Security by Obscurity.

Ansatz, der auf Geheimhaltung von Design, Implementierung oder Standort eines Systems als primarer Schutz baut, statt auf intrinsische Sicherheit. Es gehört zur Kategorie Compliance und Frameworks der Cybersicherheit.

Ansatz, der auf Geheimhaltung von Design, Implementierung oder Standort eines Systems als primarer Schutz baut, statt auf intrinsische Sicherheit.

Security by Obscurity nimmt an, dass Angreifer scheitern, weil sie nicht wissen, wie ein System funktioniert, wo es lauft oder welches Verfahren es nutzt. Das Kerckhoffs-Prinzip (1883) widerspricht: Ein Kryptosystem muss auch dann sicher bleiben, wenn ausser dem Schlussel alles offen ist. Versteckte Admin-URLs, proprietare Eigenkryptografie, unpublizierte Ports oder Rebranding-"Sicherheit" zerbrechen an Scannern, Leaks, Reverse Engineering und Insidern. NIST und ISO sehen Obscurity bestenfalls als Defense-in-Depth-Schicht: ein kleiner Mehraufwand fur den Angreifer, kein Ersatz fur starke Authentifizierung, authentifizierte Verschlusselung, Hardening, Monitoring und Patching.

Schutzmaßnahmen gegen Security by Obscurity kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.