Vergleich von Lehransätzen für die Ausbildung in IT-Sicherheit

Seit einigen Jahren werden in der universitären Ausbildung in IT-Sicherheit nicht nur Schutzmaßnahmen, sondern auch Angriffsmethoden vermittelt. Dies äußert sich in speziellen Praktika und auch in spielerischen Formen wie den so genannten Capture-The-Flag-Wettbewerben, in denen studentische Teams die Angreifer- und die Verteidigerrolle einnehmen. Der Ansatz, Angreifermethoden kennenzulernen, soll zu einem besseren Verständnis von IT-Sicherheit und deren Problemen führen, als das Vermitteln von reinen Schutzmaßnahmen. Die vom Autor mit diesem Ansatz seit dem Jahr 2003 an zwei deutschen Universitäten gemachten Erfahrungen waren sehr positiv. So stellte sich die Frage, ob der Beitrag des Ansatzes zur Ausbildung von Sicherheitsexperten objektiv bewertet werden kann. Aber dazu muss Sicherheitswissen operationalisiert werden. Zu diesem Zweck wurde eine empirische Studie entworfen und durchgeführt, die die Auswirkung des Ansatzes auf das IT-Sicherheitsverständnis von Universitätsstudenten messen soll. Im Rahmen der Studie nehmen Studenten an einem entsprechend entworfenen Kurs zu IT-Sicherheit teil und mit geeigneten Messinstrumenten wird die Auswirkung des Ansatzes bestimmt. Bestandteil der Studie ist die Planung der Parameter der Studie, der Entwurf und die Durchführung von Kursen zur Informationssicherheit sowie der Entwurf von Tests, mit denen Sicherheitswissen gemessen werden kann. In dieser Arbeit wird zum einen die Situation der IT-Sicherheitsausbildung an deutschen und internationalen Universitäten analysiert. Zum anderen wird die Planung und die Durchführung der Studie zur Bestimmung des Sicherheitsverständnisses vorgestellt. In der Studie wird der zu bewertende Lehransatz mit dem Lehransatz verglichen, der Schutzmaßnahmen in den Vordergrund stellt. Dafür wurde für jeden der Ansätze ein Einführungskurs in IT-Sicherheit mit theoretischen und praktischen Inhalten entwickelt. Bei der Auswertung der in den Studiendurchführungen empirisch erhobenen Daten zeigt sich eine Tendenz hin zu dem zu bewertenden Lehransatz, die allerdings nicht genug Aussagekraft hat. So müssen in weiteren Studiendurchführungen mehr Daten gesammelt werden, um eine Aussage treffen zu können