Einblicke
Beiträge zu IT-Sicherheit, NIS2, Access-Anwendungen, der Modernisierung von Bestandssoftware und Post-Quanten-Kryptografie.
Lieferanten brauchen Ihre Daten. Nicht Ihre Datenbank.
Die Werkslogistik will, dass Lieferanten ihre Bestände selbst nachsehen können. Die IT will keinen Externen auf dem SQL Server. Meist endet das in einem Kompromiss, der niemanden zufriedenstellt: Jemand exportiert jeden Montag eine Liste. Dabei gibt es einen dritten Weg, der weder die Datenbank öffnet noch eine neue Anwendung verlangt.
PQC-Lieferantenfragebögen: Fragen Sie nach Nachweisen, nicht nach Schlagwörtern.
Ausgabe 17 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Einkauf und Lieferantenmanagement, die Fragebögen erstellen, versenden und auswerten.
Frage 14 des Lieferantenfragebogens lautet: „Ist Ihre Lösung quantensicher? Ja / Nein / Teilweise.“ 83 Lieferanten antworten. 61 kreuzen „Ja“ an, 19 „Teilweise“, drei „Nein“. Die drei mit „Nein“ haben vermutlich als Einzige nachgesehen. Ausgewertet wird trotzdem: 73 Prozent quantensicher. Der Bericht geht an die Geschäftsführung.
Homeoffice 2020: Die Anwendung lief. War die Architektur darauf vorbereitet?
Rückblick auf die Entstehung des Database Gateway in den ersten Wochen der Pandemie 2020. Der Beitrag schließt die späteren Entwicklungsstufen ein und beschreibt das Produkt mit Stand vom 29. Oktober 2026.
Im Frühjahr 2020 lautete die Frage: Wie kann jemand morgen von zu Hause arbeiten? Heute lautet sie: Wie bleibt der Zugriff auf Geschäftsdaten sicher, nachvollziehbar, schnell genug und wartbar – auch in fünf Jahren? Dazwischen liegt die Geschichte eines Notbehelfs, der funktioniert hat. Gerade deshalb war er so schwer zu ersetzen.
PHP2Shell, Tag sechs: Der Server ist gepatcht. Und der Rest?
Mittwochnachmittag, kurz nach zwei: Das BSI ruft Warnstufe Orange aus. Um vier kommen die Patches. Danach eine Nacht, in der Sie Server aktualisieren, Dienste vom Netz nehmen und zwischendurch der Geschäftsführung erklären, warum die Website gerade nicht erreichbar ist. Donnerstag früh dann die Frage, die niemand gern beantwortet: „Sind wir betroffen?“
Heute, Montag, eine Stunde vor diesem Beitrag, hat das PHP-Team neue Windows-Pakete veröffentlicht. Wieder ein Update, diesmal wegen einer Lücke in einer mitgelieferten Bibliothek. Wenn Sie in dieser Woche das Gefühl hatten, nur hinterherzulaufen: Das lag nicht an Ihnen. Vier Tage von der Ankündigung bis zu den ersten erfolgreichen Angriffen sind für niemanden ein bequemer Zeitplan.
Frontend verteilen ohne Adminrechte: woran es am Montag nach dem Release hakt
„Wie verteile ich mein Frontend?“ Die Frage taucht in den Access-Foren seit Jahren immer wieder auf, und die Antworten heißen Batch-Datei, Versionstabelle und Handarbeit. Sie funktionieren. Meistens.
Bis zu dem Montag, an dem kurz nach acht der erste Anruf kommt: „Bei mir geht nichts auf.“ Das Release vom Freitag läuft an drei Arbeitsplätzen nicht und an allen anderen schon. Wenn Ihnen das bekannt vorkommt, sind Sie in guter Gesellschaft.
Die deutsche PQC-Roadmap kommt. Was bedeutet sie für Ihre slowenischen Lieferanten?
Ausgabe 16 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Risikomanagement und IT-Strategie.
Nachtrag vom 25. 10. 2026: Die nationale Leitlinie ist am 12. 10. 2026 erschienen, eine Woche nach dieser Ausgabe. Was sie enthält und was sich dadurch an den Aussagen dieses Beitrags ändert, steht im Nachtrag am Ende.
Die Versuchung ist groß: Sobald die nationale Roadmap da ist, schicken wir ihre Fristen an alle Lieferanten und lassen sie unterschreiben. Das ist schnell, sieht gründlich aus und verschiebt das Problem. Ein Lieferant, der „hohes Risiko bis 2030“ unterschreibt, weiß nicht, welche Ihrer Anwendungsfälle hohes Risiko tragen. Das wissen nur Sie.
Ihr Altsystem funktioniert. Aber ist es bis 2030 noch migrationsfähig?
Ausgabe 15 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Verantwortliche von Alt- und Industriesystemen: Prüfstände, Fertigungssteuerung, Fachanwendungen mit langer Laufzeit.
Die Prüfstandssoftware läuft seit 2014 ohne nennenswerten Ausfall. Ein slowenischer Dienstleister pflegt sie, zuverlässig und günstig. Sie läuft auf einem Server, dessen Betriebssystem keine Sicherheitsupdates mehr erhält, und spricht mit dem ERP-System über eine Schnittstelle, deren Bibliothek seit Jahren nicht aktualisiert wurde. „Never touch a running system“ war lange eine vernünftige Regel. Für die Post-Quanten-Umstellung ist sie keine.
Hybride Kryptografie: Was passiert, wenn Ihr Lieferant den neuen Standard noch nicht unterstützt?
Ausgabe 14 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Architekten von Verbindungen zwischen Unternehmen: Schnittstellen, Dateitransfer, Standortkopplungen.
Ihr Integrationsserver unterstützt seit dem letzten Update hybriden Schlüsselaustausch. Der Server Ihres slowenischen Lieferanten nicht. Was passiert? Nichts. Die Verbindung kommt zustande, wie immer, klassisch. Kein Fehler, keine Warnung, kein Eintrag im Monitoring. Genau das ist gewollt, und genau das ist das Problem: Sie wissen nicht, welche Ihrer Verbindungen schon hybrid laufen und welche nicht.
Kryptoagilität: Können Ihre Dienstleister Algorithmen austauschen, ohne Geschäftsprozesse umzubauen?
Ausgabe 13 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für technische Leitung und IT-Beschaffung, die Software und Dienstleistungen einkaufen.
In der Ausschreibung steht: „Die Lösung muss kryptoagil sein.“ Alle fünf Bieter kreuzen „erfüllt“ an. Zwei Jahre später soll die Signatur der Rechnungsdokumente auf ein neues Verfahren umgestellt werden. Der Dienstleister schätzt vier Monate Entwicklung, weil das Verfahren an vierzehn Stellen im Code steht und das Dokumentformat keinen Platz für eine zweite Signatur hat. Gelogen hat niemand. Die Anforderung hat nur nicht gesagt, was sie meint.
PQC-Migration: Welche Systeme zuerst – und wer bezahlt?
Ausgabe 12 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für IT-Leitung, Einkauf und Controlling, die eine Umstellung planen und finanzieren müssen.
Das Kryptoinventar ist fertig: 340 Einträge, sauber erfasst, mit Verantwortlichen. Die Geschäftsführung fragt: „Und jetzt? Was kostet das, und womit fangen wir an?“ Die IT schlägt vor, mit dem anzufangen, was am einfachsten ist. Der Einkauf schlägt vor, den Lieferanten die Kosten aufzuerlegen. Beides ist verständlich. Beides führt in die falsche Richtung.