@article{WittekLazzatiBotheetal.2020, author = {Wittek, Kevin and Lazzati, Laura and Bothe, David and Sinnaeve, Ann-Julie and Pohlmann, Norbert}, title = {An SSI Based System for Incentivized and Self-determined Customer-to-Business Data Sharing in a Local Economy Context}, series = {2020 IEEE European Technology and Engineering Management Summit (E-TEMS), Dortmund}, journal = {2020 IEEE European Technology and Engineering Management Summit (E-TEMS), Dortmund}, doi = {10.1109/E-TEMS46250.2020.9111805}, pages = {5}, year = {2020}, abstract = {With ongoing developments in the field of smart cities and digitalization in general, data is becoming a driving factor and value stream for new and existing economies alike. However, there exists an increasing centralization and monopolization of data holders and service providers, especially in the form of the big US-based technology companies in the western world and central technology providers with close ties to the government in the Asian regions. Self Sovereign Identity (SSI) provides the technical building blocks to create decentralized data-driven systems, which bring data autonomy back to the users. In this paper we propose a system in which the combination of SSI and token economy based incentivisation strategies makes it possible to unlock the potential value of data-pools without compromising the data autonomy of the users.}, language = {en} } @article{UrbanTatangDegelingetal.2020, author = {Urban, Tobias and Tatang, Dennis and Degeling, Martin and Holz, Thorsten and Pohlmann, Norbert}, title = {Measuring the Impact of the GDPR on Data Sharing in Ad Networks}, series = {ACM Asia CCS 2020, Taipei, Taiwan 2020}, volume = {2020}, journal = {ACM Asia CCS 2020, Taipei, Taiwan 2020}, doi = {10.1145/3320269.3372194}, pages = {222 -- 235}, year = {2020}, abstract = {The European General Data Protection Regulation (GDPR), which went into effect in May 2018, brought new rules for the processing of personal data that affect many business models, including online advertising. The regulation's definition of personal data applies to every company that collects data from European Internet users. This includes tracking services that, until then, argued that they were collecting anonymous information and data protection requirements would not apply to their businesses. Previous studies have analyzed the impact of the GDPR on the prevalence of online tracking, with mixed results. In this paper, we go beyond the analysis of the number of third parties and focus on the underlying information sharing networks between online advertising companies in terms of client-side cookie syncing. Using graph analysis, our measurement shows that the number of ID syncing connections decreased by around 40 \% around the time the GDPR went into effect, but a long-term analysis shows a slight rebound since then. While we can show a decrease in information sharing between third parties, which is likely related to the legislation, the data also shows that the amount of tracking, as well as the general structure of cooperation, was not affected. Consolidation in the ecosystem led to a more centralized infrastructure that might actually have negative effects on user privacy, as fewer companies perform tracking on more sites.}, language = {en} } @article{UrbanDegelingHolzetal.2020, author = {Urban, Tobias and Degeling, Martin and Holz, Thorsten and Pohlmann, Norbert}, title = {Beyond the Front Page: Measuring Third Party Dynamics in the Field}, series = {ACM - WWW 2020 ; Proceedings of The Web Conference 2020}, journal = {ACM - WWW 2020 ; Proceedings of The Web Conference 2020}, doi = {10.1145/3366423.3380203}, pages = {1275 -- 1286}, year = {2020}, abstract = {In the modern Web, service providers often rely heavily on third parties to run their services. For example, they make use of ad networks to finance their services, externally hosted libraries to develop features quickly, and analytics providers to gain insights into visitor behavior. For security and privacy, website owners need to be aware of the content they provide their users. However, in reality, they often do not know which third parties are embedded, for example, when these third parties request additional content as it is common in real-time ad auctions. In this paper, we present a large-scale measurement study to analyze the magnitude of these new challenges. To better reflect the connectedness of third parties, we measured their relations in a model we call third party trees, which reflects an approximation of the loading dependencies of all third parties embedded into a given website. Using this concept, we show that including a single third party can lead to subsequent requests from up to eight additional services. Furthermore, our findings indicate that the third parties embedded on a page load are not always deterministic, as 50 \% of the branches in the third party trees change between repeated visits. In addition, we found that 93 \% of the analyzed websites embedded third parties that are located in regions that might not be in line with the current legal framework. Our study also replicates previous work that mostly focused on landing pages of websites. We show that this method is only able to measure a lower bound as subsites show a significant increase of privacy-invasive techniques. For example, our results show an increase of used cookies by about 36 \% when crawling websites more deeply.}, language = {en} } @article{UrbanGrosseKampmannTatangetal.2020, author = {Urban, Tobias and Große-Kampmann, Matteo and Tatang, Dennis and Holz, Thorsten and Pohlmann, Norbert}, title = {Plenty of Phish in the Sea: Analyzing Potential Pre-Attack Surfaces}, series = {European Symposium on Research in Computer Security - ESORICS '20}, journal = {European Symposium on Research in Computer Security - ESORICS '20}, pages = {272 -- 291}, year = {2020}, abstract = {Advanced Persistent Threats (APTs) are one of the main challenges in modern computer security. They are planned and performed by well-funded, highly-trained and often state-based actors. The first step of such an attack is the reconnaissance of the target. In this phase, the adversary tries to gather as much intelligence on the victim as possible to prepare further actions. An essential part of this initial data collection phase is the identification of possible gateways to intrude the target. In this paper, we aim to analyze the data that threat actors can use to plan their attacks. To do so, we analyze in a first step 93 APT reports and find that most (80 \%) of them begin by sending phishing emails to their victims. Based on this analysis, we measure the extent of data openly available of 30 entities to understand if and how much data they leak that can potentially be used by an adversary to craft sophisticated spear phishing emails. We then use this data to quantify how many employees are potential targets for such attacks. We show that 83 \% of the analyzed entities leak several attributes of uses, which can all be used to craft sophisticated phishing emails.}, language = {en} } @article{WittekWittekIonițăetal.2020, author = {Wittek, Kevin and Wittek, Neslihan and Ioniță, Andrei and Pohlmann, Norbert}, title = {Statistical anomaly detection in ethereum transaction graphs}, series = {Scientific Track der Blockchain, Autumn School 2020}, journal = {Scientific Track der Blockchain, Autumn School 2020}, pages = {106 -- 110}, year = {2020}, abstract = {The set of transactions that occurs on the public ledger of an Ethereum network in a specific time frame can be represented as a directed graph, with vertices representing addresses and an edge indicating the interaction between two addresses. While there exists preliminary research on analyzing an Ethereum network by the means of graph analysis, most existing work is focused on either the public Ethereum Mainnet or on analyzing the different semantic transaction layers using static graph analysis in order to carve out the different network properties (such as interconnectivity, degrees of centrality, etc.) needed to characterize a blockchain network. By analyzing the consortium-run bloxberg Proof-of-Authority (PoA) Ethereum network, we show that we can identify suspicious and potentially malicious behaviour of network participants by employing statistical graph analysis. We thereby show that it is possible to identify the potentially malicious exploitation of an unmetered and weakly secured blockchain network resource. In addition, we show that Temporal Network Analysis is a promising technique to identify the occurrence of anomalies in a PoA Ethereum network.}, language = {en} } @article{MarquardtPohlmann2020, author = {Marquardt, Tina and Pohlmann, Norbert}, title = {Analysis of large-scale decision making tools using a decentralized architecture to govern common pool resources}, series = {Scientific Track der Blockchain, Autumn School 2020}, journal = {Scientific Track der Blockchain, Autumn School 2020}, pages = {42 -- 48}, year = {2020}, abstract = {This paper analyses the status quo of large-scale decision making combined with the possibility of blockchain as an underlying decentralized architecture to govern common pool resources in a collective manner and evaluates them according to their requirements and features (technical and non-technical). Due to an increasing trend in the distribution of knowledge and an increasing amount of information, the combination of these decentralized technologies and approaches, can not only be beneficial for consortial governance using blockchain but can also help communities to govern common goods and resources. Blockchain and its trust-enhancing properties can potenitally be a catalysator for more collaborative behavior among participants and may lead to new insights about collective action and CPRs.}, language = {de} } @incollection{Pohlmann2020, author = {Pohlmann, Norbert}, title = {Ohne Cybersicherheit gelingt keine digitale Heimat - keine Heimat ohne Sicherheit}, series = {Digitale Heimat : Verortung und Perspektiven}, booktitle = {Digitale Heimat : Verortung und Perspektiven}, publisher = {Westf{\"a}lische Hochschule Gelsenkirchen Bocholt Recklinghausen}, pages = {16}, year = {2020}, abstract = {Die Digitalisierung ist die Basis f{\"u}r das Wohlergehen unserer modernen und globalen Informations- und Wissensgesellschaft und schreitet immer schneller voran. Dabei er{\"o}ffnet die Digitalisierung {\"u}ber alle Branchen und Unternehmensgr{\"o}ßen hinweg enorme Wachstumschancen und f{\"u}hrt zu immer besseren Prozessen, die die Effizienz steigern und Kosten reduzieren. Der Digitalisierungsprozess beschleunigt auf allen Ebenen und der Wertsch{\"o}pfungsanteil der IT in allen Produkten und L{\"o}sungen wird immer gr{\"o}ßer. Die m{\"o}glichen Erfolgsfaktoren der Digitalisierung sind vielf{\"a}ltig: Die Kommunikationsgeschwindigkeiten und -qualit{\"a}ten, die mit 5G- und Glasfasernetzen neue Anwendungen m{\"o}glich machen. Die Smartness der Endger{\"a}te, wie Smartwatches, Smartphones, PADs, IoT-Ger{\"a}te usw., die viele neue positive M{\"o}glichkeiten mit sich bringt. Aber auch immer leistungsf{\"a}higere zentrale IT-Systeme, wie Cloud-Angebote, Hyperscaler, KI-Anwendungen usw., schaffen Innovationen mit großen Potenzialen. Moderne Benutzerschnittstellen, wie Sprache und Gestik, vereinfachen die Bedienung f{\"u}r die Nutzer. Die Optimierung von Prozessen schafft ein enormes Rationalisierungspotenzial, das es zu heben gilt, um wettbewerbsf{\"a}hig zu bleiben und die Wachstumschancen f{\"u}r unser Wohlergehen zu nutzen. Neue M{\"o}glichkeiten mit Videokonferenzen, Cloud-Anwendungen usw., im Homeoffice zu arbeiten und damit die Personenmobilit{\"a}t zu reduzieren und die Umwelt zu schonen.}, language = {de} } @article{Pohlmann2020, author = {Pohlmann, Norbert}, title = {Wertsch{\"o}pfung der Digitalisierung sichern : vier Cybersicherheitsstrategien f{\"u}r den erfolgreichen Wandel in der IT}, series = {IT-Sicherheit}, volume = {2020}, journal = {IT-Sicherheit}, number = {1}, pages = {60 -- 65}, year = {2020}, abstract = {Digitalisierung gilt als die Basis f{\"u}r das Wohlergehen der modernen und globalen Informations- und Wissensgesellschaft. W{\"a}hrend sie immer mehr Fahrt aufnimmt, zeigt sie gleichzeitig immer deutlicher auch ihre Kehrseite: Altbew{\"a}hrte Verteidigungssysteme gegen Cyberangriffe versagen zunehmend. Die Ursachen werden inzwischen sehr klar: Der klassische Perimeter l{\"o}st sich dank Cloud und Mobility auf, die Angriffsfl{\"a}chen werden dank unz{\"a}hliger neu im Netz hinzugekommener Dinge exponentiell gr{\"o}ßer, und Abwehrmaßnahmen auf herk{\"o}mmliche Weise dank einer zerkl{\"u}fteten, kaum integrierten Security-Landschaft immer komplexer. Zeit, die Erfolgsfaktoren der Digitalisierung zu erkennen und f{\"u}r das eigene Unternehmen umzusetzen. Dabei helfen vier grunds{\"a}tzliche Cybersicherheitsstrategien.}, language = {de} } @article{HoernemannPohlmann2020, author = {H{\"o}rnemann, Jan and Pohlmann, Norbert}, title = {Digital Risk Management (DRM) : Automatisiertes Sammeln, Analysieren und Bewerten von Unternehmensinformationen im Internet}, volume = {2020}, number = {2}, pages = {62 -- 67}, year = {2020}, abstract = {Ein professionelles Digital-Risk-Management-System scannt das Clearnet, Deep Net und Darknet nach auff{\"a}lligen, potenziell sensiblen Dokumenten und Informationen, um Hinweise f{\"u}r technische oder menschliche Sicherheitsrisiken identifizieren zu k{\"o}nnen. Die Pr{\"a}vention von Cyberangriffen ist nach wie vor eine entscheidend wichtige S{\"a}ule, um die Digitalisierung zu meistern, Gesch{\"a}ftswerte langfristig zu sch{\"u}tzen und die Anzahl an kritischen Sicherheitsl{\"u}cken im Unternehmen gering zu halten. Im Rahmen eines Master-Projekts hat sich das Institut f{\"u}r Internet-Sicherheit - if(is) mit dem Thema DRM auseinander gesetzt und insbesondere das Tool RISKREX exemplarisch analysiert.}, language = {de} } @article{WittekKrakauWitteketal.2020, author = {Wittek, Kevin and Krakau, Dominik and Wittek, Neslihan and Lawton, James and Pohlmann, Norbert}, title = {Integrating bloxberg's Proof of Existence service with MATLAB}, url = {http://nbn-resolving.de/urn:nbn:de:hbz:1010-opus4-44241}, year = {2020}, abstract = {Proof of Existence as a blockchain service has first been published in 2013 as a public notary service on the Bitcoin network and can be used to verify the existence of a particular file in a specific point of time without sharing the file or its content itself. This service is also available on the Ethereum based bloxberg network, a decentralized research infrastructure that is governed, operated and developed by an international consortium of research facilities. Since it is desirable to integrate the creation of this proof tightly into the research workflow, namely the acquisition and processing of research data, we show a simple to integrate MATLAB extension based solution with the concept being applicable to other programming languages and environments as well.}, language = {en} } @article{MusbergPohlmann2020, author = {Musberg, Franziska and Pohlmann, Norbert}, title = {Blockchain als Echtheitsgarant : Sicherung von digitalen Zeugnissen und Nachweisen}, series = {IT-Sicherheit}, volume = {2020}, journal = {IT-Sicherheit}, number = {3}, pages = {5}, year = {2020}, abstract = {Die Notwendigkeit von Nachweisen findet sich in sehr vielen Bereichen unseres Lebens. Zertifikate, Zeugnisse, Abnahmen, Rechnungen, Quittungen, Urkunden und Bescheinigungen {\"u}ber Fortbildungen sind nur einige Beispiele daf{\"u}r. Durch die Digitalisierung, die mittlerweile so gut wie {\"u}berall Einzug gehalten hat, und durch die Corona-Krise einen besonderen Schub erfahren hat, wird die Umsetzung solcher Nachweise heutzutage immer {\"o}fters digital statt auf Papier verwirklicht. Digitale Nachweise bieten viel Raum f{\"u}r die Optimierung von Prozessen und liefern gleichzeitig einige Schwachstellen, die zum Betr{\"u}gen genutzt werden k{\"o}nnen. Hier gilt es in der aktuellen Forschung und Entwicklung L{\"o}sungen zu finden, die die Sicherheit erh{\"o}hen, um somit die Vertrauensw{\"u}rdigkeit der digitalen Nachweise zu steigern. Ob wir je komplett auf Papier verzichten werden k{\"o}nnen ist fraglich, jedoch kein unm{\"o}gliches Ziel. Wer dieses Ziel verfolgt, muss nach und nach die Schwachstellen und Probleme der digitalen Nachweise ausmerzen.}, language = {de} } @article{BoettgerPohlmann2020, author = {B{\"o}ttger, Christian and Pohlmann, Norbert}, title = {Fernkooperation mit Risiko? : Videokonferenzsystem Zoom im Sicherheitscheck}, series = {IT-Sicherheit : Magazin f{\"u}r Management und Technik}, volume = {2020}, journal = {IT-Sicherheit : Magazin f{\"u}r Management und Technik}, number = {4}, pages = {60 -- 65}, year = {2020}, abstract = {Mit den Reisebeschr{\"a}nkungen in der Corona-Krise ist der Bedarf an einfach zu handhabenden Videokonferenzsystemen sprunghaft gestiegen. Krisengewinner war dabei ohne Zweifel der amerikanische Hersteller Zoom Video Communications. Mit seinem „Zoom Meeting"-Dienst preschte das junge Unternehmen an bisherigen Branchenlieblingen vorbei. Derzeit gilt Zoom als popul{\"a}rstes Konferenzsystem auf dem Markt. Mitten im Aufstieg ist Zoom jedoch auch heftig in Kritik geraten: Schlechte Umsetzung des Datenschutzes, hohe Angreifbarkeit durch klaffende Schwachstellen und unzureichende Verschl{\"u}sselung lauteten die Vorw{\"u}rfe. Der Hersteller zeigte sich bei der Behebung der Schwachstellen kooperativ. Doch ist jetzt alles sicher und vertrauensw{\"u}rdig?}, language = {de} } @article{BothePohlmann2020, author = {Bothe, David and Pohlmann, Norbert}, title = {Self-Sovereign Identity : autonom und sicher in der Smart Economy}, series = {IT-Sicherheit : Magazin f{\"u}r Management und Technik}, volume = {2020}, journal = {IT-Sicherheit : Magazin f{\"u}r Management und Technik}, number = {5}, pages = {54 -- 58}, year = {2020}, abstract = {Dank der neuen Datenschutzgrundverordnung zum Schutz der Privatsph{\"a}re konnte der Sammelwahn einiger Dienstleister bereits abgemildert werden. Dennoch zeichnet sich eine immer st{\"a}rkere Zentralisierung und Monopolisierung von Datenhaltern und Dienstleistern ab, vor allem in Form großer USA- oder Asien-basierter Technologieunternehmen. Im Umgang mit den eigenen Daten schreiten nur wenige Menschen bewusst zur Tat, sehen meist nur den angepriesenen Vorteil und nicht die m{\"o}glichen negativen Konsequenzen f{\"u}r ihre Privatsph{\"a}re. Eine Self-Sovereign Identity (SSI) k{\"o}nnte Basis f{\"u}r einen fairen Datenaustausch innerhalb der Smart Economy sein und die Integration auch kleinerer Unternehmen in eine offene Infrastruktur unterst{\"u}tzen.}, language = {de} } @article{CoesterPohlmann2020, author = {Coester, Ulla and Pohlmann, Norbert}, title = {Wie k{\"o}nnen wir KI vertrauen? Mechanismus f{\"u}r gute Ergebnisse}, series = {IT \& Production, Wissen kompakt}, volume = {2020/21}, journal = {IT \& Production, Wissen kompakt}, pages = {38 -- 41}, year = {2020}, abstract = {Unternehmen setzen zunehmend auf KI oder planen, dies k{\"u}nftig zu tun. Doch die große Euphorie bleibt in der Industrie aus guten Gr{\"u}nden noch aus. Zum einen fehlt die kritische Masse an Einsatzszenarien, weswegen Unsicherheit besteht, welche Handlungsfelder nachhaltige Erfolge versprechen. Zum anderen ist die Frage der Zuverl{\"a}ssigkeit zu kl{\"a}ren, also wie valide KI-generierte Ergebnisse wirklich sind. Im Folgenden geht es um die Mechanismen, die gute Ergebnisse sicherstellen helfen.}, language = {de} } @article{Pohlmann2020, author = {Pohlmann, Norbert}, title = {DNS over HTTPS (DOH) : Schutz der Privatsph{\"a}re und Sicherheit auf Protokollebene}, series = {IT-Sicherheit}, volume = {2020}, journal = {IT-Sicherheit}, number = {6}, pages = {52 -- 56}, year = {2020}, abstract = {2018 wurde das „DNS over HTTPS (DoH)"-Protokoll vorgestellt. Der Vorteil von DoH besteht darin, dass sich die Manipulation von DNS-Anfragen f{\"u}r missbr{\"a}uchliche Zwecke verhindern l{\"a}sst. Aus diesem Grund haben Apple, Google, Microsoft und weitere Internetfirmen DoH bereits eingebunden oder haben vor dies zu tun. Doch wie genau funktioniert die Verbesserung beim Schutz der Privatsph{\"a}re und bei der Sicherheit auf Protokollebene? Und gibt es auch Nachteile?}, language = {de} }