Aus Ennepetal. Seit 2021 auch verantwortlich für Systeme in den USA.

Angefangen habe ich mit Sicherheit, nicht mit Webdesign.

Seit 2012 bin ich in der InfoSec-Szene unterwegs: Reverse Engineering, Malware-Analyse, Security-Research. 2016 habe ich einen öffentlichen Decryptor für die Cerber-Ransomware gebaut. Wenn ich Lücken gefunden habe, habe ich sie gemeldet. Im selben Jahr ging so eine Meldung an eine lokale Bank, deren Online-Banking PINs mit fünf Zeichen erlaubte. Mit Brute-Force-Rechnung und konkreten Vorschlägen, nicht nur mit dem Hinweis.

Websites wurden erst später das Geschäft. Das Sicherheitsdenken ist geblieben, und inzwischen dreht sich die meiste Arbeit wieder darum: Audits, Prüfung von Dienstleistern, Infrastruktur, und die Übernahme von Systemen, die keiner mehr ganz versteht.

Datenschutz ist bei mir Grundeinstellung, kein Zusatzpaket. Die DSGVO lässt einem da auch wenig Spielraum. Dieselbe Disziplin nehme ich mit in die Arbeit für US-Kunden, andere Gesetze, gleiche Regel: Etiketten nicht glauben, Umsetzung prüfen.

Aus dieser Gewohnheit kommen die Ergebnisse. Für einen US-Telemedizin-Anbieter habe ich eine kritische Lücke bei einem Drittanbieter gefunden und dokumentiert (CVSS 10.0), bevor Patientendaten betroffen waren. Und Patientenakten gemeldet, die ein Dienstleister offen liegen gelassen hatte. Die Systeme, die ich selbst betreibe: vier Jahre ohne Vorfall. Die gefährlichen Funde waren auf Systemen, die ich mir ansehen sollte. Genau dieser Unterschied ist der Job.