IT-Sicherheitsberater · Researcher am CISPA · Hannover

Dr. Alexander Krause

IT-Sicherheit, strategisch gedacht, wissenschaftlich fundiert

CISPA Helmholtz-Zentrum Promotion in Informatik 9 wissenschaftliche Publikationen

Dr. Alexander Krause bei einem Vortrag

Leistungen

Wobei ich Sie unterstützen kann

IT-Sicherheitsberatung

Beratung zu IT-Sicherheit für Mittelstand und KMU: NIS2-Compliance, DSGVO-Anforderungen, Einführung eines ISMS nach ISO 27001. Neben der Technik berücksichtige ich auch den menschlichen Faktor.

  • Strategische Sicherheitsberatung
  • NIS2- & DSGVO-Compliance
  • Risikobewertung & Maßnahmenplanung
Mehr zur IT-Sicherheitsberatung

Sicherheitskonzepte

Ich erstelle IT-Sicherheitskonzepte: Ist-Zustand-Analyse, Bedrohungsmodellierung, konkrete Handlungsempfehlungen. Orientiert an BSI-Grundschutz und ISO 27001, mit besonderem Blick auf Entwickler-Workflows, Authentifizierung und Secret Management.

  • Ist-Zustand-Analyse
  • BSI-Grundschutz & ISO 27001
  • Bedrohungsmodellierung
Mehr zu Sicherheitskonzepten

Vorträge

Vorträge zu IT-Sicherheitsthemen wie Usable Security, KI in der Cybersicherheit oder sichere Softwareentwicklung. Inhalt und Tiefe stimme ich auf Ihr Publikum ab.

  • Konferenzvorträge & Keynotes
  • Online oder vor Ort
  • Passend zum Publikum
Alle Vorträge und Themen

Trainings & Workshops

Schulungen und Workshops zu IT-Sicherheit: Security-Awareness für das gesamte Team oder technische Deep-Dives für Entwickler. Formate und Inhalte passe ich an das Vorwissen Ihres Teams an.

  • Security-Awareness-Training
  • Technische Deep-Dives
  • Individuelle Inhalte
Mehr zu Trainings und Workshops

Publikationen

Ausgewählte wissenschaftliche Veröffentlichungen

2026

  1. An Analysis of the Security, Usability, and Automation Capabilities of Password Update Processes on Top-Ranked Websites

    SOUPS 2026 (CORE rank A)

    Alexander Krause, Jacques Suray, Lea Schmüser, Marten Oltrogge, Oliver Wiese, Maximilian Golla, Sascha Fahl

    ErklärvideoPDFUSENIXZusammenfassung

    Steckbrief
    Art der Studie
    Systematische manuelle Analyse von Passwortänderung und Zurücksetzen nach einem Protokoll mit 32 Merkmalen; zwei Forschende je Website.
    Stichprobe
    111 Websites aus den oberen Rängen der Tranco-Liste; 96 davon mit Passwortänderung, 109 mit Zurücksetzen.
    Feldphase
    bis
    Meine Rolle
    Erstautor
    Begutachtung
    Peer Review, SOUPS 2026 (CORE-Rang A)
    Material
    Replikationspaket (figshare)
    Zeigt
    Wie die untersuchten Websites Passwortänderung und Zurücksetzen umsetzen und wo Sicherheit, Benutzbarkeit und die Unterstützung durch Passwortmanager fehlen.
    Zeigt nicht
    Eine Momentaufnahme: Websites ändern ihre Prozesse, eine Wiederholung kann für einzelne Websites anders ausfallen. Niedriger platzierte Websites sind unterrepräsentiert, die Tranco-Liste bevorzugt Europa; Websites aus Asien, Südamerika und Afrika fehlen weitgehend. Konten liefen möglichst auf den US-Versionen, standortabhängiges Verhalten ist nicht untersucht. (Abschn. 4.2, Limitations)
    Nachträge
    keine (Stand )

  2. SoK: Another Arms Race – 20 Years of (Anti-⁠)Cheating in Video Games

    USENIX Security 2026 (CORE rank A*)

    Philip Klostermeyer, Jan-Ulrich Holtgrave, Jacques Suray, Anne Vonderheide, Nicolas Lodzig, Niklas Busch, Alexander Krause, Jan H. Klemmer, Marten Oltrogge, Sascha Fahl

    USENIX

    Steckbrief
    Art der Studie
    Systematisierung des Wissens (SoK): systematische Literaturauswertung, zusammengefasst als Angriffsbaum und abgebildet auf MITRE ATT&CK.
    Stichprobe
    187 begutachtete Publikationen ab 2005, ausgewählt aus 2.581 Treffern in OpenAlex, Semantic Scholar und DBLP.
    Meine Rolle
    Mitautor, Position 7 von 10
    Begutachtung
    Peer Review, USENIX Security 2026 (CORE-Rang A*)
    Material
    Zusatzmaterial (Zenodo)
    Zeigt
    Welche Arten von Cheats die Forschung der letzten 20 Jahre beschreibt: ein Angriffsbaum mit 192 Knoten in sechs Bereichen und 54 Gegenmaßnahmen.
    Zeigt nicht
    Nur auffindbare, begutachtete Publikationen ab 2005. Graue Literatur und Industrieberichte sind nicht einbezogen, blinde Flecken sind deshalb möglich. (Abschn. 3.5)
    Nachträge
    keine (Stand )

  3. Der regulatorische Rahmen für Code Secret Leakage

    Datenschutz und Datensicherheit – DuD

    Niklas Krause, Alexander Krause

    DOIZusammenfassung

    Steckbrief
    Art der Studie
    Rechtliche Analyse: DSGVO, Cyber Resilience Act, NIS-2, ISO 27001 und OWASP, übersetzt in technische und organisatorische Maßnahmen.
    Meine Rolle
    Mitautor, Position 2 von 2
    Zeigt
    Welche rechtlichen Pflichten bei geleakten Code Secrets greifen und mit welchen technischen und organisatorischen Maßnahmen Unternehmen sie erfüllen können.
    Nachträge
    keine (Stand )

2025

  1. "That's my perspective from 30 years of doing this": An Interview Study on Practices, Experiences, and Challenges of Updating Cryptographic Code

    USENIX Security 2025 (CORE rank A*)

    Alexander Krause, Harjot Kaur, Jan H. Klemmer, Oliver Wiese, Sascha Fahl

    SlidesVideoUSENIXZusammenfassung

    Steckbrief
    Art der Studie
    Qualitative Interviewstudie mit halbstrukturierten Interviews und thematischer Analyse.
    Stichprobe
    21 erfahrene Softwareentwickler aus Unternehmen, Open-Source-Projekten und von Upwork; 13 aktualisierten selbst implementierte Kryptographie, 12 eingebundene Implementierungen, 4 beides.
    Feldphase
    bis
    Meine Rolle
    Erstautor
    Begutachtung
    Peer Review, USENIX Security 2025 (CORE-Rang A*)
    Material
    Replikationspaket (figshare)
    Zeigt
    Warum und wie Entwickler kryptographischen Code aktualisieren, welche Hürden sie dabei erleben und welche Unterstützung sie sich wünschen.
    Zeigt nicht
    Selbstauskünfte mit den üblichen Verzerrungen von Interviewstudien: Selbstauswahl, soziale Erwünschtheit, Über- oder Untertreibung. Die Ergebnisse lassen sich nicht ohne Weiteres verallgemeinern. Das Beispiel der SHA-1-Abkündigung in Chrome, mit dem das Gespräch eingeleitet wurde, kann die Antworten beeinflusst haben. (Abschn. 3.5)
    Nachträge
    keine (Stand )

  2. Human Factors on Secret Security: Case Studies on Code Secret Leakage, Cryptographic Updates, and Password Update Procedures

    Dissertation

    Alexander Krause

    DOIZusammenfassung

    Steckbrief
    Art der Studie
    Dissertation (Dr. rer. nat.) mit drei empirischen Fallstudien zu Code Secrets, kryptographischen Updates und Passwort-Updates sowie einer interdisziplinären Analyse des Rechtsrahmens.
    Stichprobe
    Umfrage mit 109 und Interviews mit 14 Entwicklern (Kap. 3), 21 Interviews (Kap. 5), 111 Websites (Kap. 6).
    Meine Rolle
    Alleinautor
    Begutachtung
    Promotionsverfahren, Fakultät für Elektrotechnik und Informatik, Leibniz Universität Hannover. Referent Prof. Dr. Sascha Fahl, Korreferent Prof. Dr. Dominik Wermke; Tag der Promotion 12. November 2025.
    Zeigt
    Sicherheitsprobleme beim Umgang mit Secrets entstehen meist durch fehlendes Fachwissen, schlechte Dokumentation und zu komplexe Werkzeuge, seltener durch die Technik selbst.
    Zeigt nicht
    Die Studien stützen sich vor allem auf Selbstauskünfte. Die Teilnehmenden decken nicht alle Regionen und Entwicklergemeinschaften ab. Technik und Regulierung ändern sich schnell, einzelne Befunde können veralten. Bereiche wie KI, IoT oder dezentrale Systeme sind nicht untersucht. (Abschn. 7.1)
    Nachträge
    keine (Stand )

2024

  1. Skipping the Security Side Quests: A Qualitative Study on Security Practices and Challenges in Game Development

    CCS 2024 (CORE rank A*)

    Philip Klostermeyer, Sabrina Klivan, Sandra Höltervennhoff, Alexander Krause, Niklas Busch, Sascha Fahl

    DOIZusammenfassung

    Steckbrief
    Art der Studie
    Qualitative Interviewstudie mit halbstrukturierten Interviews und offener Kodierung.
    Stichprobe
    20 Fachleute aus der Spieleentwicklung (Entwicklung, Produktion, Publishing, Management, freie Mitarbeit) aus 15 Ländern: 60 % Europa, 25 % Nordamerika, 15 % Asien-Pazifik.
    Meine Rolle
    Mitautor, Position 4 von 6
    Begutachtung
    Peer Review, ACM CCS 2024 (CORE-Rang A*)
    Material
    Replikationspaket (OSF)
    Zeigt
    Fachleute der Spieleentwicklung wissen, wie dringend Sicherheit ist, stellen sie aber zurück, weil Geld, Zeit und Wissen fehlen.
    Zeigt nicht
    Europäer meldeten sich eher, die Teilnehmenden kommen überwiegend aus westlichen Industriestaaten. Dazu die typischen Verzerrungen von Interviewstudien: Selbstauswahl, Selbstauskunft, soziale Erwünschtheit, Erinnerungslücken. Als qualitative Studie lässt sie sich nicht auf die ganze Branche verallgemeinern. (Abschn. 3.3)
    Nachträge
    keine (Stand )

2023

  1. "We've Disabled MFA for You": An Evaluation of the Security and Usability of Multi-Factor Authentication Recovery Deployments

    CCS 2023 (CORE rank A*)

    Sabrina Klivan, Sandra Höltervennhoff, Nicolas Huaman, Alexander Krause, Lucy Simko, Yasemin Acar, Sascha Fahl

    DOIZusammenfassung

    Steckbrief
    Art der Studie
    Messstudie in zwei Stufen: Auswertung der Hilfe- und Supportseiten, danach Praxistest mit eigenen Konten, eingerichteter MFA und simuliertem Verlust des zweiten Faktors.
    Stichprobe
    Hilfeseiten von 1.303 Websites mit MFA aus dem 2fa.directory; Praxistest auf 71 davon.
    Feldphase
    Konten des Praxistests angelegt: bis
    Meine Rolle
    Mitautor, Position 4 von 7
    Begutachtung
    Peer Review, ACM CCS 2023 (CORE-Rang A*)
    Material
    Projektseite
    Zeigt
    Bei vielen Websites ließ sich die MFA mit Zugriff auf die E-Mail-Adresse umgehen und abschalten, und die Hilfeseiten weichen oft vom tatsächlichen Ablauf ab. Im Praxistest kamen 37 von 71 Konten (52,11 %) zurück.
    Zeigt nicht
    Die Liste aus dem 2fa.directory ist zu technischen Websites hin verzerrt (43,59 % der 1.303). Ausgewertet wurden nur öffentliche Hilfeseiten. Im Praxistest fehlen Dienste, die einen Ausweis, einen Vertrag oder bestimmte Geräte verlangen; getestet wurden nur kostenlose Tarife und deutsch- oder englischsprachige Websites. (Abschn. 4, Limitations)
    Nachträge
    keine (Stand )

  2. Pushed by Accident: A Mixed-Methods Study on Strategies of Handling Secret Information in Source Code Repositories

    USENIX Security 2023 (CORE rank A*)

    Alexander Krause, Jan H. Klemmer, Nicolas Huaman, Dominik Wermke, Yasemin Acar, Sascha Fahl

    ErklärvideoSlidesVideoUSENIXZusammenfassung

    Steckbrief
    Art der Studie
    Mixed Methods: Online-Umfrage und halbstrukturierte Interviews, offene Kodierung der Freitexte und Transkripte.
    Stichprobe
    Umfrage: 109 Entwickler mit Erfahrung in Versionsverwaltung (50 über Upwork, 59 über GitHub). Interviews: 14 Entwickler, die selbst ein Secret-Leak erlebt hatten.
    Feldphase
    Umfrage: bis ; Interviews: bis
    Meine Rolle
    Erstautor
    Begutachtung
    Peer Review, USENIX Security 2023 (CORE-Rang A*)
    Material
    Replikationspaket
    Zeigt
    Wie Entwickler mit Secrets im Quellcode umgehen, wie sie Leaks verhindern und beheben und wo sie dabei scheitern. 30,3 % der Befragten hatten schon ein Leak erlebt.
    Zeigt nicht
    Selbstauskünfte mit typischen Verzerrungen: Über- und Untertreibung, Selbstauswahl, soziale Erwünschtheit. Wer zum Interview bereit war, ist womöglich sicherheitsbewusster als andere. Rekrutiert wurde nur über Upwork und GitHub; Entwickler auf anderen Plattformen fehlen. (Abschn. 3.5)
    Nachträge
    keine (Stand )

2022

  1. If You Can't Get Them to the Lab: Evaluating a Virtual Study Environment with Security Information Workers

    SOUPS 2022 (CORE rank A)

    Nicolas Huaman, Alexander Krause, Dominik Wermke, Jan H. Klemmer, Christian Stransky, Yasemin Acar, Sascha Fahl

    USENIX

    Steckbrief
    Art der Studie
    Entwicklung und Evaluation eines Prototyps (OLab) für laborähnliche Online-Studien: Literaturauswertung, dann drei Evaluationsstudien.
    Stichprobe
    Literaturauswertung von 93 Publikationen, 24 davon im Detail; Evaluation mit 4 Fachleuten für Usable Security, 9 DevOps und 16 Informatikstudierenden.
    Meine Rolle
    Mitautor, Position 2 von 7
    Begutachtung
    Peer Review, SOUPS 2022 (CORE-Rang A)
    Material
    Projektseite
    Zeigt
    OLab unterstützt viele laborähnliche Studienaufbauten im Browser; alle Teilnehmenden gaben positive Rückmeldung.
    Zeigt nicht
    Opt-in-Verzerrung durch freiwillige Teilnahme. Die Fachleute im Walkthrough kamen aus dem eigenen Netzwerk und sind womöglich voreingenommen; ihre Bewertungen gehen deshalb nicht in das Urteil zur Benutzbarkeit ein. Im Vergleichsexperiment stehen Studierende für Entwickler aus der Praxis. (Abschn. 4, Limitations)
    Nachträge
    keine (Stand )

Vorträge

Dr. Alexander Krause bei einem Vortrag

Eingeladene und öffentliche Vorträge, unter anderem für Verbände, Kammern und die Wirtschafts­förderung.

Darunter:
  • Zentralverband des Deutschen Handwerks (ZDH)
  • TU Braunschweig
  • Handelskammer Hamburg
  • Wirtschaftsförderung Region Hannover

Alle Vorträge anzeigenMappe für Veranstalter und Auftraggeber

Dr. Alexander Krause

Über mich

Ich bin selbständiger IT-Sicherheitsberater und unterstütze Unternehmen mit Beratung, Sicherheitskonzepten, Vorträgen und Trainings. Parallel dazu forsche ich am CISPA Helmholtz-Zentrum für Informationssicherheit und an der Leibniz Universität Hannover in der Forschungsgruppe TeamUSEC zu Usable Security und Privacy. Meinen Master in Informatik habe ich 2021 mit Auszeichnung (1,0), meine Promotion in Informatik 2025 mit sehr gut (1,0) abgeschlossen.

Dr. Alexander Krause IT-Sicherheitsberater · Researcher am CISPA

Kennzahlen und Ausbildung

6+
Jahre Sicherheits­forschung
9
Publika­tionen
A*
Top-Konferenzen
2025
Dr. rer. nat. in Informatik – IT-SicherheitLeibniz Universität Hannover
2021
M.Sc. in InformatikLeibniz Universität Hannover
2019
B.Sc. in Technische InformatikLeibniz Universität Hannover

Bio-Generator

contact@akrause.de

Erfahrung

  1. Selbständiger IT-Sicherheitsberater

    Januar 2026 – Heute

    Nebenberuflich selbständigHannover, Deutschland

    • Strategische IT-Sicherheitsberatung für KMU mit Schwerpunkt NIS2- und DSGVO-Compliance: Prüfung der Betroffenheit, Gap-Analyse, priorisierter Maßnahmenplan
    • Erstellung von IT-Sicherheitskonzepten nach BSI-IT-Grundschutz und ISO 27001: Ist-Analyse, Bedrohungsmodellierung, Risikobewertung, Handlungsempfehlungen für die Geschäftsführung
    • Beratung zum sicheren Einsatz von KI und LLMs im Unternehmen: Risiken wie Prompt Injection und Datenabfluss, Anforderungen der KI-Verordnung
    • Konzeption und Durchführung von Security-Awareness-Trainings für Belegschaften sowie technischer Workshops für Entwicklerteams
    • Steuerung externer Sicherheitsdienstleister: Festlegung des Pentest-Umfangs, Ausschreibung, Anbieterauswahl, Bewertung der Ergebnisse
    • Fachvorträge für Kammern, Wirtschaftsförderungen und Hochschulen

  2. Senior Researcher und Projektverantwortlicher KI/Cybersicherheit

    Dezember 2025 – Heute

    CISPA Helmholtz-Zentrum für Informationssicherheit gGmbHHannover, Deutschland

    • Verantwortlich für die Cybersecurity- und KI-Angebote des CISPA im EU-geförderten Innovation Hub DAISEC
    • Lokale Organisation der SOUPS 2026 in Hannover (ca. 300 Teilnehmende)
    • Fachberater für IT-Sicherheit und LLM-Sicherheit in Forschungsprojekten

  3. Researcher, Usable Security und Privacy

    Juni 2021 – November 2025

    CISPA Helmholtz-Zentrum für Informationssicherheit gGmbHHannover, Deutschland

    • Eigenverantwortliche Leitung von Forschungsprojekten, von der Konzeption über Studiendesign und Durchführung bis zur Veröffentlichung
    • Leitung von drei Forschungsprojekten als Erstautor, alle mit direktem Praxisbezug: Umgang mit Secrets in Code-Repositories (USENIX Security 2023), Aktualisierung kryptografischer Software (USENIX Security 2025), Sicherheit von Passwort-Update-Prozessen auf 111 Top-Websites (SOUPS 2026)
    • Fachliche Betreuung von Bachelor- und Masterarbeiten
    • Lehre im Bereich Usable Security und Privacy
    • Administration und Weiterentwicklung der IT-Infrastruktur der Forschungsgruppe sowie Entwicklung technischer Studieninfrastruktur
    • Gutachter für führende IT-Sicherheitskonferenzen (IEEE S&P, USENIX Security, ACM CCS, CHI, SOUPS)
    • Promotion neben der Tätigkeit, abgeschlossen mit der Note sehr gut (1,0)

  4. Wissenschaftlicher Softwareentwickler

    Januar 2020 – Mai 2021

    Leibniz Universität HannoverHannover, Deutschland

    • Entwicklung einer Remote-Studieninfrastruktur für ein Forschungsprojekt

  5. Gruppenführer und Fachgruppenbeauftragter

    2014 – Heute

    Freiwillige Feuerwehr Hannover Bornum (Ehrenamt)Hannover, Deutschland

    • Führung von bis zu 9 Einsatzkräften in Einsatzsituationen, Gruppenführer-Ausbildung in Celle-Scheuen (2025)
    • Seit 2025 Gruppenführer sowie Fachgruppenbeauftragter für Logistik und Hochwasserschutz

Häufige Fragen

Antworten auf häufige Fragen zur IT-Sicherheitsberatung

Für wen eignet sich eine IT-Sicherheitsberatung?

Vor allem für kleine und mittlere Unternehmen, die oft keine eigene Sicherheitsabteilung haben. Besonders profitieren Organisationen, die sensible Daten verarbeiten. Da Datenschutz und IT-Sicherheit zusammengehören, fließen regulatorische Anforderungen wie NIS2 und DSGVO immer mit ein.

Wie läuft ein Erstgespräch ab?

Das Erstgespräch ist kostenlos. Wir besprechen gemeinsam Ihre aktuelle Sicherheitslage und Ihren Bedarf. Darauf aufbauend erstelle ich Ihnen ein individuelles Angebot. Die anschließende Beratung, Risikoanalysen, Sicherheitskonzepte und konkrete Handlungsempfehlungen sind kostenpflichtig.

Unterstützen Sie bei NIS2-Compliance?

Ja, NIS2-Compliance ist ein Schwerpunkt meiner Beratung. Ich unterstütze bei der Einordnung, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, bei der Gap-Analyse bestehender Maßnahmen und bei der Erstellung eines Maßnahmenplans. Die Beratung deckt die technischen Anforderungen und die organisatorischen Pflichten nach dem NIS2-Umsetzungsgesetz ab.

Welche Themen decken Ihre Vorträge ab?

Typische Themen sind Usable Security, KI in der Cybersicherheit und sichere Softwareentwicklung. Ich passe jeden Vortrag an das Publikum an und stütze mich dabei auf aktuelle, peer-reviewte Studien. Sprechen Sie mich an, wenn Sie ein konkretes Thema im Kopf haben.

Was kostet eine IT-Sicherheitsberatung?

Die Kosten richten sich nach Umfang und Komplexität des Projekts. Nach einem kostenlosen Erstgespräch erstelle ich Ihnen ein individuelles Angebot. Kontaktieren Sie mich für eine unverbindliche Anfrage.

Bieten Sie auch Remote-Beratung an?

Ja, Beratung ist deutschlandweit sowohl vor Ort als auch remote verfügbar. Workshops und Trainings können hybrid durchgeführt werden, je nach Bedarf Ihres Teams. Kunden in Hannover, Braunschweig, Bremen und Hamburg berate ich auch gerne persönlich.

Führen Sie auch Penetrationstests durch?

Nein, Penetrationstests biete ich nicht selbst an. Mein Schwerpunkt liegt auf strategischer Beratung, Sicherheitskonzepten und dem menschlichen Faktor. Ich berate Sie aber gerne dazu, welcher Umfang an Penetrationstests oder Red Teaming für Ihre Situation sinnvoll ist, und unterstütze bei der Ausschreibung, der Auswahl eines spezialisierten Anbieters und der Einordnung der Ergebnisse in Ihren Maßnahmenplan.

Was unterscheidet Ihre Beratung von anderen Anbietern?

Ich forsche am CISPA Helmholtz-Zentrum für Informationssicherheit zu realen Sicherheitsproblemen und bringe diese Erkenntnisse direkt in die Beratung ein. Die Empfehlungen basieren auf peer-reviewten Studien, nicht auf generischen Checklisten.

Kontakt

Lassen Sie uns über Ihr Projekt sprechen

Ich freue mich auf Ihre Anfrage. Schreiben Sie mir eine E-Mail und wir finden einen Termin. In der Regel antworte ich innerhalb von 24 Stunden.

E-Mail schreiben
E-Mail
contact@akrause.de
Standort
Hannover, Niedersachsen, Deutschland
Cookies
keine · Nachprüfen

Referenzen

Erfolgreiche Zusammenarbeit mit ausgewählten Kunden und Partnern.