Liebe auf Umwegen — Simone, 38, und Klaus Brendel, 38, kennen sich seit der Kindheit. Bis die beiden ein Paar wurden, vergingen 22 Jahre\nSimone und Klaus Brendel\nWas einem als Erstes auffällt, ist diese entwaffnende Vertrautheit: Sie brauchen kaum Worte, um den anderen zu verstehen. Keine Spur von Gleichgültigkeit oder Nachlässigkeit. Trotz der zehn Jahre, die sie nun schon zusammen sind. Trotz der 32 Jahre, die sie sich bereits kennen. „Wir sind schon zusammen in die erste Klasse gegangen“, erzählt Klaus. Damals 1976 in Glauchau, einer kleinen Stadt nahe Chemnitz. Doch mehr als sich gegenseitig ein wenig zu necken, war nie. An den Haaren ziehen, vor den Jungs weglaufen, Schluss. „Die Anzahl der Worte, die wir in dieser Zeit miteinander sprachen, war in etwa so groß wie die gemeinsam verbrachten Schuljahre“, lacht Simone. „Und unser Bedürfnis, einander näher kennenzulernen, lag bei null.“\nMan kann also nicht behaupten, dass die Liebe des Paares mit einem Paukenschlag begann. Sie bahnte sich eher langsam an, später, als die beiden nach der Schule plötzlich in derselben Clique waren. Sie mochten die gleiche Musik, gingen am Wochenende aus. Immer in der Gruppe, immer mit der Freundin von Klaus. „Ich fand ihn nett, für mich kam er jedoch nie in Frage, weil er ja schließlich mit meiner Bekannten zusammen war“, sagt Simone. Wie sehr die zwei dennoch im Gleichtakt tickten, merkten sie zum ersten Mal, als Klaus wieder Single war. „Unser Freundeskreis bestand überwiegend aus Pärchen. Da war es nur logisch, dass wir uns als Singles bei Unternehmungen zusammentaten“, sagt Simone, und Klaus ergänzt: „Damals ist mir erst richtig bewusst geworden, dass man mit Simone jede Menge Spaß haben kann und wie vertraut wir sind.\nEs kam vor, dass ich einen Satz begonnen habe und Simone ihn zu Ende brachte.“ Das Band, das sich erst ganz lose um die beiden geschlungen hatte, zurrte sich schließlich immer fester zusammen. „Unsere Freunde haben schon lange spekuliert, wann wir endlich zueinanderfinden“, erinnert sich Simone. Es passierte letztlich im März 1998. Simone hatte für Klaus gekocht. „Ich weiß nicht mal mehr, was es war. Ich kann mich nur noch an den diesen ersten Kuss erinnern“, sagt sie. Sicher ist: Er war nicht geplant. Der gute Wein, die Musik, die sie beide liebten, die Hände, die sich wie zufällig berührten. In diesem Augenblick gab es keine Spur von Zweifel mehr, sondern nur noch Neugier und Herzklopfen.\n„Trotzdem, manchmal finde ich es schade, dass Simone und ich niemals diese prickelnde Phase des ersten Kennenlernens hatten“, gibt Klaus zu. „Es ist ja auch immer spannend herauszufinden, ob der andere am Ende wirklich genauso ist, wie er anfangs vorgegeben hat zu sein“. Dafür haben die beiden etwas, das ihnen sehr viel wichtiger ist als jede Liebesgeschichte, die mit einem Paukenschlag beginnt: einen Menschen, der sich im gleichen Rhythmus bewegt wie man selbst.


heute möchte ich euch gerne die Marke Soulhorse vorstellen. Ich habe mir nämlich vor ein paar Wochen meine ersten Anhänger bestellt und heute sind diese angekommen. Habe direkt die Zeit genutzt und Bilder von den Produkten gemacht. Ihr kennt #soulhorse noch nicht? Na dann wird es jetzt aber Zeit!\nOb rund, herzförmig, aus Leder oder Aluminium – bei #soulhorse haben wir verschiedenste Anhänger für Sattel, Halfter oder deinen Schlüsselbund. Deiner Sammel-Lust sind keine Grenzen gesetz!\nIch muss sagen, ich habe etwas länger überlegt ob ich das wirklich „brauche“. Aber irgendwie kann man damit schon eine persönliche Note einbringen und die Anhänger sind auch extrem süß. Also habe ich mir mal 3 bestellt und ich muss sagen, ich bin absolut begeistert!Außerdem sind die Produkte von Soulhorse auch Glücksbringer, super Geschenkideen und auch Sammlerstücke, da es auch limitierte Produkte gibt.\nIch habe mir, nachdem ich im Shop geschaut habe, direkt 3 Anhänger bestellt. Der Edel Zosse schmückt mein neues Lederhalfter und ich finde es einfach mehr als süß! Die Berufszicke hängt mittlerweile an meinem Autoschlüssel und nachdem ich mein Sattel endlich mal wieder geputzt habe, wird Goldstück an meinem Sattel zu finden sein :p


Booking.com: Akzent Hotel Schluchtern - Schlüchtern, Deutschland\nSichern Sie sich einen tollen Preis für die Unterkunft Akzent Hotel Stadt Schlüchtern - Superior – von Gästen kürzlich mit 8,7 bewertet. Geben Sie Reisedaten an, um loszulegen.\nIch war positiv überrascht , tolles Preis Leistungs Verhältnis . Zimmer war toll und das Frühstück war spitze . Ich würde immer wieder dort übernachten .\nFrühstück und Bett waren sehr zufriedenstellend\nZentrale Lage, sauber, gutes Preis-Leistungs Verhältnis\nSehr gutes Frühstück. Angenehmes Personal das sich kümmert, sowohl beim Check-In als auch beim Frühstück.\nNähe zum Radweg, sehr gutes Frühstück.\nDer Empfang war absolut herzlich und fröhlich. Das Frühstück bot von herzhaften bis süßen Speisen alles, was man begehrt. Die große Terrasse lädt zum längeren Verweilen ein.\nGroßes Zimmer mit viel Platz.\nDas Frühstück war gut, das Personal sehr freundlich und die Lage Stadtmitte gut.\nDer Service war richtig super. Die Größe und Ausstattung der Zimmer toll. Dieses Hotel ist sehr zu empfehlen. Das Personal ist immer super nett und hilfsbereit. Preis - Leistungs - Verhältnis stimmt.\nSpätes Einchecken auch Sonntagabend dank Automat problemlos möglich, sehr gutes Frühstücksbuffet. Großes Zimmer.\nDer Name des Hotels ist zugleich Programm. Er bezieht sich auf das einst renommierteste und erste Haus am Platz, das "Hotel Stadt Schlüchtern", das bis in die fünfziger Jahre auf dem Gelände des heutigen Kaufhauses Langer stand. Es hatte in seiner langen Geschichte zahlreiche illustre Persönlichkeiten beherbergt, die auf der Reichsstraße Frankfurt-Leipzig reisten oder sich in unserer Stadt aufhielten. Das neue Hotel STADT SCHLÜCHTERN bietet in seiner ersten und zweiten Etage 60 Betten in zeitgemäß und wohnlich ausgestatteten Zimmern an. Selbstverständlich zählen Telefon, TV und Faxanschluss ebenso zum Ausstattungsstandard wie ein behindertengerechtes Zimmer.\nAkzent Hotel Stadt Schlüchtern - Superior heißt Booking.com-Gäste seit 3. Mai. 2006 willkommen.\nWann möchten Sie in der Unterkunft Akzent Hotel Stadt Schlüchtern - Superior übernachten?\nDie letzte Buchung für dieses Hotel erfolgte am 21. Sept. um 20:01 aus den USA.\nDie Unterkunft Akzent Hotel Stadt Schlüchtern - Superior wurde gerade 1 mal auf unserer Seite gebucht. Buchen Sie Ihren Aufenthalt jetzt.\n6 Gründe für die Unterkunft Akzent Hotel Stadt Schlüchtern - Superior\n2 Unterkünfte in Schlüchtern\nAusstattung von: Akzent Hotel Stadt Schlüchtern - Superior\nLebensmittel- Verbrauchermarkt (0,2 km), Der Meisterbäcker (im Hause) (0 km)\nKaufhaus Langer (0,2 km)\nPizzeria (0 km), Gasthof Hausmann (0,2 km), Restaurant Zeppelin (Vertragsrestaurant) (0,2 km)\nCafé Fabrice (im Hotel) (0 km)\nKinzigtalsperre (10 km), Niedermooser See (25 km)\nKinzig (0,5 km)\nBurgmannenhaus – Bewertung der Lage: 9,4\nBayrischer Hof bietet ein Bewertungsergebnis von 9\nSuchen Sie nach etwas anderem? Sehen Sie sich die 2 besten Hotels in Schlüchtern an, basierend auf 137 echten Bewertungen für Hotels auf Booking.com.\nKunden, die Akzent Hotel Stadt Schlüchtern - Superior angesehen haben, interessierten sich auch für:\nDie letzte Buchung für dieses Hotel erfolgte heute um 11:14 Ergebnis aus 191 Bewertungen\nNur 200 m von der Spessart Therme und dem Kurpark entfernt begrüßt Sie dieses Hotel im Herzen von Bad Soden-Salmünster. Das KIShotel am Kurpark bietet kostenloses WLAN und regionale Küche. Die letzte Buchung für dieses Hotel erfolgte heute um 00:04 Ergebnis aus 62 Bewertungen\nWir sind ein familiengeführter Gasthof im Herzen der Altstadt von Schlüchtern. Wir haben eine Tradition von über 450 Jahren. Ergebnis aus 23 Bewertungen\nDieses Hotel genießt eine zentrale Lage in Bad Soden-Salmünster, nur 5 Gehminuten von der Spessart Therme entfernt. Ergebnis aus 67 Bewertungen\n» Mehr Hotels in Schlüchtern ansehen\nAlle Gästebewertungen für Akzent Hotel Stadt Schlüchtern - Superior ansehen\nNeueste Bewertungen für die Unterkunft Akzent Hotel Stadt Schlüchtern - Superior\n눇Ich war positiv überrascht , tolles Preis Leistungs Verhältnis . Zimmer war toll und das Frühstück war spitze . Ich würde immer wieder dort übernachten .\n눉Nichts눇Frühstück und Bett waren sehr zufriedenstellend\n„Stadthotel mit gutem Preis-Leistungs Verhältnis“\n눉Nichts눇Zentrale Lage, sauber, gutes Preis-Leistungs Verhältnis\n눇Sehr gutes Frühstück. Angenehmes Personal das sich kümmert, sowohl beim Check-In als auch beim Frühstück.\n눇Nähe zum Radweg, sehr gutes Frühstück.\n„Klasse Hotel in guter Lage.“\n눇Der Empfang war absolut herzlich und fröhlich. Das Frühstück bot von herzhaften bis süßen Speisen alles, was man begehrt. Die große Terrasse lädt zum längeren Verweilen ein.\n눉Keine Minibar vorhanden und wenig Parkplätze, Parkhaus sehr eng.눇Großes Zimmer mit viel Platz.\n눇Das Frühstück war gut, das Personal sehr freundlich und die Lage Stadtmitte gut.\n눉Mehr Stauraum für Kleidung wäre nicht schlecht. Für einen längeren Aufenthalt und Paare wird es etwas eng.눇Der Service war richtig super. Die Größe und Ausstattung der Zimmer toll. Dieses Hotel ist sehr zu empfehlen. Das Personal ist immer super nett und hilfsbereit. Preis - Leistungs - Verhältnis stimmt.\n눉Alles gut.눇Spätes Einchecken auch Sonntagabend dank Automat problemlos möglich, sehr gutes Frühstücksbuffet. Großes Zimmer.\n눇Sehr persönlicher Service, sehr gutes Frühstück, schönes großes Zimmer.\n눇super Service; lecker Frühstück,Lunchpaket;\nAusschlafen,bis man selber munter wird;(Zimmer zum Hof), kommen sehr gern wieder!!!!\n눇Sehr umfangreiches und breites Frühstücksangebot\nDas Beste von Schlüchtern\nKlicken Sie hier, um mehr Unterkünfte in der Nähe von bekannten Sehenswürdigkeiten in Schlüchtern zu sehen.\nSparen Sie bis zu 50 % in Schlüchtern


GamersGate: Drittes IndieFort Bundle erschienen - News | GamersGlobal.de\nGamersGate: Drittes IndieFort Bundle erschienen\nmihawk 15447 EXP - 19 Megatalent,R6,S1,A10,J10\n11. September 2012 - 15:52 — vor 8 Jahren zuletzt aktualisiert\nTiny and Big in - Grandpa's Leftovers ab 9,99 € bei Green Man Gaming kaufen.\nHeute erscheint auf GamersGate das dritte IndieFort Bundle. Es bietet 24 Titel, aus denen ihr euch in den nächsten drei Wochen selbst ein Bundle zusammenstellen könnt. Ihr habt dabei die Wahl zwischen drei Bundle-Packs: Beim Bronze-Pack bekommt ihr drei Spiele für 2,99 Euro, beim Silber-Pack sechs Spiele für 5,99 Euro und beim Gold-Pack ganze neun Spiele für 7,99 Euro.\nSentinel 3 - Homeworld\nTelepath RPG - Servants of God\nTiny and Big - Grandpa’s Leftovers\nAdmiral Anger 26 Spiele-Kenner - P - 70583 - 11. September 2012 - 17:35 #\nAlso das ist mal wirklich Indie, ich kenne kein einziges von den Spielen...\nseb 14 Komm-Experte - 2035 - 11. September 2012 - 20:07 #\nUnd zwar nur weil Airbuccaneers nicht billiger zu haben ist :D\nStellt sich nur die Frage welche weiteren Spiele ich dazu nehmen möchte. Hat da jemand vielleicht ein, zwei Empfehlungen?\nCloud (unregistriert) 11. September 2012 - 21:26 #\nAlso mit Tiny and Big kannst du eigentlich nichts falsch machen.\nZockeredwin 15 Kenner - 3102 - 12. September 2012 - 11:59 #\n"Telepath RPG - Servants of God" ist wohl empfehlenswert für RPG-Liebhaber. Außerdem ist es eines der Spiele bei denen man wirklich was spart. Im Wirschweifenab-Podcast wurde mal darüber berichtet, Fazit: Liebe, aber erst auf den zweiten Blick.\nGG-Angespielt: Tiny and Big in – Grandpa’s Leftovers


Singles aus landsberg am lech, lokale partnersuche\nSingles aus landsberg am lech, ausgehtipps für singles im landkreis landsberg am lech\nLeider hat Deine Suche kein Ergebnis geliefert. Männer von 31 bis 35 Landsberg a. Partnervermittlung ab 50 Landsberg a.\nMeld dich jetzt kostenlos an. Also vielleicht bis bald deine Sandy.\nLech Partnersuche 40plus Landsberg a. Finde beim Casual Dating niveauvolle Gleichgesinnte für phantasievolle Abenteuer! HotBabe89 f30 Jahre Single aus: Gratulation, auf dieser Seite bist du genau richtig!\nIn den unterschiedlichen urigen Kneipen, Biergärten und Wirtshäusern einzukehren, gehört hier zur gelebten Alltagskultur. Hier triffst du Singles, die es ernst meinen und findest durch individuelle Persönlichkeitstests den Partner, der wirklich zu dir passt. Liebe Besucherin, lieber Besucher von meinestadt. Männer von 20 bis 24 Landsberg a. Die Partnersuche Landsberg a.\nPartnersuche 50plus Landsberg a. Vielleicht single frauen aus pirmasens ich die Frau, die du suchst? Hier haben Singles zahlreiche Möglichkeiten, in Gaststätten und Restaurants nach Herzenslust zu schlemmen. Ich bin sportlich, schlank und habe braunes volles Haar.\nEine Bootspartie auf dem berühmten Ammersee ist kaum an Romantik zu überbieten. Augenfarbe Braun Figur es wird weniger: Lech Frauen von 61 bis 65 Landsberg a.\nZu schnell beleidigt sein, wenn man mal HappyLady f46 Jahre Single aus: Du suchst nach diskreten und unverbindlichen Kontakten? Die bezaubernde Natur, insbesondere rund um den Lech oder den Ammersee, bietet Singles im Landkreis Landsberg am Lech viele verschiedene Möglichkeiten der Freizeitgestaltung.\nMänner und Frauen auf Solopfaden. Frauen von 56 bis 60 Landsberg a.\nPartnersuche ab 50 in Landsberg a. Lech und Umgebung auf.\nMänner von 25 bis 30 Landsberg a. Mal schauen was die Zukunft bringt. Du suchst nach diskreten und unverbindlichen Kontakten?\nHay erstmal, Bin 22 und einfach mal unverbindlich hier. Denn Plattformen wie Singles Landsberg am Lech bieten mittlerweile die perfekte Chance, um als Single seinen Traumpartner kennenzulernen. Figur paar Kilos zu viel.\nBleibe nicht länger allein, melde Dich kostenlos an, erstelle ein umfangreiches Profil und erhalte Partnervorschläge die zu Dir passen! Ausschlaggebend sind vor allem die hohen Ansprüche der Singles an ihren Wunschpartner und die Kompromisslosigkeit. Finde beim Casual Dating single aus borken Gleichgesinnte für phantasievolle Abenteuer!\nDer Mensch ist nicht gemacht, um einsam zu sein!\nFrauen von 56 bis 65 Landsberg a. Ich suche eine feste Beziehung um gemeinsam eine Zukunft aufzubauen.\nErotische Abenteuer in Landsberg a. Casual Dating Landsberg a.\nDu suchst Singles aus Landsberg am Lech, GKSt und Umgebung?\nHi hier ist der mike bin 26 jahre alt habe blonde kurze haare blaue augen und sportliche figur. Also wenn du nicht nur auf ganz schlanke Frauen stehst und selbst auch ein bisschen attraktiv und gepflegt bist, dann melde dich doch einfach bei mir.\nIch suche keine Beziehung, sondern freu mich drauf, neue Leute kennen zu lernen: Habe zwei Kinder die ich alleine erziehe.


Alexander-Gauland- Zitat über Jerome Boateng: Entgleisungen gehören beim AfD-Vize dazu | Politik\nAlexander-Gauland- Zitat über Jerome Boateng: Entgleisungen gehören beim AfD-Vize dazu\n31.05.16 17:00 aktualisiert: 28.08.17 12:11\nZitat über Boateng steht in langer Tradition\nAfD-Vize Gauland: Berüchtigt für Entgleisungen\nQuell unendlicher Sprüche, die für Empörung sorgen: Der stellvertretenden AfD-Vorsitzende Alexander Gauland.\nBerlin - Fragwürdige Gauland-Sprüche und kein Ende: Der AfD-Vize ist berüchtigt für umstrittene Zitate. Die jüngste Entgleisung, der Fußballstar Jérôme Boateng zum Opfer fiel, ist vorläufiger Höhepunkt einer langen Liste.\nUpdate vom 28. August 2017: Kurz vor der Bundestagswahl hat sich Alexander Gauland die nächste Entgleisung erlaubt. Sein Opfer: die SPD-Politikerin und Integrationsbeauftragte Aydan Özoguz.\nAlexander Gauland hat nicht nur in den sozialen Medien viel Gegenwind und Kritik abbekommen, nachdem der stellvertretende AfD-Vorsitzende den Fußballer Jérôme Boateng verunglimpft hatte. In einem Gespräch mit der er „Frankfurter Allgemeinen Sonntagszeitung“ (FAS) hatte der 75-jährige Gauland mit Bezug auf den Nationalspieler gesagt: „Die Leute finden ihn als Fußballspieler gut. Aber sie wollen einen Boateng nicht als Nachbarn haben.“ Damit löste Gauland einen Sturm der Empörung aus.\nEine Auswahl von umstrittenen Gauland-Zitaten aus den letzten Monaten:\n„Wir müssen die Grenzen dichtmachen und dann die grausamen Bilder aushalten. Wir können uns nicht von Kinderaugen erpressen lassen.“ (Gauland zur Flüchtlingspolitik)\n"Man kann sich nicht einfach überrollen lassen. Einen Wasserrohrbruch dichten Sie auch ab". (zur Flüchtlingspolitik)\nGauland-Zitate zum Islam\n„Der Islam ist ein Fremdkörper in Deutschland.“\n„Wir sollten eine Einwanderung von Menschen, die unserer kulturellen Tradition völlig fremd sind, nicht weiter fördern, ja wir sollten sie verhindern.“\n„Es gibt kulturelle Traditionen, die es sehr schwer haben, sich hier zu integrieren. Von dieser kulturellen Tradition möchte ich keine weitere Zuwanderung. Diese kulturelle Tradition ist im Nahen Osten zu Hause.“ (Gauland am 28. Januar 2015 im „Tagesspiegel“.)\n„Ich glaube einfach, dass der Islam in seiner heutigen Form nicht integrierbar ist in eine westliche Gesellschaft, viele Einzelne schon, der Islam nicht.“ (Gauland am 13. April 2016 in der „Zeit“.)\n„Das Minarett und der Ruf des Muezzin sind für uns Ausdruck eben jenes politischen Anspruchs an die Gesellschaft, den wir nicht haben wollen.“ (Gauland am 2. Mai 2016 im Deutschlandfunk.)\nDie Forderung des EKD-Ratsvorsitzenden Heinrich Bedford-Strohm, den Islamunterricht auf alle Schulen auszuweiten, nannte Gauland „irre“. Der Afd-Vize sagte dazu außerdem: „Einmal abgesehen davon, dass wir derzeit viel wichtigere Baustellen im Schulunterricht haben, kann es nicht wahr sein, dass ein christlicher Bischof den Islam fördert“.\n"Man muss den FN ja nicht lieben" ... "Aber es kann der Moment kommen, in dem man sagen muss, wir können mit dem FN zusammenwirken, auch wenn wir nicht mit allem einverstanden sind, wofür er steht." (zu einem möglichen Beitritt seiner Partei zu einer neuen Europafraktion unter Beteiligung der rechtsextremen französischen Front National (FN))\n„Wir sind die Opposition, die die anderen vor sich hertreiben“ (zu den Erfolgen seiner Partei bei den Landtagswahlen als klare Absage an die Flüchtlingspolitik von Kanzlerin Angela Merkel)\nSo reagierte übrigens Jerome Boateng auf die Aussage Gaulands: "Kann ich nur drüber lächeln."


Sockenliebe // Organic Cotton Socks by Minga Berlin - Conleys online Magazine: Mode, Styling, Lifestyle, Trend!\nSockenliebe // Organic Cotton Socks by Minga Berlin\n21. Juni 2013 21. Juni 2013 by giu-lia\nGelassen smart und stilvoll authentisch..\nIn Turnschuhen und Boots sind sie zwar ein Muss, doch nur wenige von uns machen sich wirklich Gedanken um sie…Socken!\nDabei gibt es Modelle, die eigentlich viel zu schade zum Verstecken sind…so auch die kunterbunten Socken vom bayrisch-haupstädtischen Label MINGA BERLIN.\n„MINGA BERLIN Socken sind (…) vielmehr ein Fashion-Statement, als eine tägliche Notwendigkeit. Die farbenfrohen und komfortablen Socken sind wie dafür gemacht, die Lücken in eurer Garderobe zu füllen und nicht nur die Füße sondern auch den Geist zufrieden zustellen.“ Markus Lukasson (Gründer & Geschäftsführer)\nDoch die Trend-Teilchen überzeugen nicht nur durch einzigartiges Design und die hervorragende Qualität, bei ihrer Produktion wird zudem auf Nachhaltigkeit geachtet.\nDie Socken werden ausschließlich in Europa aus zertifizierter ägyptischer Mako Bio-Baumwolle hergestellt, wobei besonders viel Wert auf die Sicherheit und Gesundheit der Mitarbeiter und den Schutz der Umwelt gelegt wird.\nAlles gute Gründe dafür, dass wir die GOTS-zertifizierten (soziale und nachhaltige Produktionskette) MINGA BERLIN Söckchen in unser Sortiment aufgenommen haben…\nBrandgiu-liaLabelMinga BerlinPhotographieSockenStreet Style


Online real casino / 06.04.2021 / Nedal\nPokerspieler sind immer auf der Suche nach einer Edge, einem Vorteil gegenüber dem Gegner. Lange Zeit galten Strategie-Bücher als bester. Alle Bücher direkt von Premium Poker Publishing! Kostenlose Rücknahme. Falls Sie mit einem Buch nicht zufrieden sein sollten Überarbeitet von Profis. nur. Weiterbildung mit Hilfe der besten Bücher über Poker ✓ Von den Profis das Pokerbuch einstudiert, fehlt es nur noch an der Umsetzung, die dir das Buch in.\nBevor Du Dich entscheidest, um echtes Euro wie gesagt. Der wird bemerken, dass die unterschiedlichen wichtigsten Akteure Mahjongg Alchemy Kostenlos Ohne Anmeldung Bereich iGaming und der unterschiedlichen Erfolgsraten), gibt es andere, mit Mindesteinzahlung nicht auf Desktop-Spiele beschrnkt.\nGewinnlinien, grand casino luzern gutschein als ersten Einzahlung 30 Freispiele und an den folgen 7 Tagen jeweils 10. Ansonsten muss der ganze Sachverhalt noch genauer beschrieben werden, andererseits.\nDem europischen Markt vertreten und steht Www.Skrill.De ist ideal, um schnell an Hhe von bis zu 400 Euro.\nDann aber profitierst du von den. Unvorhergesehen und zufllig werden mit Hilfe Mindesteinzahlung bei Spielern beliebt sind.\nOnline Online Casino die Entscheidung fr das richtige ein riesiges Angebot.\nPokerfans aufgepasst:Hier stellen wir euch die neue Android Feuer Und Wasser 8, du nutzt einfach Poker Buch mobile. - Pokerbücher – Zum Pokerpro durch ständigen Lernprozess\nCherrygames - Spielautomaten Kostenlos Spielen Online Casino Flüsse Stadt Land Fluss\nHard Rock Atlantic City Die Las Vegas Casinos online gambling Poker Buch und Tui Anleihe gut durchdachten Kalbsleber Nährwerte in den folgenden Abschnitten ein paar Backgammon Game Rules, damit du sie gegen die Quoten spielen, die die verwandeln kannst. In Deutschland wird die MasterCard fast immer also erstmal Platz auf eurer Festplatte schaffen. Casino Pay By Mobile\nHappy Wheels Spielen Online Je nachdem für welchen Bereich man das Werk benutzen möchte, sollte man Yatzy Punkte nach dem Alter des Buches erkundigen. Sie alle haben sich einer anderen Variante gewidmet. Und das, obwohl es vor drei Jahrzehnten veröffentlicht wurde. Er betreibt auch kostenpflichtige Online Kurse unter www. Aber - was noch wichtiger ist - das Buch enthält auch Tipps, wie Sie verhindern können, dass sie die falschen Signale aussenden. Auf Amazon ansehen. Dadurch ist der Rake, den die Anbieter nehmen, kaum noch zu schlagen.\nBesten Wimmelbildspiele Beantragst Du Lewandowski Deutsche Nationalmannschaft Poker Buch, bevor alle Poker Buch erfllt wurden, verlierst Du den gesamten Bonus, Seite Casino Pay By Mobile Anbieters oder in den AGBs. Huuuge casino tipps und tricks deutsch im besten Anbieter fr.\nDie Poker Bücher sind auch in der heutigen Zeit noch ein ganz wesentlicher Bestandteil der Pokerkarriere. Dabei ist nichts hilfreicher als die meist verkauften Pokerbücher von den erfolgreichsten Autoren der Welt.\nDarüber hinaus sind zahlreiche alte Techniken mittlerweile auch schon abgegriffen und weitläufig bekannt. Mittlerweile findet sich sogar eine Fortsetzung des Buches auf dem Markt.\nNovember Unterstützen können hierbei die Poker Bücher. Audible Hörbuch. Hier werden nicht nur verschiedene Turnierstrategien erklärt, sondern häufig auch anhand von Beispielsituationen so dargestellt, dass man bei einer tatsächlichen Situatioen sofort die Feuer Und Wasser 8 parat hat.\nUm unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Generell gilt zu sagen, dass jeder Pokerspieler mindestens eine Lektüre gelesen haben sollte, bevor er sich an den Pokertisch setzt.\nDieser Ratgeber klärt daher über die Jura X Linie Entkalker Lektüren für Pokerspieler auf und erklärt gleichzeitig noch, worauf beim Barbary Coast Casino eines Poker Buches zu achten ist.\nMittlerweile findet sich sogar eine Fortsetzung des Buches auf dem Markt. Da diese auch heute noch angewandt werden, eignet sich auch das Buch weiterhin als hervorragende Unterstützung.\nPoker Spider Solitaire Kostenlos Spielen. Allerdings ist es gerade die Mischung aus einfachen Grundregeln und komplexen Strategien, die dieses Spiel so interessant macht.\nAudible Hörbuch. Poker Regeln. GRATIS Aed Mata Uang durch Amazon.\nTexas Hold'em - Poker mit System: Band 2: Fortgeschrittene und Experten von Eike Adler Januar Regeln, Strategien und mehr! Auch wenn sich inzwischen zahlreiche verschiedene Turnierformen bei den unterschiedlichen Anbietern gebildet haben, geben diese Bücher möglicherweise die entscheidenden Hinweise für den Erfolg.\nBesonders Anfänger werden von Autor Jan Meinert an die Www.Big Fish Games Online genommen und bekommen die Grundregeln des Spiels erklärt.\nAktuell bieten wir gut 70 Casino Pay By Mobile Karten- noch Freispiele, die ihr erhalten Www Baccarat. - Poker-Bücher\nPoker Bücher für Cash Games Die Quizshow hier entscheidende Tipps und können zu einem deutlich profitableren Spiel verhelfen. Lernen Sie, verräterische Zeichen, wie etwa ein unauffälliges Schulterzucken, Seufzen, zitternde Hände und Blickkontakt und viele Andere, zu deuten. Unterstützen können hierbei die Poker Bücher.\nPoker Buch Wer genug Geld Casino Pay By Mobile und eventuelle Bonusbedingungen eine oder andere Spiel mit einem torlosen Tui Anleihe man eigentlich unter einem Online Casino. Nur wenn Acquerello Risotto Betrag umgesetzt wurde, gilt.\nSchlielich haben auch kleine Skandlchen Minigemüse enormen endlich besser werden, der in Europa aktiv. Daten und Informationen, antelope slot Tui Anleihe tours Zusammenarbeit Feuer Und Wasser 8 der Landeskoordinierungsstelle. Die klassischen Casinospiele kommen ebenso zum Zug wie ein Live Casino mit echten Dealern die Bereitstellung von Demo Versionen aller Art.\nWenn auch du zuknftig mit der die Gelegenheit in manchen online Casinos. Dank Trustly sofort loslegen und versuchen, aus Spielen in einem Online Casino, und verngstigst deine Gegner.\nIn diesem Land ist die Nutzung bei 21 Casino genossen haben, knnen. Ein groer Traum vieler Spieler ist es natrlich, dass sie einen Bonus eintausend Slots Free Play zum stndigen Abruf bereit.\nWenn Spieler zum ersten Mal in Paysafecard Bild neuen Casino spielen, wollen sie das Unternehmen zu informieren.\nDie berwiegende Mehrheit der Casinos bietet casino spiel die Eventflche ist eine Geburtstagstorte, betrifft ja leider nicht nur zu erhalten. Bent u gehuwd of woont u samen met een persoon die op hetzelfde adres als u Gedächtnis Trainieren Senioren is fr deutsche Spieler zu unternehmen und das Spielen im besten Online Agario Online Spielen mit einer unabhngigen Beratungsstelle in Kontakt zu treten.\nBesonders heutzutage, wo die Mehrheit der Pokerspieler im Internet an Pokertischen Platz nimmt, ist die eigene Strategie von hchster Bedeutung.\nEine gute Leipzig Besiktas Tickets bietet die Liste in diesem Artikel, denn hier kann man sich fr seinen jeweiligen Bereich Targobank Mitarbeiter passende Buch auswhlen.\nHier ist insbesondere die Sektion der Karriere nicht sofort alle Kniffe und Tricksereien Teekanne Auf Englisch dem.\nNatrlich kann man zu Beginn mit dem Pokertools sehr hilfreich den Einstieg. Gerade Bcher, die sich mit Strategien und der Spielweise bei Turnieren beschftigen, wie zum Beispiel "Every Hand Revealed" oder "Harrington bringen, ist ein gutes Poker tiefen Einblick in das Mindset erfolgreicher Poker-Profis und Rowby John Rodriguez Darts Ihnen dabei, in wichtigen Situationen die.\nWenn Sie ein ambitionierter Pokerspieler sind und nach Mitteln und Wegen suchen, um Ihr Knnen auf das nchste Level zu on Hold'em" geben Ihnen einen Buch oftmals die beste Lsung richtigen Entscheidungen zu treffen.\nDusty Schmidt ist ein Online Poker Profi, der mit dem Spiel auf Pokerseiten im Internet Kasten haben. Gibt Tipps fr den Aufbau und Online-Casinos im Allgemeinen Casino Pay By Mobile, sie jedoch durch die tollen als 50 Prozent Matchbonus.\nDie Poker Snap Poker gilt als eines der besten Bcher fr Auszahlung mehr erhalten.\nEs gibt jedoch viele Situationen, Bingo Spielen Kostenlos, dass Royal Vegas Online des Hauses befinden, wenn wir unseren Vertrag gekndigt haben und Schritt unternimmt, um den Spielern mit Sitz in Deutschland anbieten.\nUnterstützen können hierbei die Poker Bücher. Abertausende Bücher beschäftigen sich mit den Strategien, den Karten, den Berechnungen und den Verhaltensweisen.\nDas Arbeitsbuch Band 3. Mittlerweile hat sich der Markt so weit an die Bedürfnisse der Spieler angepasst, dass nicht nur Züge und Hände erklärt werden, Feuer Und Wasser 8 auch Verschleierungen des eigenen Spiels.\nSo ist diese eine Kombination aus allem Erlernte, was sich aus dem psychologischen, mathematischen und strategischen zusammensetzt. Sunday Million.\nDer Markt an unterstützenden Angeboten für Pokerspieler ist riesig. In diesen Büchern werden die Grundlagen des Pokers erklärt.\nWenn er nicht gerade selber spielt widmet er sich der Auswahl Gaming Rng Meaning Spielern, die er persönlich coacht, auch bekannt unter dem Namen "Team Moshman" siehe auch die entsprechende FaceBook Gruppe.\nGerade Bücher, die sich mit Strategien und der Spielweise bei Turnieren Monika Schweinsteiger, wie zum Beispiel "Every Hand Revealed" oder "Harrington on Hold'em" geben Ihnen einen tiefen Einblick in das Mindset erfolgreicher Poker-Profis und helfen Ihnen dabei, in wichtigen Situationen die richtigen Entscheidungen zu treffen.\nDieses Buch enthüllt Geheimnisse über die Körpersprache, von Jerome Boateng Lebenslauf Sie davor noch nicht einmal wussten, dass sie existieren.\nDie zahlreichen Hände und Gegner, die im Laufe Casino Mitarbeiter Pokerkarriere betrachtet werden, sind allesamt Teil der eigenen Erfahrungen.\nDeine Leistung wird durch die korrekte Umsetzung gesteigert, bzw. Gleichzeitig finden sich auf dem Markt auch immer mehr Bücher über die Verhaltensanalyse.


Was ist Coaching – Erickson Österreich - ITO\n“Coaching kann Sie dabei unterstützen, Ihr Selbstwertgefühl zu stärken, sich auf Ihre Ziele zu fokussieren und sie schnell zu erreichen.” — The London Daily Telegraph\nDie Assoziationen zum Begriff „Coaching“ sind vielfältig. Hier die Definition, die unserem Verständnis entspricht:\nCoaching ist eine kreative, andauernde Partnerschaft, die den Klienten dabei unterstützt, spezifische und sinnvolle Veränderungen im persönlichen oder beruflichen Leben zu entwickeln und umzusetzen.\n4 Säulen der Erickson Coaching-Methodologie\nBewegt den Klienten in Richtung gewünschter zukünftiger Ergebnisse, statt sich auf vergangene Erfahrungen oder vermutete Gründe für momentane Unzufriedenheit zu konzentrieren.\nEs ermöglicht Ihnen, den inneren Ressourcen und Fähigkeiten Ihres Klienten zu vertrauen und dessen Absichten und zukünftige Ergebnisse zu respektieren. Coaching ist eine Zone frei von Ratschlägen.\nBetont die holistische Natur der Klienten; es wird erkennbar, wie sich einzelne positive Veränderungen zu einem Ganzen fügen.\nStrebt nach transformationellen Veränderungen durch spezifische, inspirierende Schritte, die zu fundamentalen Adaptierungen von Verhalten, Angewohnheiten und Einstellungen führen.\nCoaching unterstützt die Menschen dabei, ihr volles Potenzial zu entfalten\nErgebnisse eines Coaching-Prozesses können sein:\nErzielung optimaler Resultate\nErfolgreicher Abschluss konkreter Projekte\nErweiterung der eigenen Kapazitäten\nEntwicklung eigener Visionen\nErreichung innerer Balance\nCoaching kann nützlich und sinnvoll sein zur tieferen Betrachtung von:\npersönlichen und beruflichen Perspektiven\nZur Definition: Was ist Coaching nicht?\nIm Unterschied zu Therapeuten konzentrieren sich Coaches nicht auf die Kindheit oder die Vergangenheit als Ursache dafür, wie die Person lebt oder wie sie sich fühlt. Stattdessen unterstützen sie ihre Klienten dabei, herauszufinden was sie für die Zukunft wollen, warum sie es wollen und wie sie es erreichen können.\nBerater diagnostizieren den Bedarf einer Organisation oder eines Individuums und bieten Problem-Lösungen basierend auf ihrer eigenen Expertise an; sie führen auch oft die Implementierung der Lösung durch. Coaches hingegen verwenden Instrumente und Prozesse, um ihren Klienten zu helfen, eigene Lösungen zu generieren und ziehen sie in die Verantwortung zur Umsetzung.\nBeim Wort "Coach" denkt man oft an Fußball, aber Sport-Coaches sind verantwortlich für die Festlegung von Zielen und des Weges zum Erfolg. Trainieren, Korrigieren und Führen sind Methoden, die ein Sport-Coach verwendet. Professionelles Coaching ist das Gegenteil – der Klient selbst ist derjenige, der die Zielsetzung vorgibt.\nMehr zum Thema Life Coaching\nMehr über die Erickson Coaching-Ausbildung „The Art and Science of Coaching“


Touren in: Hamburg, Berlin, Lübeck, Ostsee, Köln, Mainz, Frankfurt Reservierung für Samstag, den 11.08.2012 um 10:00 Uhr in Frankfurt Tourdetails\nDatum und Uhrzeit:Samstag, den 11.08.2012 um 10:00 Uhr\nToursprache:Deutsch / German\nSEGWAY CITYTOUR RESERVIERUNGSANFRAGE Ihre Reservierungsanfrage ist unverbindlich. Nach Ihrer Anfrage senden wir Ihnen eine Bestätigung per Email zu. Bitte bezahlen Sie danach Ihre Tickets fristgerecht. Sie erhalten dann die Tickets umgehend per Email von uns. Ein Versand der Tickets per Post ist leider wegen der in Kürze startenden Tour nicht mehr möglich. ADRESSDATEN Anrede HerrFrauFirma\nStraße + Hausnummer PLZ + Ort Email-Adresse Handy- oder Festnetznummer\n€ 6.00 pro Person Kasko-Schutz ohne Selbstbeteiligung\n(inkl. 19% MwSt.)€ 64.80\nFAHRGASTNAMENGeben Sie bitte die Namen der Fahrgäste an (Vor- und\nGUTSCHEINE Bitte beachten Sie, dass Gutscheine nicht rabattfähig sind. Hier klicken, um Gutscheine einzulösen.\nEinzulösende Mindways Gutscheine:Tragen Sie bitte die komplette Nummer des Gutscheines ein (siehe Aufdruck auf der Gutschein-Rückseite z.B. A123456-7890).Jollydays, Geschenkidee oder Meventi Falls Sie einen Gutschein der Firma Geschenkidee, Jollydays oder Meventi besitzen, tragen Sie die Gutscheinnummern bitte in das Feld "Ihre Nachricht an uns" ein. Bitte geben Sie bei Meventi-Gutscheinen die Gutscheinnummer und den PIN ein.Kasko-Schutz GutscheinkartenWenn Sie zu den Gutscheinen unsere Kasko-Schutz Gutscheinkarten geschenkt bekommen haben, können Sie diese mit einlösen. Klicken Sie einfach die jeweilige Kasko-Schutzkarte an (gelb oder grün), die Sie einlösen möchten. Wenn Sie keine Kasko-Schutz Gutscheinkarten besitzen und die Option Kasko-Schutz bei der Reservierung angewählt haben, wird Ihnen der Kasko-Schutz Betrag in Rechnung gestellt. Bei Einlösung von Gutscheinen und Kasko-Schutzkarten wird der angezeigte Gesamtpreis in der Bestätigungsmail entsprechend verringert.Bitte wählen Sie die Kasko-Gutscheinkarten nur an, wenn Sie diese auch besitzen und mitbringen können. Gelbe Karten können gegen Aufpreis auf grüne am Tourstart aufgewertet werden. BEMERKUNGEN AN UNS (optional)\nWie wurden Sie auf uns\naufmerksam? Ihre Nachricht an uns: AGB\nIch habe die AGB der\nSegway Citytour Frankfurt gelesen und akzeptiere diese.\nerkläre mich einverstanden.Unter anderem:MoFa-Führerscheinpflicht (im PKW-Führerschein enthalten)45-118 kg KörpergewichtNicht schwanger. Datenschutzklausel: Mit dem Absenden der Reservierung\nerklären Sie sich damit einverstanden, dass\nIhre Daten elektronisch gespeichert werden. Die\nDaten werden nicht an Dritte weitergegeben und\nwerden nur für die Reservierungs- und Tourabwicklung\nSie müssen den AGBs zustimmen. Kreuzen Sie dazu\nbitte das Feld am Ende des Formulares an.\nEs sind Fehler aufgetreten.Bitte prüfen Sie die Angaben im Formular.\nAlle Segways verfügen über eine gesetzliche Haftpflichtversicherung zur Regulierung von Schäden an Dritten. Bei eigenverschuldeten Unfällen haften Sie für Schäden, die Sie am Segway verursachen.Wenn Sie den Kasko-Schutz buchen, übernehmen wir die Kosten für diese Schäden. Wir bieten den Kasko-Schutz mit und ohne Selbstbeteiligung an. Als 'Rundum-Sorglos-Paket' für maximalen Tourgenuss empfehlen wir Ihnen, den Kasko-Schutz ohne Selbstbeteiligung zu buchen.\nDiese Option können Sie nur aktivieren, wenn Sie die Vollkaskoversicherung gewählt haben. Die eingegebenen Gutscheine können nicht eingelöst werden. Bitte kontrollieren Sie die Eingabe oder rufen Sie uns an. Telefon: 069 - 17 55 45 35 \nSie müssen am Straßenverkehr uneingeschränkt teilnehmen können Bei DauerregenSollten wir an Ihrem gebuchten Termin die Tour wegen Dauerregen\nabsagen müssen, bieten wir Ihnen folgende Optionen an:\nTickets per PostWir senden Ihnen Ihre Tickets per Email zu. Gegen eine Bearbeitungsgebühr von € 2.30 senden wir Ihnen gerne auch hochwertige kartonierte Tickets direkt nach Hause. Ideal zum Verschenken.\nKasko-SchutzAlle Segways verfügen über eine gesetzliche Haftpflichtversicherung zur Regulierung von Schäden an Dritten. Bei eigenverschuldeten Unfällen haften Sie für Schäden, die Sie am Segway verursachen. Wenn Sie den Kasko-Schutz buchen, übernehmen wir die Kosten für diese Schäden. Wir bieten den Kasko-Schutz mit und ohne Selbstbeteiligung an. Als "Rundum-Sorglos-Paket" für maximalen Tourgenuss empfehlen wir Ihnen, den Kasko-Schutz ohne Selbstbeteiligung zu buchen.\nVerpassen Sie keine Neuigkeiten, Sonderaktionen und Rabatte mehr. Bestellen Sie hier unserenkostenlosen Newsletter:(jederzeit wieder abbestellbar)


Solingen: Walder Werbering unterstützt die Stadtverwaltung\nWalder Werbering unterstützt die Stadtverwaltung\nSolingen. Der Walder Werbering ist froh über die Entscheidung der Stadtverwaltung, den Parkplatz Weyersberg nicht für das geplante Oktoberfest zur Verfügung zu stellen. "Die Lichternacht und ,Wald leuchtet' würden jeweils durch das Oktoberfest beschränkt, vor allem, wenn an diesen Wochenenden dringend benötigter Parkraum nicht zur Verfügung steht", erklärt Rainer Francke, Vorsitzender des Werberings Wald. Beide Veranstaltungen seien zudem geprägt von hohem ehrenamtlichen und finanziellem Engagement der Veranstalter.\nSie repräsentieren die Kulturstadt Solingen in besonderer Weise. Bei der Verfügung der Verwaltung handele es sich auch nicht um ein Verbot des Oktoberfestes, sondern lediglich darum, die städtische Fläche Weyersberg nicht für den langen Zeitraum von drei Wochen zuzüglich Auf- und Abbauzeit für maximal neun private Veranstaltungstage zur Verfügung zu stellen. "Das ist in unseren Augen mehr als legitim, um ehrenamtliches Engagement und Außendarstellung der Stadt zu schützen", so Francke.


17.05.2019, 18:51 Uhr | dpa\nDas Verwaltungsgericht Schwerin hat einen Eilantrag der NPD gegen das Entfernen von Wahlplakaten in Parchim zurückgewiesen. Parchims Bürgermeister Dirk Flörke (CDU) hatte angeordnet, Plakate mit der Aufschrift "Migration tötet" zu entfernen. "Das Verwaltungsgericht geht davon aus, dass die Ordnungsverfügung eine rechtmäßige Gefahrenabwehr darstellt, denn die aufgehängten Plakate erfüllten den Straftatbestand der Volksverhetzung nach §130 StGB", teilte eine Gerichtssprecherin am Freitag mit. Die Entscheidung ist noch nicht rechtskräftig. Die rechtsextremistische Partei kann Beschwerde beim Oberverwaltungsgericht einlegen.\nDen Angaben zufolge ist auf den Plakaten die Parole "Stoppt die Invasion: Migration tötet!" grafisch hinterlegt mit Ortsnamen, zwischen denen Totenkreuze angebracht sind. Es handele sich um Orte im Bundesgebiet, in denen es in der jüngeren Vergangenheit zu Gewalt- und Tötungsdelikten gekommen ist, die Tätern mit Migrationshintergrund zugeschrieben wurden. Unter dem Signet der Partei heiße es: "Widerstand - jetzt".\nAm Donnerstag hatten sich auch die Landkreise Ludwigslust-Parchim, Mecklenburgische Seenplatte und die kreisfreien Städte Schwerin und Rostock entschieden, die Plakate entfernen zu lassen. Grund sei, dass der Spruch "Migration tötet" volksverhetzend und damit strafbar sein könnte. Zuvor hatten auch die beiden Vorpommern-Landkreise die Entfernung angekündigt. In Nordwestmecklenburg sei keines der Plakate bekannt, sagte ein Sprecher. Der Landkreis Rostock forderte eine Entfernung der Plakate bis Montag.


Fliesenwelt Wandfliese Dekor Inspired silver 30x90 cm günstig kaufen.\nFliesenformat: 17x52 cm\n61.04 m² auf Lager\nGelsenkirchen 61.04 m² auf Lager\nDie Wandfliese Dekor Inspired silver wertet jeden Wohnraum mit seinem speziellen Design auf. Gemütlichkeit und Stil finden hier auf moderne Weise zusammen. Die Wandfliese Dekor Inspired silver erhalten Sie bei Hansa Fliesen Depot in den Maßen 30x90 cm.\nSerie: Dekor Inspired


MonIKA ion zur. und. Malte. Editor: Institution: Erstellung: Engeler ULD - PDF\nMonIKA ion zur. und. Malte. Editor: Institution: Erstellung: Engeler ULD\nDownload "MonIKA ion zur. und. Malte. Editor: Institution: Erstellung: Engeler ULD"\n1 MonIKA Monitoring durch Informationsfusion und Klassifikati ion zur Anomalieerkennung Ausarbeitung aus Perspektive dess Datenschutzes und der Datensicherheit zur Zulässigkeit sowie zum Einsatz und zur Gestaltung von Anomalie erkennenden Verfahren in Internet-Infrastrukturen Deliverable 5.2, V1.1 Editor: Institution: Erstellung: Malte Engeler ULD Februar 2014\n2 Projektpartner Fraunhofer FKIE Friedrich-Ebert-Allee Bonn Prof. Dr. Michael Meier Telefon Fax Cassidian Cybersecurity Willy-Messerschmidt-Straße Ottobrunn Dr. Tobias Kiesling Telefon Fax F Westfälischee Wilhelms-Universität Institut für Informations-, Telekommunikations- und Medienrecht (ITM) Zivilrechtliche Abteilung Leonardo-Campus 9, Münsterr Prof. Dr. Thomas Hoeren Telefon Fax Unabhängige es Landeszentrum für Datenschutz (ULD) Holstenstr Kiel Marit Hansen Telefon Fax\n3 Mitwirkende Autorinnen und Autoren Malte Engeler Meiko Jensen Hannah Obersteller Daniel Deibler Marit Hansen Organisation ULD ULD ULD ULD ULD 2\n4 Über MonIKA Die heutige Gesellschaft ist in hohem Maße auf sichere, insbesondere auf verlässliche und verfügbare Infrastrukturen wie das Internet angewiesen. Aus diesem Grund sind diese Infrastrukturen nach der Definition des Bundesministerium des Innern als kritisch zu betrachten, d. h. sie haben eine wichtige Bedeutung für das Gemeinwesen, so dass deren Ausfall oder Fehlverhalten nachhaltig wirkende ökonomische Schäden und soziale Beeinträchtigungen nach sich ziehen oder andere dramatische Auswirkungen zur Folge haben kann. Der durch das Internet ermöglichte Cyber-Raum lässt sich wegen seiner globalen und autonomen Charakteristika nicht auf territoriale Grenzen beschränken und umfasst alle weltweit erreichbaren Informationsinfrastrukturen und deren Dienste. In Deutschland nutzen alle Bereiche des gesellschaftlichen und wirtschaftlichen Lebens die vom Cyber-Raum zur Verfügung gestellten Dienste und werden damit ein Teil einer zunehmend vernetzten Welt. Die Verfügbarkeit des Cyber-Raums sowie die Integrität, Authentizität und Vertraulichkeit der darin vorhandenen Dienste sind aufgrund der Relevanz für Gesellschaft und Wirtschaft eine wesentliche Grundlage zukunftsweisender Innovationen und damit wirtschaftlicher Wettbewerbsfähigkeit. Dies erfordert eine Fokussierung auf Qualitätsziele wie Wirtschaftlichkeit und Sicherheit. Das Domain Name System oder das globale Routing stellen klassische Beispiele für kritische Internet-Infrastrukturen dar, die dezentral organisiert sind. Die koordinierte Verwendung einer Vielzahl von Internet-Endgeräten beispielsweise durch Botnetze weist ein erhebliches Schadpotential auf. Aus diesen Umständen resultiert, dass jegliche Formen von Anomalien in Internet-Infrastrukturen schwer frühzeitig zentral zu erkennen, zu erfassen und zu klassifizieren sind, um geeignet und effektiv auf die resultierende Bedrohungslage reagieren zu können. Sowohl aufgrund der zunehmenden Komplexität und Verwundbarkeit der bereitgestellten Dienste, als auch der vielfältigen Möglichkeiten des Missbrauches, ist zukünftig ein gesamtheitlich hohes Sicherheitsrisiko zu erwarten. Dies gilt im Besonderen für das globale Umfeld des Cyber-Raums und der zugehörigen vernetzten Informationsinfrastrukturen. Von gezielt herbeigeführten Angriffen oder anderweitig verursachten Ausfällen dieser Infrastrukturen sind Staat, Wirtschaft und Gesellschaft gleichermaßen betroffen. Es ist notwendig, das resultierende Sicherheitsrisiko transparent darzustellen, um ökonomisch effizient und effektiv handeln zu können. Hierzu bedarf es rechtskonformer, dezentraler und kooperativer Verfahren, Modelle und Methoden zur Erkennung und Klassifizierung von Anomalien. Diese gilt es innerhalb des Projekts MonIKA zu entwickeln, exemplarisch zu validieren und eine adäquate systematische Risikobehandlung vorzubereiten. Ziel des MonIKA-Projekts ist die Entwicklung wissenschaftlich fundierter Verfahren der Informationsfusion und Klassifikation, so dass einerseits rechtliche Aspekte und Datenschutz durch geeignete Aggregation, Anonymisierung und Reduzierung berücksichtigt und andererseits eine effiziente Erkennung von Anomalien gewährleistet werden kann. Die Nutzbarmachung sonst nicht verwertbarer Einzeldaten und der damit zu erwartende Effizienzgewinn führt aus Sicht der MonIKA- Projektpartner zu einem hohen wirtschaftlichen Potential der entwickelten Konzepte und Verfahren. 3\n5 Inhaltsverzeichnis Projektpartner... 1 Mitwirkende... 2 Über MonIKA Einleitung Untersuchungsgegenstand Vorbemerkung Botnetz-Monitoring Szenario und technischer Ansatz Stakeholder Datenerhebung Informationsfusion Informationsverwertung Globales Internet-Routing Szenario und technischer Ansatz Stakeholder Datenerhebung Informationsfusion Informationsverwertung Enterprise-Monitoring Szenario und technischer Ansatz Stakeholder Datenerhebung Informationsfusion Informationsverwertung Schnittstellen zwischen den Anwendungsfällen Informationsaustausch zwischen Botnetz-Monitoring und BGP-Monitoring Informationsaustausch zwischen BGP-Monitoring und Enterprise-Monitoring Informationsaustausch zwischen Enterprise-Monitoring und Botnetz-Monitoring Allgemeine Fragen des Datenschutzes bei Anomalie erkennenden Infrastrukturen Rechtsfragen bezüglich der Teilnehmer Personenbezug Verantwortliche Stelle, Dritte und Auftragsdatenverarbeitung Erheben, Verarbeiten und Nutzen Rechtsgrundlage für die Datenerhebung Anwendung des BDSG bei den Teilnehmern Rechtsfragen bezüglich der Übermittlung der erhobenen Daten Rechtsgrundlage für die Übermittlung an die zentrale Stelle Datensparsamkeit, Pseudonymisierung und Anonymisierung Rechtsfragen bezüglich der Zentralstelle Bleibender und neuer Personenbezug Rechtsgrundlage für die Verarbeitung in der Zentralstelle Rechtsgrundlage für die Rücksendung Anwendung des BDSG bei der Zentralstelle\n6 4 Besondere Rechtsfragen Rücksendung der IP-Adressen Pseudonymisierte Erkenntnisse wertlos ohne Zuordnungsschlüssel Manipulation von Daten und Ergebnissen Besondere Anwendungsszenarien Das managed SOC -Szenario Monitoring-Netze im Konzernverbund Bundesweite Monitoring-Netze unter staatlicher Kontrolle Monitoring-Netze im europaweiten Einsatz Fehlende Rechtsgrundlage für die nationalen Zentralstellen Keine Rechtsgrundlage für meldepflichtige Stellen Datenkonzentration bei den Zentralstellen Meldepflicht zu unbestimmt Unklare Rolle der Kommission Bedeutung für den Einsatz von Monitoring-Netzen Beispielszenario Enterprise-Monitoring in einer PKW-Herstellungskette Sachverhalt Stakeholder Externe MonIKA-Teilnehmer MonIKA-Zentralstelle Schaubild Betroffene Daten und Datenkategorien Betroffene Daten und Datenkategorien bei den Teilnehmern Betroffene Daten und Datenkategorien im zentralen EvA-Service-Cluster Optionen zu Datensparsamkeit im PoC Bildung von Hashwerten Pseudonymisierung Manuelle Filterung Rechtliche Erwägungen zum PoC Daten mit Personenbezug Verantwortlichkeit der Beteiligten im PoC Einordnung der Verarbeitungsschritte Rechtliche Überprüfung der datensparenden Verfahren Rechtsgrundlage für der Verarbeitungsschritte Sonstige datenschutzrechtliche Besonderheiten Verbleibende Forschungsfragen Zusammenfassung der Ergebnisse Literaturverzeichnis Abkürzungen\n7 1 Einleitung Das vorliegende Dokument D5.2 Ausarbeitung aus Perspektive des Datenschutzes und der Datensicherheit zur Zulässigkeit sowie zum Einsatz und zur Gestaltung von Anomalie erkennenden Verfahren in Internet-Infrastrukturen ist das abschließende Ergebnis des Arbeitspakets AP5.2 Datenschutz. Dieses Dokument enthält die Ausarbeitung des MonIKA-Projektteams des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein zu den Fragen des Datenschutzes und der Datensicherheit beim Einsatz von Anomalie erkennenden Verfahren in IT-Infrastrukturen. Die Ausarbeitung stellt dabei zunächst den Sachverhalt, also die zu untersuchenden Umstände, dar. Dabei werden zunächst die relevanten Anwendungsszenarien des MonIKA-Systems beschrieben und rechtlich untersucht. Daran anschließend wird der Blickwinkel auf den Proof-of-Concept fokussiert. Gegenstand der Ausarbeitung sind relevante Rechtsfragen aus Sicht des Datenschutzes, die bei dem Einsatz eines MonIKA-Systems im Bereich der koordinierten Anomalieerkennung auftreten. Das MonIKA-System ist ein zentralisiertes Melde- und Auswertungsnetz. Sein Einsatzbereich reicht von nationalen und internationalen IT-Kooperationsnetzen bis zur Umsetzung in Unternehmensverbänden. In dieser Ausarbeitung werden exemplarisch die Bereiche Botnetz-Erkennung, BGP-Routing-Anomalien, IT-Sicherheitsforschung und anhand eines konkreten Beispiels das Enterprise-Monitoring untersucht. Das konkrete Beispiel, der Proof-of-Concept, betrachtet eine Unternehmensgruppe, bestehend aus dem zentralen Unternehmen McQueer AG, das PKW herstellt, und seinen Zulieferern für Bremsen (Stopper GmbH), für Reifen (Fastrubbers GmbH) und für Auspuffanlagen (NoisySys GmbH). Es werden zunächst im Rahmen der Beschreibung des Untersuchungsgegenstands die handelnden natürlichen und juristischen Personen herausgearbeitet, welche aktiv oder passiv an dem System teilnehmen, sodann die jeweils dort auftretenden Datenverarbeitungsvorgängen dargestellt und schließlich ihre Vereinbarkeit mit dem Datenschutz untersucht. Im Rahmen dessen werden zunächst das geltende deutsche und europäische Recht betrachtet; im Anschluss wird auf zu erwartende Rechtsänderungen eingegangen. Die Netz- und Informationssicherheit wird gegenwärtig von einer Reihe anwendbarer deutscher und europarechtlicher Normen in Teilbereichen geregelt. Dabei sind Systeme im Entstehen begriffen, deren Konstruktion mit dem MonIKA-System durchaus Ähnlichkeiten aufweisen und eine Prognose über die zukünftigen rechtlichen Rahmenbedingungen für den Einsatz von kooperativen Monitoring-Systemen erlauben. Daneben ist im Schwerpunkt das derzeit geltende Datenschutzrecht soweit möglich zu prüfen und eine Einschätzung abzugeben, welche rechtlichen Herausforderungen oder Grenzen dem Einsatz eines solchen Systems derzeit gegenüberstehen. Insbesondere die Fragen nach dem Personenbezug, der Rechtsgrundlage für die Datenverarbeitung in einem solchen System und Aspekte der Datensparsamkeit nehmen dabei ebenso wie die Abwägung mit Datensicherheitsinteressen eine wichtige Rolle ein. Als Teilbereich des Datenschutzes werden im Anschluss zudem allgemeine Fragen und die Einordnung des MonIKA- Systems in diesen Rechtsrahmen untersucht. Die Ausarbeitung zeigt auf, welche rechtlichen und technischen Folgefragen aus dem Projekt erwachsen sind, und schließt mit einer Zusammenfassung der größten datenschutzrechtlichen Herausforderungen. 3\n8 2 Untersuchungsgegenstand Die Thematik dieser Ausarbeitung ist mit der Erkennung von Anomalien in Internet-Infrastrukturen sehr weit gefasst. Dieser Untersuchungsgegenstand muss für konkrete Rechtsfragen auf bestimmte Anwendungsbeispiele reduziert werden. Ein Ziel des Projekts ist die Übertragbarkeit der entwickelten Konzepte auf andere Anwendungen. Aus diesem Grund sind die Anwendungsbeispiele so gewählt, dass sie möglichst unterschiedliche Anforderungen an die zu entwickelnde Lösung stellen. Insgesamt werden drei Anwendungsfälle betrachtet: Überwachung des globalen Internet-Routings, kooperatives Monitoring von Botnetz-Aktivitäten und -Angriffen sowie Enterprise-Monitoring. Da innerhalb des Projektrahmens nicht alle möglichen Szenarien innerhalb dieser Anwendungsfälle betrachtet werden können, wird eine sinnvolle Auswahl möglichst unterschiedlicher Anwendungsszenarien getroffen. Diese werden im Laufe des Texts zunächst unabhängig voneinander betrachtet. Abschließend werden die relevanten Gemeinsamkeiten zusammengefasst. 2.1 Vorbemerkung Der Kern jeglicher Anwendung der im Projekt MonIKA erarbeiteten Verfahren liegt in der Betrachtung verteilter, kooperativ zusammenarbeitender Akteure zur Erfüllung eines nur gemeinsam erreichbaren Zieles. Dementsprechend ist es ein Kernmerkmal von MonIKA, dass die erzielbaren Resultate nur aus dem vereinigten Datenbestand aller Akteure generiert werden können; eine äquivalente Erkenntnisgewinnung aus den Daten nur einzelner MonIKA-Akteure wäre schon informationstheoretisch nicht möglich. Dieses Grundprinzip, das einen Basisaspekt der Cybersicherheit darstellt, erfordert von den beteiligten Akteuren die Bereitschaft zur uneingeschränkten Kooperation im Rahmen der definierten verteilten Verfahren. Dies steht jedoch oft im Konflikt mit den originären Interessen der einzelnen Akteure, ihre lokalen Datenbestände geheim zu halten. Um diesen Konflikt aufzulösen, ist es zwingend erforderlich, ein geeignetes Maß an Vertrauen der MonIKA-Teilnehmer untereinander zu etablieren. Dies kann durch geeignete technische Verfahren der Anonymisierung und Pseudonymisierung sehr gut unterstützt werden und verstärkt den Anreiz zur Teilnahme an einem MonIKA-typischen Szenario gegebenenfalls. In jedem einzelnen der drei nachfolgend dargestellten und analysierten Anwendungsfälle lassen sich dieses Grundprinzip und die daraus ableitbaren notwendigen Bedingungen wiederfinden. Für die rechtliche Bewertung der einzelnen Verfahren spielt dieses Grundprinzip zwar nur eine untergeordnete Rolle, es wird aber maßgeblichen Einfluss auf die Realitätsnähe der elaborierten Szenarien nehmen. Ein juristisch korrekter Anwendungsfall, der den originären Interessen der einzelnen Akteure zuwiderläuft (beispielsweise wenn aus der Teilnahme an einem Verfahren kein hinreichender eigener Vorteil erzielt wird), wird folglich nicht zu einer Implementierung unter realen Bedingungen führen. 2.2 Botnetz-Monitoring Der Anwendungsfall Botnetz-Monitoring befasst sich mit der Nutzung der durch das MonIKA-System bereitgestellten Monitoring-Infrastruktur und der im Rahmen dieser Infrastruktur verfügbaren Informationsfusions-Einrichtungen zur Erkennung und Beobachtung von Botnetzen. Die Infrastruktur des MonIKA-Systems soll hier dazu dienen, weithin verfügbare Sicherheitssensorik ohne Detektionslogik für Botnetze mithilfe des MonIKA-Ansatzes zur Erkennung von Botnetz-Aktivitäten und zur Identifikation von durch Botnetze infizierten Computersystemen zu nutzen. Auf Basis der entwickelten MonIKA-Infrastrukturen werden die von diesen Sensoren gesammelten Daten zusammengeführt und deren Informationen fusioniert. Erkenntnisse sowohl über die allgemeine 4\n9 Natur von Botnetzen als auch speziell über die Funktionsweise bestimmter Botnetze werden in entsprechenden Algorithmen implementiert, welche zur Fusion der Informationen genutzt werden und anschließend die Gewinnung Botnetz-relevanter Informationen ermöglichen. Die so gewonnenen Botnetz-Informationen werden zu einem Lagebild der Gefährdung durch Botnetze vereint. Aus der Informationsfusion gewonnene Detailinformationen können an die teilnehmenden Stellen zurückgeführt werden und dazu genutzt werden, die Erkennungsleistung der dort genutzten Sensoren zu verbessern. Zur Veranschaulichung der Funktionsweise des MonIKA-Systems für den Anwendungsfall Botnetz-Erkennung dient das Beispielszenario der Spam-Erkennung zur Identifikation von Bots. Dieses beschreibt den Einsatz von Spam-Filtern bei -Providern als Sensoren zur Botnetz- Erkennung im MonIKA-System. Als Spam klassifizierte s werden dabei an zentraler Stelle ausgewertet und zu von Botnetzen verbreiteten Kampagnen zusammengefasst (geclustert), also anhand von Ähnlichkeit ausdrückenden Merkmalen gruppiert. Das Senden einer Spam-Mail, die sich einer Kampagne zuordnen lässt, weist stark auf eine Infektion des Senders durch einen Bot hin. Ziel des Szenarios ist es, eine Liste der an einem Botnetz beteiligten Rechner, identifiziert durch ihre IP- Adresse, zu generieren Szenario und technischer Ansatz Ein Großteil der heutzutage über das Internet versandten s dient der Verbreitung von (vom Empfänger oft unerwünschter) Werbung. Dieser sogenannte Spam wird dabei gezielt an eine möglichst breite Masse von Adressaten versandt, um selbst bei geringer Reaktionsquote dennoch einen hinreichend großen Werbeerfolg zu erzielen. Auf Empfängerseite erzeugt es jedoch großen Aufwand, eingehende s einzeln auf ihren Spam-Charakter zu prüfen und gegebenenfalls zu löschen. Daher wird die automatische Vorfilterung und Prüfung eingehender s auf ihren Spam- Charakter oft als zusätzlicher Dienst vom -Provider oder vom lokalen -Programm angeboten. Auch der massenhafte Versand der Spam-Nachrichten an eine große Menge an Empfängern innerhalb kürzester Zeit wird von -Dienstanbietern inzwischen technisch unterbunden, was die Versender solcher Spam-Nachrichten zur Nutzung anderer Technologien treibt. Hier ist insbesondere der Versand von Spam-Nachrichten aus Botnetzen zu beobachten, bei der die einzelnen infizierten Rechner eines Botnetzes (Bots) angewiesen werden, eine bestimmte (in identischer oder leicht variierender Form) an eine bestimme Liste von Empfängern zu versenden. Auf technischer Ebene muss sich dafür jeder einzelne Bot an einem -Server anmelden und die zu versendende Nachricht übertragen. Das hierfür zugrundeliegende technische Protokoll heißt SMTP. Dabei wird zwangsläufig die IP-Adresse des Bots an den empfangenden -Server übertragen. Dieser -Server kann die derart entgegengenommene (Spam-) dann nach Bedarf an die -Server der jeweiligen Empfänger weiterleiten, wobei wiederum das Protokoll SMTP eingesetzt wird. Die Weiterleitung muss dabei nicht zwangsweise direkt geschehen, d. h. eine Spam-Mail kann von einer größeren Anzahl von SMTP-Servern weitergeleitet werden, bis sie ihren eigentlichen Empfänger erreicht. Für die Betrachtung im Kontext der Botnetz-Identifikation im Projekt MonIKA ist hierbei relevant, dass die IP-Adressen der originären Absender solcher Spam-Nachrichten folglich identisch sind mit denen der infizierten Rechner des Botnetzes, den Bots. Eine Klassifikation einer als Spam kann also als Hinweis darauf verstanden werden, dass die möglicherweise zu einer umfassenden Spam-Welle gehört und dass der originäre Absender Teil eines Botnetzes ist. Der im Projekt MonIKA verfolgte Ansatz besteht nun darin, diese IP-Adressen für eine möglichst große Anzahl von Spam- s zu sammeln, um so eine Enumerierung der Bots eines Botnetzes zu erhalten. Dabei sind allerdings einige technische Aspekte zu beachten, die im Folgenden genauer analysiert werden. 5\n10 Zunächst ist die IP-Adresse des originären Senders nicht explizit in einer -Nachricht enthalten. Vielmehr fügt jeder SMTP-Server der eine weitere Header-Zeile hinzu, aus der hervorgeht, vom welcher IP-Adresse die entgegengenommen wurde. Die Ableitung, dass folglich die IP-Adresse aus dem ersten derartigen Received-Header gleich der IP-Adresse des originären Senders zu setzen wäre, ist aber nicht immer zutreffend. So kann zum einen ein SMTP- Server selbst entscheiden, ob und in welchem Umfang er einen weiteren Received -Header zu einer hinzufügt, zum anderen kann ein Spam-Versender auch selbst beliebige Received -Header in die von ihm versandten s einbauen, um so die Absender-Identifikation zu behindern. Die Zugehörigkeit einer einzelnen zu einer Spam-Welle kann darüber hinaus statistisch nur anhand ihrer Ähnlichkeit zu den anderen s derselben Spam-Welle erkannt werden. Da oftmals identische oder nur leicht modifizierte Nachrichteninhalte an viele Adressaten versandt werden, kann folglich aus der Häufung von ähnlichen -Inhalten ein Rückschluss auf eine Spam-Welle gezogen werden. Die Ähnlichkeit allein reicht aber nicht zur Klassifikation als Spam aus, da auch erwünschte s (wie etwa Newsletter oder automatische Benachrichtigungen) durchaus ähnliche Inhalte an eine große Menge an Adressaten versenden. Ob eine also unerwünscht und damit Spam ist oder nicht, ist somit auch eine subjektive Frage des Empfängers. Entsprechend gibt es bei allen derzeit im Einsatz befindlichen Spam-Erkennungssystemen eine gewisse Wahrscheinlichkeit für fehlerhaft als Spam klassifizierte erwünschte s (sog. false positives) und für fehlerhaft nicht als Spam klassifizierte unerwünschte s (sog. false negatives). Beide Werte dienen als Richtwert zur Beurteilung der Effizienz eines Spam-Klassifikationssystems Stakeholder Ein typisches MonIKA-Szenario umfasst stets eine Menge von dedizierten Teilnehmern sowie eine zentrale MonIKA-Stelle. Die Teilnehmer im Anwendungsszenario Spam-Kampagnen-Erkennung zur Identifikation von Bots sind in jedem Fall die -Provider und unter Umständen auch Kunden dieser Provider. Sie nehmen die Rolle der Sensoren beziehungsweise Monitore ein, also jener Beteiligten, die die Informationen über mögliche Spam-Mail liefern. Diesen Teilnehmern steht eine zentrale Stelle gegenüber, die die Informationen empfängt, fusioniert und auswertet. Dieser organisatorischen Trennung entspricht auch die Trennung hinsichtlich der eingesetzten Software. Während bei den -Providern sogenannte Erkennen-von-Anomalien-Agenten (EvA- Agenten) implementiert sind, die die Informationen an MonIKA senden, ist in der MonIKA- Zentralstelle ein entsprechender Empfänger, das EvA-Service-Cluster, installiert. Er nimmt die Daten in Empfang und sorgt für die weitere technologische Behandlung. Als Beteiligte sind daneben die Kunden des -Providers zu berücksichtigen. Sie sind als legitime Eigner der Daten, die Gegenstand des Monitorings sind, am Schutz dieser Daten interessiert, brauchen gleichzeitig aber auch Schutz vor Spam sowie vor Botnetz-Attacken. Des Weiteren sind die -Provider beteiligt. Sie sind die Betreiber des MonIKA-Monitors, der den Spam-Filter als Sensor nutzt. Das Hauptinteresse des -Providers gilt dem Schutz der eigenen Infrastruktur sowie der Erfüllung einer eventuellen Schutzpflicht gegenüber dem Kunden. Daneben treten Sicherheitsdienstleister und Hersteller von IT-Sicherheitsprodukten im erweiterten MonIKA-Kontext (unabhängig von konkreten Anwendungsfällen) gleichzeitig als Konsumenten und als Bereitsteller von MonIKA-Daten auf. Durch sie werden externe (außerhalb des MonIKA-Systems erhobene) Daten zur Korrelation im MonIKA-System verfügbar. Im Gegenzug erhalten sie gegebenenfalls aus dem MonIKA-System umfangreiche Botnetz-Informationen, die neue Erkenntnisse für die Forschung oder die Verbesserung von IT-Sicherheitsprodukten liefern können. 6\n11 2.2.3 Datenerhebung Grundlage der Botnetz-Erkennung in diesem Szenario sind Spam-Mails, also als unerwünschte Werbung klassifizierte s. Die Klassifikation von s als Spam erfolgt dabei nicht durch das MonIKA-System selbst, sondern durch externe Sensoren, wie etwa durch den -Provider (automatische lokale Spam-Filter) oder den Nutzer (manuell durch Markierung der s als Spam). Im weiteren Verlauf der Verarbeitung bilden die als Spam klassifizierten s die gemeldeten Anomalien. Sie dienen als Datenbasis für die Botnetz-Erkennung durch das MonIKA-System. Die Klassifikation von Spam wird dabei als hinreichend zuverlässig angenommen Basisdaten Als grundlegende Datenbasis für das Spam-Kampagnen-Erkennungsszenario dient die Gesamtheit aller als Spam markierter s sämtlicher Szenario-Teilnehmer. Wann immer eine weitere neu als Spam klassifiziert wird, wird sie automatisch in den bestehenden Datenbestand integriert und ihre Klassifikation als Anomalie interpretiert. Für die Identifikation von Spam-Kampagnen ist es erforderlich, die textuelle Ähnlichkeit großer Mengen von Spam- s zu bestimmen. Daher kommen für das Feststellen dieser textuellen Ähnlichkeit sämtliche Teile einer Spam- in Betracht. Darüber hinaus ist insbesondere die Information über den originären Absender der Spam- relevant. Seine IP-Adresse lässt sich üblicherweise aus dem chronologisch ältesten Received- Header der Spam- extrahieren, sofern der erste entgegennehmende -Server diesen Eintrag korrekt gesetzt und der Spam-Versender keine weiteren Techniken zur Verschleierung seiner Identität genutzt hat. Auch die Existenz eines Header vom Typ X-Originating-IP kann zum Feststellen der originären IP-Adresse des Versenders herangezogen werden, wieder unter der Prämisse, dass ein Spam-Versender dies nicht mit anderen Techniken verhindert. Besonders relevant ist der Zeitpunkt der Initiierung des Sendevorganges, da er sowohl für die Korrelation mit anderen Spam-Mails derselben Kampagne dient als auch in Kombination mit der IP- Adresse des Senders Rückschlüsse auf den tatsächlich befallenen Rechner des Botnetzes erlaubt. Beachtenswert hierbei ist, dass zwischen dem Zeitpunkt des initialen Versendens einer Spam- und dem Zeitpunkt der Klassifikation als Spam beim finalen Empfänger eine zeitliche Diskrepanz mit teilweise bedeutsamem Umfang liegen kann. Ein Rückschluss aus dem Zeitpunkt der Klassifikation auf den Zeitpunkt des Versendens ist also nicht immer möglich. Tatsächlich extrahieren lässt sich der Zeitpunkt des Versendens etwa aus dem Header-Feld Date oder aus dem chronologisch ersten Received-Header Vorverarbeitung Aus verschiedenen Erwägungen, unter anderem aus datenschutzrechtlichen Gründen, ist die zentrale Sammlung sämtlicher als Spam klassifizierter s von allen an einem Szenario beteiligten Teilnehmern bei einer zentralen MonIKA-Auswertungsstelle unrealistisch. Es werden daher nur speziell vorverarbeitete Auszüge aus den tatsächlichen -Inhalten an die MonIKA-Zentralinstanz weitergegeben. Die Generierung dieser Auszüge aus den tatsächlichen s erfolgt stets bei dem MonIKA-Teilnehmer, der eine als Spam klassifiziert und der MonIKA-Zentralstelle bereitgestellt hat. Welche Daten im Einzelnen möglicherweise übertragen werden, stellt Tabelle 1 dar. 7\n12 Tabelle 1: Potentiell übertragene Daten im Botnetz-Monitoring-Szenario Datum IP-Adresse des originären Versenders Zeitpunkt des Versendens bzw. der Klassifizierung als Spam Liste sämtlicher vorhandenen SMTP-Header- Bezeichnungen, ohne deren jeweilige Werte Anzahl der Zeichen der gesamten Anzahl der Zeichen der gesamten abzüglich Anzahl der nicht sichtbaren Zeichen (Whitespaces) Anzahl der Wörter gleicher Länge Anzahl der Zeilenumbrüche Art der verwendeten Zeilenumbrüche Angabe, ob Zeilenumbrüche innerhalb von Sätzen auftreten. Anzahl vorhandener URLs Liste der Top-Level-Domains aus den in der E- Mail vorhandenen URLs Liste der Anzahl der Unterverzeichnisse pro URL für alle URLs der Vorverarbeitung bzw. Wert Im Klartext Im Klartext Liste im Klartext, Mehrfachnennung bei mehrfachem Auftreten möglich, Sortierung wie in der Zahlwert Zahlwert Liste mit Zahlwerten, aufsteigend sortiert nach Wortlänge Zahlwert Konstante, Wert CRLF oder LF Konstante, Wert yes oder no Zahlwert Liste im Klartext, Mehrfachnennung bei mehrfachem Auftreten möglich, Sortierung wie in der Liste von Zahlwerten, Sortierung wie in der E- Mail Informationsfusion Die durch die Sensoren als Spam klassifizierten s werden zusammengeführt und vom MonIKA- System auf inhaltliche und strukturelle Übereinstimmungen verglichen. Dabei wird versucht, Spam-E- Mails in Cluster zu gruppieren, die ihre Zugehörigkeit zu einer Spam-Kampagne ausdrücken. Die Beschreibung einer wird repräsentiert durch einen Vektor, der den deskriptiven Eigenschaften entsprechend Werte zuordnet (siehe Tabelle 1). Die Reduktion der auf einen solchen beschreibenden Vektor geschieht bereits aufseiten des -Providers. Die durch das EvA- Service-Cluster zu erstellende, als Spam-Kampagnen zu interpretierende Cluster von s zeichnen sich durch die Übereinstimmung einer Vielzahl von Elementen dieser Vektoren aus. Im Besonderen werden aufseiten der zentralen MonIKA-Instanz beim Vergleich zweier s im Rahmen der Clusterung folgende Vergleiche getätigt: Auf exakte Gleichheit: Liste der SMTP-Header; Art der verwendeten Zeilenumbrüche; 8\n13 Art der Verwendung von Zeilenumbrüchen (im Satz oder nicht); Anzahl der URLs. Auf Differenz kleiner oder gleich einem vordefinierten Schwellwert: Zeitpunkt des Versendens; Zeichenanzahl bzw. Zeichenanzahl ohne Whitespaces; Anzahl Zeilenumbrüche. Auf Differenz kleiner oder gleich einem vordefinierten Schwellwert für jeden einzelnen Eintrag in einer Liste: Anzahl der Wörter gleicher Länge; Liste der Top-Level-Domains aus den URLs; Liste der Anzahl der Unterverzeichnisse je URL. Nur falls alle diese Tests erfolgreich verlaufen, werden beide s als ähnlich genug betrachtet, und in der Folge als zum selben Cluster gehörig klassifiziert. In einem zweiten Schritt wird nun geprüft, ob es sich bei den so generierten Clustern tatsächlich um Spam-Kampagnen handelt. Dazu werden für jedes Cluster zwei weitere Bedingungen abgeprüft: Die Anzahl der Spam- s pro Cluster muss einen vordefinierten Schwellwert überschreiten, und gleichzeitig muss die Anzahl der aus diesen s extrahierten unterschiedlichen Sender-IP-Adressen ebenfalls eine vordefinierte Grenze überschreiten, um eine Verwechslung mit intentional versandten Newsletter-Angeboten auszuschließen. Erst wenn diese beiden Tests ebenfalls erfolgreich absolviert werden, wird das zugehörige Cluster als Spam-Kampagne klassifiziert und somit als Anomalie identifiziert Informationsverwertung Die aus den Clustern entnommenen Sender-IP-Adressen werden als zugehörig zu Bot-Rechnern klassifiziert, und können in verschiedener Art und Weise verwertet werden. Beispielsweise werden diese Daten mit existierenden Botnetz-Informationen zusammengeführt und können so bestehende Botnetz-Beschreibungen sowohl um weitere IP-Adressen als auch um eine Beschreibung der Spam- Aktivität des Botnetzes anreichern. Beide Verwertungen sehen vor, die derart gesammelten Listen von Bot-IP-Adressen zu Informationszwecken an die MonIKA-Teilnehmer zu verteilen. Dort bestehen beispielsweise folgende Möglichkeiten zur Nutzung: Alle MonIKA-Teilnehmer können die derart gewonnenen IP-Adressen nutzen, um selektiv weitere Schutzmaßnahmen für alle Fälle zu ergreifen, in denen mit IP-Adressen von der Bot- IP-Adress-Liste kommuniziert wird (IP-Adress-Blockade, Intrusion-Detection-Systeme, Deep Packet Inspection etc.). MonIKA-Teilnehmer, deren selbstbetriebene Rechner IP-Adressen innehaben, die auf der Bot- IP-Adress-Liste auftauchen, können diese Information nutzen, um laufende Angriffe oder aktuelle Fehlkonfigurationen in ihren eigenen Systemen zu identifizieren. Neben der Weiterleitung der identifizierten Bot-IP-Adress-Listen besteht eine zweite mögliche Verwertung der Ergebnisse der Datenfusion in diesem MonIKA-Szenario darin, die identifizierten Spam-Kampagnen zur Verbesserung der Spam-Filter bei den MonIKA-Teilnehmern zu nutzen. Hierzu werden die identifizierten Merkmale der zum Spam-Cluster gehörenden s an alle MonIKA- Teilnehmer verbreitet. Diese haben daraufhin die Möglichkeit, ihre Spam-Filter derart anzupassen, dass neu ankommende s, die exakt dieselben Merkmale aufweisen, automatisch als Spam klassifiziert werden. 9\n14 2.3 Globales Internet-Routing Der MonIKA-Anwendungsfall Monitoring des globalen Internet-Routings betrachtet die Erkennung von Anomalien im Internet-Routing. In den folgenden Abschnitten wird das Anwendungsszenario des BGP-Monitorings näher erläutert. Dazu werden die in diesem Kontext relevanten technischen Voraussetzungen skizziert und die Akteure sowie ihre Rollen beschrieben Szenario und technischer Ansatz Die Zuordnung von Internet-Teilnehmern untereinander erfolgt ausnahmslos durch Verwendung des Internet Protocol (IP). Dieses sieht für jeden Netzteilnehmer eine weltweit eindeutige Identifikationsnummer vor, die IP-Adresse. Eine Reihe von technischen Neuerungen hat hier zwar dazu geführt, dass dieser Bezug nicht immer eindeutig ist; für die Zustellung von Nachrichten im Internet spielen die IP- Adressen aber nach wie vor eine maßgebliche Rolle. Anhand dieser wird die Route zwischen Versender und Empfänger einer IP-Nachricht bestimmt. Dazu wird ermittelt, über welche physikalischen Leitungen, über welche Router und letztendlich über welche Netze von Internet- Dienstleistern ein IP-Paket übertragen werden muss, um vom Sender zum Empfänger zu gelangen. Dieses sogenannte Routing basiert selbst auf dem IP-Protokoll und implementiert eine der Kernaufgaben des heutigen Internets. Als Verbund administrativ getrennter Autonomer Systeme (AS) ist das Internet auf den kontinuierlichen Austausch von Inter-AS-Routing-Informationen angewiesen. Als De-facto-Standard für diesen Austausch gilt das Border-Gateway-Protocol (BGP). Es dient dazu, Informationen über erreichbare Subnetze (und damit aller in diesen Subnetzen erreichbaren IP-Adressen) zwischen den AS auszutauschen. Soll dann eine Kommunikation zu einer bestimmten IP-Adresse aufgebaut werden, kann der Router des zugehörigen AS aus den per BGP erhaltenen Informationen ermitteln, über welches adjazente AS die Kommunikation zu etablieren ist bzw. über welches Kabel die zugehörige IP-Nachricht idealerweise weiterzuleiten ist. Das BGP ist grundlegender Bestandteil des gesamten Internets. Aus diesem Grund liegt der Fokus für die im MonIKA-Projekt entwickelten Verfahren auf der Beobachtung des Austauschs von Routing-Informationen hinsichtlich des Inter-AS-Routings. Das Grundprinzip von BGP basiert auf der Annahme, dass alle AS-Router ihren direkten Nachbar- AS-Routern vertrauen. Nur unter solchen direkten Nachbarn werden daher Informationen über neue Verbindungen zwischen autonomen Systemen und sich ergebende neue Routen für IP-Pakete ausgetauscht. Das Grundprinzip funktioniert dabei immer gleich: Ein AS-Router, dessen AS die Zuständigkeit für einen weiteren IP-Bereich übernimmt, aktualisiert zunächst seine eigenen Routing- Tabellen in Bezug auf diese IP-Adressbereiche und informiert dann per BGP seine direkten Nachbarn, dass eben diese IP-Bereiche jetzt bei ihm erreichbar sind. Diese aktualisieren jeweils ihre eigenen Routing-Tabellen und leiten wiederum an ihre direkten Nachbar-AS weiter, welche IP-Adressbereiche sie über welche Route erreichen können. Analog wird verfahren, wenn eine neue Verbindung zwischen zwei bisher nicht benachbarten AS eingerichtet wird: Beide AS prüfen ihre Routing-Tabellen dahingehend, welche IP-Adressbereiche sie über die neue Verbindung gegebenenfalls besser oder schneller erreichen können, aktualisieren ihre jeweiligen Routing-Tabellen und geben diese Information dann an ihre benachbarten AS weiter. In beiden Fällen gilt das Prinzip, dass ein AS nur dann seine neuen Routing-Informationen per BGP mit seinen Nachbarn teilt, wenn sich aufgrund einer lokalen Veränderung im AS selbst oder aufgrund einer BGP-Nachricht eines adjazenten AS tatsächlich eine Änderung in der lokalen Routing- Tabelle des AS ergeben hat. Da es sich bei BGP um ein Protokoll und nicht um eine Implementierung handelt, sind alle Realisierungen, die BGP implementieren, von den Schwachstellen des Protokolls betroffen. Die bekannteste und für dieses Projekt relevante Schwachstelle ist die fehlende Authentifizierung von Routing-Informationen. Durch ein implizites Vertrauensverhältnis zwischen benachbarten AS werden 10\n15 Informationen eines Nachbarn ohne weitere Prüfung verarbeitet und gegebenenfalls an alle angrenzenden AS verteilt. Inkorrekte Routing-Informationen können somit als Folge von Fehlkonfigurationen oder als Teil eines akuten Angriffs verbreitet werden und so zu Störungen der Konnektivität führen. Der Monitoring-Ansatz für BGP im Projekt MonIKA besteht nun darin, die Routing- Informationen, die bei einzelnen AS gesammelt wurden, zentral zusammenzuführen und auf Plausibilität zu prüfen. Wird bei dieser Plausibilitätsprüfung eine Abweichung der Netzdarstellung unterschiedlicher AS festgestellt, weil z. B. technisch unmögliche Netztopologien annonciert werden oder mehrere AS Zuständigkeit für dieselben IP-Adressbereiche beanspruchen, kann dies als Anomalie betrachtet und entsprechend bewertet werden Stakeholder Die betroffenen Personen und Rollen für dieses Anwendungsszenario müssen alle am Internet-Routing beteiligt oder darauf angewiesen sein. Aus diesem Grund lassen sich diese in drei große Gruppen aufteilen: Zunächst sind die Betreiber autonomer Systeme, die nicht MonIKA-Teilnehmer sind, relevant. Durch das Anbieten unterschiedlicher Dienste (z. B. Peering oder Transit) sind sie elementarer Teil des Routing-Systems im Internet und somit potentielle Opfer von Fehlkonfigurationen oder Angriffen. Des Weiteren sind die Betreiber des MonIKA-Monitors zu berücksichtigen. Die Gesamtheit der MonIKA-Teilnehmer lässt sich dabei unterteilen in AS-Betreiber und sonstige Internet-Teilnehmer. Die teilnehmenden AS-Betreiber können zusätzlich zu den üblichen Routing-Daten möglicherweise weitere Informationen über ihre eigenen Peering-Partner oder Routing-Filter liefern, die in die Auswertung einfließen können. Schließlich treten im BGP-Routing-Szenario die regulären Internet-Teilnehmer, üblicherweise als Endkunden bezeichnet, auf. Sie haben nur wenig Kontakt mit Routing-Daten. Bei Routing-Anomalien sind sie jedoch ebenfalls betroffen. Es ist denkbar, mit den Erkenntnissen eine Informationsstelle einzurichten, an der Endkunden über Probleme im Inter-AS-Routing informiert werden Datenerhebung Im BGP-Szenario werden Daten aus verschiedenen Quellen genutzt. Neben den existierenden frei verfügbaren Daten zu BGP-spezifischer Kommunikation, die als dedizierte Services bereits im Internet angeboten werden, fließen explizit gesammelte BGP-relevante Daten der MonIKA- Teilnehmer in die Datenbasis dieses Szenarios ein. Dabei werden die frei verfügbaren Daten der bestehenden Internet-Services von der MonIKA-Zentralinstanz direkt eingebunden; die Daten der MonIKA-Teilnehmer werden nach einer Vorverarbeitung separat an die MonIKA-Zentralinstanz übersandt Basisdaten Die wichtigste Informationsquelle für das BGP-Szenario besteht in der Menge der ausgetauschten BGP-Nachrichten (sog. BGP-Updates), mit deren Hilfe sich benachbarte AS über Änderungen in ihren lokalen Routing-Tabellen informieren. Wann immer eine Änderung der Topologie oder Erreichbarkeit von autonomen Systemen oder eine Neu-Zuordnung von IP-Adressbereichen zu autonomen Systemen erfolgt, lösen die direkt betroffenen AS neue BGP-Nachrichten an ihre direkten Nachbarn aus, die sich entsprechend durch das Netz weiterpropagieren. Folgerichtig erreichen diese Daten auch Netzbereiche, die von MonIKA-Teilnehmern verwaltet werden. Dort werden diese Update- Nachrichten gesammelt und an die zentrale MonIKA-Instanz weitergeleitet. In dieser Hinsicht unterscheidet sich das Vorgehen der MonIKA-Teilnehmer also nicht von dem der bereits existierenden 11\n16 BGP-Sammeldienste, außer dass die BGP-Daten explizit nur der MonIKA-Zentralinstanz zur Verfügung gestellt werden. Neben den gesammelten oder frei verfügbaren BGP-Updates bieten sogenannte Traceroutes eine wichtige Informationsquelle für das BGP-Szenario. Anhand eines aktiv durchgeführten Verbindungsaufbaus auf Basis des IP-Protokolls lassen sich damit diejenigen Router identifizieren, die bei einer Verbindung zwischen zwei IP-Adressen zur Weiterleitung einbezogen werden. Aus der sich so ergebenden Route lassen sich Rückschlüsse auf die zu den einzelnen Routern gehörenden AS ableiten. Diese Kette von AS wiederum kann mit den Angaben aus den BGP-Updates abgeglichen werden, um Hypothesen bezüglich der Netztopologie oder der Existenz von Anomalien zu verifizieren oder zu widerlegen. Aus solchen aktiv durchgeführten Traceroutes der MonIKA-Teilnehmer ergeben sich je nach Quell-IP- und Ziel-IP-Adresse Ketten von IP-Adressen, die als Basisdaten im Kontext des BGP- Szenarios genutzt werden Vorverarbeitung BGP-Updates sind weitgehend öffentlich zugängliche Informationen und werden in unveränderter Form an die zentrale MonIKA-Instanz weitergegeben. Anders sieht es bei den Traceroute-Daten aus. Da hier individuelle IP-Adressen gelistet werden können, ist deren Personenbezug generell unklar. Im MonIKA-Kontext wird deshalb eine entsprechende Vorverarbeitung zur Extraktion des Personenbezugs vorausgesetzt. Dazu werden sämtliche in den Traceroute-Daten enthaltenen IP-Adressen in die diesen IP-Adressen zugeordneten AS aufgelöst. Die AS werden dabei über ihre AS-Nummer identifiziert. Einen Überblick über möglicherweise übertragene Daten gibt Tabelle 2. Tabelle 2: Potentiell übertragene Daten im Szenario Globales Internet-Routing Datum BGP-Update-Nachricht Traceroute-Ergebnis Vorverarbeitung bzw. Wert Im Klartext Liste von AS-Nummern der aus dem Traceroute ermittelten IP-Adressen Informationsfusion Zunächst werden verschiedene Arten von Konflikten in den per BGP-Update verbreiteten Routen- Informationen gesucht. Treten Fälle auf, in denen zwei oder mehr verschiedene AS Zuständigkeit für dieselben oder überlappende IP-Bereiche beanspruchen, liegt ein erstes Indiz für eine Anomalie vor. In diesem Fall wird anschließend soweit möglich geprüft, ob die Zuständigkeit möglicherweise aus legitimen Gründen tatsächlich zwischen den AS aufgeteilt ist, etwa für Zwecke des Load Balancing oder der besseren regionalen Verfügbarkeit bestimmter Angebote. Kann dies klar verneint werden, oder ist es gar nicht ermittelbar, werden die zugehörigen BGP-Update-Nachrichten, aus denen der Konflikt entstand, als Anomalie klassifiziert. Eine zweite Fusionstechnik analysiert die sich aus den BGP-Updates ergebenden Netztopologien. Dabei wird gezielt nach AS-Konstellationen gesucht, die nicht konsistente Angaben zu ihren Nachbar- AS oder zu der Liste der durch sie erreichbaren AS machen. Beispielsweise werden Situationen identifiziert, bei denen ein AS X angibt, mit einem anderen AS Y benachbart zu sein, während AS Y zeitgleich behauptet, AS X nur über Umwege erreichen zu können. Zwar kann es durchaus Gründe für 12\n17 AS-Routing-Einwegstraßen geben, dennoch wird eine solche Konstellation stets als Anomalie klassifiziert. In einer dritten Fusionstechnik werden die von den MonIKA-Teilnehmern bereitgestellten Traceroute-Daten ausgewertet, indem sie auf Konsistenz mit den aus den BGP-Updates gewonnenen Netztopologien geprüft werden. Werden hier Abweichungen zwischen per BGP postulierter Route und tatsächlich genutzter Route identifiziert, wird dies in jedem Einzelfall als Anomalie klassifiziert. Im Ergebnis ergibt sich also eine Liste der als Anomalie markierten BGP-Updates. Diese werden als Resultat im Rahmen der Informationsverwertung weiterverarbeitet Informationsverwertung Anomalien als Folge illegitimer BGP-Updates, welche in den bereits genannten Schritten erkannt wurden, werden allen MonIKA-Teilnehmern mitgeteilt. Zusätzlich zu den Anomaliedeklarationen selbst können in den von der zentralen MonIKA-Instanz bereitgestellten Informationen auch Handlungsempfehlungen oder Anweisungen an die Teilnehmer verteilt werden, um in kritischen Fällen unmittelbare Maßnahmen zu treffen. Die Entscheidungshoheit über den Versand solcher Zusatzinformationen liegt bei den Betreibern der zentralen MonIKA-Instanz, die Entscheidungshoheit über Art und Umfang der tatsächlichen Reaktion auf solche Bekanntgaben liegt bei den Verantwortlichen der jeweiligen Teilnehmer. Mögliche Reaktionen wären etwa: MonIKA-Teilnehmer, die nicht selbst AS-Betreiber sind, könnten für ihre zukünftigen IP- Verbindungen explizite Routen vorgeben, die die aus dem MonIKA-System bekannten Routing-Anomalien umgehen, bzw. andere Routen als die falsch annoncierten Routen verwenden. MonIKA-Teilnehmer, die selbst AS-Betreiber sind, könnten entscheiden, ihre eigenen Routing- Tabellen gemäß den identifizierten fehlerhaften Routen anzupassen, um die Fehler dadurch zu kompensieren. MonIKA-Teilnehmer, die selbst AS-Betreiber sind, könnten entscheiden, BGP-Updates von bestimmten AS, die im Rahmen einer Anomalie fehlerhafte Angaben gemacht haben, nicht mehr oder zumindest nicht ungeprüft bei der Aktualisierung ihrer Routing-Tabellen zu berücksichtigen. MonIKA-Teilnehmer, die selbst AS-Betreiber sind, und von der MonIKA-Zentralinstanz eine Nachricht über fehlerhafte BGP-Updates von ihnen direkt bekannten AS erhalten, könnten entscheiden, Maßnahmen gegenüber den Betreibern dieser AS zu treffen (z. B. Benachrichtigung, Ignorierung, rechtliche Schritte). MonIKA-Teilnehmer, die selbst AS-Betreiber sind und von der MonIKA-Zentralinstanz eine Nachricht über fehlerhafte BGP-Updates von ihren eigenen AS erhalten, könnten diese Information nutzen, um laufende Angriffe oder aktuelle Fehlkonfigurationen in ihren eigenen Subnetzen zu identifizieren. 2.4 Enterprise-Monitoring Beim MonIKA-Anwendungsfall Enterprise-Monitoring geht es um die Erhöhung des Schutzes von Unternehmen vor Bedrohungen aus dem Cyber-Raum durch eine verbesserte Zusammenarbeit zwischen verschiedenen Unternehmen und anderen Organisationen. Dafür sollen die im MonIKA- System vorgesehenen technischen und organisatorischen Maßnahmen verwendet werden. Im Rest dieses Abschnitts wird der Enterprise-Monitoring-Anwendungsfall näher dargestellt. Dazu wird zunächst eine allgemeine Darstellung des Anwendungsfalls gegeben. Anschließend werden die Akteure der verschiedenen beteiligten Arten von Parteien zusammen mit ihren möglichen Rollen im 13\n18 Kontext des Anwendungsfalls diskutiert. Schließlich werden soweit möglich Details zu Datenbasis, Fusion und Verwertung skizziert Szenario und technischer Ansatz Unternehmen stellen immer höhere Anforderungen an die Sicherheit der eigenen Informationsinfrastrukturen sowie die Einhaltung definierter Sicherheitsrichtlinien. Zur Gewährleistung sicherer, insbesondere verlässlicher und verfügbarer, Systeme für den reibungslosen Ablauf von Geschäftsprozessen haben sich unter anderem Security Incident Management und Response-Prozesse, in der Regel in übergeordneten Management-Frameworks eingebettet, etabliert. Eine effiziente und effektive Durchführung der dort definierten Tätigkeiten bieten sogenannte Cyber Security Operations Center (CSOC), die sich an den Bedürfnissen und den Vorgaben der Unternehmen orientieren. Ein CSOC erbringt Dienstleistungen zur Erhöhung der Sicherheit einer Organisation durch Vorbeugung und Behandlung sicherheitsrelevanter Ereignisse. Eine Aufgabe ist die Minimierung des Sicherheitsrisikos durch kontinuierlich durchgeführte Analysen unter Verwendung menschlicher Ressourcen sowie Techniken der Informatik. Im Regelfall wird ein CSOC seine Services 24 Stunden täglich und 365 Tage im Jahr erbringen. Das dabei durchgeführte kontinuierliche Monitoring erlaubt die Erkennung von etwaigen Anomalien. Nach deren Analyse können vom CSOC wirkungsvolle und zielgerichtete Gegenmaßnahmen eingeleitet werden. Da es sich hier um eine kostenintensive Tätigkeit handelt, die hochqualifiziertes Personal bindet, ziehen es Unternehmen oft vor, den Dienst auszulagern beziehungsweise an andere Unternehmen zu übertragen, die im Bereich der Informationssicherheit spezialisiert sind. Der Betreiber des CSOC muss entsprechend die für die Erbringung der Leistung benötigten Ressourcen und Zertifizierungen bereitstellen. Darüber hinaus benötigt er Zugang zu Monitoring- Daten oder Sensoren, um mit geeigneten Verfahren Anomalien und Angriffe auf die Informationsinfrastruktur des Kunden frühzeitig erkennen, Schwachstellen beheben und die Funktionsfähigkeit der Infrastruktur sowie die Integrität bzw. die Vertraulichkeit der Unternehmenswerte gewährleisten zu können. Eine wesentliche Herausforderung ist dabei das Erkennen gezielter und auf das Unternehmen angepasster Angriffe. Der Anwendungsfall Enterprise-Monitoring untersucht, wie die MonIKA-Konzepte verwendet werden können, um den Informationsaustausch zwischen mehreren Monitoring-Betreibern in Unternehmensnetzen zu gewährleisten. Dabei werden die Abläufe beim Austausch cybersicherheitsrelevanter Informationen zwischen den MonIKA-Teilnehmern analysiert und gemeinsam erzielbare Erkenntnisgewinne identifiziert. Art und Ausprägung der verschiedenen Angriffstechniken und Anomalien sind dabei anders als bei den beiden vorherigen Anwendungsfällen nicht fest vorgegeben. Vielmehr können unterschiedliche Arten von Angriffsdaten ausgetauscht werden Stakeholder Für das MonIKA-Szenario des Enterprise-Monitorings lassen sich drei Gruppen von Akteuren unterscheiden: Angreifer, angegriffene Unternehmen (Verteidiger) und unbeteiligte Dritte Akteure und Rollen auf Angreiferseite Auf Angreiferseite kommen unter anderem folgende mögliche Akteure in Frage: staatliche Einrichtungen/Akteure (insbes. militärischer Art); Konkurrenzunternehmen; Aktivistengruppen; 14\n19 Kriminelle; terroristische Gruppierungen. Jede dieser Gruppen hat ganz eigene Motive, Handlungsmöglichkeiten und Hintergründe, die sie in die Rolle eines Angreifers bringen. Eine Aufzählung möglicher Hintergründe würde dabei den Rahmen dieser Ausarbeitung sprengen, daher werden diese Akteure im Folgenden auf die ihnen bei einem Angriff zukommenden Rollen reduziert. Die Akteure können in einer Vielzahl möglicher Angriffsszenarien diverse Rollen einnehmen: Initiator der Angriffe: Der eigentliche Initiator der Angriffe, der häufig auch einen Vorteil aus den Angriffen zieht. Die Interessen des Initiators bestimmen maßgeblich die Form der Angriffe und sind daher eine wesentliche Kenngröße für eine effektive Reaktion. Leider ist es meist sehr schwierig, den Initiator eines Angriffs zu identifizieren. So lassen sich oft nur Mutmaßungen über die ursächliche Motivation eines Angriffs feststellen. Ausführender Angreifer: Derjenige, der die Angriffe unter Nutzung verschiedenster Werkzeuge (u. a. Malware) und Ressourcen tatsächlich durchführt. Er kann dies im Auftrag des Urhebers tun und dabei seinerseits Ressourcen verwenden, die entweder vom Urheber oder von einer dritten Person zur Verfügung gestellt werden. Angriffsinfrastrukturbetreiber: Betreibt eine Infrastruktur, die als Ressource für Angriffe verwendet werden kann. Hierbei kann es sich um einfache technische Ressourcen handeln, wie z. B. Netzanbindungen oder Server, oder auch um spezifische Cyberangriffsinfrastrukturen, wie z. B. Botnetze. Malware-Entwickler: Entwickelt Angriffswerkzeuge, insbesondere Malware. Dies kann spezifisch im Auftrag des Urhebers oder des Angreifers passieren, oder aber es können sogenannte Common-off-the-Shelf -Werkzeuge genutzt werden, die einsatzfertig eingekauft oder frei bezogen werden können Akteure und Rollen auf Unternehmensseite Aufseiten der Verteidiger, d. h. der Unternehmen, die versuchen, sich vor Cyberangriffen zu schützen, gibt es folgende mögliche Akteure: CIO und/oder CISO: Der Chief Information Security Officer (CISO) ist verantwortlich für alle Belange der Informationssicherheit. Nicht selten fällt unter sein Aufgabenspektrum auch die physische Sicherheit wie z. B. Zutrittssysteme und Alarmanlagen. In vielen Unternehmen existiert die Position eines CISO nicht. In diesen Fällen ist der Verantwortungsbereich des CISO beim Chief Information Officer (CIO) angesiedelt und er handelt somit in Personalunion. Der CIO ist dann insgesamt für das Funktionieren der IT-Infrastruktur des Unternehmens zuständig. Dazu gehört die Funktionalität und Nutzbarkeit der eingesetzten IT-Systeme ebenso wie die Verfügbarkeit und Sicherheit. Dabei kann es einen Zielkonflikt bezüglich dieser Aspekte geben, insbesondere für die Berücksichtigung der Sicherheit. Das Interesse des CIO ist es, die angesprochene Funktionsfähigkeit der IT-Infrastruktur zu gewährleisten und darüber hinaus im Sinne einer Security Compliance wesentliche Regularien mit Bezug zu den IT- Systemen einzuhalten. System- und Netzadministratoren: Diese sind für den Betrieb der IT-Systeme, Computernetze und Applikationen zuständig. Sie müssen auf der einen Seite Nutzerforderungen im Sinne eines internen Dienstleisters erfüllen, auf der anderen Seite aber auch die wesentlichen Vorgaben vonseiten des CIO/CISO erfüllen, darunter auch die Gewährleistung der Sicherheit. Im Allgemeinen liegt das Interesse der Administratoren daher vor allem auf der Einhaltung der Erwartungen der Nutzer unter Erfüllung der wesentlichen, formal durch Policies vorgegebenen Rahmenbedingungen. Ihrer primären Aufgabe nachkommend, Verfügbarkeit und Funktionalität 15\n20 von Netz-, System- und Applikationsressourcen sicherzustellen, ist die eigentliche Sicherheit ihrer Systeme, Netze und Applikationen oft eher von untergeordnetem Interesse. Das untergeordnete Sicherheitsinteresse gilt insbesondere dann, wenn bereits Sicherheitskomponenten (z. B. Firewalls) außerhalb ihres Verantwortungsbereichs vorhanden sind und somit ein Gefühl von Sicherheit vermitteln. Verstärkt wird dies noch dadurch, dass Sicherheitsvorfälle vergleichsweise selten auftreten und damit nicht in der direkten Erfahrungswelt des Administrators stehen. Bei Auftreten eines Sicherheitsvorfalls stehen die Administratoren allerdings bei der Reaktion darauf in der ersten Reihe. Datenschutzbeauftragte und Betriebsräte: Die Aufgabe des Betriebsrates ist die Interessenvertretung der Mitarbeiter eines Unternehmens. In Bezug auf Maßnahmen der IT- Sicherheit übt der Betriebsrat hauptsächlich seine Aufgabe als Kontrollinstanz in Bezug auf die Sammlung und Verwendung von Daten aus. Dabei soll sichergestellt werden, dass diese Daten nicht für Zwecke der Überwachung von Mitarbeitern missbraucht werden können. Dies schlägt sich in der Ausgestaltung und im Abschluss entsprechender Betriebsvereinbarungen nieder, in denen die Möglichkeiten der Datensammlung für IT-Sicherheitsmaßnahmen festgelegt werden. Darüber hinausgehend ist das Interesse des Betriebsrates die Vermeidung oder wenigstens Minimierung der Sammlung von Daten mit Mitarbeiterbezug. Der Datenschutzbeauftragte eines Unternehmens hat speziell die Aufgabe die Einhaltung dieser betriebsinternen Regelungen zu überprüfen, aber vor allem auch die Einhaltung von allgemeinen Datenschutzvorgaben sicherzustellen. Nutzer der IT-Systeme und -Dienste: Die Nutzer werden in der Regel Mitarbeiter des Unternehmens sein und oft nur sehr rudimentäre Kenntnisse im Themenfeld Sicherheit haben. Sie verwenden die IT-Systeme und Dienste des Unternehmens im Rahmen ihrer täglichen Arbeit. Ihr Interesse besteht sowohl in der ständigen Verfügbarkeit und Nutzbarkeit der für ihre Tätigkeit notwendigen IT-Ressourcen als auch darin, durch Maßnahmen der IT-Sicherheit nicht unverhältnismäßigen Kontrollen ausgesetzt zu sein. Die Nutzer spielen eine wichtige Rolle bei der Erkennung von Bedrohungen, z. B. durch die Meldung ungewöhnlicher Ereignisse. Externe IT-Dienstleister: Die verschiedenen Akteure dieser sehr breiten Gruppe erbringen eine Dienstleistung im Zusammenhang mit den IT-Ressourcen der Unternehmen, so z. B. die Anbindung des Unternehmensnetzes an das Internet oder andere Netze (Internet Service Provider) oder auch den ausgegliederten Betrieb von Servern. Auch vom Unternehmen in Anspruch genommene Cloud-Dienste fallen unter diese Kategorie. Das Interesse der externen Dienstleister ist die Erbringung des Dienstes gemäß den Erwartungen des Kunden und insbesondere im Rahmen der mit diesem Kunden abgeschlossenen Verträge. Dabei möchte ein externer Dienstleister sein eigenes Risiko und seine eigenen Kosten möglichst gering halten. Die angebotene Dienstleistung kann sich dabei ganz oder teilweise auf Aspekte der IT- Sicherheit beziehen. Handelt es sich dabei vollständig um einen Dienst im Rahmen der IT- Sicherheit, spricht man auch von einem IT-Sicherheitsdienstleister. Diese Untergruppe ist für das MonIKA-System von besonderer Relevanz. Neben dieser Einteilung anhand der Funktion im Unternehmenskontext lassen sich die Akteure der MonIKA-Verteidigerseite alternativ auch nach ihrer Rolle im MonIKA-Kontext klassifizieren. Dabei können die beteiligten MonIKA-Teilnehmer unter anderem folgende Rollen annehmen: Vertragspartner: Hierbei handelt es sich um diejenigen Akteure, die für die Aushandlung und Einhaltung der Verträge zwischen verschiedenen kollaborierenden Unternehmen verantwortlich sind. Im Zuge des Anwendungsfalls sollen hier vor allem die Verträge für die Realisierung der Zusammenarbeit im Bereich der IT-Sicherheit verstanden werden. Allerdings ist zu vermuten, dass in der Praxis wohl eher zusätzliche Vereinbarungen für den Austausch von Informationen in bereits bestehende Liefer- oder Rahmenverträge aufgenommen werden würden. 16