Grundlagen der Informationssicherheit: Risiko als Grundlage der Cybersicherheit

Grundlagen der Informationssicherheit

Im Zeitalter von Digitalisierung, Unternehmen aller Größen setzen sich mit dem Komplex auseinander Herausforderungen der Informationssicherheit. Die weit verbreitete Integration von SaaS-Anwendungen von Drittanbietern, die Implementierung von IOT und das Aufkommen von KI-Technologien wie Bard, ChatGPT und DALL-E haben die Landschaft des Geschäftsbetriebs verändert. Diese Technologien haben zwar viele Geschäftsprozesse rationalisiert, aber sie haben auch die Risiken für die digitalen Ressourcen erhöht, die von diesen Anwendungen genutzt werden und denen sie ausgesetzt sind.

In diesem Artikel wird das aktuelle Umfeld der Informationssicherheit untersucht, wobei ein besonderer Schwerpunkt auf risikobasierten Methoden liegt, die sicherstellen, dass Unternehmen Cyber- und Technologierisiken im digitalen Zeitalter antizipieren, sich darauf vorbereiten und sie mindern können. Im ersten Teil des Artikels definieren wir Informationssicherheit, verfolgen ihre Entwicklung, erläutern die Kernprinzipien der Informationssicherheit und skizzieren die gängigsten Cybersicherheitsrahmen. In der zweiten Hälfte des Artikels betrachten wir Risiken als Grundlage für eine solide Cybersicherheitsstrategie. Dabei erörtern wir den Wert, den ein risikobasierter Cyberrisikomanagementansatz für eine Informationssicherheitsstrategie haben kann, und wir untersuchen, wie Quantifizierung von Cyberrisiken ermöglicht es Unternehmen, ihr Budget und ihre Strategie für Informationssicherheit in allen Geschäftsbereichen und gegenüber allen Entscheidungsträgern zu priorisieren und zu begründen.

Was ist Informationssicherheit?

In den Anfängen von Computernetzwerken lag der Schwerpunkt der Informationssicherheit auf physischer Schutz von unternehmenskritischen IT-Systemen, sensiblen Dokumenten und Kommunikationssystemen. Informationssicherheit ist heute die Praxis von Schutz von Informationen in allen Formen, um eine angemessene Verwendung zu gewährleisten. Diese Disziplin geht über den Bereich der IT oder Cybersicherheit hinaus und integriert die umfassenderen Aspekte des Schutzes von Informationen in all ihren Formen und in allen Bereichen einer Organisation. Diese Maßnahmen zielen darauf ab, die grundlegenden Anforderungen von zu erfüllen Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, indem die Häufigkeit und die Auswirkungen von Sicherheitsvorfällen reduziert werden.

‍

Das Nationales Institut für Standards und Technologie (NIST) definiert Informationssicherheit als“den Schutz von Informationen und Informationssystemen vor unbefugtem Zugriff, Nutzung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten.“

Eine sehr kurze Geschichte der Informationssicherheit und Cybersicherheit

Mitte der 1960er Jahre begannen Computersysteme mit dem Übergang von Regierungs- und Unternehmensbereichen in den Alltag. Die Fluggesellschaften nutzten computergestützte Reservierungssysteme, und Finanztransaktionen konnten nun als EFTs oder elektronische Geldtransfers getätigt werden. Die Universitäten begannen auch, Informatikkurse anzubieten. Die Sicherheit in diesen frühen Tagen war eher rudimentär und konzentrierte sich auf physische Schutzmaßnahmen und den Passwortzugriff. 1969 rief eine dem US-Verteidigungsministerium angehörende Forschungsbehörde an Agentur für fortgeschrittene Forschungsprojekte, entwickelte ein Computernetzwerk namens ARPANET, das es Computern ermöglichte, über Telefonleitungen und ohne zentrale Kernmaschine zu kommunizieren — der Vorläufer des heutigen Internets. Wenige Jahre später, im Jahr 1971, benannte ein Computerentwickler Bob Thomas hat ein Programm namens Creeper geschrieben. (von einigen als der erste nicht bösartige Computervirus angesehen), der auf einem „infizierten“ Computer eine Meldung ausgab, mit dem Drucken einer Datei begann und vor Abschluss der Aufgabe auf einen neuen Computer sprang und seine Reise durch das Netzwerk fortsetzte. Ein Jahr später wurde ein 'Antiviren-Programm'Es wurde ein Programm namens Reaper entwickelt, das Creeper verfolgte, um es zu löschen.

‍

Diese Entwicklungen veranlassten Regierungsbehörden, Wirtschaftsführer, Informatiker und Wissenschaftler, die Grundprinzipien der Informationssicherheit. 1977 fand die erste Konferenz über Prüfung und Sicherheit von Computersystemen gehalten von der Institut für Informatik und Technologie des National Bureau of Standards — später NIST — skizzierte, wie die US-Regierung Bedrohungen für Computernetzwerke erkennen und wirksame Schutzmaßnahmen ergreifen sollte, um ihnen entgegenzuwirken. In der Einführung zu das Begleitpapier zur Konferenz, forderte die Präsidentin des Instituts für Informatik und Technologie, Ruth Davis, Regierungsbehörden und Organisationen auf, in Zusammenarbeit mit Wirtschaftsprüfern Bedrohungsanalysen durchzuführen, die sich insbesondere auf potenzielle Verluste, die Wahrscheinlichkeit von Verlusten und die Kosten für die Einführung angemessener Kontrollen beziehen.

‍

Seitdem wurde der rechtliche Rahmen für die Datenschutzberichterstattung und den Schutz personenbezogener Daten aktualisiert und erweitert. Insbesondere die Allgemeine Datenschutzverordnung (GDPR) in der Europäischen Union, die 2018 in Kraft trat, ist ein bedeutender Meilenstein in Datenschutz und Privatsphäre. In den Vereinigten Staaten haben verschiedene Bundesstaaten ihre eigenen Datenschutzgesetze erlassen, wie zum Beispiel die Kalifornisches Verbraucherschutzgesetz (CCPA). Diese Vorschriften schreiben vor, dass Unternehmen Maßnahmen zum Schutz von Verbraucherdaten ergreifen, Verstöße rechtzeitig melden und Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten geben. Die Diskussion über Datenschutz und Sicherheit entwickelt sich ständig weiter, da die Technologie zunehmend in unser tägliches Leben integriert wird, was neue Herausforderungen mit sich bringt und eine kontinuierliche Aktualisierung der Sicherheitsprotokolle und Gesetze erfordert, um Benutzer und Daten vor wachsenden Bedrohungen zu schützen.

Kernkonzepte der Informationssicherheit

Das CIA-Triade wird als Grundlage für alle Informationssicherheits- und Cybersicherheits-Frameworks verwendet, die dies als Leitfaden verwenden. Sie verwenden die CIA-Triade als Leitfaden für die Implementierung von Sicherheitspraktiken, -kontrollen und -standards. Die Triade ist nicht branchen- oder branchenspezifisch, sondern umfasst alle Informationen. Immer wenn Daten erstellt, übertragen, verwendet und wiederverwendet werden, spielt die Triade eine Rolle:

‍

• Vertraulichkeit — Dieser Aspekt der Informationssicherheit stellt sicher, dass sensible Informationen nicht an unbefugte Personen oder Systeme weitergegeben werden.
• Integrität — Diese Komponente stellt sicher, dass die Daten authentisch, genau und zuverlässig sind und nicht manipuliert oder verändert wurden.
• Verfügbarkeit — Dadurch wird sichergestellt, dass Informationen konsistent und leicht zugänglich und für autorisierte Parteien verfügbar sind.

‍

Ein Verstoß gegen die Vertraulichkeit von persönlich identifizierbare Informationen (PII) könnte Schaden anrichten, wenn der Person, die mit den Daten in Verbindung steht, Leistungen verweigert werden oder sie dadurch finanziell, physisch oder sozial geschädigt wird. Unternehmen ohne robuste Erkennungs- und Reaktionsmechanismen sind zunehmend Cybervorfällen ausgesetzt, die die Datenintegrität gefährden, beispielsweise durch Ransomware-Angriffe. DDOS-Angriffe kann zur vollständigen Nichtverfügbarkeit eines Servers oder Netzwerks führen. Eine Strategie für Informationssicherheit und Cybersicherheit ist kein nettes Extra, sondern eine unverzichtbare Voraussetzung, um die Sicherheit Ihrer Daten und den Betrieb Ihrer Systeme zu gewährleisten.

Arten von Informationssicherheitsmaßnahmen

Damit ein Unternehmen oder eine Organisation das übergeordnete Konzept der CIA-Triade umsetzen kann, gibt es einige grundlegende Arten von Informationssicherheitsmaßnahmen, die ergriffen werden können.

• Organisatorische Maßnahmen stellen Sie sicher, dass eine interne Abteilung eingerichtet wird, die Richtlinien und Strategien für eine verbesserte Sicherheit entwickelt.

• Menschliche Maßnahmen Konzentrieren Sie sich auf Sensibilisierungstrainings, z. B. das Wissen, wie man sichere Passwörter erstellt, auf Phishing-Angriffe und andere Möglichkeiten, die CIA-Triade zu verbessern.

• Körperliche Maßnahmen sind implementiert, um den Zugriff auf den Bürostandort, Rechenzentren und physische Maschinen zu kontrollieren, die Teil des Netzwerks sind.

• Technologische Maßnahmen befassen sich mit der Verwendung und Konfiguration von Hardware, Software, Verschlüsselung und Firewalls zur Verbesserung der Sicherheitskontrollen, beispielsweise derjenigen, die sich mit der Erkennung und Authentifizierung von Eindringlingen befassen.

Jede dieser Maßnahmen kann weiter zu spezifischen Kontrollen erweitert werden, die die Grundlage der heute verwendeten InfoSec- und Cybersicherheits-Frameworks bilden.

Rahmenbedingungen für das Risikomanagement im Bereich der Informationssicherheit

Frameworks für Informationssicherheit und Cybersicherheit bieten Unternehmen einen strukturierten Ansatz für das Management von Informationssicherheitsrisiken. Diese Frameworks kodifizieren in der Regel die CIA-Triade (Vertraulichkeit, Integrität und Verfügbarkeit) in verschiedene Kontrollgruppen und Kontrollen. Zu den am häufigsten implementierten Frameworks gehören:

Das NIST Cybersecurity Framework (CSF) ist ein weit verbreitetes Framework, das Folgendes bietet ein umfassender Satz von Richtlinien und bewährten Verfahren um Unternehmen bei der Verwaltung und Reduzierung von Cybersicherheitsrisiken zu unterstützen. Das CSF wurde vom National Institute of Standards and Technology (NIST) entwickelt und erstmals 2014 veröffentlicht. Es wurde ursprünglich für Organisationen mit kritischer Infrastruktur konzipiert, hat sich aber seitdem in verschiedenen Sektoren als wertvoll erwiesen, unabhängig von Größe oder Reifegrad.

Das CSF ist in fünf Kernfunktionen gegliedert:

• Identifizieren
• Beschützen
• Ermitteln
• Reagieren
• Erholen

Eine zusätzliche Funktion, Regieren, wurde vorgeschlagen, um die Bedeutung einer kontinuierlichen Überwachung und Verbesserung der Cybersicherheitslage des Unternehmens hervorzuheben. Diese Kernfunktionen bieten einen umfassenden Überblick über den Ansatz eines Unternehmens zum Umgang mit Cybersicherheitsrisiken.

‍

Aufgrund seiner Flexibilität und Anpassungsfähigkeit eignet sich das Framework für Unternehmen aller Größen und Branchen. Darüber hinaus ist das CSF an andere Cybersicherheits-Frameworks angepasst, wie ISO 27000 und KOBIT, erleichtert ihre Integration in bestehende Risikomanagementprozesse.

Das NIST 800 Die Reihe bietet detaillierte Anleitungen zu einer Vielzahl von Themen, darunter Risikomanagement, Reaktion auf Vorfälle und physische Sicherheit. Sie gilt als Goldstandard für Cybersicherheit und hat weltweit Einfluss auf die Gestaltung von Cybersicherheitsrichtlinien und -praktiken. Obwohl die NIST 800-Serie in erster Linie für US-Bundesorganisationen entwickelt wurde, hat sie sich bei privaten Unternehmen weltweit durchgesetzt.

‍

Das Framework umfasst Richtlinien, Empfehlungen und technische Spezifikationen für Organisationen, die mit sensiblen Daten umgehen, einschließlich kontrollierter unklassifizierter Informationen (CUI). Es definiert 20 Kontrollgruppen wie Zugriffskontrolle, Reaktion auf Vorfälle, Sensibilisierung und Schulung sowie Risikobewertung und umfasst über 1.000 spezifische Kontrollen.

‍

Aufgrund ihres Umfangs und ihrer Ausrichtung auf branchenweit bewährte Verfahren wird die NIST 800-Serie häufig von privaten Organisationen verwendet, um die Einhaltung von Vorschriften wie den Gesetz zur Portabilität und Rechenschaftspflicht von Krankenversicherungen (HIPAA), der Sarbanes-Oxley Act (SOX) und der Allgemeine Datenschutzverordnung (GDPR).

KOBIT 5 ist ein Framework für die Steuerung und Verwaltung der Unternehmens-IT. COBIT wurde von ISACA, einem internationalen Berufsverband, der sich auf IT-Governance konzentriert, ins Leben gerufen. Es wird eingesetzt, um Unternehmen dabei zu unterstützen, aus der IT einen Mehrwert zu ziehen, indem sie ein Gleichgewicht zwischen der Realisierung von Vorteilen und der Optimierung des Risikoniveaus und der Ressourcennutzung aufrechterhalten. COBIT 5 basiert auf fünf Prinzipien:

1. Erfüllung der Bedürfnisse der Interessengruppen.

2. Wir decken das Unternehmen von Anfang bis Ende ab

3. Anwendung eines einzigen integrierten Frameworks

4. Ermöglicht einen ganzheitlichen Ansatz

5. Trennung von Unternehmensführung und Management

COBIT 5 kann in jeder Organisation jeder Größe implementiert werden und gewährleistet die Qualität, Kontrolle und Zuverlässigkeit von Informationssystemen.

‍

ISO 27000-Serie — Diese Normenfamilie befasst sich mit drei Säulen der Informationssicherheit: Menschen, Prozesse und Technologie. Jeder Standard der Reihe beschreibt bewährte Verfahren für das Management von Informationsrisiken durch Implementierung von Sicherheitskontrollen im Rahmen einer Informationssicherheits-Managementsystem (ISMS). Sie können von Unternehmen jeder Größe verwendet werden, um ihre Informationsressourcen zu sichern und Risiken zu minimieren.

Risiko als Grundlage für Informationssicherheit  

Was ist Risiko?

ISO 27000 definiert Risiko auf hohem Niveau als „Auswirkung von Unsicherheit auf Ziele“. Anschließend enthält sie sechs Hinweise zur weiteren Definition des Risikos.

1. Ein Effekt ist eine Abweichung vom Erwarteten — positiv und/oder negativ.

2. Ziele können unterschiedliche Aspekte haben (z. B. finanzielle Ziele, Gesundheits- und Sicherheitsziele, Informationssicherheits- und Umweltziele) und auf verschiedenen Ebenen gelten (z. B. strategisch, organisationsweit, projekt-, produkt- und prozessbezogen).

3. Das Risiko wird häufig durch Bezugnahme auf potenzielle Ereignisse und Folgen oder eine Kombination davon charakterisiert.

4. Das Informationssicherheitsrisiko wird häufig als eine Kombination aus den Folgen eines Informationssicherheitsereignisses und der damit verbundenen Eintrittswahrscheinlichkeit ausgedrückt.

5. Ungewissheit ist der Zustand, wenn auch nur teilweise, ein Mangel an Informationen, das Verständnis oder die Kenntnis eines Ereignisses, seiner Folgen oder seiner Wahrscheinlichkeit.

6. Ein Informationssicherheitsrisiko ist mit dem Potenzial verbunden, dass Bedrohungen Sicherheitslücken eines Informationsbestands oder einer Gruppe von Informationsressourcen ausnutzen und dadurch einem Unternehmen Schaden zufügen.

‍

Das Offener FAIR™ -Standard und die Taxonomie definiert Risiko einfach als“die wahrscheinliche Häufigkeit und das wahrscheinliche Ausmaß zukünftiger Verluste.“ Dieses Konzept, das auch als „Verlustrisiko“ bezeichnet wird, fasst nicht nur die Wahrscheinlichkeit einer Sicherheitsverletzung oder eines anderen Informationssicherheitsereignisses zusammen, sondern auch die potenziellen finanziellen und Reputationsfolgen, die einem Unternehmen drohen könnten. Der FAIR-Standard bietet einen quantitativen Rahmen für die Cyberrisikoanalyse, der es Unternehmen ermöglicht, ihre Informationsrisiken effektiv zu messen, zu verwalten und zu kommunizieren.

Reifegradmodell

Der Reifegrad des Ansatzes eines Unternehmens in Bezug auf Informationssicherheit spiegelt sich häufig darin wider, wie proaktiv potenzielle Bedrohungen erkannt und abgewehrt werden. Eine ausgereifte, risikobasierte Strategie zeichnet sich durch Maßnahmen aus, die darauf abzielen, Sicherheitslücken zu erkennen und Lücken zu kontrollieren, bevor sie ausgenutzt werden können. Auf diese Weise kann das Unternehmen Bedrohungen erkennen und bekämpfen, bevor sie zu Verlustereignissen werden, wodurch die Gesamtkosten der Sicherheit gesenkt werden.

‍

Im Gegensatz dazu ist eine reaktive Haltung, bei der der Schwerpunkt darauf liegt, auf Vorfälle wie Hacks und Datenschutzverletzungen zu reagieren, nachdem sie aufgetreten sind, oft weniger effektiv und kostspieliger. Ad-hoc-Risikomanagement, bei dem Risikobewertungen nur dann durchgeführt werden, wenn dies erforderlich ist, oder Kontrollen erst nach einem Verstoß eingeführt werden, ist der am wenigsten ausgereifte Ansatz. Ein ausgereifterer Ansatz basiert auf der Einhaltung von Vorschriften, bei dem sich Unternehmen auf die Implementierung von Kontrollen konzentrieren, die den relevanten Gesetzen, Vorschriften und Richtlinien wie HIPAA entsprechen. DSGVO, und andere. Der proaktivste und ausgereifteste Ansatz ist risikobasiert und berücksichtigt die Risikobereitschaft des Unternehmens und die Möglichkeiten, Risiken zu mindern und gleichzeitig die Kapitalrendite zu maximieren.

Vorteile eines risikobasierten Ansatzes

Die Einführung eines risikobasierten Ansatzes in der Informationssicherheit ermöglicht es einem Unternehmen, die digitalen Ressourcen zu identifizieren und zu bewerten, die für ihre Wertschöpfungskette am wichtigsten sind. Wenn Risikomanager und CISOs verstehen, wo die größten Risiken liegen, können sie Kontrollen bewerten und implementieren, die nicht nur wirksam, sondern auch kosteneffizient sind, und so sicherstellen, dass die Sicherheitsinvestitionen proportional zu den potenziellen Auswirkungen der Risiken sind. Eine effektive risikobasierte Methode für das Risikomanagement wird als Cyberrisikoquantifizierung bezeichnet.

Quantifizierung von Cyberrisiken

‍

Was ist Cyberrisikoquantifizierung?

Die Quantifizierung von Cyberrisiken (CRQ) ist eine Methode zur Messung des Informations- und Technologierisikos in finanzieller Hinsicht. Der Open FAIR™ -Standard (Factor Analysis of Information Risk) bietet eine strukturierte und systematische Methode zur Analyse und Quantifizierung von Informationsrisiken. Durch die Definition einer klaren Taxonomie und Ontologie Open FAIR schlüsselt das Risiko auf in eine logische Hierarchie, die untersucht und quantifiziert werden kann. Dieser granulare Ansatz ermöglicht es Unternehmen, ihre kritischen Vermögenswerte und die damit verbundenen Risiken innerhalb ihrer Wertschöpfungskette zu identifizieren. Anhand dieser Informationen können Unternehmen dann die Wirksamkeit ihrer aktuellen Kontrollen beurteilen und fundierte Entscheidungen darüber treffen, wo zusätzliche Maßnahmen ergriffen werden sollen.

Methoden und Tools

Statistische Modelle wie die Monte-Carlo-Simulation sind ein wichtiger Bestandteil der Methoden zur Quantifizierung von Cyberrisiken (CRQ). Diese ermöglichen es Unternehmen, die Bandbreite potenzieller Ergebnisse zu verstehen, indem sie Szenarien für unsichere Variablen ausführen. Dies liefert eine Verteilung möglicher Auswirkungen und hilft so, die Risiken in finanzieller Hinsicht zu quantifizieren. Monte-Carlo-Methoden sind besonders wirksam, wenn sie mit dem FAIR-Modell kombiniert werden, da sie eine differenziertere Risikoanalyse und Entscheidungsfindung unter Unsicherheit ermöglichen und dem Risikomanagementprozess eine tiefere statistische Genauigkeit verleihen.

‍

Eine weitere risikobasierte Methode, die in Verbindung mit CRQ verwendet wird, ist MITRA BEI T&CK. MITRE ATT&CK ist eine Wissensdatenbank, die hilft, die Taktiken und Techniken von Cybergegnern zu modellieren. Szenarien können MITRE zugeordnet und dann Kontrollen implementiert werden, um das Risiko auf ein akzeptables Maß zu reduzieren.

‍

Darüber hinaus ist es möglich, Ihre Szenarien entlang eines Pfades wie der Cyber-Kill-Chain abzubilden, jedoch erst, nachdem das Verlustereignis eingetreten ist. Dies wird als Verlustkette bezeichnet. Und auf dieser Ebene ist es möglich, die wahrscheinliche Häufigkeit und das wahrscheinliche Ausmaß von Verlusten zu quantifizieren und alle Kontrollen zu identifizieren, die zur Verringerung der finanziellen Auswirkungen möglich sein könnten.

‍

Vorteile und Herausforderungen

Cyber Risk Quantification (CRQ) ist ein risikobasierter Ansatz für Cybersicherheit, der Unternehmen mehrere erhebliche Vorteile bietet. CRQ übersetzt komplexe technische Risiken in verständliche Geschäftsbegriffe und ermöglicht so eine klarere Kommunikation zwischen Cybersicherheitsexperten und der Geschäftsleitung, sodass fundierte Entscheidungen getroffen werden können. Diese Ausrichtung der Cybersicherheitsmaßnahmen auf die Geschäftsziele stellt sicher, dass die Ressourcen so eingesetzt werden, dass ihre Auswirkungen auf die Gesamtrisikosituation des Unternehmens maximiert werden.

‍

CRQ ermöglicht es Unternehmen, datengestützte Entscheidungen über Cybersicherheitsinvestitionen zu treffen und sicherzustellen, dass die Ressourcen auf die Bereiche mit dem größten Bedarf ausgerichtet werden. Dieser risikobasierte Ansatz hilft Unternehmen dabei, ihre Cybersicherheitsmaßnahmen effektiv zu priorisieren, potenzielle Verluste zu verhindern und wertvolle Vermögenswerte zu schützen.

‍

CRQ bietet zwar viele Vorteile, birgt aber auch gewisse Herausforderungen. Eine der wichtigsten Herausforderungen besteht darin, kritische digitale Ressourcen zu identifizieren und sie innerhalb der Wertschöpfungskette des Unternehmens abzubilden. Dieser Prozess erfordert ein umfassendes Verständnis der Geschäftsabläufe, der IT-Infrastruktur und der Datenressourcen des Unternehmens.

‍

Durch die Einführung von CRQ können Unternehmen ihre Cybersicherheit verbessern, die Kommunikation mit Stakeholdern verbessern und fundierte Entscheidungen treffen, die ihren Geschäftszielen entsprechen.

‍

Fazit

Risikobasierte Cybersicherheit ist nicht nur ein Ansatz — sie ist die Grundlage einer ausgereiften Informationssicherheitsstrategie. Für Unternehmen ist es unerlässlich, einen dynamischen Ansatz zu verfolgen, der qualitative und quantitative Methoden der Risikoanalyse und des Risikomanagements umfasst. Durch die Priorisierung kritischer digitaler Ressourcen und ihrer Wertschöpfungskette können Unternehmen sicherstellen, dass ihr Sicherheitsniveau stabil bleibt und auf die sich ständig verändernde digitale Landschaft reagiert.

‍

Wenn Sie mehr darüber erfahren möchten, wie die Lösungen von C-Risk Ihnen bei der Entwicklung eines ausgereifteren Informationssicherheitsprogramms helfen können, können Sie uns kontaktieren hier.