#WeKnowCybersecurity

Cybersecurity-Blog des Fraunhofer AISEC

Fraunhofer RISC-V Secure Element Cybersecurity Blog Fraunhofer AISEC

Hardwaresicherheit für elektronische Geräte | Fraunhofer RISC‑V Secure Element als Vertrauensanker

Wie können wir sicherstellen, dass die Hardware, die das Fundament unserer vernetzten digitalen Welt bildet, wirklich vertrauenswürdig ist? In diesem Interview erläutern Andreas Seelos-Zankl und Dr. Augusto Wankler Hoppe, zwei Forscher der Fraunhofer-Institute AISEC und IIS, wie ihr neu entwickeltes »Fraunhofer RISC V Secure Element« als Hardware-Vertrauensbasis fungiert: Es schützt kryptografische Schlüssel, sichert Boot-Prozesse und erschwert sowohl physische Manipulationen als auch softwarebasierte Angriffe erheblich.

9. November 2026

Usable Privacy Nikolai Lenski Cybersecurity Blog Fraunhofer AISEC

Usable Privacy: Warum Usability für effektiven Datenschutz entscheidend ist

Die Umsetzung von Privacy ist kein rein technisches Problem. Sind Datenschutzmaßnahmen zu kompliziert, umgehen Nutzende sie einfach und schaffen damit neue Risiken. Das Fraunhofer AISEC forscht an der Schnittstelle von Usability und Privacy. Dieser Artikel zeigt, warum schlechte Bedienbarkeit eine echte Bedrohung für die Privatheit von Daten ist, welche Methoden helfen, dieses Problem zu lösen und welche konkreten Ansätze Unternehmen umsetzen können.

31. Oktober 2026

Quantum Neural Network Security Pascal Debus Cybersecurity Blog Fraunhofer AISEC

Quantum Neural Network Security: Kill-Chain Attacken auf QNNs

Quantum Machine Learning entwickelt sich von der Theorie hin zu realer Quantenhardware. Dies bringt neue Sicherheitsrisiken mit sich. In einer aktuellen Studie haben Forscher des Fraunhofer AISEC und Partner einen mehrstufigen Angriff auf ein quantenbasiertes neuronales Netzwerk demonstriert, das auf einer Trapped-Ion-Hardware läuft. Der Angriff kombiniert Side-Channel-Analysen, adversariale Beispiele und Crosstalk-Manipulation. Für Anbieter, Produktteams und Entscheidungsträger ist die Botschaft klar: Quanten-KI benötigt »Security by Design«, bevor sie zu einer kritischen Infrastruktur wird.

29. September 2026

Codyze: Automatisierte Analyse von Cybersicherheitsanforderungen im Software-Code

Die manuelle Überprüfung der Einhaltung von Anforderungen, wie denen des Cyber Resilience Act, ist nicht skalierbar. Unser Code-Analyse-Tool Codyze setzt produktbezogene regulatorische Anforderungen in überprüfbare Regeln um und bewertet automatisch, ob der Quellcode des Produkts diese erfüllt – sprach- und mikroserviceübergreifend. Codyze macht alle Analyseergebnisse für Entwickler, Sicherheitsteams und Auditoren transparent.

10. Juli 2026

Laboruntersuchung zur Sicherheit der OpenTitan-Silizium-Root-of-Trust

Dieser Beitrag fasst eine gemeinsame Hardware-Sicherheitsbewertung von OpenTitan®-Entwicklungs- und Serienchips zusammen, die vom Fraunhofer AISEC in Zusammenarbeit mit den Entwicklungsteams von Google, lowRISC® und Nuvoton durchgeführt wurde.
Ziel war es, die Sicherheit von OpenTitan unter strengen Angriffsszenarien vor dem Einsatz in Servern und Chromebooks zu validieren. Im Rahmen der Bewertung wurden die zentralen Sicherheitseigenschaften von OpenTitan analysiert. Dies führte zu mehreren Absicherungsmaßnahmen und Verbesserungen von Werkzeugen, die künftigen Tape-outs und Einsätzen zugutekommen.

3. Juni 2026

Vom Warnsignal zur Werkbank: das PQC-Update 2026 zeigt, dass die Post-Quanten-Ära begonnen hat

Als wir das PQC-Update 2026 eröffneten, stand eine Frage im Raum: Ist Post-Quanten-Kryptografie noch Zukunftsmusik – oder längst Alltag für Behörden, Industrie und Standards? Die Antworten unserer Vortragenden waren überraschend konkret: Niederländische Leitfäden, deutsche Ausweise mit PQC, neue Sicherheitschips, aktualisierte Internet-Standards, Roadmaps einer kritischen Infrastruktur und Werkzeuge, die schon heute Ihre Krypto-Altlasten sichtbar machen. Wer nur wissen will, ob man sich jetzt kümmern muss: Ja. Wer wissen will, wie, liest weiter.

8. Mai 2026

Hardwaresicherheit in einer vernetzen Welt | Über Bedrohungsszenarien, Manipulationsschutz und die Bedeutung von Vertrauensankern

Wie können wir der Hardware vertrauen, die das Herzstück unserer vernetzten Welt bildet? In diesem Interview mit der Forschungsfabrik Mikroelektronik (FMD) erläutert Dr. Matthias Hiller, Leiter der Abteilung Hardware Security am Fraunhofer AISEC, welche Chancen und Herausforderungen im Design sicherer Hardware bestehen und wie sich Systeme wirksam vor Angriffen und Manipulation schützen lassen. Außerdem beleuchtet er die Bedeutung von Hardwaresicherheit für Europa und zeigt auf, welchen Beitrag das Fraunhofer AISEC im Rahmen der APECS-Pilotlinie zur Absicherung von Chiplets liefert.

28. April 2026

Secure System-on-Chip: Interview mit Dr. Michael Weiß zum Schutz von Betriebssystemen und Hardware

Wie können wir Chips und Betriebssystemen vertrauen, die IoT-Geräte, die Industrie und die Cloud antreiben? In diesem Interview erklärt Michael Weiß, Cybersicherheitsforscher am Fraunhofer AISEC, wie GyroidOS, Secure System-on-Chip und offene Standards wie RISC-V überprüfbare und manipulationssichere Plattformen für die kritische Infrastruktur von morgen schaffen.

12. März 2026

Call for Paper: 2. Workshop zur Lifecycle Security für Smarte Systeme LIFESEC

Wie kann Sicherheit während des gesamten Lebenszyklus intelligenter Systeme gewährleistet werden – von Security by Design bis hin zur Einhaltung der EU-Regularien? Reichen Sie Ihr Paper bis zum 9. März ein, nehmen Sie am 22. Juni 2026 am LIFESEC-Workshop in Messina (Italien) teil und gestalten Sie die Cybersicherheit intelligenter Systeme mit.

9. Februar 2026

Cybersecurity Risk Management in der Automobilindustrie bereichsübergreifend meistern

Moderne Fahrzeuge sind vernetzte Systeme aus Software, Sensoren und Cloud-Diensten. Da Automobilhersteller ihre Arbeit auf Bereiche wie Entwicklung, Produktion und Backend aufteilen, können Cybersicherheitsrisiken leicht zwischen den Zuständigkeiten verloren gehen. Standards wie ISO/SAE 21434, die ISO/IEC 27000 Familie und die IEC 62443 Reihe liefern zwar wichtige Bausteine, erklären aber nicht, wie Cybersicherheit bereichsübergreifend wirksam aufeinander abgestimmt werden kann. Unsere Forschung am Fraunhofer AISEC zeigt die Folgen: schwer vergleichbare Risikoanalysen, unklare Kommunikation und fragmentierte Schutzstrategien. Die Lösung liegt in einem bereichsübergreifenden Ansatz, der Prozesse, Werkzeuge und Terminologie verbindet. Auf Basis einer strukturierten Analyse zentraler Cybersicherheitsstandards und Interviews mit Experten von sechs Automobilherstellern kontrastiert dieser Artikel die Erwartung der Standards mit der gelebten Praxis – und skizziert konkrete Schritte, um die bestehenden Lücken zu schließen.

27. Januar 2026

Ansätze zur Verifikation klassischer Software mit Quantencomputern

In diesem Beitrag untersuchen wir die Möglichkeit, die formale Verifikation klassischer Programme mithilfe von Quantencomputern zu beschleunigen. Häufige Programmierfehler wie Nullzeiger-Dereferenzierung und Zugriffe außerhalb von Array-Grenzen gehören zu den Hauptursachen für Sicherheitslücken. Unser Ansatz besteht darin, aus Codeausschnitten eine SAT-Instanz (Satisfiability) zu generieren, die genau dann erfüllbar ist, wenn das unerwünschte Verhalten im Programm vorhanden ist. Diese Instanz wird anschließend in ein Optimierungsproblem überführt, das mithilfe quantenbasierter Algorithmen gelöst wird – was potenziell eine asymptotisch polynomielle Beschleunigung ermöglicht.

13. August 2025

Gateway to the Danger Zone: Sicherer und authentischer Remote-Reset in der Maschinensicherheit

Die moderne Fertigung wird zunehmend digital. Dies ermöglicht neue Geschäftsmodelle und eine nie dagewesene Effizienz. Während die Fernsteuerung von Maschinen alltäglich geworden ist, erforderte die Maschinensicherheit immer noch ein persönliches, lokales Eingreifen – bis jetzt. Diese Lücke schließen wir mit einem sicheren, authentischen Remote-Reset-System für Sicherheitsereignisse und vereinen dafür zukunftssichere Kryptographie mit robustem Sicherheitsdesign. Hier erfahren Sie, wie wir die Grenzen der sicheren, dezentralen Fertigung neu definieren.

22. Juli 2025

Differentially Private Prototype Learning (DPPL): Mit Prototypen Datenschutz und Privatsphäre im Machine Learning ermöglichen

Wie kann maschinelles Lernen die Privatsphäre wahren, ohne die Fairness zu beeinträchtigen? Die prototypbasierte Methode Differentially Private Prototype Learning ermöglicht, strenge Datenschutzvorgaben einzuhalten und gleichzeitig die Genauigkeit bei der Abbildung von unterrepräsentierten Gruppen zu verbessern. Durch die Berücksichtigung von Verzerrungen gewährleistet dieser Ansatz eine ethische und integrative KI-Entwicklung ohne Leistungseinbußen.

30. Mai 2025

Multi-Party Computation in the Head – eine Einführung

Im Jahr 2016 kündigte das National Institute of Standards and Technology (NIST) einen Standardisierungsprozess für quantensichere kryptografische Primitive an. Ziel war es, sichere Schlüsselkapselungsmechanismen (KEM) und Signaturverfahren zu finden. Ein einzigartiger Ansatz war das PICNIC-Signaturverfahren, das das MPC-in-the-Head-Paradigma (MPCitH) nutzt und als besonders sicher gilt, weil es auf gut erforschten Blockchiffren und Hash-Funktionen beruht. PICNIC wurde vom NIST als alternativer Kandidat angekündigt. Daraufhin wurden viele auf PICNIC aufbauende Nachfolgeverfahren wie BBQ, Banquet und FEAST vorgeschlagen, die verschiedene Blockchiffren und Variationen des ursprünglichen Konstruktionsparadigmas verwenden. Im Jahr 2022 kündigte das NIST eine zweite Ausschreibung speziell für Signaturverfahren an. Auf dem MPC-in-the-Head-Paradigma basierende Signaturschemata wurden aufgrund der Fülle der Anträge zu einer eigenen Kategorie. Dieser Artikel erklärt die Kernidee und Funktionalität früher MPCitH-basierter Signaturverfahren und wie wir am Fraunhofer AISEC diese Konzepte nutzen.

30. April 2025

Wie man passende Datensätze baut, um erfolgreich Audio-Deepfakes zu erkennen

Deepfakes stellen eine erhebliche Bedrohung für die Demokratie sowie für Privatpersonen und Unternehmen dar. Sie ermöglichen unter anderem Desinformation, den Diebstahl geistigen Eigentums oder Trickbetrug. Robuste KI-Erkennungssysteme bieten eine Lösung, doch ihre Effektivität hängt entscheidend von der Qualität der zugrunde liegenden Daten ab: »Garbage in, garbage out«. Aber wie erstellt man einen Datensatz, der für die Erkennung von Deepfakes – die sich ständig weiterentwickeln – gut geeignet ist und eine robuste Detektion erlaubt? Was macht hochwertige Trainingsdaten aus?

31. März 2025

Parsing von X.509-Zertifikaten: Wie sicher sind TLS-Bibliotheken?

Digitale Zertifikate wie X.509 sind für die sichere Internetkommunikation unerlässlich, da sie Authentifizierung und Datenintegrität ermöglichen. Unterschiede in der Art und Weise, wie sie von verschiedenen TLS-Bibliotheken geparst werden, können jedoch zu Sicherheitsrisiken führen. In einer aktuellen Studie des Fraunhofer AISEC wurden sechs weit verbreitete X.509-Parser mit realen Zertifikaten analysiert. Die Ergebnisse zeigen Unstimmigkeiten auf, die sich auf sicherheitskritische Anwendungen auswirken könnten. In diesem Artikel fassen wir die wichtigsten Ergebnisse zusammen und erklären, warum Unternehmen ihre kryptografischen Bibliotheken genau unter die Lupe nehmen sollten.

26. Februar 2025

Impeccable Keccak: Absicherung kryptografischer Implementierungen mit fehlerresisitenten Schaltkreisen

Bedrohungen für die Cybersicherheit entwickeln sich stets weiter und kryptografische Implementierungen sind zunehmend von Angriffen durch Fehlerinjektionen gefährdet. Das Fraunhofer AISEC präsentiert mit Impeccable Keccak einen neuen Ansatz zur Sicherung von SLH-DSA (SPHINCS+), einem digitalen Signaturverfahren der Post-Quanten-Kryptografie, das von der NIST 2024 standardisiert wurde. Durch den Einsatz fehlerresistenter Schaltkreise und die Gewährleistung aktiver Sicherheit stellt dies einen neuen Ansatz für fehlerresistente Kryptografie dar.

13. Januar 2025

Quantenbasierte und klassische KI-Sicherheit: Wie man robuste Modelle gegen Adversarial Attacks entwickelt

Der Fortschritt im Quantum Machine Learning (QML) bringt spannende Entwicklungen mit sich, wie z. B. höhere Effizienz oder das Potenzial, Probleme zu lösen, die für klassische Computer unlösbar sind. Doch wie sicher sind quantenbasierte KI-Systeme im Vergleich zu klassischen KI-Modellen gegen Adversarial Attacks? Eine vom Fraunhofer AISEC durchgeführte Studie geht dieser Frage nach, indem sie die Robustheit von Quanten- und klassischen Machine-Learning-Modellen in Angriffssituationen analysiert und vergleicht. Unsere Erkenntnisse über Schwachstellen und Robustheit von Machine-Learning-Modellen bilden die Grundlage für praktische Methoden zum Schutz vor solchen Angriffen, die in diesem Artikel vorgestellt werden.

13. Dezember 2024

Fraunhofer AISEC im Auftrag des BSI: Neue Studie zur Synthese von kryptografischen Hardware-Implementierungen

Die Studie des Fraunhofer AISEC zur Sicherheit kryptografischer Hardware-Implementierungen fokussiert Angriffe auf physische Hardware, wie Seitenkanalangriffe und Fehlerangriffe, sowie Maßnahmen zu deren Abwehr. Diese Schutzmechanismen können durch Optimierungen im Prozess des Chip-Designs potenziell Schaden nehmen. Die Untersuchung zeigt, dass Schutzmaßnahmen in komplexe Design-Abläufe integriert und bei der Hardware-Design-Synthese berücksichtigt werden sollten, um gegenüber Hardware-Angriffen resilient zu sein. Die Erkenntnisse nutzen Hardware-Designern bei der Entwicklung von robusten und sicheren Chips.

7. November 2024

Sicherheitslücken in Software schneller entdecken und beheben mit CSAF

Das Common Security Advisory Framework (CSAF) ist ein maschinenlesbares Format für Sicherheitshinweise und spielt eine entscheidende Rolle bei der Umsetzung der Sicherheitsanforderungen aus dem Cyber Resilience Act (CRA): Sicherheitslücken lassen sich schneller entdecken und beheben, indem Sicherheitsinformationen automatisiert erstellt und ausgetauscht werden. Das Fraunhofer AISEC hat jetzt die Software-Bibliothek »kotlin-csaf« veröffentlicht, die den CSAF-Standard in der Programmiersprache Kotlin umsetzt.

16. Oktober 2024

Privacy By Design in der Software-Entwicklung

Verstöße gegen Datenschutzbestimmungen und Eingriffe in die Privatsphäre sorgen immer wieder für Schlagzeilen. Oft sind reaktive Maßnahmen nicht weitreichend genug, um persönliche Daten in Unternehmen und öffentlichen Einrichtungen zu schützen. Datenschutzbewusste Organisationen nutzen daher einen etablierten Software-Entwicklungsprozess, der systematische Schutzmaßnahmen umfasst. Dazu gehören die Auswahl von Technologien zur Verbesserung des Datenschutzes, die Analyse potenzieller Bedrohungen sowie die kontinuierliche Neubewertung von Risiken während der Programmlaufzeit. In diesem Blogbeitrag geben wir einen Überblick, wie datenschutz- und privacyfreundliche Software entwickelt und betrieben werden kann. Dabei konzentrieren wir uns auf risikobasiertes Privacy Engineering als Basis für »Privacy by Design«.

4. Juni 2024

Headerbild zum Blogartikel "Neue Studie zu Laser-basiertem Fehlerangriff auf XMSS" im Cybersecurityblog des Fraunhofer AISEC

Fraunhofer AISEC im Auftrag des BSI: Neue Studie zu Laser-basiertem Fehlerangriff auf XMSS

Für die Sicherheit von eingebetteten Systemen muss die Integrität und Authentizität der Software geprüft werden – z. B anhand von Signaturen. Gezielte Hardware-Angriffe ermöglichen jedoch die Übernahme des Systems mit Schadsoftware. Welchen Risiken sind moderne kryptografische Implementierungen ausgesetzt? Welche Gegenmaßnahmen sind zu ergreifen?

Zur Beantwortung dieser Fragen führte das Fraunhofer AISEC im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) eine Studie zu Laser-basierten Fehlerangriffen auf XMSS durch. Im Fokus steht ein hash-basiertes, quantensicheres Schema für die Erstellung und Überprüfung von Signaturen, das auf dem Winternitz One-Time-Signature-Verfahren (WOTS) basiert.

6. März 2024

Anomalieerkennung mit Quantum Machine Learning zur Identifizierung von Cybersicherheitsproblemen in Datensätzen

Seit der Veröffentlichung von ChatGPT hat die Popularität des maschinellen Lernens (ML) immens zugenommen. Neben der Verarbeitung natürlicher Sprache (NLP) ist die Erkennung von Anomalien ein wichtiger Zweig der Datenanalyse, dessen Ziel es ist, auffällige und vom restlichen Datensatz abweichende Beobachtungen oder Ereignisse zu identifizieren. Am Fraunhofer AISEC forschen Cybersecurity-Experten an Methoden des Quantum Machine Learning (QML) zur Erkennung von Anomalien, um Cybersicherheitsprobleme in Datensätzen zu erkennen. Der Blogbeitrag zeigt zwei Ansätze: Die Klassifizierung von Quantenmaterie und die Berechnung von sicherheitsrelevanten Anomalien mithilfe eines Quantencomputers.

30. Januar 2024

gallia – ein erweiterbares Framework für Penetrationstests

gallia ist ein erweiterbares Framework für Penetrationstests mit Fokus auf den Automotive-Bereich, das von Fraunhofer AISEC unter der Apache 2.0 Lizenz entwickelt wurde. Der Anwendungsbereich der Toolchain umfasst die Durchführung von Penetrationstests von einem einzelnen Steuergerät bis hin zu ganzen Fahrzeugen. Derzeit liegt der Hauptfokus von Testings auf der UDS-Schnittstelle, ist aber nicht darauf beschränkt.
Der folgende Blogartikel gibt einen Gesamtüberblick über die Architektur von gallia. Er geht auf die Plugin-Schnittstelle sowie den beabsichtigten Automotive-Anwendungsfall ein. Der Beitrag behandelt zudem die Interaktion zwischen einzelnen Komponenten und zeigt, wie gallia für andere Anwendungsfälle erweitert werden kann.

28. August 2023

Sicherheitskritische Risiken mit Android App Links

Android App Links ermöglichen die Verknüpfung von Webinhalten mit mobilen Anwendungen. Die bestehenden Systeme weisen jedoch mehrere sicherheitskritische Probleme auf – vor allem drei verschiedene Arten des Link-Hijacking. Bisher gab es kaum Informationen über den Forschungsstand hinsichtlich dieser Sicherheitslücken. Wurden sie bereits behoben und wann? Wie funktionieren unsichere Übertragungswege von Webinhalten zu mobile Anwendungen? Dieser Beitrag informiert über den Stand dieser Probleme und zeigt Wege auf, den Transfer sicherer zu gestalten.

19. Juli 2023

Eine behutsame Einführung in die gitterbasierte Post-Quanten-Kryptografie

In den letzten Jahren wurden erhebliche Fortschritte bei der Erforschung und Entwicklung von Quantencomputern erzielt. Ein voll entwickelter Quantencomputer wird in der Lage sein, eine Reihe von mathematischen Problemen – wie die ganzzahlige Faktorisierung und den diskreten Logarithmus – effizient zu lösen, die die Grundlage für eine Vielzahl von kryptografischen Verfahren bilden. Im Jahr 2016 hat das US-amerikanisch National Institute of Standards and Technology (NIST) einen offenen Wettbewerb ausgeschrieben, mit dem Ziel, geeignete Algorithmen für quantenresistente Kryptografie zu finden und zu standardisieren. Die Standardisierungsbemühungen des NIST streben sichere Post-Quanten-KEMs und digitale Signaturen an. In diesem Artikel werden zwei der zu standardisierenden Algorithmen, Kyber und Dilithium, vorgestellt und einige ihrer mathematischen Details skizziert. Beide Algorithmen basieren auf sogenannten Gittern und dem darauf aufbauenden »Learning with Errors«, die im Artikel näher beleuchtet werden.

14. Juni 2023

ChatGPT – neues Lieblingstool für Hacker?

Der KI-Software ChatGPT wird einiges zugetraut: Zeitungsartikel soll sie schreiben, Abschlussarbeiten verfassen – oder Malware programmieren. Entwickelt sich mit ChatGPT ein neues Tool, mit dem Hacker und Cyberkriminelle noch einfacher Schadsoftware erstellen können? Institutsleiterin Prof. Dr. Claudia Eckert und KI-Experte Dr. Nicolas Müller ordnen das Bedrohungspotential durch ChatGPT für die digitale Sicherheit ein.

5. April 2023

Mit Fuzzing Schwachstellen in der Wi-Fi-Kommunikation finden

Fuzzing ist eine automatisierte Methode, um Software zu testen. Dabei werden ungültige, fehlerhafte oder unerwartete Eingaben eingegeben, um Fehler aufzudecken. Unsere Kollegin Katharina Bogad aus der Abteilung Secure Operating Systems nutzt Fuzzing, um Security-Schwachstellen in eingebetteten Wi-Fi-Geräten aufzuspüren.
Im Blogartikel gibt unsere Expertin Einblicke in das automatische (Fuzz-)Testen von 802.11-Firmware und -Treibern.
Sie erklärt, warum es notwendig ist, eine drahtlose Verbindung willkürlich zu ändern, und untersucht die Hardware- und Softwareanforderungen dafür. Darüber hinaus erläutert sie, wie man den Monitormodus für passives Hören und Frame-Injection verwendet, und schließt mit einem Überblick verschiedener Fallstricke der Methode.

24. Februar 2023

Most Popular

Fraunhofer RISC-V Secure Element Cybersecurity Blog Fraunhofer AISEC

Hardwaresicherheit für elektronische Geräte | Fraunhofer RISC‑V Secure Element als Vertrauensanker

Usable Privacy Nikolai Lenski Cybersecurity Blog Fraunhofer AISEC

Usable Privacy: Warum Usability für effektiven Datenschutz entscheidend ist

Quantum Neural Network Security Pascal Debus Cybersecurity Blog Fraunhofer AISEC

Quantum Neural Network Security: Kill-Chain Attacken auf QNNs