10 Prognosen: Secure Code Warrior über den Einfluss von KI & Secure-by-Design im Jahr 2025

Mit Blick auf das Jahr 2025 – nach einem spannenden und herausfordernden Jahr – wird die Schnittstelle zwischen KI und Softwareentwicklung die Entwickler-Community weiterhin maßgeblich prägen.

Unternehmen stehen vor schwierigen Entscheidungen beim Einsatz von KI, um langfristige Produktivität, Nachhaltigkeit und einen sicheren ROI zu gewährleisten. In den letzten Jahren ist uns deutlich geworden, dass KI die Rolle des Entwicklers niemals vollständig ersetzen wird. Von der Partnerschaft zwischen KI und Entwicklern bis hin zum wachsenden Druck (und der Verwirrung) rund um „Secure-by-Design“-Anforderungen: Werfen wir einen genaueren Blick darauf, was uns im kommenden Jahr erwartet:
‍

Die KI-Gleichung neu schreiben: Nicht KI statt Entwickler, sondern KI + Entwickler

„Da Unternehmen 2025 zu drastischen Kostensenkungsmaßnahmen gedrängt werden, würde es niemanden überraschen, wenn Entwickler durch KI-Tools ersetzt würden. Doch wie schon bei der Einführung der generativen KI und auch nach Jahren der Updates und weiteren Entwicklungen ist sie immer noch kein sicherer, autonomer Produktivitätsfaktor, insbesondere bei der Code-Erstellung. KI ist eine hochinnovative Technologie mit vielen erstaunlichen Anwendungen und Anwendungsfällen, aber sie ist kein ausreichender Ersatz für qualifizierte menschliche Entwickler. Ich stimme der Prognose von Forrester zu, dass dieser Wandel hin zum Ersatz von Menschen durch KI im Jahr 2025 wahrscheinlich scheitern wird, insbesondere auf lange Sicht. Ich denke, die Kombination aus KI und Entwickler wird dies eher erreichen als KI allein.“

‍

KI bietet eine Mischung aus Risiken und Chancen

„Im Jahr 2025 werden neue Risiken durch KI-generierten Code entstehen, einschließlich der negativen Auswirkungen bekannter Probleme wie Hallucination Squatting, vergiftete Bibliotheken und Exploits, die die Software-Lieferkette betreffen. Zudem wird KI verstärkt eingesetzt, um Schwachstellen im Code zu finden, aber auch, um Exploits dafür zu schreiben, wie Googles Project Zero gerade demonstriert hat. Im Gegensatz dazu denke ich, dass wir auch erste Reifegrade bei Unternehmensentwicklern sehen werden, die diese Tools in ihrer Arbeit nutzen können, ohne zu große zusätzliche Risiken einzugehen. Dies wird jedoch die Ausnahme und nicht die Regel sein und davon abhängen, ob ihr Unternehmen das Entwicklerrisiko aktiv misst und sein Sicherheitsprogramm entsprechend anpasst. In der sich schnell entwickelnden Bedrohungslandschaft, die 2025 mit sich bringen wird, werden es die qualifizierten, sicherheitsbewussten Entwickler mit zugelassenen KI-Coding-Tools sein, die schneller Code produzieren können, während Entwickler mit geringem Sicherheitsbewusstsein und allgemeinen Fähigkeiten nur mehr Probleme in höherer Geschwindigkeit verursachen werden.“

‍

Aus dem Schatten der [KI] treten

„Die gesetzliche Landschaft rund um KI ändert sich rasant, um mit den häufigen technologischen Fortschritten und der Adoptionsrate Schritt zu halten. Im Jahr 2025 müssen Sicherheitsverantwortliche sicherstellen, dass sie auf die Einhaltung potenzieller Richtlinien vorbereitet sind. Eine Kombination aus Folgendem – das Verständnis für das Wesen der ‚Schatten-KI‘ und die Sicherstellung, dass diese nicht im Unternehmen verwendet wird, gefolgt von der strikten Nutzung ausschließlich zugelassener, verifizierter Tools auf Unternehmenssystemen – wird für Unternehmen im kommenden Jahr am wichtigsten sein. Dies wird zu einer stärkeren Bewertung der Entwickler-Kohorte führen, um zu verstehen, wie sie am besten dabei unterstützt werden kann, ihre Sicherheitskompetenz kontinuierlich auszubauen und auf alle Aspekte ihrer Arbeit anzuwenden.“

‍

Der Sicherheitsstatus von KI-Tools wird ein zentrales Maß für Entwickler sein

„Im Moment herrscht auf dem Markt für LLM-gestützte Coding-Tools ein wildes Treiben. Ständig tauchen neue Ergänzungen auf, die jeweils mit besserer Leistung, Sicherheit und Produktivität werben. Auf dem Weg ins Jahr 2025 benötigen wir einen Standard, anhand dessen jedes KI-Tool hinsichtlich seines Sicherheitsstatus bewertet und eingestuft werden kann. Dazu gehören die Coding-Fähigkeiten, insbesondere die Fähigkeit, Code mit guten, sicheren Mustern zu generieren, die nicht von Angreifern ausgenutzt werden können.“

‍

KI wird es Junior-Entwicklern erschweren, in den Beruf einzusteigen

„Entwickler haben mehr Eintrittsbarrieren als je zuvor. Mit hybriden und verteilten Teams sowie dem für Einstiegspositionen erforderlichen Qualifikationsniveau steigt die Messlatte für Junior-Entwickler jedes Jahr höher. Im Jahr 2025 werden Arbeitgeber von Junior-Entwicklern erwarten, dass sie bereits über die Fähigkeiten und das Wissen verfügen, KI-Tools bei Arbeitsbeginn sicher in ihren Workflow zu integrieren und zu optimieren – anstatt Zeit für die Einarbeitung am Arbeitsplatz aufzuwenden. Innerhalb des nächsten Jahres werden Entwickler, die nicht lernen, wie sie KI-Tools in ihren Entwicklungsworkflow einbinden können, erhebliche Konsequenzen für ihr eigenes Karrierewachstum spüren – und Schwierigkeiten haben, Jobmöglichkeiten zu finden. Sie riskieren, ihre ‚Lizenz zum Coden‘ zu gefährden, was ihre Teilnahme an komplexeren Projekten verhindert, da sichere KI-Kompetenz letztendlich entscheidend sein wird.“

‍

Zeitdruck hindert Unternehmen daran, „Secure by Design“ zu erreichen

„Entwickler benötigen ausreichend Zeit und Ressourcen, um sich weiterzubilden und sich mit den richtigen Tools und Praktiken vertraut zu machen, um ‚Secure by Design‘ zu erreichen. Wenn Unternehmen nicht die Unterstützung von Sicherheits- und Engineering-Führungskräften erhalten, wird ihr Fortschritt behindert – oder kommt ganz zum Stillstand. Wenn Unternehmen versuchen, Kosten zu senken oder Ressourcen einzuschränken, priorisieren sie oft sofortige Abhilfemaßnahmen gegenüber langfristigen Lösungen – und konzentrieren sich auf vielseitige Tools, die einige Dinge ‚ganz okay‘ und alles andere ‚mittelmäßig‘ machen. Im Jahr 2025 wird dieses Ungleichgewicht die Kluft zwischen Unternehmen, die sichere Softwareentwicklung priorisieren, und solchen, die nur eine schnelle Lösung suchen, um mit der sich wandelnden Landschaft Schritt zu halten, weiter vergrößern.“

‍

Sicherheitsaudits der Lieferkette werden eine entscheidende Rolle bei der Minderung globaler Risiken spielen

„Alle Outsourcing- und Drittanbieter werden einer verstärkten Prüfung unterzogen. Man kann intern das beste Sicherheitsprogramm haben, aber wenn die Unternehmen, an die man Aufgaben auslagert, nicht nach ‚Secure by Design‘ arbeiten, kann das gesamte Sicherheitsgerüst gefährdet werden. Infolgedessen werden Unternehmen ihre Outsourcing-Aktivitäten streng prüfen und den Druck auf Führungskräfte erhöhen, strikte Sicherheits- und Branchen-Compliance-Richtlinien zu befolgen. Letztendlich hängt der Erfolg von Sicherheitsteams von einer ganzheitlichen 360-Grad-Sicht ab – einschließlich eines einheitlichen Ansatzes im gesamten Unternehmen und bei allen externen Partnern.“

‍

KI hilft dabei, „das Rauschen zu durchdringen“

„Entwicklungsteams kämpfen bei Code-Schwachstellen-Scannern mit hohen Fehlalarmraten. Wie können sie sicher sein, dass die ihnen zugewiesenen Schwachstellen tatsächlich ein Sicherheitsrisiko darstellen? Im Jahr 2025 wird KI ein entscheidendes Werkzeug sein, um Entwicklern dabei zu helfen, bei der Code-Bereinigung „das Rauschen zu durchdringen“ – indem sie ein tieferes Verständnis für den Code selbst vermittelt. Durch den Einsatz von maschinellem Lernen kann KI echte Bedrohungen kontextbezogen besser priorisieren und so den Zeitaufwand für die Verbesserung der Genauigkeit von Sicherheitswarnungen reduzieren. Dies ermöglicht es Teams, sich auf die wirklich riskanten Schwachstellen zu konzentrieren, die Gesamteffizienz zu steigern und schnellere, sicherere Entwicklungszyklen zu gewährleisten.“

‍

Benchmarking als Lösung für Unternehmen zur Erreichung von Secure-by-Design-Zielen

„Das Fehlen eines Sicherheits-Benchmarks wird sich 2025 für Unternehmen als nachteilig erweisen, da sie keine klare Grundlage haben, um ihre Fortschritte bei der Einhaltung von Secure-by-Design-Standards zu messen. Ohne ein Benchmarking-System zur Bewertung der Einhaltung sicherer Codierungspraktiken riskieren diese Unternehmen, versehentlich Schwachstellen einzuführen, die zu einer schwerwiegenden Sicherheitsverletzung führen könnten. Sollte es zu einem Vorfall kommen, fehlt ihnen meist die Zeit, ein solches System einzuführen. Stattdessen sind sie gezwungen, ihre SBD-Initiativen zu beschleunigen, ohne die Sicherheitsreife ihrer Entwicklerteams zu prüfen, was das Unternehmen letztlich noch größeren Risiken aussetzt.“

‍

Technische Schulden durch KI-generierten Code

„Es ist kein Geheimnis, dass die Branche bereits mit massiven technischen Schulden zu kämpfen hat – und das bei bereits geschriebenem Code. Durch das blinde Vertrauen der Entwickler auf unsicheren, KI-generierten Code und die mangelnde Kontrolle durch das Management wird sich die Lage weiter verschärfen. Es ist gut möglich, dass diese Dynamik im kommenden Jahr zu einer Verzehnfachung der gemeldeten CVEs führen wird.“

‍

Für ein erfolgreiches Jahr 2025 müssen Unternehmen bereit sein, KI verantwortungsbewusst und sicher einzuführen und gleichzeitig in entsprechende Schulungen und Risikominderungsmaßnahmen für ihre Entwicklungsteams zu investieren. Da im nächsten Jahr der erste Jahrestag des Secure-by-Design-Versprechens der CISA ansteht, werden jene Marken ihren Wettbewerbsvorteil behaupten, die ihren Ansatz zur sicheren Entwicklung priorisieren, um Risiken durch KI, Sicherheitsbedenken Dritter und neue Bedrohungen bestmöglich zu eliminieren.