Wer an­bie­tet, ent­wi­ckelt selbst

Wie aus Si­cher­heits­for­schung eine Ar­beits­wei­se wurde

Vor der Gründung liegen drei Stationen, alle aus der Studienzeit. Keine davon ist eine Leistung von Gartway. Sie erklären, woher eine bestimmte Art zu arbeiten kommt.

Am System Security Lab der TU Darmstadt zunächst als studentische Hilfskraft, danach mit der Bachelorarbeit: CPU-Fuzzing, also die Frage, wie sich ein Prozessor verhält, wenn er Befehlsfolgen bekommt, mit denen niemand gerechnet hat. Wer das eine Weile getan hat, geht bei jedem System davon aus, dass es anders reagieren kann als vorgesehen — und dass die eigene Messung genauso falsch sein kann wie das Gemessene. Genau das ist im Apothekenprojekt nachlesbar: Zu den automatischen Prüfungen gehören Gegenproben, die fehlschlagen müssen. Schlägt eine nicht fehl, prüft die Prüfung nichts.

Am Fraunhofer SIT im Praktikum: Reverse Engineering und HID-Keystroke-Injection — ein Gerät, das sich als Tastatur ausgibt und Eingaben schickt, die kein Mensch getippt hat. Daraus folgt für jede Anwendung eine schlichte Grundhaltung: Eingaben gelten nicht als wohlgeformt, nur weil sie aus der eigenen Oberfläche kommen.

Bei Mercedes-Benz in der Advanced Logistics Engineering in Sindelfingen, ebenfalls im Praktikum, als Product Owner eines Frühwarnsystems: Anforderungen aus dem Fachbereich in ein Dashboard für die Leitungsebene übersetzen und die Kennzahlenlogik dahinter entwerfen und absichern. Der Nutzen einer solchen Anwendung entscheidet sich nicht an der Oberfläche, sondern daran, ob eine Zahl sauber definiert ist und einer Rückfrage standhält. Das ist die Erfahrung hinter dem Leistungsbereich zu internen Werkzeugen und Auswertungen.

Sicherheitsforschung ist hier Hintergrund und kein Angebot: Gartway prüft keine fremden Anwendungen auf Schwachstellen. Was angeboten wird, steht bei den Leistungen.