Entwickler-Turniere: Die Geheimwaffe der AppSec für eine bessere Sicherheitskultur und mehr Engagement

Stellen Sie sich vor, Sie erschaffen etwas von Grund auf. Sie setzen Ihr ganzes Können und Ihre Erfahrung ein, um der Welt Ihren eigenen, kleinen, aber besonderen Stempel aufzudrücken. Ob allein oder im Team – Sie stecken Ihr Herzblut in den Aufbau von etwas völlig Neuem. Sie investieren Hunderte, vielleicht sogar Tausende von Stunden, damit Ihr „Baby“ so perfekt wie möglich wird. Wenn es dann fertig ist, fühlt sich dieses Erfolgserlebnis wie eine Belohnung an sich an.

Stellen Sie sich nun vor, ein Spielverderber kommt daher und sagt Ihnen, dass das Ergebnis gar nicht so toll ist. Vielleicht geht er sogar noch einen Schritt weiter und behauptet, dass trotz all der Energie, Zeit und Liebe, die Sie geopfert haben, das Ganze nicht einmal brauchbar ist: Es ist fehlerhaft. Im Grunde sagt er Ihnen damit, dass Ihr „Baby“ hässlich ist.

Dieses Szenario führt zwangsläufig zu Spannungen. Wer möchte schon, dass seine harte Arbeit zerpflückt und als unzureichend verurteilt wird? Leider ist genau das für viele Entwickler die Realität in der Zusammenarbeit mit dem AppSec-Team. Die Hauptaufgabe eines Entwicklers besteht darin, funktionale, funktionsreiche Software innerhalb strenger Fristen zu liefern. Sicherheit hat selten Priorität und wird oft sogar als Hindernis für schnelle Bereitstellung und Innovation wahrgenommen. Das AppSec-Team hat die undankbare Aufgabe, den Code akribisch zu prüfen, Penetrationstests durchzuführen und dann die schlechten Nachrichten zu überbringen: Sicherheitslücken in Code, der oft schon eingecheckt wurde. Das ist ein teurer Prozess in einem Umfeld, das ohnehin schon unter Zeit- und Ressourcenmangel leidet. Diese Konstellation führt unweigerlich zu einem Graben zwischen zwei Teams, die zwar dasselbe Ziel verfolgen, aber so unterschiedliche Sprachen sprechen, dass sie ständig aneinander vorbeireden.

Ist es nicht an der Zeit, das Thema Sicherheit neu zu denken? Es ist ganz einfach: Wir müssen die Art und Weise, wie wir darüber sprechen, ändern und das Ganze für beide Seiten – vor allem für das Entwicklungsteam – positiver (und natürlich unterhaltsamer!) gestalten.

Raus aus dem Klassenzimmer, rein in die Arena

With many developers completing vocational training without learning much on coding securely, it is often the case that their first touch-point with security education is upon entering the workforce. Classroom-based training is one oft-used solution, but it takes away precious time from feature delivery (and, let's face it: if the teacher and content are under-stimulating, it can be an easily forgotten waste of time for everyone). There are also video courses, paper-based exams and generic company security policy education... all of which can be so non-specific as to be useless in the day-to-day working lives of the average developer.

Allzu oft wird das Ganze als reine Compliance-Übung behandelt, bei der man nur ein Kästchen abhaken muss. Und allzu oft hat das den gegenteiligen Effekt: Es vertieft den Graben zwischen AppSec und dem Entwicklungsteam nur noch weiter. Schließlich scheint die herkömmliche Schulung nicht den positiven Effekt auf die Sicherheitskultur und Compliance zu haben, den wir als Branche so dringend anstreben.Wir machen immer wieder dieselben Fehler.

Laut der CWE-Community (Common Weakness Enumeration) gibt es mehr als 700 allgemeine Softwaresicherheitslücken, gegen die wir ankämpfen müssen. Einige, wie SQL-Injection, sind wie Kakerlaken, die man einfach nicht loswird, obwohl es sie schon seit über zwanzig Jahren gibt. Wir wissen, wie man sie behebt; es gibt Schulungen, die Entwickler dazu befähigen, diese und viele andere Fehler zu vermeiden. Dennoch decken Penetrationstests und manuelle Code-Reviews diese Verstöße immer wieder auf.

Vielleicht haben wir das Problem bisher völlig falsch betrachtet und müssen als Branche einen anderen Weg einschlagen – einen, der die großartigen Fähigkeiten nutzt, die wir an unseren Entwicklern so schätzen. Sie sind kreativ, neugierig und lieben Herausforderungen. Sicherheitstraining zu gamifizieren bedeutet, ihre Sprache zu sprechen und ihnen zu ermöglichen, durch Handeln zu lernen. Und wer weiß, vielleicht entwickeln sie dabei sogar eine echte Leidenschaft für das Thema Sicherheit.

Ein bisschen gesunder Wettbewerb

Sich primär auf (oft ungenaue) Tools, teure Penetrationstests und wenige AppSec-Spezialisten zu verlassen, wird uns nur tiefer in das Sicherheits-Dilemma stürzen. Unser Leben und unsere Privatsphäre finden in einem Maße online statt, dass Unternehmen es sich nicht leisten können, die virtuellen Festungen, die unsere Daten schützen, leichtfertig zu behandeln. Da die digitale Transformation unsere Abhängigkeit von Software immer weiter erhöht, müssen wir uns an die Superhelden wenden, die schon die ganze Zeit bei uns im Büro sitzen: das Entwicklungsteam.

Gamifiziertes Training in relevanten Sprachen und Frameworks ist ein mächtiges Werkzeug für AppSec-Manager, um die Sicherheitskultur im Unternehmen zu transformieren. Nach der Schulung können Entwickler ihre neu erworbenen Sicherheitsmuskeln in einem unterhaltsamen Turnier unter Beweis stellen – so spannend, wie Sie es sich nur vorstellen können. Schauen Sie sich nur an, wie IAGs „Game of Codes“ dafür gesorgt hat, dass jeder im Unternehmen über Sicherheit gesprochen hat.

Das Turnier-Modul von Secure Code Warrior bietet weit mehr als nur einen netten Abschluss für ein Schulungsprogramm: Es ist eine Plattform, auf der jeder Entwickler seine Fähigkeiten validieren, seinen Fortschritt seit Beginn der Schulung sehen und Bereiche identifizieren kann, in denen noch Verbesserungsbedarf besteht. Der Wettbewerbsaspekt motiviert dazu, sich positiv mit Sicherheit auseinanderzusetzen, und nutzt Belohnung und Anerkennung, um eine robuste Sicherheitskultur im Team und im gesamten Unternehmen zu fördern.

Ein wenig Spaß in eine Aufgabe zu bringen, die oft als mühsam – wenn nicht sogar entmutigend – empfunden wird, kann viel dazu beitragen, negative Einstellungen zu ändern und zur kontinuierlichen Teilnahme zu inspirieren. Schließlich liebt es doch jeder, in einem (gesunden) Wettbewerb mehr Punkte als die Kollegen zu erzielen, oder?

Champions unter uns

Gamifiziertes Training und die daraus resultierenden Turniere tragen enorm dazu bei, eine positive Sicherheitskultur zu fördern, da AppSec- und Entwicklungsteams viel mehr Einblick in die tägliche Arbeit der jeweils anderen Seite erhalten. Ein sicherheitsbewusster Entwickler ist ein Gewinn: Er behebt häufige Schwachstellen selbst und überlässt die komplexen Probleme den wenigen AppSec-Spezialisten. Bessere Beziehungen entstehen und gedeihen, und das wertvolle Sicherheitsbudget wird nicht mehr für das „Täglich grüßt das Murmeltier“-Szenario verschwendet, bei dem dieselben Fehler immer wieder gemacht werden.

Es gibt jedoch noch einen weiteren mächtigen Nebeneffekt: die Entdeckung von Sicherheits-Champions, von denen Sie gar nicht wussten, dass Sie sie haben. Turniere können diejenigen aufdecken, die nicht nur ein Talent für Sicherheit haben, sondern auch eine echte Leidenschaft dafür zeigen. Diese Champions sind entscheidend, um die Dynamik aufrechtzuerhalten, als Ansprechpartner zwischen den Teams zu fungieren, Kollegen zu unterstützen und Best-Practice-Richtlinien hochzuhalten. Ein solides Champion-Programm, das Anerkennung und Unterstützung durch die Geschäftsführung beinhaltet, ist ein Aushängeschild für das Unternehmen und eine wertvolle Ergänzung für den Lebenslauf und die zukünftige Karriere des Einzelnen.

Kurz gesagt: Wir müssen bessere Ergebnisse bei Sicherheitstests fordern. Weniger häufige Fehler, mehr Unterstützung für die Teams an vorderster Front. Warum probieren Sie nicht aus, wie Sie mit einem Entwickler-Turnier schneller ans Ziel kommen, als Sie denken?