Universität Hamburg - der Forschung, der Lehre, der Bildung, zur Homepage
Security and Privacy
Department of InformaticsSecurity and Privacy

Foto: UHH/Denstorf

Security and Privacy

Projects and Partners

Ongoing projects and activities

TRESOR: Treuhandplattform für die sichere und privatsphäreschützende Sammlung, Speicherung und Vermittlung von Daten mobiler Geräte – BMWI (2022-2025) [SVS,ISS]

TRESOR zielt neben der Konzeption der organisatorischen Einbettung eines Datentreuhandmodells vor allem auf die Entwicklung einer technischen Datentreuhandplattform für die kryptographisch abgesicherte und privatsphäreschützende Sammlung, Speicherung und Vermittlung von auf mobilen Geräten erhobenen Daten. Als Steuerungsinstrument für die Datenfreigabe durch Einzelpersonen fungiert die gleichnamige und ebenfalls zu entwickelnde TRESOR-Applikation inkl. der dahinterliegenden Infrastruktur. Authentifizierte Datennutzende sollen so in die Lage versetzt werden, die Freigabe für die Nutzung von Daten, die mittels der Sensorik von Smartphones oder der dort installierten Applikationen gesammelt werden, durch die Nutzerinnen und Nutzer der mobilen Endgeräte zu erhalten. Dadurch sollen datengetriebene Forschung und die wirtschaftliche Nutzung der Daten auf Individualebene ermöglicht werden, wobei der Datenschutz und die Souveränität der einzelnen Datengebenden gewährleistet wird. Die pilothafte Anwendung des App-basierten Datentreuhandmodells soll in zwei Anwendungsbeispielen erfolgen, mit individuellen Gesundheits- bzw. Bewegungsdaten sowie Mobilitäts- und Infrastrukturdaten.

Projektpartner:

NRL: Norddeutsches Reallabor - Resiliente Betriebsführung und IKT-Sicherheit dezentraler Steuerungskonzepte für Wasserstoffanwendungen und Sektorenkopplung – BMWI (2021-2026) [SVS]

Das Projekt untersucht die Anforderungen an und die Umsetzungsmöglichkeiten für die IT-Sicherheit innerhalb der Kommunikationsinfrastruktur für eine verteilte Wasserstofferzeugung und der damit verbundenen Sektorenkopplung. Für ausgewählte Systemkomponenten sollen Bausteine zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit entwickelt werden. Hierzu zählen insbesondere organisationsübergreifende Authentifizierungsbausteine, Komponenten für das Schwachstellen-Monitoring und das Patch-Management. Um die sicherheitstechnischen Abhängigkeiten der Kommunikationsteilnehmer zu erforschen, wird ein Demonstrator für kritische Netzzustände entwickelt. Besonderer Fokus liegt auf der interaktiven Visualisierung mit der Perspektive auf einen Einsatz in Leitstellen, in denen virtuelle Kraftwerke mit Sektorenkopplung zum Einsatz kommen.

Projektpartner:

ELITE: ErLebbare IT-SichErheit durch mobile IT-Sec.PopUp-Labs – BMWI (2021-2024) [SVS]

Das Projekt beabsichtigt, IT-Sicherheit für kleine und mittlere Unternehmen (KMU) anschaulich und greifbar zu machen. Das Teilvorhaben der UHH wird sich mit "Sicherheitsrisiken kabelgebundener und kabelloser Schnittstellen" beschäftigen. Wir werden Angriffe auf USB-Schnittstellen anschaulich demonstrieren und die Risiken der Beobachbarkeit von WLAN und anderen Funkschnittstellen sichtbar machen. Im ELITE-Projekt ist eine Roadshow geplant, in der die beiden Demonstrationen gezeigt werden sollen.

Projektpartner:

KI-SIGS – Künstliche Intelligenz als Treiber für volkswirtschaftlich relevante Ökosysteme – BMWI (2020–2023) [SVS,ISS]

The KI-SIGS project develops an ecosystem, a platform, and a roadmap for application & innovation projects for the use of artificial intelligence (AI) in the medical sector. One goal of the project is to create a decentralised AI alliance which focuses on gaining knowledge, increasing methodological competence, as well as develop, transfer, and evaluate technology in the field of smart health services, which includes adaptive medical systes as well as learning robotic assistants and Smart-Living Home-Assistants. Another goal is to address challenges of the medical section which include the processing of sensitive medical patient data, regulatory and approval issues as well as ethical aspects.

Project Partners:

HITS-Moni – Harbour-IT-Security-Monitoring – BMVI (2019–2022) [SVS]

Hackerangriffe werden in Deutschland zu einer zunehmenden Bedrohung für Hafenunternehmen. Eine intelligente, auch unternehmensübergreifende Verknüpfung der verschiedenen vorhandenen IT-Sicherheitstools zur Erkennung und Abwehr von Angriffen auf die IT-Systeme soll zu einer Verbesserung und Erhöhung der IT-Sicherheit der Unternehmen der Hafenwirtschaft führen.

Lösung: Verknüpfung unterschiedlicher IT-Tools basierend auf einer Analyse hafenspezifischer Schwachstellen und Risiken, die zu einer automatischen Anomalieerkennung sowie einer Verringerung der Anzahl wenig relevanter Sicherheitsmeldungen und Identifikation neuartiger Angriffsmuster führt.

Project Partners:

PANDA: Projekt zur Automatisierten Detektion und Anonymisierten Übertragung von Patientendaten in eine zentrale Datenbank - BMWI (2019-2022) [SVS]

Ziel des Projekts ist der Entwurf und die Entwicklung eines Verfahrens zur verteilten Anonymisierung medizinischer Daten, das keine zentrale vertrauenswürdige Partei benötigt. Hierdurch soll erreicht werden, dass die Daten anschließend messbar anonym vorliegen und so datenschutzkonform für die medizinische Forschung weiterverwendet werden können. Weiterhin wird ein Datenschutz- und Sicherheitskonzept für den Entwurf einer Plattform erarbeitet, die das Verfahren implementiert. In Kooperation mit dem Projektpartner Eppdata GmbH soll das Verfahren in einem konkreten System eingesetzt und evaluiert werden, das Wissenschaftlern medizinische Bilddaten aus dem Bereich der Neurologie in anonymisierter Form zur Verfügung stellt.

Projektpartner:

DELIA: Distributed, Extendable, Lightweight, open, reliable, service-oriented Architecture for next-gen mobility (2019-2022)[ISS]

Das Ziel dieses Projektes ist die Erforschung und Erprobung einer modularen, verteilten, deterministischen und offenen Kommunikations- und Prozessorplattform für zukünftige Mobilitätskonzepte im Luftfahrts- und Automobilbereich. Diese Plattform besteht aus einzelnen Modulen, die durch ein breitbandiges und deterministisches Übertragungsmedium miteinander verbunden sind. Die einzelnen Module beinhalten alle datentransportorientierten und anwendungsorientierten Funktionen. Darüber hinaus setzt sich dieses Projekt auch zum Ziel die Innovationsfähigkeit kleiner und mittelständischer Unternehmen (KMU) zu stärken.

Projektpartner:

RABATT: Nutzbarkeit lernender Algorithmen – Innovationsausschuss beim G-BA (2019-2022) [SVS]

Ziel von RABATT (Risikoscore für eine Algorithmenbasierte Behandlerunabhängige Aufklärung zum Therapieerfolg und zur Therapieempfehlung) ist die Entwicklung und Validierung eines Risikovorhersagemodells für Infrastruktur, Routine- und Registerdaten in der medizinischen Versorgungsforschung, das den Behandlungserfolg der Verfahren und die Risiken prognostiziert. Das Modell soll dynamische Veränderungen im Sinne einer Big-Data-Anwendung zur Nutzung lernender Algorithmen einbeziehen und auf verschiedene Massendatenquellen zurückgreifen. In einer mobilen App werden der Risikoscore und Angebote zur Patientenedukation zur Verfügung stehen. Zudem werden die mit lernenden Algorithmen einhergehenden komplexen datenschutz- und haftungsrechtlichen Fragestellungen untersucht.

Projektpartner:

EMPRI-DEVOPS – Employee Privacy in Software Development and Operations – BMBF (2018–2022) [SVS]

EMPRI-DEVOPS explores technical and legal aspects of data protection for employees that work in the area of software development and IT operations (DevOps). These employees are already working in a widely digital work environment, in which their work steps leave detailed traces in the software systems that they are using. The project will therefore firstly investigate possibilities to gather intelligence from these traces, which consitutes a risk to employees' privacy (performance monitoring), and secondly modify DevOp tools following privacy by design principles to reduce the aforementioned privacy risks.

Project Partners:

IMMUNE – Selbstverteidigende Netzwerke für resiliente Industrie 4.0 – BMWi (2018-2021) [ISS]

IMMUNE erhöht die Resilienz der Factory of the Future gegenüber Cyber-Angriffen. Die Informationssicherheit in diesen Systemen wird durch flexible und verteilte Sicherheitsfunktionalität umgesetzt. Dadurch lassen sich industrielle Netze in der Tiefe schützen. Zudem ermöglicht die in IMMUNE entwickelte SDN Funktionalität inklusive deren verteilter Steuerungsmechanismen die Resilienz des Gesamtsystems gegenüber Fehlern, Ausfällen, und Angriffen insgesamt zu erhöhen. Insbesondere sensible industrielle Prozesse bedürfen kontinuierlicher Steuerung und Überwachung die nur über resiliente Steuerungssysteme gewährleistet werden können.

Project Partners:

SANE – Smarte Netze zur urbanen Bürgerbeteiligung – LFF, BWFG (2018-2021) [ISS]

Die Digitalisierung eröffnet vielfältige und neuartige Chancen der Bürgerbeteiligung (z.B. Citizen Science / Bildung). Das Projekt „SANE: Smarte Netze zur urbanen Bürgerbeteiligung“ hat das Ziel, ein Rückgrat digitalisierter Städte in Form eines dezentralen, offenen Informationsraums auf der Basis smarter Netzwerke zu schaffen. Hierin können BürgerInnen (und Institutionen) vielfältige (z.B. Umwelt-) Daten bereitstellen, verbreiten, analysieren und nutzen. Herausforderungen sind dabei die Integration großer Mengen heterogener Sensoren / Geräte, eine netzbasierte, verteilte Analyse und Verarbeitung von Informationen und auch die dabei unabdingbare Gewährleistung von Sicherheit, Resilienz, Privatsphäre und Vertrauen. Diese sind auf allen Ebenen des Gesamtsystems maßgeblich für die Akzeptanz und damit für die Nutzung eines solchen Informationsraums und stellen so ein Alleinstellungsmerkmal des in diesem Antrag verfolgten Ansatzes dar.

Project Partners:



Selected finished pojects and activities

Idomeneo – Portal solutions for privacy-respecting medical studies – Innovationsausschuss beim G-BA (2017-2020) [SVS]

We develop solutions for the privacy-respecting aggregation of medical data within the large-scale medical study Ist die Versorgungsrealität in der Gefäßmedizin Leitlinien- und versorgungsgerecht? - Projekt zur Qualitätsentwicklung am Beispiel der peripheren arteriellen Verschlusskrankheit. More details can be found on the Idomeneo Website.

Project Partners:

LFF:IGT – Information Governance Technologies: Ethics, Policies, Architectures, Engineering – BWFG (2017-2020) [SVS]

In the current digital society, data are acquired, recorded and processed by new technologies in ever more areas of life. These types of data increasingly affect decision-making e.g. in economy, administration, and politics. In the cross-university project Information Governance Technologies, researchers from informatics, legal studies and ethics look into human-centered technical possibilities for a responsible handling of data. Aiming to establish a long-term thematic research network, the project financed by the Landesforschungsförderung Hamburg develops an interdisciplinary theoretical framework for Information Governance Technologies. The project also consists of applied-oriented modules, where new methods, patterns and mechanisms will be developed and tested that are able to counteract the loss of autonomy and impairment of democratic self-determination by the use of software. Find more information on the LFF:IGTWebsite. 

Project Partners:

NEW 4.0 – Norddeutsche EnergieWende – BMWi (2016-2020) [SVS]

We will develop and evaluate security mechanisms for interconnection of renewable energy systems. The project results will – considering the cost-effectiveness – enable regions, cities and districts to benefit from secure and intelligent control solutions of decentralized energy systems. At the same time, they are enabled to identify and minimize threats to the greater energy system (critical infrastructure) through missing or incorrect security mechanisms for the ICT infrastructure. Thus, the economic risk for market participants can be estimated and minimized. Furthermore and if necessary, new perspectives (advisory services to other participants, marketing own sample solutions, further research projects) can be deduced. More details can be found on the NEW 4.0 Website.

Project Partners:

CANVAS – Constructing an Alliance for Value-driven Cybersecurity – H2020 CSA (2016–2019) [SVS]

The consortium will take three domains of application with unique value-profiles and complementing cybersecurity exigencies – the health system, finance, and police / national security – as starting point for outlining problems related to value-driven cybersecurity. Using a three-step process, CANVAS will (1) structure existing knowledge, (2) design a network for exchanging knowledge and generating insights across domains, and (3) disseminate the insights gained through three means: A reference curriculum for value-driven cybersecurity with a focus on industry-training, briefing packages for policy stakeholders, and a MOOC (massive open online course) on value-driven cybersecurity. More details can be found on the CANVAS Website.

Project Partners:

EnEff:Wärme – Sichere IKT-Infrastruktur für Energie-Effizienz-Verbünde – BMWi (2016–2019) [SVS]

The core goal of this project is to investigate on the security of information and communication technology (ICT) infrastructure, which is used for the intelligent control of decentralized energy systems in energy efficiency networks in Germany and to develop appropriate security measures. The results from the previous project "EnEff: Wärme – SmartPower Hamburg" will be applied and utilized in this follow-up project. The security of ICT infrastructure is a critical requirement for the implementation and setup of intelligent control and optimization.

Project Partners:

AN.ON-Next – Anonymity Online Next Generation – BMBF (2016–2019) [SVS]

This project has the long-term vision to integrate privacy enhancing technologies into the infrastructure of the Internet to make them available and usable for everyone. To this end, the project will look into lightweight techniques that provide a basic level of protection as well as fundamental approaches that allow to provide strong protection without sacrificing bandwidth and latency. The concepts will be implemented and pilots will be evaluated with business partners. More details can be found on the AN.ON-Next Website.

Project Partners:

AppPETs – Privacy Enhancing Technologies for Mobile Apps – BMBF (2016–2019) [SVS]

This project aims to make it easier for developers to integrate privacy enhancing technologies into their smartphone apps. The project will set up a privacy infrastructure, which enables users to verify the protection of their personal data. Moreover, the project will study fair business models that are accepted by both vendors and users. More details can be found on the AppPETs Website.

Project Partners:

DREI – Datenschutzrespektierende Erkennung von Insidern – BMBF (2016–2019) [SVS]

We will design a distributed solution for security control centers that allows to detect insider attacks via anomaly detection. The project strives for high acceptance by implementing legal requirements regarding the privacy rights of employees. More details can be found on the DREI Website.

Project Partners:

Economic Principle Oriented Security Management [SVS]

Modern security management should be based upon economic principles. For this purpose organisations need data, tools and techniques for the cost-benefit-analysis of security investments as well as methods to integrate the results of that kind of analysis into their overall information security management systems. Our research in this area has three main goals:

  1. Identifying methods for providing organisations with accurate data for evaluating security investments and building a system for the sharing of information security relevant data among organisations.
  2. Evaluation and development of metrics, tools and techniques for an economically oriented security management.
  3. Integrating economic principles into information security management and building a new process model for information security management.

Website Fingerprinting and User Linkability [SVS]

It is rather easy to protect the confidentiality of the contents of messages using encryption techniques. It is fundamentally more difficult to hide the relationship between sender and receiver of messages, though, because addresses may be required for message routing and thus cannot be encrypted. Protecting communication relationships is especially important on the Internet and similar networks as destination addresses often reveal a lot about the actual contents of the messages.

Our goal is to protect users against traffic analysis attacks infringing users' privacy. Those attacks may allow a passive observer on a network to induce communication relationships and contents of messages via pattern matching and classification techniques from the data mining field. Such attacks may constitute a serious risk for users' privacy as they are difficult to detect and counter. We analyse the extent and risks of two particular attacks, namely website fingerprinting attacks, which allow the identification of websites retrieved over an encrypted line, and user linkability attacks, which enable an attacker to track individual users over multiple sessions solely based on the users' characteristic surfing behaviour. Early results indicate that both attacks can be perpetrated under certain circumstances successfully. We measure the effectiveness of the two attacks for various systems and circumstances using real-life datasets.

Designing and deploying countermeasures that protect users from such attacks is challenging: effective protection usually involves additional traffic or considerably delays, which is inacceptable in many cases. Wide-spread adoption of privacy-enhancing techniques depends on good usability and high efficiency, though. We approach this challenge from two sides: on the one hand we analyse the integration of protective measures like padding and dummy traffic into protocols and systems that already exist today; on the other hand we propose next generation systems that are incompatible with legacy technologies, but may offer superior privacy properties to their users.

gMix: A generic Open Source Framework for Mixes [SVS]

Mixes are a technique to realize anonymous and unobservable communication. Numerous mixing strategies have been proposed since David Chaum suggested the basic mix concept in 1981. While some practical systems are available, the majority of the proposed mix techniques has never been deployed publically. Our goals are to

  1. provide a comprehensive code repository of compatible and easily extensible mix implementations,
  2. simplify the process of building new practical mix systems,
  3. evaluate existing and new mixing strategies under the same conditions,
  4. provide easily accessible solutions for educational purposes.
The implementations are organized in a framework. All source code is released under the GPLv3 on the project website [URL].

Conference: IFIP SEC 2015 [SVS]

We organised the International Conference on ICT Systems Security and Privacy Protection IFIP SEC 2015 in Hamburg.

Security in Vehicular Ad Hoc Networks [SVS]

Vehicular ad hoc networks (VANETs) have the potential to increase road safety and comfort. Especially because of the road safety functions, there is a strong demand for security in VANETs. Simply using digital signatures and a public key infrastructure (PKI) to protect message integrity is insufficient taking into account multilateral security. Our main goal is to develop a security architecture for VANETs that balances security requirements of all participants. We also try to identify and - if necessary - develop feasible mechanisms that fit in this architecture. Finally, we evaluate the architecture and mechanisms in simulations.

Analysis of Information Security Management Processes within the Telematics system of German Electronic Health Card (2010) [SVS]

We analysed the Information Security Management Processes for the new German Electronic Health Card. The analysis was conducted based on the international security management standards ISO 27001 and ISO 27002 as well as German Baseline Security protection standards issued by Bundesamt für die Sicherheit in der Informationstechnik. This study was part of a large scale security audit of the telematics system which was bilt up for the Electronic Health Card in Germany.

Conference: Privacy Enhancing Technologies Symposium 2010 [SVS]

We organised the annual conference of the Privacy Enhancing Technologies community in Berlin.

AN.ON: Anonymity.Online (Starke Unbeobachtbarkeit und Anonymität im Internet) sponsored by BMWI [SVS]

The realization of anonymous and unobservable communication in the Internet is a difficult problem. Most existing systems reduce the security to achieve higher performance. To evaluate the feasibility and costs of anonymity in the Internet and to explore several deployment opportunities we are developing an anonymity system that withstands traffic analysis. Our goal is to develop, implement, evaluate and provide a secure and scaleable technical infrastructure for anonymous communication. [URL]

Visual Cryptography [SVS]

Visual cryptography was introduced by Moni Naor und Adi Shamir in 1994. In 2005 we dedicated theoretical and practical student projects to this fascinating topic. The projects analysed the underlying mechanisms as well as potential applications for visual cryptography. In addition to that an easy to use GUI-based java program has been developed that can be used to demonstrate the mechanisms behind visual cryptography. The program encrypts and decrypts user-defined images and supports various encryption modes (including threshold schemes as well as encryption of colour and greyscale images) which makes it an ideal choice for teaching and experimenting.

Conference: Sicherheit 2005 sponsored by Gesellschaft für Informatik e.V.(GI) (2005) [SVS]

We organised the annual meeting and conference of the Gesellschaft für Informatik e.V.(GI) in Regensburg. It included workshops, tutorials, talks and discussions from, with and for IT professionals and was held in the University and in the University Hospital of Regensburg.

Biometric authentication [SVS]

There have been many years of intensive research on biometric methods that can be used for the purpose of feature-based authentication. A typical application scenario is an access control system that grants access to authorized persons by recognition of their biometric characteristics. This project examined the requirements for biometric authentication, depending on their intended use. Specifically, it was analyzed whether the established methods of face-recognition meet the developed requirements and where the weaknesses of these methods are. For demonstration purposes, a prototype of a face recognition system was developed and tested. In addition, fingerprint systems in the consumer segment were tested regarding their reliability.

Anti Phishing Project [SVS]

In 2004, a sharp increase in phishing attempts was observed. Therefore this project was initiated to categorize, analyze and evaluate the existing ways to protect against phishing. Based on that a proposal for a new protection mechanism was developed.