamt ein gutes Sicherheitsniveau aufweist. Dennoch konnten mehrere relevante Schwachstellen aufgezeigt werden, sowohl bei den grundlegenden Webapplikations-Funktionen als auch bei der Chatbot-Integration. Für all diese Schwachstellen wurden effektive und effizient umsetzbare Lösungen vorgeschlagen und so beschrieben, dass diese von TrueYouOmics selbstständig umgesetzt werden können.

Statements

Das zweite Projekt: Cybersicherheit auf dem Bauernhof

Die Fachstelle Landtechnik des Landwirtschaftlichen Zentrums des Kanton St. Gallen (LZSG) beschäftigt sich mit den Themen der Digitalisierung in der Landwirtschaft und Smart Farming. In diesem Rahmen wurde im Frühling 2024 vom LZSG gemeinsam mit der Kantonspolizei eine Pilotveranstaltung zur Förderung der Security-Awareness auf Bauernhöfen angeboten. Dabei stellte sich heraus, dass allgemein gehaltene Informationen nicht die gewünschten Effekte erzielten. Auf der anderen Seite sind für spezifische Informationen weder die genauen Gefahren noch das potenziell risikoreiche Verhalten der Bäuerinnen und es fehlt auch das benötigte Wissen über geeignete technische und Verhaltensänderungsmassnahmen.

Das interdisziplinäre Clinic-Projekt wurde vom LZSG gemeinsam mit der ZHAW School of Management and Law und der ZHAW School of Engineering initiiert, mit dem Ziel technische und verhaltensspezifische Schwachstellen in Bezug auf Cybersicherheit auf den Bauernhöfen des Kantons St. Gallen zu identifizieren.

An der ZHAW School of Management and Law wurde das Forschungsvorhaben als Teil einer Projektarbeit im Bachelorstudium Wirtschaftsinformatik mit drei Studierenden umgesetzt. Die Studierenden wurde von Dr. Benjamin Ambühl betreut. Die systematische Erforschung der verschiedenen sicherheitsrelevanten Verhalten und deren Einflussfaktoren ergab folgende Resultate:

• Im Alltag ist in den untersuchten Bauernbetrieben risikoreiches Verhalten in Bezug auf die Cybersicherheit des Betriebs in allen Verhaltensdomänen zu finden, insbesondere aber beim Schutz der IT-Infrastruktur sowie bei der Autorisierung, Kontrolle und Handhabung von Zugriffsrechten. Da nur einer der Betriebe bisher von einem Cybersecurity-Vorfall betroffen war, konnte das Verhalten bei Zwischenfällen oder verdächtigen Vorkommnissen nicht umfassend beurteilt werden.
• In Bezug auf die untersuchten Einflussfaktoren auf das Verhalten gibt es deutliche Hinweise, wo allfällige Schulungen oder Awareness-Kampagnen ansetzen könnten, um das Verhalten der Bäuerinnen und Bauern konkret zu verändern. Insbesondere die Wahrnehmung der Vulnerabilität und die Konsequenzen von Cyberangriffen ist in den untersuchten Betrieben sehr tief ausgeprägt. Cybersicherheitsmassnahmen werden stets als schlechtes Kosten/Nutzen-Verhältnis wahrgenommen. Die Cybersicherheit wird zwar mit negativen Gefühlen beschrieben, aber das Handlungswissen und auch die empfundene Verbindlichkeit sind sehr klein.

Insgesamt legen diese Resultate die Grundlagen, um in einer folgenden repräsentativen Befragung die relevantesten Themen für spezifische zukünftige Cybersicherheitsschulungen für Bauernbetriebe herauszufinden.

An der ZHAW School of Engineering wurde das Forschungsvorhaben als Teil einer Projektarbeit eines Studenten im Bachelorstudiengang Informatik durchgeführt. Der Student besuchte verschiedene Bauernhöfe mit Viehhaltung und analysierte die dort vorhandene Infrastruktur in Bezug auf ihre Cybersecurity-Risiken. Dabei hat er viele Geräte und Maschinen mit Internetanbindung gefunden. Die Spanne ist gross und reicht vom modernen Melkroboter im Stall bis zum smarten Mixer in der Küche. Nach dieser Bestandesaufnahme hat er die einzelnen Geräte und die gesamte IT-Architektur auf die technischen Aspekte der Cybersicherheit überprüft und konnte mit dieser Analyse konkrete Gefährdungen identifizieren. Auf Basis dieser Erkenntnisse entwickelte er praxisnahe Handlungsempfehlungen für die Landwirt:innen.

Der Student wird die Arbeit im Rahmen seiner Bachelorarbeit weiterführen, in der er Security-Awareness Materialen zur Schulung von Landwirt:innen erstellen wird. Dazu gestaltet er unter anderem einen Flyer, welcher an landwirtschaftlichen Messen verteilt werden kann und eine Webseite mit weiterführenden Informationen. Damit sollen die Bäuerinnen und Bauern nicht nur für Cyberrisiken sensibilisiert werden, sondern auch konkrete und für sie praktikable Vorschläge erhalten, um ihre Betriebe besser zu schützen.

Statements

Das dritte Projekt: Cybersecurity Hardening für ein KMU im Kanton Zürich

Viele Unternehmen stehen täglich vor der Herausforderung, sensible Informationen sowohl sicher als auch effizient zwischen ihren Mitarbeitenden – darunter Festangestellte sowie Freelancer – auszutauschen. Auch für den Firmenpartner dieses Clinic-Projekts, ein KMU aus dem Kanton Zürich, ist dies eine zentrale Aufgabe im Arbeitsalltag.

Da der Schutz personenbezogener Daten essenziell ist, um die Vertraulichkeit der Kunden-, Mitarbeitenden- und Unternehmensinformationen zu gewährleisten, sind regelmässige Cybersecurity Health-Checks mit entsprechendem Hardening unerlässlich. Zwischen September und Dezember 2024 führten Luca Bosin, Phil Frei und Luca Streiff dieses Clinic-Projekt im Rahmen einer Projektarbeit an der ZHAW School of Management and Law durch. Das Projekt wurde von Tibor Dudas (ZHAW SML) betreut, während Melanie Knieps (UZH Digital Society Initiative) den gesamten Prozess begleitete. Zu Beginn wurde eine umfassende Bestandsaufnahme der bestehenden IT-Systeme, verwendeten Tools und Cloud-Dienste durchgeführt. Ergänzend dazu erfolgte eine Bedrohungsanalyse, um spezifische Risiken und Angriffsvektoren zu identifizieren. Auf dieser Basis wurde der Fokus der weiterführenden Sicherheitsprüfung festgelegt. Besonderes Augenmerk lag auf dem Passwort- und Zugriffsmanagement, der Verschlüsselung und Datensicherung, sowie der Entwicklung eines Awareness-Konzepts für die Mitarbeitenden. Am Ende des Projekts hatten die Studenten konkrete Massnahmen zur Verbesserung der Sicherheit ausgearbeitet, so weit wie möglich umgesetzt und eine priorisierte Liste mit umsetzbaren Handlungsempfehlungen erstellt.

Durch das Clinic-Projekt gewann der Firmenpartner nicht nur ein tieferes Verständnis für seine Sicherheitsrisiken, sondern erhielt auch ein Hardening seiner Systeme sowie konkrete Empfehlungen zur weiteren Verbesserung der IT-Sicherheit. Diese solide Grundlage ermöglicht es dem KMU, die nächsten Schritte auf seiner Sicherheitsreise – bei Bedarf mit Unterstützung eines Dienstleisters – gezielt anzugehen.

Statements

Das vierte Projekt: Toolbox für das Penetration Testing von Webapplikationen

Zur Mission der Firma Secuteer gehört, Cybersecurity für viele zugänglich und einfach verständlich zu machen. Dies umfasst auch das Penetration Testing von Webapplikationen. Dabei wird eine lauffähige Webapplikation durch Interaktion von aussen bezüglich Sicherheit getestet. Meist ist es sinnvoll, eine Webapplikation von Zeit zu Zeit einem umfassenden Penetration Test zu unterziehen, insb. wenn grössere Erweiterungen oder Anpassungen (Major Releases) vorgenommen wurden. Für solche Tests werden dabei oft externe Expert:innen von spezialisierten Firmen beigezogen.

Bei Minor Releases oder für Re-Tests nach der Behebung zuvor gefundener Schwachstellen und auch generell zur Befähigung und Sensibilisierung im Bereich Cybersecurity, wäre es wünschenswert, dass die wichtigsten Tests auch von den internen Entwickler:innen selbst durchgeführt werden können, was bestens zu Mission von Secuteer passt. Um dies zu erreichen, wurden in diesem Clinic-Projekt die Grundlagen für eine Toolbox für das Penetration Testing von Webapplikationen gelegt.

Als Teil einer Projektarbeit im Informatik Bachelorstudium an der ZHAW School of Engineering wurde das Projekt von Jacobo Schwitter bearbeitet und von Prof. Dr. Marc Rennhard betreut. Die wichtigsten Ziele waren dabei das Festlegen der Anforderungen an die Toolbox, die Wahl von geeigneten unterliegenden Technologien und die Implementierung eines ersten Prototyps. Mit dem entwickelten Prototyp enthält ein:e Benutzer:in konkrete und einfach verständliche Handlungsanweisungen, wie einige der häufigsten Schwachstellentypen in Webapplikationen nachgewiesen werden können.

Mit dem Clinic-Projekt konnte eine sehr gute Basis für die Toolbox gelegt werden. In einem zukünftigen Clinic-Projekt soll diese weiter ausgebaut werden mit dem Ziel, die Toolbox als Open-Source Software der Allgemeinheit zur Verfügung zu stellen.