Glossarbegriff
Defense in Depth
Auch: Verteidigung in der Tiefe
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
Defense in Depth stammt aus der militärischen Doktrin und hat sich als Standard-Cybersecurity-Modell durchgesetzt. Jede Schicht hat eigene Kontrollen: Identity Provider, EDR, Firewall, Segmentierung, DLP, Krypto, MFA, Monitoring.
Praktisch: ein einziges Stoppen reicht nicht. Selbst wenn ein Endpoint kompromittiert ist, sollte segmentierter Netzwerk-Zugang die Lateral Movement begrenzen. Das ist auch der Grund, warum NIS2 Art. 21 zehn unterschiedliche Maßnahmen-Bereiche fordert.
In der Praxis
Im DecisionOS-Workflow wird Defense in Depth als Bewertungs-Linse verwendet: jede Tool-Entscheidung wird daraufhin geprüft, welche Schutzschichten sie stärkt und ob sie kritische Schichten überlappt oder Lücken hinterlässt.
Verwandte Begriffe
Zero Trust
A security model built on the principle that no user, device or network location is trusted by default. Access is continuously verified against identity, device posture, context and policy, regardless of whether the request comes from inside or outside the corporate network.
EDR (Endpoint Detection and Response)
A class of endpoint security tools that continuously records endpoint activity and enables detection, investigation and response to threats that evade traditional antivirus. Most enterprise security incidents today are detected or contained at the EDR layer.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.