Dass die australische Regierung das Thema Cybersicherheit nun ernst nimmt, zeigt deutlich, dass es als zentrales nationales Risikofeld erkannt wurde. Doch reicht ihre Strategie weit genug?

Ein Großteil der Initiativen rund um „Shifting Left“, also die Verlagerung der Sicherheit an den Anfang des Entwicklungsprozesses, greift schlichtweg zu kurz.

Die jüngste Executive Order der US-Bundesregierung berührt viele Aspekte der funktionalen Cybersicherheit, unterstreicht jedoch erstmals explizit die Rolle von Entwicklern und die Notwendigkeit, dass diese über nachgewiesene Sicherheitskompetenzen und ein entsprechendes Bewusstsein verfügen.

Das National Institute of Standards & Technology (NIST) hat ein aktualisiertes Whitepaper veröffentlicht, das verschiedene Aktionspläne zur Reduzierung von Software-Schwachstellen und Cyber-Risiken detailliert beschreibt.

Ich hätte diesen Artikel mit all den Fakten und Zahlen beginnen können, die ein florierendes Hyper-Growth-Startup belegen; sie sind zweifellos beeindruckend und die Entwicklung unseres Unternehmens ist stark. Doch für mich spiegeln diese Zahlen nicht das wider, worauf ich 2019 am meisten stolz bin.

Unsere Geburtstagsmeilensteine sind eine wunderbare Gelegenheit, die Früchte unserer Arbeit zu reflektieren, das Team zu feiern und das kommende Jahr voller Zuversicht anzugehen. Sieben Jahre nach unserer Gründung frage ich mich: Haben wir es geschafft? Ist das jetzt ein richtiges Unternehmen? Natürlich sind wir gereift, aber ich hoffe sehr, dass wir uns die Neugier, die Leidenschaft und die Begeisterung, die uns von Anfang an ausgezeichnet haben, bewahren.

Professionelle Entwickler möchten DevSecOps anwenden und sicheren Code schreiben, doch ihre Unternehmen müssen diesen Wandel aktiv unterstützen, wenn sie möchten, dass sich diese Bemühungen auszahlen.

Diese Woche feiern wir offiziell das achtjährige Bestehen von Secure Code Warrior. Einerseits entspricht das der 350-fachen Dauer der Apollo-11-Mission, 45.000 Fußballspielen oder dem 5696-maligen Durchspielen von Super Mario Odyssey. Andererseits ist es nur ein Dreißigstel der Lebensspanne einer Riesenschildkröte (falls Sie sich das gefragt haben). In der Welt eines wachstumsstarken Startups ist es eine Reise voller Wendungen, Lektionen und Erfolge – von denen viele unvorstellbar waren, als wir unseren Businessplan entwarfen.

Die API-Sicherheit dem Zufall zu überlassen, führt zwangsläufig zu späteren Problemen – im schlimmsten Fall mit verheerenden Folgen, im besten Fall mit frustrierender Nacharbeit und geringer Performance.

Die Idee hinter Apps zur Kontaktverfolgung ist grundsätzlich gut. Wenn diese Technologie einwandfrei funktioniert, können Infektionsherde schnell identifiziert und umfassende Tests durchgeführt werden – beides wesentliche Voraussetzungen, um die Ausbreitung eines ansteckenden Virus zu bekämpfen.

Wie sollen Entwickler sicheren Code schreiben, wenn ihnen niemand vermittelt, warum das wichtig ist, welche Folgen unsicherer Code hat und vor allem, wie sie die Entstehung solcher Schwachstellen in ihren jeweiligen Programmier-Frameworks von vornherein verhindern?

Die Bedeutung dieser Arbeit liegt darin, dass wir empirische Belege für eine Vielzahl alarmierender Probleme bei der sicheren Programmierung geliefert haben, die bisher nicht gemeldet wurden.

Gegen Ende letzten Jahres veröffentlichte die großartige Community von MITRE ihre Liste der 25 gefährlichsten Softwarefehler (CWE Top 25), die die Welt im Jahr 2019 betrafen. Und das meiste davon war keine Überraschung.

Unsere Vision ist es, Entwickler zur ersten Verteidigungslinie ihres Unternehmens zu machen, indem wir Sicherheit sichtbar machen und ihnen die Fähigkeiten und Werkzeuge an die Hand geben, von Anfang an sicheren Code zu schreiben.

Dass der jugendliche Sicherheitsforscher Bill Demirkapi schwerwiegende Schwachstellen in der Software seiner Schule aufgedeckt hat, weckt bei mir Erinnerungen. Ich erinnere mich, wie ich als neugieriges Kind unter die Motorhaube von Software geschaut habe, um zu sehen, wie alles funktioniert – und ob ich es kaputt machen konnte.

Entwickler von Anfang an dazu zu befähigen, sicheren Code zu schreiben, bietet CISOs die Chance, proaktiv die Kontrolle über die Sicherheitslage zu übernehmen. Dies ermöglicht schnelle, einfache und messbare Verbesserungen für Sicherheits- und Entwicklungsteams.

Wenn ein Entwickler beim Programmieren in JavaScript einen Cross-Site-Scripting-Fehler einbaut und diesen innerhalb weniger Minuten nach der Entstehung erkennt,

Wir sagen voraus, dass 2021 das Jahr ist, in dem ein völlig neues Wettrennen ins All zum Mainstream wird: unsere Galaxie vor Cyber-Bedrohungen zu schützen.

Das Gesundheitswesen könnte zum nächsten „großen“ Schlachtfeld der Cybersicherheit werden, auf dem Kriminelle genau die Geräte angreifen, die medizinische Probleme diagnostizieren, Behandlungen ermöglichen und Leben erhalten.

In der Cybersicherheit sind wir oft wie Jäger. Unser Blick ist fest auf den Horizont gerichtet, immer auf der Suche nach der nächsten Sicherheitslücke. Dieser zukunftsorientierte Fokus kann jedoch den überraschenden Effekt haben, dass unser allgemeines Sicherheitsbewusstsein schwindet.

Diese entwicklerorientierten Veranstaltungen gehören zu meinen Favoriten im Kalender; sie erinnern mich auf demütige Weise an die Gemeinschaft, die unermüdlich daran arbeitet, Softwareentwickler und Spezialisten auszubilden und zu befähigen, Sicherheit in ihrer Arbeit großzuschreiben.

Die eigentliche Herausforderung besteht nicht im Kampf gegen Script-Kiddies oder gefährliche organisierte Cyberkriminelle, sondern darin, mehr Menschen für die Tatsache zu sensibilisieren, dass Datenpannen überhaupt stattfinden.

Softwaresicherheit ist für mich immer ein zentrales Thema, ebenso wie die reale Gefahr, die von unserem zunehmend digitalen Lebensstil geprägt vom Teilen persönlicher Informationen ausgeht. Schließlich bewegen wir uns in einem weitgehend unregulierten, unüberwachten und geflissentlich ignorierten Terrain. Wir befinden uns im Wilden Westen.

Die Betonung eines präventiven – im Gegensatz zu einem reaktiven – Ansatzes ist außerhalb des Sicherheitsteams möglicherweise nicht allgemein bekannt, insbesondere wenn es noch zu keinem schwerwiegenden Sicherheitsvorfall gekommen ist.

Das PCI Security Standards Council hat in diesem Jahr im Rahmen seines PCI Software Security Frameworks eine völlig neue Reihe von Software-Sicherheitsrichtlinien veröffentlicht. Dieses Update zielt darauf ab, bewährte Verfahren der Softwaresicherheit an die moderne Softwareentwicklung anzupassen.

Das Metaverse, der aktuelle Liebling der digitalen Welt, eröffnet eine riesige neue Angriffsfläche für Schwachstellen auf Code-Ebene und Social Engineering. Wir sind schlichtweg nicht auf den Kampf auf diesem neuen Spielfeld vorbereitet, das von Blendwerk und Täuschung lebt.

Während CIOs ihre agilen Unternehmensfähigkeiten konsequent ausbauen, werden Kenntnisse in sicherem Programmieren zu einer Innovationswaffe – ihr Fehlen hingegen zu einem Instrument der Zerstörung.

Ein aktueller Bericht des britischen Huawei Cyber Security Evaluation Centre hat erhebliche Sicherheitsmängel in den Softwareentwicklungsprozessen von Huawei aufgedeckt. Doch das ist ein Problem, das sich beheben lässt.

API-Sicherheit ist eine Herausforderung, aber mit angemessener Schulung, Planung und einem Fokus auf bewährte Verfahren lassen sich selbst die tückischsten Schwachstellen entschärfen.

Während regulatorische Initiativen zweifellos mit der Zeit besser und umfangreicher werden, könnten Unternehmen, die jetzt in Panik verfallen und sich überstürzt in Schulungen stürzen, für die Zukunft schlecht aufgestellt sein.

Nur wenige Unternehmen sind bei der Implementierung von DevOps wirklich erfolgreich. Doch mit der richtigen Unterstützung, Förderung und einem unternehmensweiten Verständnis lässt sich Ihr Prozess grundlegend transformieren.

Der jüngste Angriff auf GitHub-Repositories unterstreicht ein bekanntes Problem in der Sicherheitsbranche: Die meisten Entwickler sind schlichtweg nicht ausreichend sicherheitsbewusst, wodurch wertvolle Daten jederzeit gefährdet sein können.

Es gibt viele Lösungen, die Schwachstellen im Code aufspüren, aber die Sicherheit muss stärker darauf ausgerichtet sein, Entwicklern Sicherheitsrichtlinien zu vermitteln, damit diese Fehler gar nicht erst entstehen.

Dass Cybersicherheit wichtig ist, liegt auf der Hand. Doch was bedeutet das eigentlich im Kontext von Lieferketten?

Mit der Einführung der DSGVO sowie einer überarbeiteten Strategie nach einem mehrstufigen Angriff, bei dem sensible Daten vieler Persönlichkeiten des öffentlichen Lebens – sowie Server der deutschen Bundesregierung – offengelegt wurden, ist klar, dass Cybersicherheit und entsprechendes Handeln für Führungskräfte in der DACH-Region oberste Priorität haben.

Wir müssen aufhören, Sicherheit als lästiges Hindernis für unternehmerische Innovation zu betrachten.

Es gibt Entwickler aller Art und aus allen Lebensbereichen, und in allem, was wir tun, war schon immer ein Gemeinschaftsgefühl spürbar.

Die Auffassung darüber, was sicheres Programmieren eigentlich ausmacht, ist umstritten. Aktuelle Forschungsergebnisse in Zusammenarbeit mit Evans Data belegen dies schwarz auf weiß. Die Umfrage „State of Developer-Driven Security 2022“ beleuchtet die wichtigsten Erkenntnisse und Erfahrungen von 1.200 aktiven Entwicklern und verdeutlicht deren Einstellungen und Herausforderungen im Bereich der Sicherheit.

Unsere VP of Customer Success, Fatemah Beydoun, hielt kürzlich vor einem sehr aufgeschlossenen Publikum ihren Vortrag „Mentoring for the future: How we can all do better in fostering female cybersecurity talent“. Sie leistet einen wesentlichen Beitrag zum positiven Wandel in der Cybersicherheitsbranche.

Während sicheres Programmieren an Hochschulen zu einem obligatorischen Bestandteil der Softwareentwicklung werden muss, gehen einige Universitäten bereits mit gutem Beispiel voran, indem sie erstklassige Schulungen anbieten und Sicherheit von Anfang an als festen Bestandteil des Entwicklungsprozesses priorisieren.

Kreative und inspirierende CISOs und CIOs haben die Macht, Innovationen voranzutreiben und unsere digitale Welt zu gestalten, aber sie können auch maßgeblich dazu beitragen, die Sicherheitskultur eines Unternehmens zu transformieren.

Auch wenn VxWorks den meisten Verbrauchern kein Begriff ist, profitieren Sie und ich jeden Tag von diesem Softwareprodukt. Nun stehen wir vor der Möglichkeit, dass Hunderte Millionen von Geräten, die auf VxWorks basieren, kompromittiert sind.

Wir müssen die Art und Weise, wie wir über Sicherheit sprechen, grundlegend ändern und sie zu einem festen Bestandteil des Arbeitsalltags eines jeden Entwicklers machen. Ich bin überzeugt, dass einer der besten Wege hierfür darin besteht, Entwickler durch Ansätze wie Gamification für das Thema Sicherheit zu begeistern und sie aktiv einzubinden.

Es ist wieder diese besondere Zeit des Jahres, in der ich auf unsere letzte Umrundung der Sonne zurückblicke und darauf, was wir in den vergangenen 365 Tagen getan haben, um uns für ein neues Jahr voller Wachstum, Lektionen und unvermeidlicher Unvorhersehbarkeiten zu wappnen.

Es ist offiziell: Wir bündeln unsere Kräfte mit Bugcrowd, um Entwickler im Bereich sicheres Programmieren zu schulen, zu stärken und aufzuklären.

Ist es nicht an der Zeit, das Thema Sicherheit neu zu denken? Es ist ganz einfach: Wir müssen die Art und Weise, wie wir darüber sprechen, ändern und das Ganze für beide Seiten – vor allem für das Entwicklungsteam – positiver (und natürlich unterhaltsamer!) gestalten.

Egal, ob Sie die Führungsebene in Cybersicherheit schulen oder Entwicklern JAVA- oder C#-Kenntnisse für sicheres Programmieren vermitteln – Kreativität, Gamification und Spaß haben immer ihren Platz.

Der 23. Juni ist ein besonderer Tag im Kalender der Tech-Community: der International Women in Engineering Day. Dies ist unsere Gelegenheit, die Beiträge von Frauen in der Softwareentwicklung ins Rampenlicht zu rücken.

Die Software-Sicherheitsbranche ist nicht gerade für ihre warmherzige Art, skurrile Beobachtungen oder Lebensweisheiten bekannt. Doch vielleicht ertappe ich mich mit zunehmendem Alter immer öfter dabei, darüber nachzudenken, welchen Einfluss wir alle auf die Welt haben können.

Angesichts der Zunahme von Cyberangriffen, die jede Art von Organisation in jeder Branche betreffen, ist die Gefahr kostspieliger, peinlicher und existenzbedrohender Datenpannen sehr real. Das Problem wird nicht kleiner, es wuchert wie ein Tumor.

In unserer Branche haben viele Sicherheitsexperten damit begonnen, die wichtigsten Themen für das kommende Jahr vorherzusagen. Doch angesichts von mehr als fünf Milliarden gestohlenen sensiblen Datensätzen im Jahr 2019 hielten wir es für treffender, vorherzusagen, was in absehbarer Zukunft in der Cybersicherheit eben nicht passieren wird.

5 wichtige Lektionen für die Einführung effektiver Sicherheitsschulungen für Entwickler

Indem wir die Verantwortlichkeiten unserer Apps und Software in einer straffen Hierarchie definieren und diese Richtlinien mit dem Prinzip der geringsten Rechte durchsetzen, stellen wir sicher, dass unsere Anwendungen trotz der Bedrohungslage bestehen und gedeihen können.

Der Open Source Software Security Mobilization Plan ist ein positiver Schritt für eine entwicklerorientierte Sicherheit. Wir müssen jedoch alle innehalten und ehrlich beurteilen, ob unsere Organisation bereits reif genug ist – und ob unsere Entwicklungsteams über das nötige Sicherheitsbewusstsein und die entsprechenden Fähigkeiten verfügen –, um die neuesten und besten Verteidigungsstrategien umzusetzen.

Das „Leaders in AppSec“-Panel widmete sich brennenden Fragen, etwa wie man das AppSec-Budget optimal einsetzt, und beantwortete knifflige Fragen aus dem Publikum. Ein inspirierender Vormittag, der Sicherheitsexperten hilft, tragfähige Programme aufzubauen.

Je älter meine Tochter und das Unternehmen werden, desto mehr erkenne ich die vielen Parallelen zwischen der Reise eines Startups und der eines „frischgebackenen“ Elternteils. Ich befinde mich nun im vierten Jahr für beides.

Es gibt eine Frage, die sich jeder Entwickler stellen muss, egal ob Berufseinsteiger oder erfahrener Profi. Und die Antwort darauf ist wichtig.

Wir erhalten weder realistische Ratschläge noch die schnellsten Lösungen, um dem unaufhörlichen Ansturm der modernen Cybersicherheit zu begegnen. Natürlich ist jeder Sicherheitsvorfall auf seine Weise einzigartig, und es gibt zahlreiche Angriffsvektoren, die in anfälliger Software ausgenutzt werden können. Sinnvolle allgemeine Ratschläge sind zwar begrenzt, aber der Ansatz der „Best Practices“ wirkt mit jeder Stunde fehlerhafter.

Das betagte COBOL ist auch heute noch effektiv. Erfahren Sie mehr über die sichere Anwendungsentwicklung mit COBOL bei Secure Code Warrior.

API-Sicherheit beschäftigt die meisten Sicherheitsexperten intensiv, und wir müssen uns das nötige Wissen aneignen, um dieser Herausforderung zu begegnen.

Anfang des Jahres hat das PCI Security Standards Council die Version 4.0 des Payment Card Industry Data Security Standard (PCI DSS) vorgestellt. Obwohl Unternehmen erst ab März 2025 vollständig konform mit Version 4.0 sein müssen, handelt es sich um das bisher umfassendste Update. Es zwingt die meisten Unternehmen dazu, komplexe Sicherheitsprozesse und Teile ihres Tech-Stacks zu bewerten und gegebenenfalls aufzurüsten. Darüber hinaus müssen rollenbasierte Schulungen zum Sicherheitsbewusstsein und regelmäßige Trainings für Entwickler zur sicheren Programmierung eingeführt werden.

CyberNews-Interview mit Pieter Danhieux, CEO & Mitgründer von Secure Code Warrior.

Die nationale Cybersicherheitsstrategie der CISA ist unsere beste Chance, die Softwarestandards flächendeckend zu erhöhen und endlich eine neue Ära sicherheitsbewusster Entwickler einzuläuten.

Es scheint unvermeidlich, dass KI-Technologien auf LLM-Basis die Art und Weise verändern werden, wie wir viele Aspekte unserer Arbeit angehen – nicht nur in der Softwareentwicklung. Wir müssen jedoch einen Schritt zurücktreten und die Risiken jenseits der Schlagzeilen betrachten. Und als Programmierbegleiter sind die Schwächen der KI vielleicht ihre „menschlichste“ Eigenschaft.

Wir haben den Abschluss unserer Series-C-Finanzierungsrunde bekannt gegeben und 50 Millionen US-Dollar für die nächste Phase unserer Mission aufgebracht: mehr zukunftsweisende Unternehmen dabei zu unterstützen, das Potenzial ihrer Entwicklerteams bei der Abwehr gängiger Schwachstellen zu nutzen.

Nach unserer Series-C-Finanzierungsrunde freue ich mich sehr, einen weiteren Meilenstein auf unserem Weg bekannt zu geben. Der Branchenführer Synopsys erweitert sein Produktportfolio um eine spannende Neuerung: Synopsys Developer Security Training, powered by Secure Code Warrior.

Der strategische Cybersicherheitsplan treibt grundlegende Veränderungen in der Art und Weise voran, wie die meisten Unternehmen an Cybersicherheit herangehen. Entwickler sind in einer einzigartigen Position, um bei der Erreichung dieser neuen Ziele zu helfen.

Heute feiern wir unseren neunten Geburtstag. Ich bin unglaublich stolz und dankbar für das, was wir erreicht haben, und für unseren festen Platz in der Welt der Cybersicherheit, während sich die Branche weiterhin so rasant wandelt.

In der von großen Linux-Distributionen genutzten Datenkomprimierungsbibliothek XZ Utils wurde eine kritische Schwachstelle (CVE-2024-3094) entdeckt, die durch einen Akteur mittels Backdoor eingeschleust wurde. Diese schwerwiegende Sicherheitslücke ermöglicht potenziell die Remotecodeausführung und stellt ein erhebliches Risiko für Software-Build-Prozesse dar. Betroffen sind frühe Versionen (5.6.0 und 5.6.1) von XZ Utils in Fedora Rawhide. Organisationen sind dringend dazu aufgerufen, Patches einzuspielen. Der Vorfall unterstreicht die zentrale Rolle von Freiwilligen bei der Pflege von Open-Source-Software und verdeutlicht die Notwendigkeit verbesserter Sicherheitspraktiken und Zugriffskontrollen im Softwareentwicklungszyklus.

Das Gründungsteam von Secure Code Warrior ist seit einem ganzen Jahrzehnt zusammengeblieben und hat das Unternehmen durch jede Lektion, jeden Triumph und jeden Rückschlag gesteuert. Wir wachsen weiter und sind bereit für unser nächstes Kapitel, SCW 2.0, als führendes Unternehmen im Bereich Developer Risk Management.

Vibe Coding ist wie eine Studentenparty, bei der die KI das Fass in der Mitte des Raumes ist. Es macht Spaß, sich auszutoben, kreativ zu sein und der Fantasie freien Lauf zu lassen. Doch nach ein paar Runden ist ein maßvoller Umgang – auch mit KI – langfristig zweifellos die sicherere Lösung.

Bewegt sich die Cybersicherheitswelt bei agentischer KI zu schnell? Die Zukunft der KI-Sicherheit ist da, und es ist an der Zeit, dass Experten von der Reflexion zum Handeln übergehen.

2025 war ein bedeutendes Jahr für KI, Cybersicherheit und SCW. Ich blicke 2026 mit stiller Zuversicht entgegen – und mit dem Optimismus, den nur harte Arbeit, die sich auszahlt, mit sich bringt.

Ich freue mich sehr, heute eine bevorstehende strategische Partnerschaft zwischen Secure Code Warrior und KnowBe4 bekannt zu geben. KnowBe4 ist ein weltweit führender Anbieter im umfassenden Management von Risiken durch Menschen und KI-Agenten und damit der perfekte Partner, um grundlegendes Sicherheitsbewusstsein in Unternehmen weltweit zu etablieren.

Die über KnowBe4 verfügbaren Inhalte von Secure Code Warrior helfen technischen Teams dabei, ein Bewusstsein für sichere Programmierung und KI-Governance zu entwickeln. Dies geschieht durch strukturiertes Lernen, das die OWASP Top 10 Risiken, KI-gestützte Entwicklung und moderne Praktiken für sicheren Code abdeckt.

Adaptive Learning verbindet den SCW Trust Agent mit unserer gesamten Lernplattform und stellt sicher, dass Schulungen perfekt auf die Aktivitäten der Entwickler in Echtzeit abgestimmt sind.

Secure Code Warrior hat heute ein brandneues Whitepaper veröffentlicht. Es stellt ein präskriptives, richtungsweisendes Modell zur KI-Einführung vor, mit dem Sicherheitsverantwortliche ihren aktuellen Status bestimmen und KI-Sicherheitsrisiken im Unternehmen gezielt kontrollieren können.

Von der KI-Autovervollständigung bis zu autonomen Agenten: Erfahren Sie, wie sich die Softwareentwicklung wandelt und was dies für Sicherheit, Governance und Ihr Team bedeutet.