Vertrauen aufbauen: Der Weg zu echter Sicherheitssynergie zwischen AppSec und Entwicklern

Eine Version dieses Artikels erschien im Cyber Defense Magazine. Er wurde aktualisiert und hier erneut veröffentlicht.

Eine Beziehung, die auf dem wackeligen Fundament des Misstrauens aufgebaut ist, sollte man besser mit niedrigen Erwartungen angehen. Leider ist dies oft der Zustand der Zusammenarbeit zwischen Entwicklern und dem AppSec-Team in einem Unternehmen. Die Stimmung ist meist frostig und von gegenseitigen Behinderungen geprägt. Das ist alles andere als ideal und führt in einer Welt, die stark von Technologie abhängt, zu schlechten Ergebnissen.

Entwickler blühen auf, wenn sie Probleme lösen, Funktionen entwickeln und ihre Kreativität einbringen können. AppSec hingegen hat die undankbare Aufgabe, Sicherheitslücken im Code zu finden, ihn zur Nachbesserung zurückzugeben und Audits sowie Berichte zu erstellen, die den Glanz der Lieblingsprojekte der Entwickler trüben. Es ist nicht fair, die Schuld allein bei den Entwicklern zu suchen – Sicherheit gehört nicht zu ihren Prioritäten oder KPIs –, aber auch das überlastete AppSec-Team kann nicht dafür bestraft werden, dass es einfach nur seinen Job macht. Für bewährte Cybersicherheits-Praktiken und bessere Sicherheitsergebnisse auf Unternehmensebene müssen jedoch beide Seiten an einem Strang ziehen.

Und alles beginnt mit Vertrauen.

Das Image des AppSec-Teams als „Bösewicht“ steht der Harmonie in DevSecOps im Weg.

Wenn man mit jemandem nur dann zu tun hat, wenn dieser einem Fehler vorhält, ist die Wahrscheinlichkeit gering, dass dessen Input positiv aufgenommen wird.

Da das Sicherheitsteam meist nur bei Problemen in Erscheinung tritt, sorgen die negativen Konnotationen seiner Präsenz oft für Reibungspunkte. Die Beziehung ist seit langem gestört: Entwickler sehen das AppSec-Team als Hindernis für ihre Kreativität, ihre Prozesse und die pünktliche Bereitstellung von Funktionen, während AppSec zunehmend frustriert ist, immer wieder auf dieselben Sicherheitslücken hinzuweisen, für die es längst Lösungen gibt.

Angesichts immer knapperer Fristen, unterbesetzter Teams und des Wunsches, Nachbesserungen zu vermeiden, warten Entwickler oft bis zur letzten Minute mit der Bereitstellung ihres Codes. Dadurch wird das Zeitfenster für die Überprüfung und Intervention durch AppSec so klein wie möglich. Ein dysfunktionaler Prozess, der das Cybersicherheitsrisiko für das Unternehmen in inakzeptabler Weise erhöht.

Für Sicherheitsspezialisten gilt das Motto „Nicht den Überbringer der Nachricht erschießen“ – schließlich ist es ihr Job, Fehler zu finden und zu melden, damit sie behoben werden können; das ist nichts Persönliches. Der Knackpunkt ist jedoch, dass ihre Empfehlungen oft nicht optimal zum Technologie-Stack des Unternehmens passen und daher im Gesamtkontext der internen Softwareentwicklung als wenig hilfreich wahrgenommen werden.

Die Vorstellung von AppSec als „Bösewicht“ widerspricht den meisten Entwicklungsmethoden, für DevSecOps ist sie jedoch katastrophal. Der Goldstandard hat sich längst über Wasserfall, Agile und sogar DevOps hinaus zu einem Prozess entwickelt, in dem Sicherheit von Beginn des SDLC an als gemeinsame Verantwortung verstanden wird.

Damit DevSecOps funktioniert, müssen Softwareentwickler einen Grund haben, sich für Sicherheit zu interessieren. Das gelingt, wenn sie verstehen, warum ihr Beitrag zur Absicherung der weltweiten Software so wichtig ist. Sicherheitsspezialisten, die den ersten Schritt auf die Entwickler zugehen, mit den Entwicklungsleitern zusammenarbeiten, um deren Bedürfnisse zu erfüllen, und eine Mentorenrolle bei der Förderung des Sicherheitsbewusstseins einnehmen, profitieren langfristig von ihren Bemühungen – und müssen sich weniger über den nächsten XSS-Fehler ärgern.

Entwickler müssen in die Lage versetzt werden, sichereren Code zu liefern.

Was das Erlernen von sicherem Programmieren während des Studiums angeht, so ist dies für viele Ingenieure schlicht nicht vorhanden. Und das liegt nicht daran, dass sie alle mit Feiern beschäftigt waren – es ist einfach kein fester Bestandteil der meisten Informatik- und IT-Studiengänge.

Daher ist die Schulung am Arbeitsplatz oft der erste Kontakt, den ein Entwickler mit der Kunst der Softwaresicherheit hat, und diese ist selten besonders inspirierend. Stundenlange, langweilige Videos sind eine gängige Trainingsmethode, ebenso wie „Checkbox“-Compliance-Übungen, die viel zu selten stattfinden, um einen echten Einfluss darauf zu haben, wie Entwickler sicher programmieren, oder um häufige Schwachstellen in der Software eines Unternehmens wirksam zu reduzieren.

Sowohl das AppSec-Team als auch die Entwickler sind extrem beschäftigt, daher sollte jede Schulung sinnvoll, ansprechend und praxisorientiert sein. Aus meiner Erfahrung als Entwickler kann ich sagen: Wir lieben es, Probleme zu lösen und direkt mit den Tools zu arbeiten. Die meisten statischen Schulungen gehen an uns vorbei, während wir uns auf etwas Dringenderes (oder, seien wir ehrlich, Interessanteres) konzentrieren.

AppSec-Spezialisten haben Einfluss und können eine langfristige Win-Win-Situation schaffen, indem sie sich für die Interessen der Entwickler einsetzen. Die Suche nach praxisrelevanten Schulungen, die in den bevorzugten Sprachen und Frameworks der Entwickler angeboten werden, ist ein großer Schritt, um etwas zu bewegen und eine positive Sicherheitskultur im Unternehmen zu etablieren. Wir haben jahrzehntelang dasselbe versucht, und es ist offensichtlich, dass der „Einheitsansatz“ bei Schulungen nicht funktioniert. Indem sie den Entwicklern die richtigen Werkzeuge und das nötige Wissen an die Hand geben, können diese ihre Fähigkeiten im sicheren Programmieren verbessern, ein höheres Sicherheitsbewusstsein entwickeln und Code von höherer Qualität produzieren.

Die Bemühungen, an einem Strang zu ziehen, müssen von beiden Seiten kommen.

Wenn unterschiedliche Ziele verfolgt werden, kommt es leicht zu Missverständnissen oder im schlimmsten Fall zu Misstrauen. Das Ziel von AppSec ist es, mit der Flut an produziertem Code Schritt zu halten und Sicherheitslücken zu finden, die zu Datenlecks, unbefugtem Zugriff oder böswilligen Angriffen führen könnten – und damit das Kundenvertrauen nachhaltig zu zerstören.

Entwickler müssen unter anderem Funktionen fristgerecht fertigstellen. Ihre Aufgabe ist es, Software funktional und ansprechend zu gestalten und einzigartige digitale Erlebnisse zu schaffen, die Kunden binden. Sie haben bereits alle Hände voll zu tun, und ihnen nun auch noch die Verantwortung für Sicherheit aufzubürden, ist eine gewaltige Herausforderung. Sicherheit wird oft als reines AppSec-Problem betrachtet. Während das in den 90ern noch halbwegs machbar war (bevor unsere Autos gehackt werden konnten und wir unser ganzes Leben in einem Supercomputer im Taschenformat, dem Smartphone, mit uns herumtrugen), gibt es heute einfach zu viel Code und zu wenig Personal, um ihn durch den Sicherheits-Parcours zu schleusen.

Mit einer gesunden Portion Empathie und der nötigen Unterstützung, Sicherheit von Anfang an in den Softwareentwicklungsprozess zu integrieren, können AppSec und Entwickler ihre Ziele aufeinander abstimmen. Schließlich hängt eine positive Sicherheitskultur davon ab, und sicherheitsbewusste Entwickler sind das Geheimrezept, um häufige Schwachstellen trotz des zunehmenden Fachkräftemangels in der Cybersicherheit zu stoppen.

Gegenseitiger Respekt für die Zeit des anderen bringt enorme Vorteile.

Wie bereits erwähnt, sind alle extrem damit beschäftigt, Magie – also großartige Software – zu erschaffen. Entwickler benötigen fest eingeplante Arbeitszeit für praxisnahe Schulungen, die ihre Fähigkeiten im sicheren Programmieren stärken. Jedes Trainingsprogramm sollte daher von Grund auf hochrelevant gestaltet sein.

AppSec verschwendet Zeit damit, immer wieder dieselben OWASP Top 10-Schwachstellen zu beheben, während Entwickler durch wenig motivierende Übungen Zeit verlieren, die Sicherheit nur als lästige Pflicht erscheinen lassen.

Kuratierte Lernerfahrungen sind entscheidend. Sie bringen es auf den Punkt durch kontextbezogene, mundgerechte Schulungsinhalte, genau dann, wenn sie benötigt werden.

Durch die Zusammenstellung eines maßgeschneiderten Kurses für sicheres Programmieren, der auf die gewünschten Ziele und internen Lernpfade abgestimmt ist, werden die Zeit und der Arbeitsfluss der Entwickler respektiert. Gleichzeitig wird eine messbare Reduzierung von Schwachstellen und Cybersicherheitsrisiken für das Unternehmen erreicht. Dies ist ein schneller Erfolg auf dem Weg, interne Rivalitäten zu beenden und gemeinsam als geschlossene Front in der unberechenbaren Welt der Cybersicherheit zu bestehen.

Die neueste Funktion für kontextbezogenes Lernen von Secure Code Warrior, Courses, ist ab sofort verfügbar.

‍