Seit 1975 bringt USENIX die Community von Forschenden, Ingenieur:innen und Praktiker:innen zusammen, die an der Spitze der Computerwelt stehen. Die USENIX-Konferenzen sind zu einem wichtigen Treffpunkt für die Präsentation und Diskussion der neuesten Informationen über die Entwicklung aller Aspekte von Computersystemen geworden.
Die Paper-Zusammenfassungen wurden mithilfe von KI-Systemen übersetzt. Trotz sorgfältiger maschineller Verarbeitung können Fehler, Missverständnisse oder Abweichungen vom Originaltext auftreten. Verbindlich ist stets das Original.
Autoren: Eric Ackermann und Sven Bugiel, CISPA Helmholtz Center for Information Security
Autoren: Quan Zhao, Linkang Du, Yuntao Wang, and Zhou Su, Xi'an Jiaotong University; Zheng Li, Shandong University; Xiangshan Gao, Zhejiang University; Yang Zhang, CISPA Helmholtz Center for Information Security
Backdoor-Angriffe stellen eine erhebliche Bedrohung für Deep-Learning-Modelle dar, da sie es Angreifer:innen ermöglichen, die Modellausgabe mithilfe versteckter Trigger zu manipulieren. Aktuelle Erkennungsmethoden zielen darauf ab, Backdoors zu identifizieren, ohne auf saubere Referenzdaten oder Annahmen über die Art des Angriffs angewiesen zu sein. Obwohl diese Verfahren eine hohe Leistungsfähigkeit berichten, werden sie nur selten an vortrainierten Modellen evaluiert. In diesem Paper präsentieren wir die erste groß angelegte Studie zur datenfreien Erkennung von Backdoors in vortrainierten Modellen. Unser Benchmark umfasst mehr als 30.000 Modelle und deckt gängige Backdoor-Angriffe ab. Wir zeigen, dass bestehende datenfreie Verfahren bei den meisten vortrainierten Modellen versagen und dadurch ein falsches Sicherheitsgefühl vermitteln. Trotz wirksamer Verbesserungen bleiben erhebliche Schwachstellen bestehen.
Um diese anzugehen, schlagen wir die Konvergenzgeschwindigkeit als neues Side-Channel-Signal für die Erkennung von Backdoors vor. Mithilfe dieses Signals identifizieren wir die Ursache der verbleibenden Schwachstellen und entwickeln ein neuartiges datenfreies Erkennungsverfahren, das im Vergleich zu bestehenden Ansätzen den aktuellen Stand der Technik erreicht. Darüber hinaus analysieren wir, wie Backdoor-Angriffe die Erkennung umgehen, und benennen offene Fragestellungen. Unsere Ergebnisse verdeutlichen, dass die Erkennung von Backdoor-Angriffen weiterer Forschung bedarf. Wir hoffen, mit unserer Arbeit auf die Schwachstellen bestehender Mechanismen zur Backdoor-Erkennung in Machine-Learning-Systemen aufmerksam zu machen.
Autoren: Cas Cremers, Erik Pallas und Aleksi Peltonen, CISPA Helmholtz Center for Information Security
Obwohl die automatisierte symbolische Verifikation von Sicherheitsprotokollen wertvolle und effektive Ergebnisse liefert, stoßen bestehende Ansätze zunehmend an ihre Grenzen: Während sich kleine Protokolle automatisch analysieren lassen, erfordern die komplexesten Anwendungsfälle oft erheblichen Zeit- und Ressourcenaufwand durch Expert:innen. Zahlreiche Ansätze zur kompositionellen Verifikation sollen dieses Problem lösen, beruhen jedoch auf unrealistischen Annahmen über Protokolle und unterstützen keine praxisrelevanten Sicherheitseigenschaften wie Forward Secrecy.
In dieser Arbeit ermöglichen wir die kompositionelle symbolische Analyse realer Sicherheitsprotokolle im Hinblick auf moderne Sicherheitseigenschaften. Dazu entwickeln wir ein Kompositionsergebnis für den Applied π-Calculus, das selbst in Gegenwart von Angreifer:innen gilt, die dynamische Kompromittierungen durchführen können – sofern die Protokolle eine Disjunktheitsbedingung erfüllen.
Wir demonstrieren die Anwendbarkeit und Wirksamkeit unseres Ansatzes anhand der Komposition eines Datenaustauschprotokolls mit einem Diffie-Hellman-Schlüsselaustausch sowie einer kompositionellen Analyse von Forward Secrecy in TLS 1.3 im Rahmen von RFC 8446 und der ECH-Erweiterung. Während monolithische Analysen von TLS 1.3 mit ECH in 10 % der Fälle kein Ergebnis liefern, sind alle kompositionellen Analysen erfolgreich. Darüber hinaus sinken die Laufzeit im Durchschnitt um 71 % und der Speicherverbrauch um 86 %.
Autoren: Lorenz Hetterich, Fabian Thomas, Tristan Hornetz und Michael Schwarz, CISPA Helmholtz Center for Information Security
Moderne Prozessoren implementieren komplexe Instruction Set Architectures (ISAs), doch ihre maschinenlesbaren Semantiken sind häufig unvollständig. Hinzu kommt, dass viele Prozessoren undokumentierte Instruktionen unterstützen – also Bitfolgen, die auf der Hardware ausgeführt werden können, aber in den Spezifikationen fehlen. Dadurch können Sicherheitslücken entstehen.
In diesem Paper stellen wir InstrSem vor – einen ISA-unabhängigen, modularen und vollständig automatisierten Ansatz, der die Semantik von Instruktionen ausschließlich anhand ihres Ausführungsverhaltens rekonstruiert und sowohl für Menschen als auch für Maschinen verständlich darstellt. Ausgehend von einer rohen Instruktionskodierung führt InstrSem diese unter systematisch variierten Architekturzuständen aus und erzeugt kompakte mathematische Funktionen, die jede Veränderung des Systemzustands erklären. Durch gezielte Veränderungen einzelner Kodierungsbits und die Analyse der daraus resultierenden Verhaltensänderungen verallgemeinert InstrSem die Semantik einer einzelnen Kodierung auf eine vollständige Instruktion und rekonstruiert dabei Register- und Immediate-Felder.
Im Gegensatz zu früheren Ansätzen, die sich auf eine einzelne ISA beschränken, ist InstrSem generisch. Der Ansatz benötigt lediglich ein leichtgewichtiges ISA-Modell und eine architekturspezifische User-Space-Laufzeitumgebung. Er unterstützt sowohl Architekturen mit fester als auch variabler Instruktionslänge (RISC und CISC), Speicherzugriffe sowie bedingtes Verhalten. Wir evaluieren InstrSem für RV64I, AArch64 und LA64 und demonstrieren die Anwendbarkeit auf CISC anhand einer Logitech-Makrosprache sowie eines Teilbereichs von x86-64. InstrSem rekonstruiert die korrekte Semantik von mehr als 97,81 % des RV64I-Basisbefehlssatzes und analysiert für LA64 insgesamt 136 Instruktionen mit 1.009.055.744 Instruktionskodierungen innerhalb von 77 Stunden. Darüber hinaus entdeckt InstrSem undokumentierte Vektorinstruktionen, Inkonsistenzen zwischen QEMU und Loongson-Hardware sowie Instruktionen, die QEMU zum Absturz bringen. Damit ermöglicht InstrSem eine skalierbare Rekonstruktion von Instruktionssemantiken, automatisiert wesentliche Teile des Reverse Engineerings und stärkt die Grundlagen für Emulation, Verifikation und Sicherheitsanalysen. Dank der geringen Anforderungen an die Unterstützung neuer Architekturen, seines modularen Designs und der menschenlesbaren Ausgabe kann InstrSem zukünftige Sicherheitsanalysen wirkungsvoll unterstützen.
Autoren: Lorenz Hetterich, Tristan Hornetz, Fabian Thomas und Michael Schwarz, CISPA Helmholtz Center for Information Security
Autor:innen: Hongkai Chen, Arizona State University; Yuqing Yang, CISPA Helmholtz Center for Information Security; Chao Wang, The Ohio State University; Arpit Nandi, Arizona State University; Moritz Schloegel, CISPA Helmholtz Center for Information Security; Tiffany Bao, Ruoyu Wang, and Adam Doupé, Arizona State University; Zhiqiang Lin, The Ohio State University; Yan Shoshitaishvili, Arizona State University
Die dominante Marktstellung von Android hat dazu geführt, dass das Betriebssystem intensiv von Sicherheitsforscher:innen untersucht wurde. Im Laufe der Jahre wurden zahlreiche Sicherheitsprobleme identifiziert und behoben – nicht nur in der Implementierung, sondern auch im Design. Diese Designschwachstellen wurden bislang jedoch nicht systematisch wissenschaftlich aufgearbeitet. Das ist besonders relevant, da viele Smartphone-Hersteller inzwischen eigene mobile Betriebssysteme entwickeln. Obwohl diese nicht zwangsläufig den Android-Code übernehmen, orientieren sie sich häufig am Android-Design. Ein prominentes Beispiel ist Huaweis neues Betriebssystem OpenHarmony, das bereits auf mehr als einer Milliarde Geräten eingesetzt wird, dessen Sicherheit jedoch bislang kaum wissenschaftlich untersucht wurde. Wir gehen davon aus, dass Designschwachstellen aus Android auch diese neuen mobilen Betriebssysteme betreffen und damit deren Nutzer:innen gefährden können.
In diesem Paper untersuchen wir systematisch Designschwachstellen in Android und deren Auswirkungen auf neue mobile Betriebssysteme. Zunächst analysieren wir 116 wissenschaftliche und industrielle Veröffentlichungen zu Android und identifizieren 56 einzigartige Schwachstellen im Design des Betriebssystems. Für jede dieser Schwachstellen entwickeln wir eine wiederverwendbare Auditierungsmethodik, um neue mobile Betriebssysteme systematisch überprüfen zu können. Anschließend wenden wir diese Methoden auf OpenHarmony an und zeigen, dass das Betriebssystem für 24 der identifizierten Designschwachstellen anfällig ist. Darunter befinden sich Schwachstellen, die die Privatsphäre von Nutzer:innen gefährden, unbemerkte Privilegieneskalationen ermöglichen und die Zuverlässigkeit des Gesamtsystems beeinträchtigen.
Autoren: Addison Crump, Sahil Sihag, Florian Bauckholt und Keno Hassler, CISPA Helmholtz Center for Information Security; Thorsten Holz, Max Planck Institute for Security and Privacy
Dynamische Tests konzentrieren sich traditionell darauf, Situationen zu finden, in denen Software unerwünschtes Verhalten zeigt – typischerweise indem Fehler oder unerwünschte Zustände ausgelöst werden. Solche Tests können diese Szenarien jedoch meist nur anhand konkreter Beispiele aufdecken. In diesem Paper untersuchen wir, ob sich potenzielle Softwarefehler auch aus unauffälligem Laufzeitverhalten ableiten lassen. Dazu nutzen wir eBPF für die dynamische Defektinferenz in Linux-Anwendungen. Als Werkzeug zur Systembeobachtung sammelt eBPF Ereignisse aus User- und Kernel-Space und verarbeitet sie mit Programmen direkt im Kernel.
Unser Prototyp OS-Sanitizer nutzt solche eBPF-Programme und setzt Heuristiken ein, um mögliche Defekte systemweit in allen Anwendungen zu erkennen. Konzeptuell überträgt OS-Sanitizer die Idee der Code Smells aus der statischen Analyse auf die dynamische Analyse und nutzt dabei die Erkenntnisse aus Laufzeitereignissen. Auf diese Weise lassen sich latente, kontextabhängige Defekte identifizieren, die nur unter bestimmten Bedingungen zu Fehlern führen oder sich auf andere Weise nur schwer testen lassen.
Wir bewerten die Stärken und Schwächen dieses Ansatzes hinsichtlich Performance, Komplexität, Wartbarkeit und praktischer Anwendbarkeit und unterscheiden dabei zwischen den grundsätzlichen Möglichkeiten von eBPF und den Einschränkungen unseres Prototyps. Für bekannte Klassen von Softwarefehlern identifiziert OS-Sanitizer mehr als 40 Probleme – darunter schwerwiegende Sicherheitslücken – in weit verbreiteten Anwendungen. Einige dieser Schwachstellen bestehen seit mehr als einem Jahrzehnt und betreffen die Mehrheit der Linux-Distributionen. Unsere Ergebnisse zeigen, dass dynamische Defektinferenz sowohl praktikabel als auch effektiv ist, und unterstreichen das Potenzial dieses bislang wenig erforschten Ansatzes für das Softwaretesten.
Autoren: Yepeng Pan und Christian Rossow, CISPA Helmholtz Center for Information Security
UDP, eines der wichtigsten Transportprotokolle für zahlreiche verbreitete Dienste wie DNS und Videokonferenzen, ist ein zentraler Bestandteil heutiger Netzwerke. Seine Abhängigkeit von der IP-Fragmentierung ist jedoch dafür bekannt, sowohl Sicherheits- als auch Zuverlässigkeitsprobleme zu verursachen. Um Fragmentierung zu vermeiden, begrenzen UDP-basierte Anwendungen daher in der Regel die Größe ihrer Nutzdaten. Derzeit basiert der Algorithmus zur Wiederzusammensetzung von IP-Fragmenten in Linux auf einer Puffergrößenbeschränkung pro Netzwerk-Namespace. Dadurch sind klassische Denial-of-Service-Angriffe (DoS) durch Ressourcenerschöpfung auf UDP-Dienste möglich, die auf IP-Fragmentierung angewiesen sind. Wie anfällig heutige reale Dienste tatsächlich für solche Angriffe sind, wurde bislang jedoch nicht umfassend untersucht.
In diesem Paper untersuchen wir die Praxistauglichkeit eines solchen auf IP-Fragmentierung basierenden DoS-Angriffs gegen reale Anbieter verbreiteter UDP-basierter Dienste, darunter VPNs, Videokonferenzsysteme und RADIUS. Wir betrachten den Angriff sowohl aus der Perspektive der Client-Seite als auch der Dienstanbieter. Auf Serverseite zeigen wir, dass viele reale Anbieter den Datenverkehr vom Server zum Client fragmentieren, wenn sie von Angreifer:innen gefälschte ICMP Fragmentation Needed-Nachrichten mit künstlich kleinen Path-MTUs erhalten. Auf Client-Seite zeigen wir, dass sich fragmentierter Datenverkehr vom Server zum Client gezielt verwerfen lässt, indem Linux-basierte NAT-Gateways mit gefälschten Fragmenten überflutet werden. Mithilfe simulierter Angriffe demonstrieren wir, dass dieser fragmentierungsbasierte DoS-Angriff in der Praxis realistisch ist und verschiedene Anbieter, darunter Zoom und ExpressVPN, beeinträchtigen kann. Abschließend legen wir unsere Ergebnisse den betroffenen Parteien offen und schlagen mögliche Gegenmaßnahmen vor.
Capability-Betriebssysteme existieren seit sechs Jahrzehnten, dennoch gibt es bislang keine systematische Möglichkeit, sie und ihre unterschiedlichen Designansätze miteinander zu vergleichen. Es besteht nicht einmal Einigkeit darüber, welchem Zweck Capabilities in diesen Systemen eigentlich dienen. Angesichts des jüngsten Wiederauflebens des Interesses an Capability-Systemen in verschiedenen Anwendungsbereichen definieren wir zunächst, was ein Capability-System ausmacht, und entwickeln einen Satz von Merkmalen, mit denen sich solche Systeme beschreiben und voneinander unterscheiden lassen.
Anschließend wenden wir diese Merkmale auf wegweisende Capability-Systeme an und erstellen eine Taxonomie der grundlegenden Designansätze, die sich in den vergangenen 60 Jahren entwickelt haben. Auf Basis unserer Ergebnisse diskutieren wir zukünftige Forschungsrichtungen und zeigen offene Herausforderungen bei der Entwicklung reiner Object-Capability-Systeme auf.
Autoren: Lukas Gerlach, CISPA Helmholtz Center for Information Security; Marton Bognar, DistriNet, KU Leuven; Daniel Weber und Michael Schwarz, CISPA Helmholtz Center for Information Security; Jo Van Bulck, DistriNet, KU Leuven
Spekulative Ausführungsangriffe wurden bislang vor allem auf den weit verbreiteten x86- und ARM-Architekturen untersucht. Für RISC-V konzentrierte sich die Forschung dagegen überwiegend auf akademische Open-Source-Prozessorentwürfe. Kommerziell verfügbare RISC-V-Prozessoren gelten vielfach als zu einfach, um für solche Angriffe anfällig zu sein. Entsprechend wurden bisher keine vollständigen Spectre-Angriffe auf realer Hardware demonstriert, und zentrale Software wie der Linux-Kernel enthält bislang keine entsprechenden Schutzmaßnahmen.
In diesem Paper stellen wir diese Annahme infrage. Wir untersuchen systematisch alle kommerziell verfügbaren Out-of-Order-RISC-V-Prozessoren (SiFive P550 sowie T-Head Xuantie C910/C920), zeigen ihre Anfälligkeit für verschiedene Spectre-Angriffe und demonstrieren den ersten Spectre-Angriff, der beliebige Kernel-Speicherinhalte auf realer RISC-V-Hardware auslesen kann. Unsere Analyse zeigt außerdem, dass Schutzmaßnahmen in Compilern, Betriebssystemen und Anwendungen bislang weitgehend fehlen und der RISC-V-Befehlssatz keine dedizierte Spekulationsbarriere bereitstellt.
Als Übergangslösung untersuchen wir experimentell, welche Instruktionen auf kommerziellen Prozessoren die spekulative Ausführung stoppen können. Darüber hinaus analysieren wir den Linux-Kernel systematisch auf Spectre-Gadgets und entwickeln Patches, von denen mehrere bereits in den Upstream-Kernel übernommen wurden. Abschließend evaluieren und vergleichen wir softwarebasierte Schutzmaßnahmen gegen Spectre und leiten Empfehlungen für das wachsende RISC-V-Ökosystem ab. Damit schaffen wir eine Grundlage, um reale RISC-V-Hardware besser gegen spekulative Ausführungsangriffe zu schützen, insbesondere in sicherheitskritischen Einsatzbereichen.
Autoren: Ruiyi Zhang, Tristan Hornetz, Daniel Weber, Fabian Thomas und Michael Schwarz, CISPA Helmholtz Center for Information Security
Confidential Virtual Machines (CVMs) wie AMD SEV-SNP sollen Gastbetriebssysteme vor einem nicht vertrauenswürdigen Host schützen, indem sie den Systemzustand verschlüsseln und privilegierte Kontrollmöglichkeiten einschränken. Diese Plattformen versprechen Isolation auch in Multi-Tenant-Cloud-Umgebungen, in denen Simultaneous Multithreading (SMT) aktiviert bleibt. Bisherige Angriffe konzentrieren sich jedoch vor allem auf die Speicherhierarchie oder Ausführungseinheiten und berücksichtigen die Frontend-Konfiguration der Prozessoren kaum.
In diesem Paper stellen wir StackWarp vor – einen rein softwarebasierten architektonischen Angriff, der die Stack Engine von AMD-Zen-Prozessoren ausnutzt, um den Stack Pointer innerhalb eines SEV-SNP-Gasts zu manipulieren und dadurch dessen Integrität vollständig zu kompromittieren. StackWarp basiert auf einem bislang undokumentierten Bit in einem gemeinsam genutzten Model-Specific Register (MSR), das auf AMD-Zen-1- bis Zen-5-Prozessoren die Stack Engine aktiviert oder deaktiviert. Unsere Reverse-Engineering-Analyse zeigt, dass der Zustand der Stack Engine zwischen den logischen Prozessorkernen nicht korrekt synchronisiert wird. Dadurch kann ein:e Angreifer:in den Stack Pointer auf dem jeweils anderen logischen Kern deterministisch verändern – selbst auf vollständig gepatchten Zen-5-Systemen.
Wir entdeckten StackWarp durch eine systematische Untersuchung des MSR-Adressraums, einschließlich undokumentierter Register. Durch gezieltes Verändern einzelner MSR-Bits identifizierten wir solche, die SEV-SNP-Gäste auf einem benachbarten logischen Kern beeinflussen. Um die praktischen Auswirkungen zu demonstrieren, zeigen wir vier vollständige Angriffe auf SEV-SNP-Gäste: die Rekonstruktion eines RSA-CRT-Privatschlüssels, die Umgehung der Passwortauthentifizierung von OpenSSH sowie zwei Privilegieneskalationen – eine über sudo und eine mithilfe einer Kernel-Mode-ROP-Kette. Abschließend geben wir Empfehlungen zur softwareseitigen Härtung und argumentieren für Änderungen an Mikrocode oder Hardware, die eine kernübergreifende Kontrolle der Stack Engine verhindern, sobald CVMs aktiv sind. Unsere Ergebnisse zeigen, dass aktiviertes SMT die Integritätsgarantien von SEV-SNP derzeit untergräbt.
Autoren: Amit Choudhari, CISPA Helmholtz Center for Information Security; Fabian van Rissenbeck, Technische Universität Dortmund; Christian Rossow, CISPA Helmholtz Center for Information Security
Cloud-Plattformen führen datenintensive Anwendungen in Multi-Tenant-Umgebungen aus, in denen der häufige Datenverkehr zwischen CPU und Arbeitsspeicher über Cache-Seitenkanäle Zugriffsmuster preisgeben kann. Processing-in-Memory (PIM)-Systeme wie UPMEM verlagern Berechnungen direkt in den Arbeitsspeicher, wodurch Datenbewegungen deutlich reduziert und die CPU-Caches weniger belastet werden. Kommerzielle PIM-Architekturen verfügen jedoch über eine vom Host gesteuerte Kontrollebene sowie einen gemeinsam mit dem Host genutzten Modulspeicher. Dadurch bleiben Code und Daten auf dem PIM-Gerät gegenüber einem kompromittierten Host angreifbar. Bestehende Ansätze für sicheres PIM setzen entweder zusätzliche Hardware für Verschlüsselung und Zugriffskontrolle oder auf aufwendige kryptografische Protokolle auf Host-Seite voraus, was ihre praktische Nutzung erschwert.
In diesem Paper stellen wir Memclave vor – ein rein softwarebasiertes Framework, das Codeintegrität und Datenvertraulichkeit auf handelsüblichen PIM-Systemen ermöglicht, ohne Änderungen an der Hardware zu erfordern. Ein mithilfe eines Trusted Platform Module (TPM) attestierter Hypervisor isoliert die Kontrollebene des PIM bereits beim Systemstart dauerhaft vom Host. Auf jedem In-Memory-Kern authentifiziert ein vertrauenswürdiger Loader den Nutzerkernel und richtet einen geschützten Datenpfad für jede Sitzung ein. Memclave erhält sowohl das bestehende Programmiermodell als auch den Kernel-Code: Host-Anwendungen müssen lediglich eine kleine Anzahl von Funktionen zum Datentransfer durch sichere Alternativen ersetzen. Dadurch bleiben die Trusted Computing Base (TCB) klein und der Portierungsaufwand gering.
Wir implementieren Memclave auf handelsüblichen UPMEM-DIMMs und evaluieren das System mit der PrIM-Benchmark-Suite, die unterschiedliche Speicherzugriffs-, Rechen- und Synchronisationsmuster abdeckt. Nach einem einmaligen authentifizierten Ladevorgang von rund 100 Millisekunden bleibt die Laufzeit der In-Memory-Kernel nahe an der des unveränderten PIM-Systems: Ein Multilayer Perceptron (MLP) erreicht bei praxisrelevanten Problemgrößen eine Laufzeit innerhalb des 1,5-Fachen der Ausgangsbasis, und die Breadth-First Search (BFS) erzielt auf einigen Graphen nahezu identische Laufzeiten (1,1×), wobei die Laufzeit mit zunehmender Anzahl von Frontier-Ebenen nur moderat ansteigt.
Autor:innen: Philip Klostermeyer, Jan-Ulrich Holtgrave, Jacques Suray, Anne Vonderheide, Nicolas Lodzig, Niklas Busch, Alexander Krause, Jan H. Klemmer, Marten Oltrogge und Sascha Fahl, CISPA Helmholtz Center for Information Security
Videospiele gehören zu den größten Bereichen der Softwareindustrie. Die Sicherheit von Spielen ist dabei von zentraler Bedeutung, stellt jedoch eine besondere Herausforderung dar. Neben klassischen Sicherheitsbedrohungen müssen Spieleentwickler:innen gegen eine hoch motivierte Gruppe von Angreifer:innen aus den eigenen Reihen vorgehen: Cheater:innen.
Cheater:innen verschaffen sich unfaire Vorteile und gefährden damit sowohl die wirtschaftliche Tragfähigkeit als auch die Wettbewerbsfairness von Videospielen. Trotz der anhaltenden Bedeutung dieses Problems fällt es Industrie und Forschung schwer, wirksame Gegenmaßnahmen zu entwickeln. Insbesondere fehlt bislang ein systematisches und umfassendes Verständnis des Phänomens. Die bestehende Literatur ist stark fragmentiert und betrachtet überwiegend einzelne Angriffstechniken, anstatt einen ganzheitlichen Überblick über die Bedrohungslandschaft zu bieten.
In dieser Arbeit schließen wir diese Lücke mit einer umfassenden Systematisierung von Cheat-Techniken in Videospielen. Wir analysieren 187 wissenschaftliche Veröffentlichungen aus den vergangenen zwei Jahrzehnten und führen ihre Erkenntnisse anhand etablierter Methoden der Systematization of Knowledge (SoK) zusammen. Das Ergebnis ist ein detaillierter, ganzheitlicher Angriffsbaum mit sechs zentralen Kategorien und insgesamt 192 Knoten. Darüber hinaus ordnen wir die unterschiedlichen Cheat-Techniken dem MITRE ATT&CK Framework zu und schaffen so eine strukturierte Taxonomie spielspezifischer Angriffsvektoren. Ergänzend stellen wir 54 Schutzmaßnahmen gegenüber den identifizierten Angriffen vor.