Entwickler sind motiviert, sich mit sicherem Programmieren zu befassen – warum tun sie es dann nicht?

Was motiviert Entwickler dazu, sich mit sicherem Programmieren zu befassen, und wie lässt sich dies nutzen, um ein erfolgreiches Anwendungssicherheitsprogramm zu konzipieren und umzusetzen? Im Jahr 2020 beauftragte Secure Code Warrior die Evans Data Corp. mit einer Primärstudie zur Einstellung von Entwicklern gegenüber sicherem Programmieren, entsprechenden Praktiken und Sicherheitsabläufen.‍

In Umfragen geben Entwickler an, dass sie den Wert von Schulungen für sicheres Programmieren erkennen. Zudem geben 80 % der Entwicklungsleiter an, dass sie eher Entwickler mit Kenntnissen in sicherem Programmieren einstellen würden. Warum gibt es bei einer so hohen Nachfrage nach diesen Fähigkeiten immer noch einen Mangel an sicherheitsgeschulten Entwicklern?

Mangelnde Motivation seitens der Entwickler scheint nicht das Kernproblem zu sein. Entwickler sind motiviert, und auf die Frage nach ihren Beweggründen für Schulungen im Bereich sicheres Programmieren antworteten sie wie folgt:

• 35 % der Befragten wurden durch unternehmensbezogene Faktoren motiviert
• 24 % waren aus persönlichen Gründen motiviert
• 41 % wurden sowohl durch persönliche als auch durch unternehmerische Beweggründe angetrieben.
  

Bei näherer Betrachtung stellten wir fest, dass die fünf wichtigsten persönlichen Motivatoren für Schulungen im Bereich sicheres Programmieren folgende sind:

1. Gesteigerte Produktivität und Effizienz
2. Neugier/persönliches Interesse
3. Vermeidung von Problemen durch unsicheren Code
4. Mögliche berufliche Weiterentwicklung
5. Effizientere Nutzung von Personalressourcen

Bei unternehmensbezogenen Motiven verstehen Entwickler, wie das Erlernen sicherer Programmierpraktiken die Produktivität steigern kann. Führungskräfte erkennen, dass sicheres Programmieren zu einer effizienteren Nutzung der Personalressourcen führen kann. Auch wenn die Motivationen regional variieren, bleibt der Wunsch nach höherer Produktivität und Effizienz weltweit eine Konstante.
‍

‍

Dennoch werden Entwickler nicht immer durch externe Faktoren wie Arbeitgeberanforderungen zum Erlernen von sicherem Programmieren bewegt. In vielen Fällen ist die Entscheidung selbstmotiviert. Entwicklern liegt viel an dem, was sie erschaffen, und sie sind stolz auf ihre Arbeit, wie die vier wichtigsten Gründe für das Studium von sicherem Programmieren zeigen. Während 25 % der Entwickler einen Mehrwert für ihr Unternehmen schaffen wollen, gibt der gleiche Prozentsatz an, die Qualität seines Codes verbessern zu wollen. Für andere geht es um Anerkennung, Sichtbarkeit und Wertschätzung am Arbeitsplatz. 70 % geben an, dass ihr Unternehmen sie anerkennt, wenn sie sicheren Code schreiben. Und wie bereits erwähnt, stellen 80 % der Entwicklungsleiter bevorzugt Entwickler mit Kenntnissen in sicherem Programmieren ein.

Entwickler sind motiviert – warum sind sie dann nicht stärker eingebunden?

Wenn sicherheitsgeschulte Entwickler so wertvoll sind und die Lernmotivation vorhanden ist, warum sind sie dann so schwer zu finden?

Wie wir gesehen haben, haben Entwickler klare Gründe, ihre Fähigkeiten im sicheren Programmieren zu erweitern, stehen aber einem Großteil der aktuellen Sicherheitsschulungen ablehnend gegenüber. Nur wenige suchen aktiv danach. Basierend auf dieser Untersuchung glauben wir, dass die Antwort relativ einfach ist: Die derzeit verfügbaren Schulungen sind unzureichend, da sie die Schlüsselfaktoren, die Entwickler überhaupt erst für sicheres Programmieren begeistern, nicht vollständig berücksichtigen.

Betrachten wir diese Faktoren einzeln.

Wenn es um die Steigerung von Wert und Effizienz sowie die Verbesserung der Codequalität geht, benötigen Entwickler Schulungen, die sicheres Programmieren zu einem festen Bestandteil ihres täglichen Prozesses machen. Sie brauchen die Fähigkeiten, Schwachstellen direkt beim Programmieren zu erkennen und zu beheben – von Anfang an. Für maximale Relevanz und sofortige Anwendbarkeit sollte die Schulung in der spezifischen Sprache und dem Framework stattfinden, die sie täglich nutzen. Herkömmliche Ansätze bieten dies nicht, und viele Entwickler empfinden sie als unglaublich langweilig und irrelevant.

Als Vorreiter für Veränderungen im Bereich sicheres Programmieren macht Secure Code Warrior das Thema zu einer positiven und motivierenden Erfahrung für Entwickler. Wir glauben, dass Schulungen so gestaltet sein müssen, dass sie Entwickler zum Lernen inspirieren. Dies erfordert praxisnahe, interaktive und arbeitsrelevante Simulationen und Herausforderungen, die Teilnehmer dazu anregen, Sicherheitsfunktionen von Anfang an in ihren Code zu integrieren. Dieser hochgradig interaktive, entwicklerzentrierte Schulungsansatz stellt die Lernmotivation der Entwickler in den Mittelpunkt Ihres Anwendungssicherheitsprogramms. Wenn Sie sehen möchten, wie das funktioniert, buchen Sie jetzt eine Demo.

‍

‍