HT-Seminar: "Informationssicherheitsmanagement"

Aktuelle Themen des Informationssicherheitsmanagements

Wissenschaftliche Auseinandersetzung mit aktuellen Herausforderungen des Informationssicherheitsmanagements

Im Herbsttrimester (HT) bietet die Professur für IT-Sicherheit von Software und Daten ein Seminar zum Themengebiet „Informationssicherheitsmanagement“ an.

Das Seminar kann von Bachelor- und Masterstudierenden belegt und in deutscher oder englischer Sprache bearbeitet werden.

Im Rahmen des Seminars beschäftigen sich die Studierenden eigenständig mit einer aktuellen Fragestellung des Informationssicherheitsmanagements. Auf Grundlage einer wissenschaftlichen Literaturrecherche werden bestehende Ansätze analysiert, miteinander verglichen und kritisch bewertet.

Lernziele

  • Kennenlernen aktueller Herausforderungen und Forschungsfragen im Bereich des Informationssicherheitsmanagements.
  • Vertiefung des Verständnisses für die organisatorischen, technischen und menschlichen Aspekte der Informationssicherheit.
  • Durchführung einer wissenschaftlichen Literaturrecherche sowie die strukturierte Aufbereitung, Analyse und kritische Bewertung des aktuellen Forschungsstands zu einem ausgewählten Thema.
  • Einordnung und Vergleich unterschiedlicher Ansätze, Modelle, Standards oder Maßnahmen des Informationssicherheitsmanagements.
  • Präsentation wissenschaftlicher Arbeiten sowie aktive Teilnahme an wissenschaftlichen Diskussionen.
  • Erstellung einer wissenschaftlichen Ausarbeitung (korrektes Zitieren, formale Gestaltung, sprachlicher Ausdruck etc.).

Ablauf

  1. Vorbereitungsphase: Themen werden gesammelt und auf dieser Seite veröffentlicht. Studierende melden sich per E-Mail (laura.stojko@unibw.de) an und können bis zu zwei Themenwünsche angeben. Gerne können auch eigene Themenvorschläge aus dem Bereich des Informationssicherheitsmanagements eingebracht werden.
  2. Kick-Off in Präsenz: Zu Beginn des Trimesters (voraussichtlich zwischen dem 05. und 07.10.) findet eine Kick-Off-Veranstaltung zur Themenvorstellung und -vergabe statt. Die Bearbeitungszeit beträgt 10 Wochen und beginnt mit diesem Termin.
  3. Einarbeitungsphase und erstes Feedback: Eingrenzung der Fragestellung, Durchführung einer ersten Literaturrecherche sowie Erarbeitung eines grundlegenden Themenüberblicks, einer vorläufigen Gliederung und eines Zeitplans (26.10.). Zur Gliederung und zum Zeitplan erhalten die Studierenden per E-Mail oder über ILIAS Feedback.
  4. Arbeitsphase: Systematische Aufarbeitung der relevanten Literatur sowie Analyse und Vergleich der identifizierten Ansätze.
  5. Zwischenpräsentation in Arbeitswoche 3/4: Paper in the Spotlight (Vorstellung und Diskussion eines für die eigene Arbeit zentralen wissenschaftlichen Papers).
  6. Arbeitsphase: Vertiefung der Literaturrecherche, kritische Bewertung und Einordnung der Ergebnisse sowie weitere Ausarbeitung der schriftlichen Arbeit.
  7. Zwischenpräsentation in Arbeitswoche 6/7: Chapter in the Spotlight (Präsentation und Diskussion eines ausgewählten Kapitels der schriftlichen Ausarbeitung).
  8. Arbeits- und Feedbackphase: Individuelle Feedbackrunde mit den Betreuenden sowie Vorbereitung der Abschlusspräsentation. Masterstudierende führen zusätzlich ein Peer-Review durch.
  9. Abschlusspräsentation in Arbeitswoche 9: Vorstellung und Diskussion der Arbeitsergebnisse im Rahmen einer Posterpräsentation.
  10. Finalisierungsphase: Überarbeitung und Abgabe der schriftlichen Ausarbeitung.

Angebotene Themen im HT26

Thema 1: Modellbasierte Sicherheitsanalyse von IoT-Netzwerken

Ziele:

  • Welche IT-Sicherheitsaspekte werden von Erweiterungen zu SysML/UML abgedeckt?
  • Wie wird dadurch die Ableitung, Dokumentation und Nachverfolgbarkeit von Bedrohungen und Sicherheitsmaßnahmen unterstützt?
  • Wie lässt sich dies in das IT-SecMgmt im gesamten Lebenszyklus von IoT Netzwerken integrieren?

Initialliteratur:

  • P. J. Escamilla-Ambrosio, D. A. Robles-Ramírez, T. Tryfonas, A. Rodríguez-Mota, G. Gallegos-García, and M. Salinas-Rosales, “IoTsecM: A UML/SysML Extension for Internet of Things Security Modeling,” IEEE Access, vol. 9, pp. 154112–154135, 2021, doi: 10.1109/ACCESS.2021.3125979.
  • Y. Roudier and L. Apvrille, “SysML-Sec: A model driven approach for designing safe and secure systems,” in 2015 3rd International Conference on Model-Driven Engineering and Software Development (MODELSWARD), Feb. 2015, pp. 655–664. Accessed: Sep. 22, 2026. [Online]. Available: https://ieeexplore.ieee.org/document/7323182/
  • Secure Systems Development with UML. Berlin/Heidelberg: Springer-Verlag, 2005. doi: 10.1007/b137706.

Thema 2: KI-gestützte Informationsklassifizierung im ISMS: Anforderungen, Ansätze und menschliche Aufsicht

Ziele:

  • Anforderungen an die Informationsklassifizierung aus ISO/IEC 27001 (A.5.12/A.5.13), BSI-Standard 200-2, NIS-2 und VSA herausarbeiten und daraus Kriterien für KI-Unterstützung ableiten (z. B. Nachvollziehbarkeit, menschliche Aufsicht).
  • Ansätze zur automatisierten Klassifizierung und hybride Architekturen anhand dieser Kriterien vergleichen und bewerten: von regelbasierten und klassischen ML-Verfahren über Encoder und Decision-only-Modelle wie Jev bis zu LLMs.
  • Vor dem Hintergrund von Dual-Process-Modellen menschlicher Entscheidungen nachträglich erzeugte Begründungen kritisch bewerten: Erklärungstreue (Faithfulness) von LLM-Begründungen und ihr Einfluss auf die menschliche Prüfung (Automation Bias).
  • Vertiefung: zusätzlich eine mögliche Architektur und einen Versuchsplan für einen Proof of Concept skizzieren.

Initialliteratur:

  • McDonald, G., Macdonald, C., Ounis, I. (2021). How the Accuracy and Confidence of Sensitivity Classification Affects Digital Sensitivity Review. ACM Transactions on Information Systems, 39(1). https://doi.org/10.1145/3417334
  • Bergamaschi Ganapini, M., et al. (2025). Fast, slow, and metacognitive thinking in AI. npj Artificial Intelligence, 1, 27. https://doi.org/10.1038/s44387-025-00027-5
  • Turpin, M., Michael, J., Perez, E., Bowman, S. R. (2023). Language Models Don’t Always Say What They Think: Unfaithful Explanations in Chain-of-Thought Prompting. NeurIPS 36. https://arxiv.org/abs/2305.04388

Thema 3: Secure-by-Design-Prinzipien für die Absicherung von KRITIS

Kritische Infrastrukturen in Deutschland werden infolge von Konflikten, die derzeit auf der Welt stattfinden, immer wieder Ziel von feindlichen Akteuren durch Cyberattacken. Welche Herausforderungen und Änderungen ergeben sich derzeit für Betreiber solcher Einrichtungen und deren Technik?

Ziele:

  • Erstellung einer Übersicht über neue Standards und Regulatorien (z.B. NIS2, CER, BSI IT-Grundschutz, ISO 62443)
  • Methodik und Vorgehen bei der Absicherung von Leit-, Signal- und Fernwirktechnik insbesondere im Hinblick auf Absicherungsprozesse (Lebenszyklen- und Entwicklung „abgehärteter“ Systeme)

Initialliteratur:

  • Oka, Mimi Enakome, Martin Hromada, and Roman Jasek. "Cybersecurity in critical rail infrastructure: sector specific adoption of the NIS 2 directive in Europe." Journal of Transportation Security 19.1 (2026):  DOI: 10.1007/s12198-026-00349-8
  • Parlov, Natalija, Gordan Akrap, and Josip Esterhajer. "Supply chain security and AI risk governance model for critical infrastructure under NIS2, CER, and CRA." Applied Cybersecurity & Internet Governance 4 (2025): DOI: https://doi.org/10.60097/ACIG/211823

Thema 4: Untersuchung sicherheitskritischer Systeme auf Zuverlässigkeit mittels aktueller KI-Modelle

Eine große Herausforderung im Entwicklungsprozess sicherheitskritischer Software ist die Zuverlässigkeitsprüfung. Ziel ist es, alle Anforderungen solcher Systeme zu überprüfen, damit sie auf entsprechende Fehler nicht unerwartet reagieren. Sicherheitskritische Systeme kommen vor allem in der Luft- und Raumfahrt, der Medizintechnik und im KRITIS-Bereich zum Einsatz. In dieser Seminararbeit sollen Sie eine Auflistung aller derzeitigen Durchbrüche und Errungenschaften von KI-Systemen erarbeiten, die im Zusammenhang mit der Beweisführung eines formalen Systems in den letzten sechs Monaten stattgefunden haben.

Ziele:

  • Herausforderungen, technische Limitierungen und derzeitiger Stand von KI-Systemen im Hinblick auf mathematische Beweisführung von Safety-Critical-Systems
  • SOTA-Stand und aktuelle Entwicklungen der Überprüfungen technischer Systeme mittels formaler Verifikation durch Frontier oder Open-Source-KI-Systeme
  • Methodik und Vorgehen bei der Absicherung von sicherheitskritischer Software

Initialliteratur:

  • In 20th USENIX Symposium on Operating Systems Design and Implementation (OSDI 26) (pp. 2533-2550).: DOI:10.48550/arXiv.2603.19715
  • Sevenhuijsen, Merlijn, et al. "Generating safety-critical automotive C-programs using LLMs with formal verification." 19th International Conference on Neurosymbolic Learning and Reasoning. 2025.:  DOI:https://openreview.net/forum?id=xcLrUIeGo3

Thema 5: Leistungsfähigkeit agentischer Open-Source-KI-Modelle im Hinblick auf Penetrationstests sicherheitskritischer Systeme

Moderne agentische KI-Systeme sind mittlerweile leistungsfähig genug, um automatisiert Angriffe auf Computersysteme durchzuführen, wenn diese von Angreifern als profitables Ziel ausgewählt wurden. Dabei sind nicht nur Firmen, sondern auch Einrichtungen betroffen, etwa Krankenhäuser, militärische Dienststellen, Feuerwehren und Polizeidienststellen. In dieser Arbeit soll untersucht werden, inwieweit Open-Source-Modelle bei sicherheitskritischen Systemen bereits für das Protokollfuzzing eingesetzt werden können.

Ziele:

  • Welche Untersuchungen können mittels agentischer KI-Systeme auf Protokollebene bereits heute durchgeführt werden (OSI-Schichtenmodell)?
  • Methodik und Vorgehen beim Protokollfuzzing, der Aufbereitung der Daten, Ergebnisse und Bewertung
  • Auflistung von ausgenutzten 0-Day-Exploits durch die Einarbeitung von beispielsweise bereits veröffentlichten CVEs unter Berücksichtigung deren POCs und IOCs.
  • Auflistung Open-Source-agentischer Systeme explizit im Bereich der Cybersecurity (z.B. GLM 5.3 Flash o.Ä.)

Initialliteratur:

  • Lin, Justin, et al. "Comparing ai agents to cybersecurity professionals in real-world penetration testing." International Conference on Learning Representations. Vol. 2026. 2026: DOI:10.48550/arXiv.2512.09882
  • Cheng, Jiaxing, et al. "An LLM-Driven Fuzzing Framework for Detecting Logic Instruction Bugs in PLCs." NDSS. 2026..:  DOI: https://www.ndss-symposium.org/wp-content/uploads/2026-f1081-paper.pdf

Thema 6: IT-Sicherheitsrisiken beim Einsatz von KI zur Personalisierung von Awareness-Trainings

Ziele:

  • Identifizierung und Systematisierung möglicher Einsatzformen von KI zur Personalisierung von IT-Sicherheits-Awareness-Trainings, einschließlich der dabei verarbeiteten Daten.
  • Analyse der mit diesen Einsatzformen verbundenen IT-Sicherheitsrisiken und bekannten Schwachstellen sowie möglicher Schutzmaßnahmen.

Initialliteratur:

  • Rana, S., Chicone, R. (2025). AI-Driven Personalized Learning in Cybersecurity Training. In: Fortifying the Future. Springer, Cham. https://doi.org/10.1007/978-3-031-81780-9_2
  • S. Jawhar, J. Miller and Z. Bitar, "AI-Driven Customized Cyber Security Training and Awareness," 2024 IEEE 3rd International Conference on AI in Cybersecurity (ICAIC), Houston, TX, USA, 2024, pp. 1-5, doi: 10.1109/ICAIC60265.2024.10433829.
  • Autio, C. , Schwartz, R. , Dunietz, J. , Jain, S. , Stanley, M. , Tabassi, E. , Hall, P. and Roberts, K. (2024), Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile, NIST Trustworthy and Responsible AI, National Institute of Standards and Technology, Gaithersburg, MD, [online], https://doi.org/10.6028/NIST.AI.600-1, https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=958388

 

Thema 7: Selbstbestimmtes (Gesundheits-)Datenmanagement: Potenziale und Herausforderungen 

Ziele:

  • Untersuchung von Personal Data Stores und personenkontrollierten Gesundheitsdaten: Analyse der Potenziale und Herausforderungen (z.B. für Kontrolle, Transparenz und selbstbestimmte Datenfreigaben)
  • Betrachtung technischer und organisatorischer Herausforderungen (z.B. der Schlüsselverwaltung, der Benutzerfreundlichkeit, der Datenverfügbarkeit und der Interoperabilität)

Initialliteratur:

  • Fallatah, K. U., Barhamgi, M., & Perera, C. (2023). Personal Data Stores (PDS): A Review. Sensors, 23(3), 1477. https://doi.org/10.3390/s23031477
  • Carmichael, L., Hall, W., & Boniface, M. (2024). Personal data store ecosystems in health and social care. Frontiers in Public Health, 12, 1348044.
  • Hsu, M. W., Parry, G., & Ng, I. (2026). Personalisation‐Privacy Paradox: Systematic Review and Survey Evidence on Personal Data Stores. Expert Systems, 43(7), e70314.

Thema 8: Solid Pods für Gesundheitsdaten: Potenziale, Anwendungsfälle und Sicherheitsherausforderungen

Ziele:

  • Darstellung der Grundprinzipien und Sicherheitsmechanismen von Solid.
  • Identifizierung möglicher Anwendungsfälle für die Speicherung, Zusammenführung und kontrollierte Freigabe persönlicher Gesundheitsdaten.
  • Analyse, inwieweit Solid die digitale Souveränität von Patientinnen und Patienten unterstützt.
  • Untersuchung bestehender Sicherheits-, Datenschutz- und Nutzbarkeitsgrenzen.

Initialliteratur:

  • Solid Protocol: https://solidproject.org/TR/protocol
  • Ammar, N., Bailey, J. E., Davis, R. L., & Shaban-Nejad, A. (2021). Using a personal health library–enabled mHealth recommender system for self-management of diabetes among underserved populations: use case for knowledge graphs and linked data. JMIR formative research, 5(3), e24738.
  • Ragab, M., Savateev, Y., Oliver, H., Tiropanis, T., Poulovassilis, A., Chapman, A., & Roussos, G. (2024, May). Unlocking the potential of health data with decentralised search in personal health datastores. In Companion Proceedings of the ACM Web Conference 2024 (pp. 1154-1157).

 

Gerne können auch eigene Themen vorgeschlagen werden.