Code ohne Käfig: Warum sichere Entwickler ohne Limit liefern können

Dieser Artikel erschien ursprünglich in SD Times. Er wurde aktualisiert und hier syndiziert.

‍

Der Nachweis von Fähigkeiten ist seit jeher ein fester Bestandteil unseres Lebens; er verleiht uns Legitimität und öffnet Türen, die uns sonst verschlossen blieben. Autofahren ist für die meisten ein wichtiger Übergangsritus, und wir müssen standardisierte Prüfungen bestehen, um zu beweisen, dass wir verantwortungsbewusst mit einer zwei Tonnen schweren Maschine umgehen können, die über 160 km/h schnell ist. Fehler können, besonders bei hohem Tempo, zum Verlust dieses Privilegs oder sogar zum Verlust eines Menschenlebens führen.

Doch was, wenn Autofahren für manche mehr als nur eine alltägliche Notwendigkeit ist und zu einem Eliteberuf wird? Wer seine Fähigkeiten weiter ausbaut, kann potenziell Formel-1-Fahrer werden und Maschinen bedienen, die schneller sind, als es ein Zivilist ohne hohes Fehlerrisiko bei hohen Geschwindigkeiten realistisch handhaben könnte.

Vor diesem Hintergrund ist es verblüffend, dass die meisten Entwickler, die an Code für kritische Infrastrukturen, Automobile, Medizintechnik und alles dazwischen arbeiten, dies tun, ohne zuvor ihre Sicherheitskompetenz nachzuweisen. Warum müssen sich andererseits sicherheitsbewusste Entwickler, die wiederholt bewiesen haben, dass sie sicher programmieren können, zusammen mit allen anderen in den immer langsamer werdenden Entwicklungspipelines anstellen, nur wegen der ganzen Sicherheitsbarrieren? Die Branche sieht dies nicht als Versäumnis, sondern als Norm.

Umfangreiche Untersuchungen zeigen, dass die meisten Entwickler Sicherheit in ihrem Code schlichtweg nicht priorisieren und ihnen die regelmäßige Weiterbildung fehlt, um viele gängige Sicherheitslücken zu vermeiden. Sie sind oft der Grund dafür, dass schnelle Sicherheit wie ein Wunschtraum erscheint, und viele sicherheitsorientierte Entwickler fühlen sich auf der Datenautobahn wie in der langsamen Spur hinter einer Gruppe von Fahrschülern.

Dennoch bewegt sich die Sicherheitswelt langsam vorwärts, und es gibt eine wachsende Nachfrage nach Entwicklern mit nachgewiesenen Sicherheitskompetenzen, die sofort einsatzbereit sind. Die Executive Order zur Verbesserung der Cybersicherheit der Nation der Biden-Administration fordert ausdrücklich die Bewertung der Sicherheitspraktiken von Anbietern – und deren Entwicklerteams – für alle Zulieferer in der Software-Lieferkette der US-Regierung. Es ist anzunehmen, dass die Bedeutung von Sicherheitskompetenzen bei Entwicklern in den meisten Sektoren zunehmen wird. Doch da es kaum branchenübliche Zertifizierungen gibt, stellt sich die Frage: Wie können Unternehmen belegen, dass ihr Sicherheitsprogramm nachweisbare Kompetenzen fördert, ohne die Bereitstellung zu lähmen oder sicherheitsbewusste Entwickler auszubremsen?

Leistungsbasierte Zugriffskontrolle: Könnte das funktionieren?

Das Prinzip der minimalen Rechtevergabe (Least Privilege) ist in vielen Unternehmen Standard. Dabei erhält jede Rolle nur den für ihre Arbeit notwendigen Zugriff auf Software, Daten und Systeme. Diese Methode – insbesondere in Verbindung mit Zero-Trust-Prinzipien – hilft dabei, die Angriffsfläche effektiv zu begrenzen. Wir sollten diese Strategie standardmäßig auch auf API-Berechtigungen und andere softwarebasierte Anwendungsfälle anwenden.

Die meisten von uns in der Sicherheitsbranche sind sich bewusst, dass Software die Welt durchdringt. Der eingebettete Systemcode in einer Heißluftfritteuse unterscheidet sich in Bezug auf sein Ausnutzungspotenzial kaum von dem Code, der das Stromnetz am Laufen hält. Unser Leben und unsere kritischen Daten sind Bedrohungsakteuren ausgeliefert, und jeder Entwickler muss verstehen, welche Macht er hat, seinen Code durch die richtige Ausbildung zu stärken. Dies erfordert eine grundlegende Verbesserung der Sicherheitskultur im Unternehmen. Für eine echte geteilte Verantwortung im Sinne von DevSecOps müssen Entwickler jedoch einen Grund haben, sich für ihre Rolle zu interessieren. Der schnellste Weg, ihr Denken zu ändern, wäre vielleicht, den Zugriff auf Code-Repositories an Lernerfolge im Bereich sicherer Programmierung zu knüpfen.

Nehmen wir zum Beispiel ein Unternehmen im Finanzsektor: Es gibt dort höchst sensible Repositories mit Kundendaten oder wertvollen Informationen wie Kreditkartennummern. Warum sollten wir davon ausgehen, dass jeder Ingenieur mit Zugriff sicherheitsbewusst ist, die strengen PCI-DSS-Anforderungen erfüllt und in der Lage ist, Änderungen am Master-Branch schnell und ohne Zwischenfälle vorzunehmen? Auch wenn dies auf einige zutreffen mag, wäre es weitaus sicherer, den Zugriff auf diese kritischen Systeme zu beschränken, bis dieses Wissen nachgewiesen ist.

Die Herausforderung besteht darin, dass die Einführung einer „Lizenz zum Programmieren“ in den meisten Unternehmen mühsam wäre und je nach Schulungslösung zu manuell, um Ziele wie „Sicherheit bei hoher Geschwindigkeit“ zu unterstützen. Die richtige Kombination aus integrativer Bildung und Tools kann jedoch der Kern einer entwicklergesteuerten, defensiven Sicherheitsstrategie sein.

Eine effektive Integration von Schulungen ist nicht unmöglich.

Lösungen zur Weiterbildung von Entwicklern zu finden, die sowohl schnelle Geschäftsziele als auch den Arbeitsablauf unterstützen, ist die halbe Miete. Doch nur wenn wir über einmalige Compliance-Schulungen hinausgehen, werden wir eine spürbare Reduzierung von Schwachstellen im Code erreichen. Und für Entwickler, die sich erfolgreich beweisen? Für sie steht die Welt offen, und sie müssen sich nicht von Sicherheitskontrollen ausbremsen lassen, die ihnen die Grundlagen absprechen.

Praktische Kompetenzentwicklung, die sich nahtlos in die Entwicklungsumgebung integriert, bietet den nötigen Kontext, damit Ingenieure Konzepte für sichere Programmierung wirklich verstehen und anwenden können. Dieselben Integrationen können genutzt werden, um den Zugriff auf kritische Systeme effektiv zu verwalten und sicherzustellen, dass diejenigen, die ihre Lernziele übertreffen, ohne Hindernisse an den wichtigsten Aufgaben arbeiten können. Dies erleichtert auch die Anerkennung und Belohnung, wodurch sicherheitsorientierte Entwickler innerhalb ihres Teams als Vorbilder wahrgenommen werden.

Wie so oft im Leben begünstigt das Glück die Mutigen. Den Status quo zu durchbrechen und einen unkonventionellen Ansatz zur Überprüfung von Entwicklerfähigkeiten zu wählen, ist genau das, was wir brauchen, um die Standards für Codequalität von morgen zu heben, ohne die Geschwindigkeit zu opfern.