Glossar: Sicherheitsbegriffe verständlich erklärt

Lieferkettensicherheit ist voller Abkürzungen. Hier steht, was jede davon tatsächlich bedeutet, in klarer Sprache, damit Sie eine Lieferantenbewertung ohne Entschlüsselungshilfe lesen können.

BEC

Business Email Compromise: Betrug, bei dem sich ein Angreifer als vertrauenswürdige Person ausgibt, um Mitarbeiter zu Zahlungen oder Datenweitergabe zu verleiten.

BIMI

Brand Indicators for Message Identification: ein Standard, der Ihr verifiziertes Logo neben authentifizierten E-Mails in unterstützenden Postfächern anzeigt; erfordert durchgesetztes DMARC.

CVE

Common Vulnerabilities and Exposures: eine öffentliche Kennung für eine bestimmte bekannte Schwachstelle.

CVSS

Common Vulnerability Scoring System: ein Wert von 0 bis 10 für die Schwere einer Schwachstelle.

DANE

DNS-based Authentication of Named Entities: veröffentlicht den Fingerprint Ihres TLS-Zertifikats im DNS, damit Absender ihn prüfen können. Erfordert DNSSEC.

DKIM

DomainKeys Identified Mail: eine kryptografische Signatur, die beweist, dass eine E-Mail wirklich von Ihrer Domain stammt und nicht verändert wurde.

DMARC

Domain-based Message Authentication, Reporting and Conformance: ein E-Mail-Standard, mit dem Sie steuern und überwachen, wer E-Mails mit Ihrer Domain versenden darf.

DNSSEC

Domain Name System Security Extensions: signiert Ihre DNS-Einträge, damit Angreifer sie nicht fälschen und Ihren Verkehr umleiten können.

DORA

Digital Operational Resilience Act: EU-Verordnung zur operationellen und IKT-Resilienz im Finanzsektor, ein Geschwister von NIS2.

EASM

External Attack Surface Management: kontinuierlicher Einblick in alles, was von Ihnen aus dem Internet erreichbar ist, so wie ein Angreifer es sieht.

EPSS

Exploit Prediction Scoring System: die Wahrscheinlichkeit, dass eine Schwachstelle in naher Zukunft real ausgenutzt wird.

HSTS

HTTP Strict Transport Security: ein Header, der Browsern sagt, Ihre Website ausschließlich über verschlüsseltes HTTPS aufzurufen.

Infostealer

Schadsoftware, die gespeicherte Passwörter, Cookies und andere Zugangsdaten von einem infizierten Gerät stiehlt.

KEV

Known Exploited Vulnerabilities: ein Katalog von Schwachstellen, die nachweislich aktiv von Angreifern ausgenutzt werden.

MCP

Model Context Protocol: ein Standard, um KI-Modelle mit Werkzeugen und Daten zu verbinden. Ein im Internet exponierter MCP-Endpunkt kann Daten preisgeben oder unbeabsichtigten Zugriff gewähren.

MFA

Multi-Faktor-Authentifizierung: ein zweiter Faktor (App-Code, Sicherheitsschlüssel) zusätzlich zum Passwort. Von NIS2 Art. 21(2)(j) erwartet.

MTA-STS

Mail Transfer Agent Strict Transport Security: erzwingt für an Ihre Domain gesendete E-Mails verschlüsselte Verbindungen.

NIS2

Die EU-Richtlinie über Netz- und Informationssicherheit 2, die vielen Organisationen Cybersicherheits- und Lieferkettenpflichten auferlegt.

RBL

Realtime Blackhole List / DNS-Blockliste: eine veröffentlichte Liste von IP-Adressen, die für Spam oder Missbrauch bekannt sind; steht die IP Ihres Mailservers darauf, können Empfänger Ihre E-Mails ablehnen.

RPKI

Resource Public Key Infrastructure: belegt kryptografisch, welches Netz Ihre IP-Bereiche ankündigen darf, und verhindert Route-Hijacking.

SAQ

Supplier Assessment Questionnaire: ein strukturierter Sicherheitsfragebogen an Lieferanten, dessen Antworten norppa mit Scan-Nachweisen abgleicht.

SBOM

Software Bill of Materials: ein Verzeichnis der Komponenten, aus denen eine Software besteht.

Shadow IT

Systeme und Dienste, die in einer Organisation ohne Wissen oder Genehmigung der IT-Abteilung genutzt werden.

SPF

Sender Policy Framework: ein DNS-Eintrag, der die zum Senden für Ihre Domain berechtigten Server auflistet.

TLS

Transport Layer Security: die Verschlüsselung hinter HTTPS, die Daten bei der Übertragung schützt und eine Website identifiziert.

TLS-RPT

SMTP TLS Reporting: E-Mail-Empfänger melden täglich, ob an Ihre Domain zugestellte E-Mails verschlüsseltes TLS nutzten, sodass fehlgeschlagene oder herabgestufte Verbindungen sichtbar werden.

TPRM

Third-Party Risk Management: die Praxis, das Risiko zu bewerten und zu überwachen, das Lieferanten und Partner in Ihr Unternehmen einbringen.