Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →205 papers
Risikoorientiertes DevSecOps mit kontinuierlicher formaler Verifikation: Ein quantitatives Modell für adaptive Sicherheitsorchestrierung in CI/CD-Pipelines
konfigurationsbedingter Schwachstellen. Der Verizon Data Breach Investigations Report 2025 zeigt, dass die Mehrheit der Sicherheitsverletzungen weiterhin bekannte Schwachstellen und Fehlkonfigurationen ausnutzt (VERIZON, 2025). Vorfälle wie Log4Shell (CVE-2021-44228) und Spring4Shell (CVE-2022-22965) haben gezeigt, dass komplexe Abhängigkeitsketten und das Fehlen kontextbasierter Priorisierung großskalige Ausnutzung begünstigen. Im Kontext des MITRE ATT&CK-Frameworks bleiben Techniken wie T1190 (Exploit Public-Facing Application) vorherrschend (MITRE, 2024). Obwohl das DevSecOps-Paradigma da
Read paper →DevSecOpsEvidenzorientiertes DevSecOps: Eine formale Architektur mit kontextbasierter Risikopriorisierung und kontinuierlicher Verifikation für Softwarebereitstellungspipelines im großen Maßstab (2026)
Unternehmenssystemen erheblich vergrößert. Der Data Breach Investigations Report zeigt, dass ein signifikanter Anteil der Sicherheitsverletzungen die Ausnutzung bekannter Schwachstellen, kompromittierter Zugangsdaten und Fehler in der Software-Lieferkette umfasst (VERIZON, 2023). Weit dokumentierte Vorfälle wie die Kompromittierung von SolarWinds und die Ausnutzung der Log4Shell-Schwachstelle (CVE-2021-44228) zeigen, dass während Build-, Paketierungs- oder Abhängigkeitsmanagementprozessen eingeführte Fehler sich systemisch in verteilten Ökosystemen ausbreiten können. Das DevSecOps-Paradigma
Read paper →ResearchProbabilistische angriffsgraphbasierte Priorisierung von Sicherheitslücken in cloud‑nativen Unternehmensnetzen unter Berücksichtigung adversarieller Bewegungsmuster
Sicherheitsarchitektur moderner Unternehmensnetze befindet sich in einem fundamentalen Wandel. Traditionelle, klar segmentierte Perimeter‑Modelle werden zunehmend durch cloud‑native, hochgradig verteilte Architekturen ersetzt. Container‑Orchestrierungssysteme wie Kubernetes, Infrastructure‑as‑Code‑Werkzeuge wie Terraform, serverlose Plattformen sowie hybride Multi‑Cloud‑Szenarien führen zu einer starken Dynamisierung der IT‑Landschaft. Assets entstehen und verschwinden automatisiert; Identitäten werden über föderierte Mechanismen verwaltet; Netzwerkgrenzen sind logisch statt physisch definiert
Read paper →AppSecTITEL: Sicherheitsengineering von Anwendungen in Cloud-Native-Umgebungen: Bedrohungsmodellierung, Runtime-Instrumentierung und telemetriebasierte Erkennung im Jahr 2026
Anwendungssicherheit (AppSec) hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und ist von manuellen Code-Reviews und punktuellen Penetrationstests zu einem integrierten Ökosystem aus DevSecOps-Praktiken, Testautomatisierung und kontinuierlichem Monitoring übergegangen. Im Jahr 2026 bestehen moderne Anwendungen aus Hunderten von Microservices, externen APIs, Open-Source-Abhängigkeiten und Infrastruktur, die durch Cloud-Plattformen verwaltet wird. Dieses Szenario hat die Angriffsfläche drastisch erweitert und traditionelle Sicherheitsansätze unzureichend gemacht, um Bedrohung
Read paper →AppSecEine formal fundierte Architektur für kontinuierliche AppSec: Integration statischer, dynamischer Analyse und bedrohungsorientierter Observability mit quantifizierbaren Garantien
Bedrohungslandschaftsanalyse der ENISA hebt die anhaltende Ausnutzung bekannter Schwachstellen und von Lieferketten als systemische Risiken hervor (ENISA, 2022). Die NVD-Datenbank verzeichnet ein kontinuierliches Wachstum der jährlich gemeldeten CVEs (NVD, 2023). Spezifische Prozentwerte werden hier nicht wiedergegeben, da sie je nach Sektor und Ausgabe variieren, doch der strukturelle Trend ist eindeutig. Vorfälle mit großer Auswirkung illustrieren dieses Phänomen. Log4Shell (CVE-2021-44228) ermöglichte Remote-Code-Ausführung durch JNDI-Injektion in Apache Log4j (MITRE, 2021). Spring4Shell (
Read paper →AppSecEine formale und skalierbare Architektur für kontinuierliche AppSec: Integration modellgeleiteter statischer Analyse, adaptiver dynamischer Instrumentierung und Richtlinienverifikation mit quantifizierbaren Garantien
Unternehmensumgebungen dar. Die Konsolidierung von Architekturen auf Basis von Microservices, Containern, Kubernetes und CI/CD-Pipelines hat die Angriffsfläche erheblich erweitert, insbesondere bei öffentlichen APIs und Integrationen zwischen Diensten. Laut dem Verizon Data Breach Investigations Report 2023 waren etwa 49 % der analysierten Sicherheitsverletzungen mit Webanwendungen verbunden (VERIZON, 2023). Nachfolgende Berichte zeigen bis 2025 eine ähnliche Tendenz und unterstreichen damit die zentrale Bedeutung von AppSec. Der Katalog Known Exploited Vulnerabilities (KEV) der CISA dokument
Read paper →AppSecEine formale und skalierbare Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, MITRE-ATT&CK-orientierter Bedrohungsmodellierung und quantitativer Risikopriorisierung
Sicherheitsstrategie dar. Die beschleunigte digitale Transformation, die Einführung von Architekturen auf Basis von Microservices, RESTful- und GraphQL-APIs, Serverless-Computing und Kubernetes-Plattformen haben die Angriffsfläche, die Angreifern ausgesetzt ist, erheblich vergrößert. Darüber hinaus hat die Integration von Komponenten künstlicher Intelligenz, einschließlich großer Sprachmodelle (LLMs), die in Unternehmensanwendungen eingebettet sind, zusätzliche Bedrohungsvektoren eingeführt, wie Prompt-Injection, indirekte Datenexfiltration und den Missbrauch autonomer Agenten, wie in aktuelle
Read paper →IAMFormale Modellierung und adaptive Durchsetzung von Identity-and-Access-Management-Policies in cloud-nativen Infrastrukturen
Autorisierungsentscheidungen in verteilten Informationssystemen dar. In cloud-nativen Architekturen mit hoher Dynamik, elastischer Skalierung und kurzlebigen Identitäten (z. B. Kubernetes Service Accounts oder föderierte OIDC-Workload-Identitäten) entwickelt sich IAM zu einem komplexen, hochdimensionalen Entscheidungsproblem. Fehlkonfigurationen in IAM zählen zu den dominierenden Ursachen sicherheitsrelevanter Vorfälle. Der Verizon Data Breach Investigations Report 2023 weist aus, dass ein signifikanter Anteil der untersuchten Sicherheitsverletzungen auf kompromittierte Zugangsdaten oder den
Read paper →DFIRARC-DFIR: Eine formale, probabilistische und skalierbare Architektur zur automatisierten Erkennung, Rekonstruktion und Korrelation von Sicherheitsvorfällen in heterogenen Unternehmensumgebungen
Unternehmensumgebungen aggregieren Telemetrie aus EDR/XDR, Firewalls, IDS/IPS, Proxys, E‑Mail‑Gateways, Kubernetes, Cloud‑Providern, SaaS‑Systemen und auf eBPF basierenden Sensoren. Das Volumen kann Milliarden von Ereignissen pro Tag erreichen. Eine einfache chronologische Sortierung ist unzureichend, um Kausalität zu erschließen, während ausschließlich regelbasierte Mechanismen unter kombinatorischer Explosion leiden (AXELSSON, 2000). Wir formulieren daher drei Forschungsfragen: RQ1: Wie können heterogene forensische Ereignisse formal modelliert werden, wobei partielle zeitliche Kausalität
Read paper →DFIRDFIR-Graph: Temporal-probabilistische Korrelation und formale Rekonstruktion von Angriffsketten in hybriden Umgebungen auf Basis kausaler Graphen
Sicherheitsverletzungen den Missbrauch legitimer Identitäten umfasst, auch in föderierten und auf Zero Trust basierenden Umgebungen (ROSE et al., 2020). Vorfälle wie SolarWinds (2020), die Ausnutzung der Schwachstelle Log4Shell (CVE-2021-44228) sowie Kampagnen im Zusammenhang mit CVE-2023-23397 zeigen, dass Angreifer Remote-Exploits mit Persistenz, lateraler Bewegung und Exfiltration kombinieren, häufig im Einklang mit den im MITRE ATT&CK beschriebenen Taktiken und Techniken (MITRE, 2023). In vielen Fällen erstreckt sich die Verweildauer von Angreifern über Wochen oder Monate, was eine detail
Read paper →DFIRDFIR-Graph: Zeitlich-probabilistische Korrelation und formale Rekonstruktion von Angriffsketten in hybriden Umgebungen auf Basis kausaler Graphen
Sicherheitsverletzungen den Missbrauch legitimer Identitäten umfasst, auch in föderierten und auf Zero Trust basierenden Umgebungen (ROSE et al., 2020). Vorfälle wie SolarWinds (2020), die Ausnutzung der Schwachstelle Log4Shell (CVE-2021-44228) sowie Kampagnen im Zusammenhang mit CVE-2023-23397 zeigen, dass Angreifer Remote‑Exploitation mit Persistenz, lateraler Bewegung und Exfiltration kombinieren, häufig im Einklang mit den im MITRE ATT&CK beschriebenen Taktiken und Techniken (MITRE, 2023). In zahlreichen Fällen erstreckt sich die Verweildauer des Angreifers über Wochen oder Monate, was ei
Read paper →AppSecEin formalisiertes, risikogewichtetes Framework für Continuous Application Security (CRAF-AppSec): Semantisch angereicherte Schwachstellenanalyse und adaptive Härtung entlang der Software-Supply-Chain
Entwicklungsprozesse zu einem dominanten Risikofaktor geworden. Der Verizon Data Breach Investigations Report (DBIR) analysiert jährlich tausende bestätigte Sicherheitsvorfälle und zeigt konsistent, dass Schwachstellen in Anwendungen, Fehlkonfigurationen sowie kompromittierte Zugangsdaten zentrale Initialvektoren darstellen (VERIZON, 2024). Parallel dokumentiert der ENISA Threat Landscape Report die zunehmende Professionalisierung von Angreifern, insbesondere im Bereich Ransomware-as-a-Service und Supply-Chain-Angriffe (ENISA, 2023). Prominente Ereignisse unterstreichen die systemische
Read paper →DetectionMehrstufige adaptive Erkennung fortgeschrittener persistenter Bedrohungen durch probabilistische Korrelation heterogener Telemetrie
Unternehmensumgebungen hat sich in der letzten Dekade erheblich weiterentwickelt. Die Konsolidierung von Multi‑Cloud‑Architekturen, Infrastructure as a Service (IaaS), Platform as a Service (PaaS), durch Kubernetes orchestrierten Containern, CI/CD‑Pipelines, exponierten APIs und Remote‑Arbeit hat die Heterogenität der Telemetriequellen sowie die Komplexität von Angriffsketten signifikant erhöht. Der Data Breach Investigations Report 2025 zeigt, dass kompromittierte Zugangsdaten, Ausnutzung von Schwachstellen und Phishing weiterhin zu den dominierenden Intrusionsvektoren gehören (VERIZON, 2025)
Read paper →