@misc{Ophey2005, author = {Ophey, Peter}, title = {Sicherung des Zugangs zu Netzwerkdiensten der Fachhochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-2240}, pages = {119}, year = {2005}, abstract = {Der Autor untersucht im Rahmen dieser Diplomarbeit die Sicherheit des Zugangs zu Netzwerkdiensten in der Fachhochschule D{\"u}sseldorf. Dabei werden sicherheitsrelevante Fragen wie Klartext Kommunikation bei der Authentifizierung und beim Transport der Daten {\"u}ber Netzwerkdienste beschrieben und Alternativen hierzu aufgezeigt. Im Rahmen der Diplomarbeit wurde die Teilnahme der Fachhochschule D{\"u}sseldorf am Pilotprojekt DFN-PKI-2 f{\"u}r Public Key Infrastrukturen des Deutschen Forschungsnetzes initiiert und organisiert. Weiterhin stellt der Autor die PKI-Technologie und deren praktische Einsatz anhand eines VPN Dienstes zur Sicherung der bestehenden Netzwerkdienste vor.}, language = {de} } @techreport{Vogel2017, author = {Vogel, Peter}, title = {Investing as Random Trial}, series = {Trading}, journal = {Trading}, number = {1}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, issn = {2567-2347}, doi = {10.20385/2567-2347/2017.1}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-11118}, pages = {39}, year = {2017}, abstract = {We introduce an investment algorithm for a market of individual securities. The investment algorithm is derived from constraints depending on investment parameters in order to limit the risk and to take into account an individual investor. One constraint is devoted to trading costs. Purchased securities are selected randomly among securities that meet the buy condition, making trading a random trial. Simulations with historical price data are demonstrated for a simple example: The buy condition is evaluated on the basis of the price relationship for two subsequent trading days and the sales condition is defined by holding securities only for one day. A trading expert evaluates the expected return for the investment algorithm with respect to the random selection. Thus, the expert informs precisely on how many market players perform using the same investment algorithm. Its findings are for a parametrized set of buy conditions simultaneously, which makes a trading expert a valuable tool for theorists as well as for practitioners. In our example, the trading expert demonstrated clearly a significant mean reversion effect for a horizon of one day.}, language = {en} } @misc{Littig2018, type = {Master Thesis}, author = {Littig, David}, title = {Konzeption und Entwicklung eines erweiterbaren Passwortmanagers als Cross-Platform Open-Source-Software mit gemeinsamer Code-Basis}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-15830}, school = {Hochschule D{\"u}sseldorf}, pages = {110}, year = {2018}, abstract = {Die im Laufe des Jahres ver{\"o}ffentlichten Passw{\"o}rter auf der Plattform "Have I been pwnd" zeigen deutlich, dass Nutzer aufgrund von besserer Merkbarkeit schwache Passw{\"o}rter w{\"a}hlen. Dies hat zur Folge, dass die sensiblen Daten der Nutzer nur unzureichend gesch{\"u}tzt sind. Aus diesem Grund gewinnt das Themengebiet der IT-Sicherheit zunehmend an Bedeutung. Passwortmanager stellen f{\"u}r dieses Szenario eine m{\"o}gliche L{\"o}sung dar. Der im Rahmen dieser Masterthesis entwickelte Passwortmanager "Safeword" erm{\"o}glicht, sensitive Daten, die mittels ad{\"a}quaten kryptografischen Verfahren gesch{\"u}tzt werden, zentral an einer Stelle abzulegen und sukzessive unsichere Passw{\"o}rter durch starke zuf{\"a}llige Passw{\"o}rter zu ersetzen. Der Nutzer muss sich nur ein starkes Hauptkennwort merken, mit dem er sich bei dem Passwortmanager authentisiert und anschließend die gespeicherten Passw{\"o}rter abrufen kann. Der Passwortmanager bietet zahlreiche Funktionen, die die Nutzung der Anwendung erleichtern, wie die simple und moderne Oberfl{\"a}che, einen Passwort-Generator, der kryptografisch sichere Zufallspassw{\"o}rter erstellt, oder Funktionen zur besseren Handhabung von Passw{\"o}rtern, beispielsweise Label oder Notizen. Safeword basiert auf einer modularen und erweiterbaren Architektur, die auf Code-Sharing setzt. Das Code-Sharing vereinfacht die Wartung der Anwendung und erm{\"o}glicht bei Schwachstellen eine schnellere Behebung. Die Ergebnisse aus dem Vergleich existierender Passwortmanager flossen direkt in die Entwicklung von Safeword ein, sodass aus Fehlern anderer Mitbewerber gelernt werden konnte. Um den Beitrag zur Open-Source-Welt sicherzustellen, wird Safeword unter der GPLv3-Lizenz bereitgestellt, sodass auch in Zukunft viele Nutzer von dem Passwortmanager profitieren k{\"o}nnen. Voraussetzung f{\"u}r den Produktiveinsatz von Safeword ist die Entwicklung noch fehlender Funktionen und die Pr{\"u}fung des Quelltexts nach aktuellen Standards der IT-Sicherheit.}, language = {de} } @inproceedings{HateburHeiselSchmidt2006, author = {Hatebur, Denis and Heisel, Maritta and Schmidt, Holger}, title = {Security Engineering Using Problem Frames}, series = {Emerging Trends in Information and Communication Security: International Conference, ETRICS 2006, Freiburg, Germany, June 6-9, 2006. Proceeding}, volume = {LNCS, 3995}, booktitle = {Emerging Trends in Information and Communication Security: International Conference, ETRICS 2006, Freiburg, Germany, June 6-9, 2006. Proceeding}, editor = {M{\"u}ller, G{\"u}nter}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-540-34640-1}, doi = {10.1007/11766155_17}, pages = {238 -- 253}, year = {2006}, language = {en} } @inproceedings{SchmidtWentzlaff2006, author = {Schmidt, Holger and Wentzlaff, Ina}, title = {Preserving Software Quality Characteristics from Requirements Analysis to Architectural Design}, series = {Software Architecture: Third European Workshop, EWSA 2006, Nantes, France, September 4-5, 2006, Revised Selected Papers}, volume = {LNCS, 4344}, booktitle = {Software Architecture: Third European Workshop, EWSA 2006, Nantes, France, September 4-5, 2006, Revised Selected Papers}, editor = {Gruhn, Volker and Oquendo, Flavio}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-540-69271-3}, doi = {10.1007/11966104_14}, pages = {189 -- 203}, year = {2006}, language = {en} } @inproceedings{CoteHateburHeiseletal.2008, author = {C{\^o}t{\´e}, Isabelle and Hatebur, Denis and Heisel, Maritta and Schmidt, Holger and Wentzlaff, Ina}, title = {A Systematic Account of Problem Frames}, series = {Proceedings of the 12th European Conference on Pattern Languages of Programs (EuroPLoP '2007), Irsee, Germany, July 4-8, 2007.}, booktitle = {Proceedings of the 12th European Conference on Pattern Languages of Programs (EuroPLoP '2007), Irsee, Germany, July 4-8, 2007.}, publisher = {Universit{\"a}tsverlag Konstanz}, address = {Konstanz}, pages = {749 -- 767}, year = {2008}, abstract = {We give an enumeration of possible problem frames, based on domain characteristics, and comment on the usefulness of the obtained frames. In particular, we investigate problem domains and their characteristics in detail. This leads to fine-grained criteria for describing problem domains. As a result, we identify a new type of problem domain and come up with integrity conditions for developing useful problem frames. Taking a complete enumeration of possible problem frames (with at most three problem domains, of which only one is constrained) as a basis, we find 8 new problem frames, 7 of which we consider as useful in practical software development.}, language = {en} } @inproceedings{HateburHeiselSchmidt2007, author = {Hatebur, Denis and Heisel, Maritta and Schmidt, Holger}, title = {A Security Engineering Process based on Patterns}, series = {18th International Workshop on Database and Expert Systems Applications (DEXA 2007)}, booktitle = {18th International Workshop on Database and Expert Systems Applications (DEXA 2007)}, publisher = {IEEE}, address = {Regensburg}, isbn = {978-0-7695-2932-5}, doi = {10.1109/DEXA.2007.36}, pages = {734 -- 738}, year = {2007}, abstract = {We present a security engineering process based on security problem frames and concretized security problem frames. Both kinds of frames constitute patterns for analyzing security problems and associated solution approaches. They are arranged in a pattern system that makes dependencies between them explicit. We describe step-by-step how the pattern system can be used to analyze a given security problem and how solution approaches can be found. Further, we introduce a new frame that focuses on the privacy requirement anonymity.}, language = {en} } @book{Dahm2006, author = {Dahm, Markus}, title = {Grundlagen der Mensch-Computer-Interaktion}, publisher = {Pearson Studium}, address = {M{\"u}nchen ; Boston [u.a.]}, isbn = {978-3-8273-7175-1}, pages = {367}, year = {2006}, abstract = {Die Interaktion zwischen Mensch und Computer ist ein sehr interessanter und immer wichtiger werdender Aspekt bei der Entwicklung von Software. In diesem Buch erfahren Sie daher - Wie Menschen und Computer kommunizieren, handeln und reagieren - Welche Interaktionsformen es f{\"u}r die Kommunikation mit dem Computer gibt - Wie Sie diese Kenntnisse nutzen k{\"o}nnen, um Programme zu entwickeln, die der Anwender erfolgreich nutzen kann}, language = {de} } @article{DahmThiel2009, author = {Dahm, Markus and Thiel, Christoph}, title = {Gibt es die barrierefreie Brandmauer?}, series = {i-com: Journal of Interactive Media}, volume = {3}, journal = {i-com: Journal of Interactive Media}, number = {7}, issn = {1618-162X}, doi = {10.1524/icom.2008.0029}, pages = {14 -- 18}, year = {2009}, abstract = {Es scheint so zu sein, dass sich die beiden Ziele Gebrauchstauglichkeit und Sicherheit sehr h{\"a}ufig in der Umsetzung gegenseitig ausschließen: Eine sehr sichere Anwendung ist meistens eher aufw{\"a}ndiger zu benutzen und zu warten, eine einfach zu benutzende Anwendung vernachl{\"a}ssigt h{\"a}ufig die Sicherheit. Als L{\"o}sung kann (wieder einmal) darauf hingewiesen werden, dass "gute" Software mehr ist als lediglich funktionierende Software. Im gesamten Entwicklungsprozess m{\"u}ssen vielf{\"a}ltige funktionale und nicht-funktionale Anforderungen, wie die der Sicherheit und Gebrauchstauglichkeit, ber{\"u}cksichtigt werden, um allen, auch sich zun{\"a}chst widersprechenden, Anforderungen gerecht zu werden.}, language = {de} } @inproceedings{RyskeldievOchiaiCohenetal.2018, author = {Ryskeldiev, Bektur and Ochiai, Yoichi and Cohen, Michael and Herder, Jens}, title = {Distributed Metaverse: Creating Decentralized Blockchain-based Model for Peer-to-peer Sharing of Virtual Spaces for Mixed Reality Applications}, series = {Proceedings of the 9th Augmented Human International Conference}, booktitle = {Proceedings of the 9th Augmented Human International Conference}, publisher = {ACM}, isbn = {978-1-4503-5415-8}, doi = {10.1145/3174910.3174952}, pages = {7 -- 9}, year = {2018}, abstract = {Mixed reality telepresence is becoming an increasingly popular form of interaction in social and collaborative applications. We are interested in how created virtual spaces can be archived, mapped, shared, and reused among different applications. Therefore, we propose a decentralized blockchain-based peer-to-peer model of distribution, with virtual spaces represented as blocks. We demonstrate the integration of our system in a collaborative mixed reality application and discuss the benefits and limitations of our approach.}, language = {en} } @misc{Geywitz2019, type = {Master Thesis}, author = {Geywitz, Julian}, title = {"What the Hack?" - Konzeption und Implementierung eines erweiterbaren und adaptiven Serious Game zur Verbesserung von Information Security Awareness}, address = {D{\"u}sseldorf}, organization = {Hochschule D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-17720}, school = {Hochschule D{\"u}sseldorf}, pages = {79}, year = {2019}, abstract = {Diese Masterarbeit beschreibt den Entwurf und die Neuimplementierung von What the Hack, einem digitalen Serious Game zur Verbesserung von Information Security Awareness. What the Hack ist urspr{\"u}nglich in einem Studentenprojekt entstanden und soll in der Unity Game Engine neu implementiert, erweitert und verbessert werden. Nach einer Untersuchung g{\"a}ngiger Literatur auf Merkmale eines guten Serious Games wird der aktuelle Markt von Serious Games zum Thema Information Security Awareness untersucht. Es zeigt sich, dass es dem Markt an Spielen f{\"u}r eine fortgeschrittene, technische Zielgruppe mangelt. Ebenfalls ersichtlich wird, dass sich wenige Spiele spezialisieren oder anpassen lassen. Es folgt eine Bestandsaufnahme der originalen Implementierung. Mit den Ergebnissen der theoretischen Untersuchungen wird die originale Implementierung von What the Hack auf Kriterien eines guten Serious Games untersucht. Anschließend werden Anforderungen f{\"u}r die Neuimplementierung von What the Hack gestellt. Es folgt eine Beschreibung des Game Designs und der Implementierung wichtiger Eigenschaften des Spiels, wie die Unterst{\"u}tzung von Schwierigkeitsgraden und der Erweiterbarkeit. Abschließend folgt eine Analyse der Neuimplementierung. Es zeigt sich, dass das Spiel die gestellten Anforderungen erf{\"u}llt und What the Hack sich zu einer, auf eine technische Zielgruppe fokussierte, Serious Game Plattform entwickelt hat.}, language = {de} } @masterthesis{Friedrichs2018, type = {Bachelor Thesis}, author = {Friedrichs, Lukas}, title = {Analyse, Modellierung und hashcat-basierte Implementierung von Angriffen auf passwortgesch{\"u}tzte Systeme unter Einbeziehung des Faktors Mensch}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-12281}, school = {Hochschule D{\"u}sseldorf}, year = {2018}, abstract = {In der vorliegenden Bachelorarbeit geht es um das menschliche Verhalten bei der Passworterstellung. Hierbei wird die M{\"o}glichkeit untersucht dieses menschliche Verhalten {\"u}ber die Software hashcat nachzubilden, um so Passw{\"o}rter effzienter anzugreifen. Durch die Konzeption und den Test von Passwortangriffsszenarien, deren Fokus auf dem Faktor Mensch liegt, wird versucht aufzuzeigen, dass selbst sichere Passwortverfahren, durch das individuelle Verhalten von Menschen an Sicherheit verlieren k{\"o}nnen. Zudem werden die Tests der Szenarien Schw{\"a}chen der Software hashcat aufzeigen, die im sp{\"a}teren Verlauf der Arbeit als Grundlage f{\"u}r die Entwicklung einer selbstprogrammierten Erweiterung von hashcat dienen.}, language = {de} } @misc{Vogel2018, author = {Vogel, Peter}, title = {Marktdaten}, series = {Trading}, journal = {Trading}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, issn = {2567-2347}, doi = {10.20385/2567-2347/2017.1/1}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-15015}, year = {2018}, abstract = {Die in der Schriftenreihe Trading verwendeten Forschungsdaten beinhalten historische Kursdaten, geliefert von Lenz+Partner AG (Deutschland), f{\"u}r eine Auswahl an Aktien. Die Datei „FEBRDUSA_1" zeigt diese Auswahl in Form der deutschen Wertpapierkennnummer (Spalte „Titel"), des Handelszeitraums (Spalten „Beginn" und „Ende") und des Aktiennamens. Kursdaten sind in dieser Datei nicht enthalten, sondern liegen in einer umfangreichen Datenbank vor. Die Marktdaten umfassen 867 Aktien und sind das Ergebnis eines im Jahr 2015 durchgef{\"u}hrten Auswahlprozesses mit dem Ziel, Datenqualit{\"a}t und Handelbarkeit der Aktien zu verbessern. Es wurden folgende Bedingungen gefordert: - Die Aktien werden an der Frankfurter B{\"o}rse gehandelt. - Sie sind in einem der deutschen Aktienindizes DAX, MDAX, TECDAX, SDAX, HDAX, CDAX, Technology All Share, Prime All Share und GEX oder in den amerikanischen Aktienindizes S\&P 500 oder Nasdaq 100 gelistet. - Die Kursdaten der in Frankfurt gehandelten Aktien enden nicht vor dem Jahr 2014. - Der (unbereinigte) Er{\"o}ffnungskurs Ende 2013 betr{\"a}gt mindestens 1 EUR. Diese Bedingung soll dazu beitragen, das Handeln von „penny stocks" zu verhindern. Die vorliegende Marktdefinition resultierte in 867 Aktien, die fr{\"u}hestens am 11. Dezember 2014 enden, sodass eine Auswertung der Marktdaten mit vollst{\"a}ndigen Kurswerten bis zu diesem Zeitpunkt m{\"o}glich ist. Der Markt ist groß genug, um interessante Kaufbedingungen mit einer ausreichend großen Anzahl an Kaufkandidaten zu untersuchen.}, language = {en} } @inproceedings{BeckersEickerFassbenderetal.2012, author = {Beckers, Kristian and Eicker, Stefan and Faßbender, Stephan and Heisel, Maritta and Schmidt, Holger and Schwittek, Widura}, title = {Ontology-Based Identification of Research Gaps and Immature Research Areas}, series = {Multidisciplinary Research and Practice for Information Systems: IFIP WG 8.4, 8.9/TC 5 International Cross-Domain Conference and Workshop on Availability, Reliability, and Security, CD-ARES 2012, Prague, Czech Republic, August 20-24, 2012. Proceedings}, volume = {LNCS, 7465}, booktitle = {Multidisciplinary Research and Practice for Information Systems: IFIP WG 8.4, 8.9/TC 5 International Cross-Domain Conference and Workshop on Availability, Reliability, and Security, CD-ARES 2012, Prague, Czech Republic, August 20-24, 2012. Proceedings}, editor = {Quirchmayr, Gerald and Basl, Josef and You, Ilsun and Xu, Lida and Weippl, Edgar}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-32497-0}, issn = {1611-3349}, doi = {10.1007/978-3-642-32498-7_1}, pages = {1 -- 16}, year = {2012}, language = {en} } @inproceedings{BeckersFassbenderHeiseletal.2012, author = {Beckers, Kristian and Faßbender, Stephan and Heisel, Maritta and Schmidt, Holger}, title = {Using Security Requirements Engineering Approaches to Support ISO 27001 Information Security Management Systems Development and Documentation}, series = {2012 Seventh International Conference on Availability, Reliability and Security}, booktitle = {2012 Seventh International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Prague}, isbn = {978-1-4673-2244-7}, doi = {10.1109/ARES.2012.35}, pages = {242 -- 248}, year = {2012}, abstract = {An ISO 27001 compliant information security management system is difficult to create, due to the the limited support for system development and documentation provided in the standard. We present a structured analysis of the documentation and development requirements in the ISO 27001 standard. Moreover, we investigate to what extent existing security requirements engineering approaches fulfill these requirements. We developed relations between these approaches and the ISO 27001 standard using a conceptual framework originally developed for comparing security requirements engineering methods. The relations include comparisons of important terms, techniques, and documentation artifacts. In addition, we show practical applications of our results.}, language = {en} } @inproceedings{BeckersFassbenderHeiseletal.2012, author = {Beckers, Kristian and Faßbender, Stephan and Heisel, Maritta and K{\"u}ster, Jan-Christoph and Schmidt, Holger}, title = {Supporting the Development and Documentation of ISO 27001 Information Security Management Systems through Security Requirements Engineering Approaches}, series = {Engineering Secure Software and Systems: 4th International Symposium, ESSoS 2012, Eindhoven, The Netherlands, February, 16-17, 2012. Proceedings}, volume = {LNCS, 7159}, booktitle = {Engineering Secure Software and Systems: 4th International Symposium, ESSoS 2012, Eindhoven, The Netherlands, February, 16-17, 2012. Proceedings}, editor = {Barthe, Gilles and Livshits, Benjamin and Scandariato, Riccardo}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-28165-5}, doi = {10.1007/978-3-642-28166-2_2}, pages = {14 -- 21}, year = {2012}, language = {en} } @techreport{Vogel2018, author = {Vogel, Peter}, title = {Investieren unter Nebenbedingungen - Teil 2: Erweiterung der Statistik auf Haltefristen gr{\"o}ßer als ein Tag}, series = {Trading}, journal = {Trading}, number = {2}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, issn = {2567-2347}, doi = {10.20385/2567-2347/2018.2}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-11903}, pages = {78}, year = {2018}, abstract = {Der zweite Teil der Schriftenreihe entwickelt die in Teil 1 begonnenen {\"U}berlegungen {\"u}ber das Investieren in Wertpapiere eines Marktes weiter. Es wendet sich an Fachleute der Finanzmathematik und besitzt Relevanz f{\"u}r Fondsmanager und Privatanleger. Alle {\"U}berlegungen basieren auf Nebenbedingungen zur Festlegung des Umfangs an Neuinvestitionen, welche von Investitionsparametern abh{\"a}ngen. Ein weiterer Investitionsparameter ist die Haltefrist, die angibt, wie lange eine eingegangene Investition "gehalten wird", bevor sie beendet wird. Die im zweiten Teil weiter entwickelte Theorie l{\"a}sst sich wie folgt kennzeichnen: - Sie ist frei von Annahmen {\"u}ber den Kursverlauf der Wertpapiere. Es wird daher nicht versucht, ein realistisches Modell f{\"u}r Kursbewegungen aufzustellen. - Es wird eine endliche Menge von Wertpapieren gehandelt. - Die Investition in ein Wertpapier setzt voraus, dass eine Kaufbedingung erf{\"u}llt ist. Nach Ablauf der Haltefrist wird die Investition beendet. - Der Handelsverlauf wird durch elementare rekursive Gleichungen beschrieben, welche durch zwei exogene Gr{\"o}ßen "angeregt" werden: Die Anzahl der Wertpapiere an jedem Handelstag, f{\"u}r die die Kaufbedingung erf{\"u}llt ist und der Gewinn, der sich aus dem Verkauf der Wertpapiere nach Ablauf der Haltefrist ergibt. Die Auswertung dieser Gleichungen f{\"u}r den gesamten Handelszeitraum liefert den Handelserfolg am Ende des Handelns. - Das Investieren in Wertpapiere wird idealisiert, um den Handelserfolg in Abh{\"a}ngigkeit von den exogenen Gr{\"o}ßen und Investitionsparametern darstellen zu k{\"o}nnen, ohne die rekursiven Gleichungen auswerten zu m{\"u}ssen. Dies erfolgt durch das sogenannte ideale Handelssystem. Der Handelserfolg des idealen Handelssystems erweitert die statistische Beschreibung aus Teil 1 auf Haltefristen gr{\"o}ßer als ein Tag. Da durch die Idealisierung die Kausalit{\"a}t verletzt wird, kann das ideale Handelssystem f{\"u}r den Wertpapierhandel nicht implementiert werden. Es ist jedoch simulierbar und quantitativ leichter zug{\"a}nglich. Die Auswirkung der Verletzung der Kausalit{\"a}t auf den Handelsverlauf und den Handelserfolg wird experimentell und theoretisch in Abh{\"a}ngigkeit von Investitionsparametern detailliert untersucht.}, language = {de} } @techreport{SchmidtGondolfHaufsBrusberg2018, author = {Schmidt, Holger and Gondolf, Jeremy and Haufs-Brusberg, Peter}, title = {Studie zur Information Security Awareness in kleinen und mittleren Unternehmen (KMU)}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, organization = {Hochschule D{\"u}sseldorf}, issn = {2625-3690}, doi = {10.20385/2625-3690/2018.1}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-11880}, pages = {46}, year = {2018}, abstract = {Der Bereich der Informationssicherheit stellt große und insbesondere kleine und mittlere Unternehmen (KMU) vor erhebliche Herausforderungen. Zunehmende Angriffe auf IT-Systeme und Infrastrukturen haben die Informationssicherheit zum kritischen Erfolgsfaktor gemacht. Neben klassischen Zielen und Bereichen der Informationssicherheit hat vor allem die Security Awareness - das Sicherheitsbewusstsein aller Mitarbeiter eines Unternehmens - an Bedeutung gewonnen. Security Awareness bezieht sich auf jegliches Wissen und Handeln der Mitarbeiter eines Unternehmens und ist daher ein bedeutsamer Baustein zur ganzheitlichen Gewährleistung von Informationssicherheit. Die Motivation zur Entwicklung und Einf{\"u}hrung von Informationssicherheit und insbesondere Security Awareness geht in großen Unternehmen vor allem von externen Faktoren, so z. B. der Regulierung von Branchen, aus und ist mittels globaler Standards, Normen und Frameworks implementiert. KMU sind grundsätzlich keinen geringeren Risiken als große Unternehmen ausgesetzt, verf{\"u}gen jedoch nur selten {\"u}ber vergleichbare Schutzmaßnahmen hinsichtlich Informationssicherheit. Im Rahmen des Projekts wurden externe Anforderungen f{\"u}r große Unternehmen analysiert und hinsichtlich der Eignung als Grundlage f{\"u}r KMU bewertet. Das Projekt thematisiert weiterhin die Messbarkeit von Security Awareness sowie die in großen Unternehmen eingesetzten Maßnahmen zur Gewährleistung von Security Awareness besonders hinsichtlich ihrer Eignung f{\"u}r KMU.}, language = {de} } @inproceedings{BeckersFassbenderKuesteretal.2012, author = {Beckers, Kristian and Faßbender, Stephan and K{\"u}ster, Jan-Christoph and Schmidt, Holger}, title = {A Pattern-Based Method for Identifying and Analyzing Laws}, series = {Requirements Engineering: Foundation for Software Quality: 18th International Working Conference, REFSQ 2012, Essen, Germany, March 19-22, 2012. Proceedings}, volume = {LNCS, 7195}, booktitle = {Requirements Engineering: Foundation for Software Quality: 18th International Working Conference, REFSQ 2012, Essen, Germany, March 19-22, 2012. Proceedings}, editor = {Regnell, Bj{\"o}rn and Damian, Daniela}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-28713-8}, doi = {10.1007/978-3-642-28714-5_23}, pages = {256 -- 262}, year = {2012}, language = {en} } @inproceedings{SchwittekSchmidtBeckersetal.2012, author = {Schwittek, Widura and Schmidt, Holger and Beckers, Kristian and Eicker, Stefan and Faßbender, Stephan and Heisel, Maritta}, title = {A Common Body of Knowledge for Engineering Secure Software and Services}, series = {2012 Seventh International Conference on Availability, Reliability and Security}, volume = {NESSoS, ICT-2009.1.4 Trustworthy ICT, Grant No. 25698}, booktitle = {2012 Seventh International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Prague}, isbn = {978-1-4673-2244-7}, doi = {10.1109/ARES.2012.31}, pages = {499 -- 506}, year = {2012}, abstract = {The discipline of engineering secure software and services brings together researchers and practitioners from software, services, and security engineering. This interdisciplinary community is fairly new, it is still not well integrated and is therefore confronted with differing perspectives, processes, methods, tools, vocabularies, and standards. We present a Common Body of Knowledge (CBK) to overcome the aforementioned problems. We capture use cases from research and practice to derive requirements for the CBK. Our CBK collects, integrates, and structures knowledge from the different disciplines based on an ontology that allows one to semantically enrich content to be able to query the CBK. The CBK heavily relies on user participation, making use of the Semantic MediaWiki as a platform to support collaborative writing. The ontology is complemented by a conceptual framework, consisting of concepts to structure the knowledge and to provide access to it, and a means to build a common terminology. We also present organizational factors covering dissemination and quality assurance.}, language = {en} } @inproceedings{BeckersFassbenderSchmidt2012, author = {Beckers, Kristian and Faßbender, Stephan and Schmidt, Holger}, title = {An Integrated Method for Pattern-Based Elicitation of Legal Requirements Applied to a Cloud Computing Example}, series = {2012 Seventh International Conference on Availability, Reliability and Security}, booktitle = {2012 Seventh International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Prague}, isbn = {978-0-7695-4775-6}, doi = {10.1109/ARES.2012.25}, pages = {463 -- 472}, year = {2012}, abstract = {Considering legal aspects during software development is a challenging problem, due to the cross-disciplinary expertise required. The problem is even more complex for cloud computing systems, because of the international distribution, huge amounts of processed data, and a large number of stakeholders that own or process the data. Approaches exist to deal with parts of the problem, but they are isolated from each other. We present an integrated method for elicitation of legal requirements. A cloud computing online banking scenario illustrates the application of our methods. The running example deals with the problem of storing personal information in the cloud and based upon the BDSG (German Federal Data Protection Act). We describe the structure of the online banking cloud system using an existing pattern-based approach. The elicited information is further refined and processed into functional requirements for software development. Moreover, our method covers the analysis of security-relevant concepts such as assets and attackers particularly with regard to laws. The requirements artifacts then serve as inputs for existing patterns for the identification of laws relevant for the online banking cloud system. Finally, our method helps to systematically derive functional as well as security requirements that realize the previously identified laws.}, language = {en} } @incollection{SchmidtHateburHeisel2011, author = {Schmidt, Holger and Hatebur, Denis and Heisel, Maritta}, title = {A Pattern-Based Method to Develop Secure Software}, series = {Software Engineering for Secure Systems: Industrial and Research Perspectives}, booktitle = {Software Engineering for Secure Systems: Industrial and Research Perspectives}, editor = {Mouratidis, Haralambos}, publisher = {IGI Global}, address = {Hershey}, isbn = {978-1-61520-837-1}, doi = {10.4018/978-1-61520-837-1.ch003}, pages = {32 -- 74}, year = {2011}, abstract = {The authors present a security engineering process based on security problem frames and concretized security problem frames. Both kinds of frames constitute patterns for analyzing security problems and associated solution approaches. They are arranged in a pattern system that makes dependencies between them explicit. The authors describe step-by-step how the pattern system can be used to analyze a given security problem and how solution approaches can be found. Afterwards, the security problems and the solution approaches are formally modeled in detail. The formal models serve to prove that the solution approaches are correct solutions to the security problems. Furthermore, the formal models of the solution approaches constitute a formal specification of the software to be developed. Then, the specification is implemented by generic security components and generic security architectures, which constitute architectural patterns. Finally, the generic security components and the generic security architecture that composes them are refined and the result is a secure software product built from existing and/or tailor-made security components.}, language = {en} } @inproceedings{JuerjensOchoaSchmidtetal.2011, author = {J{\"u}rjens, Jan and Ochoa, Mart{\´i}n and Schmidt, Holger and Marchal, Lo{\"i}c and Houmb, Siv Hilde and Islam, Shareeful}, title = {Modelling Secure Systems Evolution: Abstract and Concrete Change Specifications}, series = {Formal Methods for Eternal Networked Software Systems: 11th International School on Formal Methods for the Design of Computer, Communication and Software Systems, SFM 2011, Bertinoro, Italy, June 13-18, 2011. Advanced Lectures}, volume = {LNCS, 6659}, booktitle = {Formal Methods for Eternal Networked Software Systems: 11th International School on Formal Methods for the Design of Computer, Communication and Software Systems, SFM 2011, Bertinoro, Italy, June 13-18, 2011. Advanced Lectures}, editor = {Bernardo, Marco and Issarny, Val{\´e}rie}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-21455-4}, doi = {10.1007/978-3-642-21455-4_15}, pages = {504 -- 526}, year = {2011}, abstract = {Developing security-critical systems is difficult, and there are many well-known examples of vulnerabilities exploited in practice. In fact, there has recently been a lot of work on methods, techniques, and tools to improve this situation already at the system specification and design. However, security-critical systems are increasingly long-living and undergo evolution throughout their lifetime. Therefore, a secure software development approach that supports maintaining the needed levels of security even through later software evolution is highly desirable. In this chapter, we recall the UMLsec approach to model-based security and discuss on tools and techniques to model and verify evolution of UMLsec models.}, language = {en} } @article{Schmidt2011, author = {Schmidt, Holger}, title = {Threat and Risk-Driven Security Requirements Engineering}, series = {International Journal of Mobile Computing and Multimedia Communications}, volume = {3}, journal = {International Journal of Mobile Computing and Multimedia Communications}, number = {1}, publisher = {IGI Global}, issn = {1937-9412}, doi = {10.4018/jmcmc.2011010103}, pages = {35 -- 50}, year = {2011}, abstract = {In this paper, the author aim to present a threat and risk-driven methodology to security requirements engineering. The chosen approach has a strong focus on gathering, modeling, and analyzing the environment in which a secure ICT-system to be built is located. The knowledge about the environment comprises threat and risk models. As presented in the paper, this security-relevant knowledge is used to assess the adequacy of security mechanisms, which are then selected to establish security requirements.}, language = {en} } @techreport{SchmidtJuerjens2011, author = {Schmidt, Holger and J{\"u}rjens, Jan}, title = {UMLsec4UML2 - Adopting UMLsec to Support UML2}, series = {LS 14 Software Engineering mit dem Schwerpunkt Entwicklung evolutionsf{\"a}higer Software und Systeme}, journal = {LS 14 Software Engineering mit dem Schwerpunkt Entwicklung evolutionsf{\"a}higer Software und Systeme}, publisher = {Technische Hochschule Dortmund}, address = {Dortmund}, doi = {10.17877/DE290R-990}, pages = {17}, year = {2011}, abstract = {In this paper, we present an approach to adopt UMLsec, which is defined for UML 1.5, to support the current UML version 2.3. The new profile UMLsec4UML2 is technically constructed as a UML profile diagram, which is equipped with a number of integrity conditions expressed using OCL. Consequently, the UMLsec4UML2-profile can be loaded in any Eclipse-based EMF- and MDT-compatible UML editing tool to develop and analyze different kinds of security models. The OCL constraints replace the static checks of the tool support for the old UMLsec defined for UML 1.5. Thus, the UMLsec4UML2-profile not only provides the whole expresiveness of UML2.3 for security modeling, it also brings considerably more freedom in selecting a basic UML editing tool, and it integrates modeling and analyzing security models. Since UML2.3 comprises new diagram types, as well as new model elements and new semantics of diagram types already contained in UML1.5, we consider a number of these changes in detail. More specifically, we consider composite structure and sequence diagrams with respect to modeling security properties according to the original version of UMLsec. The goal is to use UMLsec4UML2 to specify architectural security patterns.}, language = {en} } @inproceedings{HeymanYskoutScandariatoetal.2011, author = {Heyman, Thomas and Yskout, Koen and Scandariato, Riccardo and Schmidt, Holger and Yu, Yijun}, title = {The Security Twin Peaks}, series = {Engineering Secure Software and Systems: Third International Symposium, ESSoS 2011, Madrid, Spain, February 9-10, 2011. Proceedings}, volume = {LNCS}, booktitle = {Engineering Secure Software and Systems: Third International Symposium, ESSoS 2011, Madrid, Spain, February 9-10, 2011. Proceedings}, number = {6542}, editor = {Erlingsson, {\´U}lfar and Wieringa, Roel and Zannone, Nicola}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-19124-4}, doi = {10.1007/978-3-642-19125-1_13}, pages = {167 -- 180}, year = {2011}, language = {en} } @inproceedings{HateburHeiselJuerjensetal.2011, author = {Hatebur, Denis and Heisel, Maritta and J{\"u}rjens, Jan and Schmidt, Holger}, title = {Systematic Development of UMLsec Design Models Based on Security Requirements}, series = {Fundamental Approaches to Software Engineering: 14th International Conference, FASE 2011, Held as Part of the Joint European Conferences on Theory and Practice of Software, ETAPS 2011, Saarbr{\"u}cken, Germany, March 26-April 3, 2011. Proceedings}, volume = {LNCS, 6603}, booktitle = {Fundamental Approaches to Software Engineering: 14th International Conference, FASE 2011, Held as Part of the Joint European Conferences on Theory and Practice of Software, ETAPS 2011, Saarbr{\"u}cken, Germany, March 26-April 3, 2011. Proceedings}, editor = {Giannakopoulou, Dimitra and Orejas, Fernando}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-19810-6}, doi = {10.1007/978-3-642-19811-3_17}, pages = {232 -- 246}, year = {2011}, language = {en} } @inproceedings{SchmidtJuerjens2011, author = {Schmidt, Holger and J{\"u}rjens, Jan}, title = {Connecting Security Requirements Analysis and Secure Design Using Patterns and UMLsec}, series = {Advanced Information Systems Engineering: 23rd International Conference, CAiSE 2011, London, UK, June 20-24, 2011. Proceedings}, volume = {LNCS, 6741}, booktitle = {Advanced Information Systems Engineering: 23rd International Conference, CAiSE 2011, London, UK, June 20-24, 2011. Proceedings}, editor = {Mouratidis, Haralambos and Rolland, Colette}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-21639-8}, doi = {10.1007/978-3-642-21640-4_28}, pages = {367 -- 382}, year = {2011}, language = {en} } @inproceedings{BeckersSchmidtKuesteretal.2011, author = {Beckers, Kristian and Schmidt, Holger and K{\"u}ster, Jan-Christoph and Faßbender, Stephan}, title = {Pattern-Based Support for Context Establishment and Asset Identification of the ISO 27000 in the Field of Cloud Computing}, series = {2011 Sixth International Conference on Availability, Reliability and Security}, booktitle = {2011 Sixth International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Vienna}, isbn = {978-1-4577-0979-1}, doi = {10.1109/ARES.2011.55}, pages = {327 -- 333}, year = {2011}, abstract = {The ISO 27000 is a well-established series of information security standards. The scope for applying these standards can be an organisation as a whole, single business processes or even an IT application or IT infrastructure. The context establishment and the asset identification are among the first steps to be performed. The quality of the results produced when performing these steps has a crucial influence on the subsequent steps such as identifying loss, vulnerabilities, possible attacks and defining countermeasures. Thus, a context analysis to gather all necessary information in the initial steps is important, but is not offered in the standard. In this paper, we focus on the scope of cloud computing systems and present a way to support the context establishment and the asset identification described in ISO 27005. A cloud system analysis pattern and different kinds of stakeholder templates serve to understand and describe a given cloud development problem, i.e. the envisaged IT systems and the relevant parts of the operational environment. We illustrate our support using an online banking cloud scenario.}, language = {en} } @inproceedings{CoteHeiselSchmidtetal.2011, author = {C{\^o}t{\´e}, Isabelle and Heisel, Maritta and Schmidt, Holger and Hatebur, Denis}, title = {UML4PF — A tool for problem-oriented requirements analysis}, series = {2011 IEEE 19th International Requirements Engineering Conference}, booktitle = {2011 IEEE 19th International Requirements Engineering Conference}, publisher = {IEEE}, address = {Trento}, isbn = {978-1-4577-0924-1}, doi = {10.1109/RE.2011.6051670}, pages = {349 -- 350}, year = {2011}, abstract = {We present UML4PF, a tool for requirements analysis based on problem frames. It consists of a UML profile and an Eclipse-Plugin to model and analyze problem diagrams, derive specifications, and develop architectures.}, language = {en} } @inproceedings{SchwittekSchmidtEickeretal.2011, author = {Schwittek, Widura and Schmidt, Holger and Eicker, Stefan and Heisel, Maritta}, title = {Towards a Common Body of Knowledge for Engineering Secure Software and Services}, series = {Proceedings of the International Conference on Knowledge Management and Information Sharing}, booktitle = {Proceedings of the International Conference on Knowledge Management and Information Sharing}, editor = {Filipe, Joaquim and Liu, Kecheng}, publisher = {SciTePress - Science and Technology Publications}, address = {Paris}, pages = {369 -- 374}, year = {2011}, abstract = {Interdisciplinary communities involve people and knowledge from different disciplines in addressing a common challenge. Differing perspectives, processes, methods, tools, vocabularies, and standards are problems that arise in this context. We present an approach to support bringing together disciplines based on a common body of knowledge (CBK), in which knowledge from different disciplines is collected, integrated, and structured. The novelty of our approach is twofold: first, it introduces a CBK ontology, which allows one to semantically enrich contents in order to be able to query the CBK in a more elaborate way afterwards. Second, it heavily relies on user participation in building up a CBK, making use of the Semantic MediaWiki as a platform to support collaborative writing. The CBK ontology is backed by a conceptual framework, consisting of concepts to structure the knowledge, to provide access options to it, and to build up a common terminology. To ensure a high quality of the provided contents and to sustain the community's commitment, we further present organizational means as part of our approach. We demonstrate our work using the example of a Network of Excellence EU project, which aims at bringing together researchers and practitioners from services computing, security and software engineering.}, language = {en} } @article{FabianGuersesHeiseletal.2010, author = {Fabian, Benjamin and G{\"u}rses, Seda and Heisel, Maritta and Santen, Thomas and Schmidt, Holger}, title = {A comparison of security requirements engineering methods}, series = {Requirements Engineering}, volume = {15}, journal = {Requirements Engineering}, number = {1}, publisher = {Springer}, address = {Wiesbaden}, issn = {0947-3602}, doi = {10.1007/s00766-009-0092-x}, pages = {7 -- 40}, year = {2010}, abstract = {This paper presents a conceptual framework for security engineering, with a strong focus on security requirements elicitation and analysis. This conceptual framework establishes a clear-cut vocabulary and makes explicit the interrelations between the different concepts and notions used in security engineering. Further, we apply our conceptual framework to compare and evaluate current security requirements engineering approaches, such as the Common Criteria, Secure Tropos, SREP, MSRA, as well as methods based on UML and problem frames. We review these methods and assess them according to different criteria, such as the general approach and scope of the method, its validation, and quality assurance capabilities. Finally, we discuss how these methods are related to the conceptual framework and to one another.}, language = {en} } @inproceedings{Schmidt2009, author = {Schmidt, Holger}, title = {Pattern-Based Confidentiality-Preserving Refinement}, series = {Engineering Secure Software and Systems: First International Symposium ESSoS 2009, Leuven, Belgium, February 4-6, 2009. Proceedings}, volume = {LNCS, 5429}, booktitle = {Engineering Secure Software and Systems: First International Symposium ESSoS 2009, Leuven, Belgium, February 4-6, 2009. Proceedings}, editor = {Massacci, Fabio and Redwine Jr., Samuel T. and Zannone, Nicola}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-642-00198-7}, doi = {10.1007/978-3-642-00199-4_5}, pages = {43 -- 59}, year = {2009}, language = {en} } @inproceedings{Schmidt2010, author = {Schmidt, Holger}, title = {Threat- and Risk-Analysis During Early Security Requirements Engineering}, series = {2010 International Conference on Availability, Reliability and Security}, booktitle = {2010 International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Krakow}, isbn = {978-1-4244-5880-6}, doi = {10.1109/ARES.2010.14}, pages = {188 -- 195}, year = {2010}, abstract = {We present a threat and risk-driven methodology to security requirements engineering. Our approach has a strong focus on gathering, modeling, and analyzing the environment in which a secure ICT-system to be built is located. The knowledge about the environment comprises threat and risk models. This security-relevant knowledge is used to assess the adequacy of security mechanisms, which are selected to establish security requirements.}, language = {en} } @inproceedings{HateburHeiselSchmidt2008, author = {Hatebur, Denis and Heisel, Maritta and Schmidt, Holger}, title = {Analysis and Component-based Realization of Security Requirements}, series = {2008 Third International Conference on Availability, Reliability and Security}, booktitle = {2008 Third International Conference on Availability, Reliability and Security}, publisher = {IEEE}, address = {Barcelona}, isbn = {978-0-7695-3102-1}, doi = {10.1109/ARES.2008.27}, pages = {195 -- 203}, year = {2008}, abstract = {We present a process to develop secure software with an extensive pattern-based security requirements engineering phase. It supports identifying and analyzing conflicts between different security requirements. In the design phase, we proceed by selecting security software components that achieve security requirements. The process enables software developers to systematically identify, analyze, and finally realize security requirements using security software components. We illustrate our approach by a lawyer agency software example.}, language = {en} } @inproceedings{HateburHeiselSchmidt2008, author = {Hatebur, Denis and Heisel, Maritta and Schmidt, Holger}, title = {A Formal Metamodel for Problem Frames}, series = {Model Driven Engineering Languages and Systems: 11th International Conference, MoDELS 2008, Toulouse, France, September 28 - October 3, 2008. Proceedings}, volume = {LNCS, 5301}, booktitle = {Model Driven Engineering Languages and Systems: 11th International Conference, MoDELS 2008, Toulouse, France, September 28 - October 3, 2008. Proceedings}, editor = {Czarnecki, Krzysztof and Ober, Ileana and Bruel, Jean-Michel and Uhl, Axel and V{\"o}lter, Markus}, publisher = {Springer}, address = {Berlin, Heidelberg}, isbn = {978-3-540-87874-2}, doi = {10.1007/978-3-540-87875-9_5}, pages = {58 -- 82}, year = {2008}, abstract = {Problem frames are patterns for analyzing, structuring, and characterizing software development problems. This paper presents a formal metamodel for problem frames expressed in UML class diagrams and using the formal specification notation OCL. That metamodel clarifies the nature of the different syntactical elements of problem frames, as well as the relations between them. It provides a framework for syntactical analysis and semantic validation of newly defined problem frames, and it prepares the ground for tool support for the problem frame approach.}, language = {de} } @inproceedings{HateburHeiselSchmidt2007, author = {Hatebur, Denis and Heisel, Maritta and Schmidt, Holger}, title = {A Pattern System for Security Requirements Engineering}, series = {The Second International Conference on Availability, Reliability and Security (ARES'07)}, booktitle = {The Second International Conference on Availability, Reliability and Security (ARES'07)}, publisher = {IEEE}, address = {Vienna}, isbn = {0-7695-2775-2}, doi = {10.1109/ARES.2007.12}, pages = {10}, year = {2007}, abstract = {We present a pattern system/or security requirements engineering, consisting of security problem frames and concretized security problem frames. These are special kinds of problem frames that serve to structure, characterize, analyze, and finally solve software development problems in the area of software and system security. We equip each frame with formal preconditions and postconditions. The analysis of these conditions results in a pattern system that explicitly shows the dependencies between the different frames. Moreover, we indicate related frames, which are commonly used together with the considered frame. Hence, our approach helps security engineers to avoid omissions and to cover all security requirements that are relevant for a given problem.}, language = {en} } @techreport{Vogel2019, author = {Vogel, Peter}, title = {Investieren unter Nebenbedingungen - Teil 3: Erweiterung der Statistik}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, organization = {Hochschule D{\"u}sseldorf}, issn = {2567-2347}, doi = {10.20385/2567-2347/2019.3}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-20373}, pages = {59}, year = {2019}, abstract = {Der dritte Teil der Schriftenreihe entwickelt die statistische Beschreibung f{\"u}r das Investieren in Wertpapiere weiter, welche in den ersten beiden Teilen begonnen wurde. Die dort eingef{\"u}hrten Statistikgr{\"o}ßen betreffen Gewinnfaktoren bzw. Renditen und den Investitionsgrad. Die neuen Statistikgr{\"o}ßen beinhalten ein Maß f{\"u}r Chance, Risiko, Volatilit{\"a}t sowie Handelskosten. Alle Statistikgr{\"o}ßen h{\"a}ngen von mehreren Investitionsparametern ab, u. a. der Haltefrist, die angibt, wie lange eine eingegangene Investition gehalten wird. Es wird wieder eine endliche Menge von Wertpapieren gehandelt und die Investition in ein Wertpapier setzt voraus, dass eine Kaufbedingung erf{\"u}llt ist. Experimentelle Ergebnisse f{\"u}r einen Markt mit historischen Kursdaten sowie f{\"u}r einen Markt mit Random Walks belegen die St{\"a}rke der erweiterten Statistik.}, language = {de} } @incollection{GlowatzHaufsBrusbergSchmidt2020, author = {Glowatz, Christoph and Haufs-Brusberg, Peter and Schmidt, Holger}, title = {Unternehmensorganisation und Informationssicherheit - Einf{\"u}hrung und Grundlagen}, series = {Cybersicherheit f{\"u}r vernetzte Anwendungen in der Industrie 4.0}, booktitle = {Cybersicherheit f{\"u}r vernetzte Anwendungen in der Industrie 4.0}, editor = {Schulz, Thomas}, publisher = {Vogel Communications Group}, address = {W{\"u}rzburg}, isbn = {978-3-8343-3424-4}, pages = {315 -- 334}, year = {2020}, language = {de} } @misc{Treiber2020, type = {Master Thesis}, author = {Treiber, Marc}, title = {Entwicklung individueller Ans{\"a}tze f{\"u}r die Anwendung von Secure Coding Richtlinien f{\"u}r Java basierend auf statischer Code-Analyse}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, organization = {Hochschule D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-21568}, school = {Hochschule D{\"u}sseldorf}, pages = {141}, year = {2020}, abstract = {Die Sicherheit von Softwareprojekten ist ein zentraler Faktor f{\"u}r ihren Erfolg, der oft nicht ausreichend gew{\"a}hrleistet wird. Aus diesem Grund werden in der vorliegenden Arbeit neue Ans{\"a}tze entwickelt, um dem Entwickler bei der Durchsetzung der Softwaresicherheit zu helfen. Daf{\"u}r wird untersucht, welche neuen Ans{\"a}tze f{\"u}r die Unterst{\"u}tzung bei der Vermeidung ausgew{\"a}hlter Fehler hilfreich sein k{\"o}nnen, sowie welche konzeptionellen Vor- und Nachteile sie aufweisen. Zun{\"a}chst wird ein {\"U}berblick {\"u}ber die n{\"o}tigen Grundlagen f{\"u}r die Entwicklung der neuen Ans{\"a}tze geschaffen. Elementar ist dabei das Secure Coding Prinzip, nach dem verschiedenste sicherheitsrelevante Implementierungsfehler bereits fr{\"u}h in dem Lebenszyklus eines Softwareprojekts, w{\"a}hrend seiner Implementierung zu vermeiden sind. Ein Mittel f{\"u}r diesen Zweck sind die sogenannten Secure Coding Richtlinien, die typische Fehler beschreiben und konkrete Vorgehensweisen f{\"u}r ihre Vermeidung und Behebung definieren, aber oft nicht eingehalten werden. Werkzeuge zur statischen Code-Analyse k{\"o}nnen hierbei Abhilfe schaffen, da sie verschiedenste Fehler automatisiert erkennen und den Entwickler {\"u}ber sie informieren. Auf der Basis dieser Grundlagen werden Verbesserungsm{\"o}glichkeiten untersucht, um den Entwickler anhand von statischer Code-Analyse besser bei der Einhaltung relevanter Secure Coding Richtlinien zu unterst{\"u}tzen. Der Fokus dieser Arbeit liegt dabei auf der Vermeidung von Fehlern bei der Validierung von Eingaben, da diese Fehlerform besonders weit verbreitet und schwerwiegend ist. Um eine entsprechende Hilfestellung gew{\"a}hrleisten zu k{\"o}nnen, werden drei Ans{\"a}tze zur Unterst{\"u}tzung bei der Anwendung von Richtlinien f{\"u}r die Programmiersprache Java n{\"a}her betrachtet. Diese Ans{\"a}tze helfen dem Entwickler komplement{\"a}r zu der Funktionalit{\"a}t herk{\"o}mmliche Werkzeuge zur statischen Code-Analyse f{\"u}r das Auffinden von Fehlern auch bei der Vermeidung und Behebung dieser Fehler. Die neuen Ans{\"a}tze basieren auf der Verwendung von textuellen Annotationen f{\"u}r die Umsetzung des Validierungsprozesses einer Eingabe, dem Einsatz einer API zur Validierung einer Eingabe und der Nutzung eines IDE-Plugins, um den n{\"o}tigen Quellcode f{\"u}r den Validierungsprozess automatisiert zu generieren. Die n{\"a}here Betrachtung und Evaluierung dieser Ans{\"a}tze zeigt, dass der annotationsbasierte Ansatz sich nicht f{\"u}r diesen Zweck eignet, w{\"a}hrend sowohl der API-basierte Ansatz, als auch der Ansatz f{\"u}r das Generieren des Quellcodes eine effektive und effiziente Erg{\"a}nzung herk{\"o}mmlicher Werkzeuge zur statischen Code-Analyse darstellen und dementsprechend in der weiteren Forschung aufgegriffen werden sollten.}, language = {de} } @inproceedings{vanAerssenLeichSchmidtetal.2022, author = {van Aerssen, Max and Leich, Christian and Schmidt, Holger and Al Ali, Salar and Benni, Abdulkader and Tanz, Jakob}, title = {CopypastaVulGuard - A browser extension to prevent copy and paste spreading of vulnerable source code in forum posts}, series = {ARES '22: Proceedings of the 17th International Conference on Availability, Reliability and Security}, booktitle = {ARES '22: Proceedings of the 17th International Conference on Availability, Reliability and Security}, publisher = {Association for Computing Machinery}, address = {New York}, doi = {10.1145/3538969.3538973}, pages = {1 -- 8}, year = {2022}, abstract = {Forums such as Stack Overflow are used by many software developers to find a solution for a given coding problem. Found solutions, i.e. forum posts containing relevant source code, are utilized in a copy and paste manner. This behavior carries the risk that vulnerabilities contained in the source code of the forum posts are spread. Software developers should be able to identify vulnerable source code at an early stage, thereby preventing copying the corresponding source code. In this paper, we introduce the tool CopypastaVulGuard that identifies vulnerable source code in forum posts and allows software developers to omit the source code by marking the forum posts as dangerous. Our tool consists of a browser extension and a management application capable to address as examples SQL injections, remote code executions and deprecated functions based on a dump of the archive.org Stack Overflow data set. We present an evaluation of our tool's possible impact and relevance considering pros/cons and selected research questions.}, language = {en} } @misc{Leuer2019, type = {Master Thesis}, author = {Leuer, Sebastian}, title = {Sharper Crypto-API Analysis: Entwicklung eines integrierten Plugins zur statischen Code-Analyse der Nutzung von Krypto-APIs in C\#}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-16430}, school = {Hochschule D{\"u}sseldorf}, pages = {128}, year = {2019}, abstract = {Untersuchungen haben ergeben, dass bis zu 95\% aller verf{\"u}gbaren Android Apps mindestens einen Programmierfehler bei der Verwendung von sogenannten Krypto-APIs besitzen. Bei korrekter Anwendung dieser APIs k{\"o}nnen mit ihnen sensible System- und Benutzerdaten vor Angriffen gesch{\"u}tzt werden. Bisher gibt es nur wenige verf{\"u}gbare Tool-basierte Hilfsmittel f{\"u}r Programmierer, welche die Verwendungsfehler identifzieren k{\"o}nnen. F{\"u}r die Programmiersprache Java konnten bislang nur sehr wenige dieser spezialisierten Hilfsmittel gefunden werden, darunter das statische Codeanalysetool CogniCrypt. Ein derartiges Werkzeug f{\"u}r C\# konnte nicht gefunden werden. Diese Arbeit befasst sich mit der Entwicklung eines Plugins f{\"u}r die IDE Visual Studio zur statischen Codeanalyse namens Sharper Crypto-API Analysis. Sein Hauptziel ist, Programmierern beim Verwenden der .NET Krypto-API mit der Programmiersprache C\# zu unterst{\"u}tzen. Durch Beobachtungen im Entwicklungsprozess sollen einerseits die Parallelen und Unterschiede zwischen der Java- und der C\#-Welt im Umgang mit Krypto-APIs erkennbar werden. Andererseits beschreibt diese Arbeit den erforderlichen Aufwand, um ein hoch spezialisiertes, statisches Codeanalysetool zu entwickeln. Die Beobachtungen zeigen, dass die Unterschiede der Java- und C\#-Technologien nicht oberfl{\"a}chlich, sondern haupts{\"a}chlich im Detail liegen und daher w{\"a}hrend der Implementierung des Tools besondere Aufmerksamkeit erfordern. Die Entwicklungsphase selbst zeigt sich als besonders anspruchsvoll, da mit Unsicherheitsfaktoren bez{\"u}glich der Funktions- und Verhaltensweisen von Visual Studio umgegangen werden m{\"u}ssen. Das Hauptziel von Sharper Crypto-API Analysis konnte durch die Implementation von vier Hauptfunktionsgruppen umgesetzt werden. Die wichtigste von ihnen ist das Bereitstellen von Codeanalysen, welche ausschließlich auf die Verwendung der .NET Krypto-API spezialisiert sind. Die hier entwickelten Codeanalysen betrachten besonders Fehlerquellen, die Programmierer am h{\"a}ufigsten begehen. Um den Programmierern nachhaltig Wissen bez{\"u}glich der Krypto-API zu vermitteln, f{\"u}hrt diese Arbeit erweiterte Analyseberichte ein, die zus{\"a}tzlich {\"u}ber Schwachstellen oder Angriffsszenarien informieren. Besonderheiten und Alleinstellungsmerkmale der anderen Funktionsgruppen werden in dieser Arbeit unter besonderer Ber{\"u}cksichtigung von Implementationshinweisen dokumentiert.}, subject = {Plug in}, language = {de} } @masterthesis{Libront2019, type = {Bachelor Thesis}, author = {Libront, Norbert}, title = {Vergleich von Progressive Web Apps und nativen Android Apps}, publisher = {Hochschule D{\"u}sseldorf}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-16395}, school = {Hochschule D{\"u}sseldorf}, pages = {96}, year = {2019}, abstract = {Die vorliegende Bachelorarbeit befasst sich mit der Fragestellung, inwiefern Progressive Web Apps zum jetzigen Zeitpunkt in der Lage sind, native Apps zu ersetzen. Dazu wurde ein Vergleich auf Basis ausgew{\"a}hlter Vergleichskategorien durchgef{\"u}hrt. Zur Eingrenzung des Umfangs beschr{\"a}nkte sich der Vergleich auf native Android Apps. Die beiden App-Typen wurden im Rahmen einer Literaturrecherche und auf Basis ausgew{\"a}hlter Vergleichskategorien untersucht und verglichen. Zudem wurde ein Prototyp einer Progressive Web App implementiert, um die Plattformunterst{\"u}tzung und Funktionalit{\"a}t zu {\"u}berpr{\"u}fen. Außerdem wurde auch ein Prototyp einer nativen Android App implementiert. Dabei wurde nur die Benutzeroberfl{\"a}che umgesetzt, um das Look and Feel vergleichbar zu machen. Die Untersuchung und der Vergleich haben gezeigt, dass Progressive Web Apps, anders als native Apps, mit Webtechnologien entwickelt und keine plattformspezifischen Programmiersprachen ben{\"o}tigt werden. Sie werden im Browser ausgef{\"u}hrt und sind dadurch Plattformunabh{\"a}ngig. Zudem wurde gezeigt, dass Progressive Web Apps {\"u}ber Funktionen und Eigenschaften verf{\"u}gen, die bisher nur nativen Apps vorbehalten waren. Dennoch k{\"o}nnen sie noch nicht auf alle Funktionen und Komponenten eines mobilen Ger{\"a}tes zugreifen. Dar{\"u}ber hinaus verf{\"u}gen sie aber auch {\"u}ber Funktionen und Eigenschaften, die native Apps nicht bieten. Des Weiteren wurde mithilfe eines Prototyps die Plattformunterst{\"u}tzung von Progressive Web Apps {\"u}berpr{\"u}ft. Die {\"U}berpr{\"u}fung zeigte, dass die Unterst{\"u}tzung durch das Betriebssystem Android weit fortgeschritten und bei iOS hingegen nur sehr eingeschr{\"a}nkt ist. Dadurch variiert der Funktionsumfang je nach Browser und Betriebssystem. Die Untersuchung und der Vergleich der Prototypen zeigten, dass Progressive Web Apps aufgrund ihrer Eigenschaften, Funktionen und die app-{\"a}hnliche Benutzeroberfl{\"a}che, ein {\"a}hnliches Look and Feel bieten k{\"o}nnen, wie native Apps. Außerdem wurde gezeigt, dass Progressive Web Apps, anders als native Apps, i. d. R. nicht {\"u}ber App Stores angeboten werden. Sie durchlaufen dadurch keinen {\"U}berpr{\"u}fungs- und Freigabeprozess und sind nicht an die Richtlinien der App Stores gebunden. Stattdessen k{\"o}nnen sie {\"u}ber eine URL und {\"u}ber Suchmaschinen aufgerufen und aufgefunden werden. Die durchgef{\"u}hrte Untersuchung und der Vergleich haben gezeigt, dass Progressive Web Apps aufgrund des eingeschr{\"a}nkten Zugriffs auf Ger{\"a}te- und Software-Funktionen sowie fehlender Browser- und Betriebssystemunterst{\"u}tzung, zum jetzigen Zeitpunkt native Apps noch nicht vollumf{\"a}nglich ersetzen k{\"o}nnen.}, language = {de} } @misc{Mehlhorn2017, author = {Mehlhorn, Nils}, title = {Modern Cross-Platform Development for Mobile Applications}, address = {D{\"u}sseldorf}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:due62-opus-11276}, pages = {43}, year = {2017}, abstract = {While developing for multiple platforms at once seems like a convenient solution, there are several challenges arising when trying to abstract the entire mobile development. This paper is meant to evaluate current cross-platform development for mobile applications. The background for its necessity, its conceptual approach and the problems to face when developing cross-platform were determined and explained in detail. Afterwards, certain solutions were evaluated against the former insights. Based on the results, an informed discussion and conclusion was performed. The mobile environment consist of only two big players by now, Android and iOS. These operating systems differ in architecture, design and consequently in the way applications are developed for each of them. Therefore, high demands are made towards cross-platform solutions. Tools which allow for the creation of applications for multiple platforms at once have to match native applications in regard to user experience and performance. At the same time they need to be able to optimize developments with the goal of being cost efficient. Apache Cordova, Xamarin and NativeScript were selected for evaluation in regard to their ability to meet these requirements. Cordova acts as the comparison group of cross-platform tools. It is the big player in the field and there are reasons for this. However, aspiring solutions with higher nativity and ambitious approaches are emerging. Xamarin and NativeScript deliver top quality results while offering loosely coupled developments. Therefore it is possible to develop high quality applications and still benefit from the advantages of platform-independent solutions. As a consequence mobile development is about to change in the foreseeable future. More sophisticated approaches may lead to a higher number of developments done cross-platform, and rightfully so.}, language = {en} }