DevSecOps in der DACH-Region: Wichtige Erkenntnisse aus Pilotprogrammen für sichere Programmierung

Best Practices für Cybersicherheit sind seit über einem Jahrzehnt ein heiß diskutiertes Thema, das in den meisten Regionen der Welt regelmäßig auf Regierungsebene erörtert wird. Cyberangriffe sind im Grunde eine tägliche Realität, und jede Einheit, die wertvolle private Daten online speichert, ist ein potenzielles Ziel. Allein in Deutschland schätzt das Bundesministerium für Bildung und Forschung, dass 96 Prozent aller kleinen und mittleren Unternehmen bereits einen IT-Sicherheitsvorfall erlebt haben. Derselbe Bericht unterstreicht die dringende Notwendigkeit von Forschung, Gesetzgebung und Sensibilisierung im Bereich Cybersicherheit und fordert ausdrücklich die Aufnahme einer fundierteren Sicherheitsschulung in Informatik- und IT-bezogene Studiengänge.

Mit der Einführung der DSGVO sowie einer überarbeiteten Strategie nach einem mehrstufigen Angriff, bei dem sensible Daten vieler Persönlichkeiten des öffentlichen Lebens – sowie Server der deutschen Bundesregierung – offengelegt wurden, ist klar, dass Cybersicherheit und entsprechendes Handeln für Führungskräfte in der DACH-Region oberste Priorität haben. Der Hack Ende 2018 wurde von einem 20-jährigen Studenten mit relativ geringen Vorkenntnissen ausgeführt, wobei sein Hauptzugang zu hochsensiblen Informationen durch einfaches Erraten von Passwörtern ermöglicht wurde. Obwohl dies ein äußerst besorgniserregender Authentifizierungs-Exploit war, verdeutlichte er die Notwendigkeit eines weitaus besseren Sicherheitsbewusstseins auf Regierungs-, Unternehmens- und gesellschaftlicher Ebene. Ein Bericht aus dem Jahr 2019 hob hervor, dass Deutschland bei den Initiativen zur Cybersicherheitsabwehr ins Hintertreffen geraten war und sich hauptsächlich auf gesetzliche Regelungen verließ. Mit der Etablierung von DevSecOps als idealer Entwicklungsmethodik haben jedoch viele Unternehmen die Notwendigkeit für praktische Schulungen, die Erstellung von „Secure-by-Design“-Software und unternehmensweite Programme zur Sensibilisierung für Sicherheit erkannt.

Der Herzschlag der Softwaresicherheit in der DACH-Region

Organisationen wie OWASP und MITRE veröffentlichen datengestützte Rankings der am häufigsten auftretenden Schwachstellen. Über alle Sprachen hinweg steht SQL-Injection an erster Stelle, und obwohl diese Schwachstelle Jahrzehnte alt ist, ist sie ein verbreiteter Fehler, der oft mit verheerenden Folgen ausgenutzt wird.

Die Schweizer BPC-Bankensoftware SmartVista wurde von SwissCERT auf eine SQLi-Schwachstelle aufmerksam gemacht, blieb jedoch trotz des Potenzials, sensible Kundendaten einschließlich Kreditkartennummern offenzulegen, monatelang ungepatcht. SQL-Injection kann zu gefährlichen Sicherheitsverletzungen führen, wie der Vorfall im Jahr 2017 bei mehreren Regierungsbehörden und Universitäten in den USA und Großbritannien zeigt. Viele dieser Vorfälle werden durch mangelhafte Eingabevalidierungsprozesse verursacht, die es einem Angreifer ermöglichen, bösartigen Code über das Frontend einer Anwendung einzuschleusen. Eine weitere häufige Quelle für Schwachstellen ist die Verwendung von unsicherem Code von Drittanbietern, der nicht auf Sicherheitslücken geprüft wird, wodurch Fehler in eine zuvor gescannte und bereinigte Produktionsumgebung gelangen. Keiner dieser Zugangspunkte ist spezifisch für die DACH-Region; es handelt sich vielmehr um globale Beispiele für schlechte Sicherheitspraktiken, die nicht fortgesetzt werden können, während die Welt immer mehr Code produziert.

Es ist zwingend erforderlich, Probleme sofort nach ihrer Entdeckung zu beheben, und die Entscheidung von SmartVista, dies hinauszuzögern, hätte katastrophal enden können. Obwohl die DACH-Region ihren Anteil an Sicherheitsverletzungen hatte, könnten gezieltere Richtlinien und Unterstützung bei der Sensibilisierung und Schulung verhindern, dass potenzielle Probleme auf Unternehmensebene außer Kontrolle geraten. Dies erfordert eine Gesetzgebung, die wesentlich spezifischer darauf ausgerichtet ist, bewertete Schulungen für Entwickler voranzutreiben.

Nicht alle Schulungen für sichere Programmierung sind gleichwertig.

Viele Cybersicherheitsrichtlinien auf der ganzen Welt werden umfassender, bleiben jedoch recht unspezifisch, wenn es darum geht, effektive Sicherheitsschulungen zu definieren. Die NIS-Richtlinie in der EU enthält zwar die Anforderung nach „Sensibilisierung, Schulung und Ausbildung“ auf nationaler Ebene, aber ein überstürztes Vorgehen bei der Schulungslösung führt möglicherweise nicht zu dem gewünschten Ergebnis einer spürbaren Risikoreduzierung, wenn wesentliche Elemente fehlen, die die Weiterbildung von Entwicklern und den organisatorischen Wandel vorantreiben.

Bildungslösungen variieren, und Schulungen müssen spezifisch auf die tägliche Arbeit des Entwicklers zugeschnitten sein (einschließlich der Möglichkeit, in der bevorzugten Sprache und dem bevorzugten Framework zu lernen) sowie über die Zeit hinweg ansprechend und messbar bleiben.

Statische Schulungslösungen, wie computerbasierte Videoschulungen, sind oft zu allgemein und werden selten überprüft oder hinsichtlich ihres Erfolgs bewertet, das Bewusstsein und die Fähigkeiten zu fördern, um Schwachstellen beim Schreiben von Code zu verhindern. Dynamische Schulungen hingegen sind entscheidend, um Entwickler mit kontextbezogenen Beispielen weiterzubilden und gleichzeitig Kennzahlen zu liefern, die die Risikominderungsprozesse im Unternehmen beeinflussen. Sie werden häufig aktualisiert, fördern eine hohe Wissensspeicherung und sind Teil des Aufbaus sicherheitsbewusster Entwickler, die zu einer positiven Sicherheitskultur an ihrem Arbeitsplatz beitragen.

Datenpunkte aus den Secure Code Warrior-Pilotprogrammen in der DACH-Region:

Ema Rimeike, Sales Director bei Secure Code Warrior (MSc in Cyber Security), arbeitet eng mit Organisationen in der DACH-Region zusammen und führt Pilotprogramme für Entwickler durch, um die internen Kompetenzen im Bereich sicherer Programmierung, das Engagement für Best Practices sowie die allgemeine Sicherheitskultur des Unternehmens zu bewerten. Durch den Einsatz von spielerischen, dynamischen Schulungen zur sicheren Programmierung zeigen ihre wichtigsten Ergebnisse eine vielversprechende Zukunft auf, wenn Entwickler das Wissen und die Werkzeuge erhalten, die eine erfolgreiche Reduzierung von Schwachstellen von Beginn des Softwareentwicklungslebenszyklus (SDLC) an fördern.

Während ihrer Pilotprogramme sammelte sie Statistiken basierend auf durchschnittlich 90 Minuten pro Nutzer auf der Secure Code Warrior (SCW)-Plattform, in denen sie 15 Herausforderungen zur sicheren Programmierung (mundgerechte, spielerische und selbstgesteuerte Lektionen) absolvierten:

Die Nutzer benötigten durchschnittlich 5,5 Minuten, um eine Herausforderung abzuschließen, im Vergleich zu durchschnittlich 3 Minuten bei anderen globalen SCW-Pilotprogrammen.

• Genauigkeit vs. Vertrauen: Die DACH-Pilotprogramme verzeichneten einen durchschnittlichen Prozentsatz von 88-92 % beim Vertrauen in die eigenen Antworten auf die Herausforderungen, während die Genauigkeit dieser Antworten bei 53-66 % lag.
• Über 75 % der befragten Teilnehmer bevorzugen spielerische – oder dynamische – Schulungsmethoden im Gegensatz zu statischen Ansätzen wie computerbasierten Schulungen (CBT).
• Zu den am häufigsten beobachteten Schwachstellen zählten Injection-Fehler, Sicherheitsfehlkonfigurationen, Cross-Site Scripting (XSS), unsachgemäße Plattformnutzung, Zugriffskontrolle, Authentifizierung, Speicherkorruption, Cross-Site Request Forgery, unzureichender Schutz der Transportschicht sowie nicht validierte Weiterleitungen und Weiterleitungsziele

Es ist kein Geheimnis, dass eine starke Arbeitsmoral und ein Fokus auf Präzision im DACH-Raum allgemein sehr geschätzt werden – und die Entwickler, die am Pilotprogramm teilnehmen, bilden da keine Ausnahme. Diese Datenpunkte zeugen zwar von ihrer mangelnden Vertrautheit mit dieser Art von Training, zeigen aber auch den Wunsch, weiterzuspielen, das eigene Ergebnis zu verbessern und auf die verfügbare „Hinweis“-Funktion zu verzichten. Ihr Wille zu lernen und sich zu verbessern ist offensichtlich, macht aber auch deutlich, dass noch mehr getan werden muss, um effektive Schulungen und ein entsprechendes Bewusstsein innerhalb der Organisation zu verankern.

Großartige Schulungen, die Risiken reduzieren und Schwachstellen verhindern, sind keine einmalige Angelegenheit und gehen weit über Compliance hinaus. Führungskräfte und AppSec-Teams müssen sich dafür einsetzen, ein Security-Awareness-Programm mit einer Strategie und Unterstützung auszurollen, die zentrale Sicherheitsziele widerspiegelt und langfristig aufrechterhält. Dies ist im Grunde das Rückgrat eines erfolgreichen DevSecOps-Prozesses mit sicherheitsbewussten Entwicklern.

Was offenbart ein Pilotprogramm für ein Unternehmen?

Die Pilotprogramme von Secure Code Warrior sind ein unglaublich wertvolles Instrument, um Unternehmen eine Momentaufnahme ihres aktuellen Sicherheitsstatus (in der Regel zwischen 65 und 75 %) sowie Bereiche für sofortige Verbesserungen aufzuzeigen. Sie liefern:

• Klarheit darüber, welche Schwachstellen vorrangig behoben werden müssen und ob dieser Ansatz auf ein bestimmtes Team, eine Geschäftseinheit oder eine Programmiersprache angewendet werden sollte
• Ein präzises und umfassenderes Bild der Cybersicherheits-Risikofaktoren innerhalb des SDLC, das auch den menschlichen Faktor der Softwareentwicklung einbezieht.
• Durch die Nutzung der SCW-Plattform können Unternehmen die potenziellen Ergebnisse von Penetrationstests vorhersagen und haben die Möglichkeit, diese Risiken proaktiv zu mindern, indem sie Teams vorbereiten, noch bevor diese einem bestimmten Projekt zugewiesen werden.

In Unternehmen, die mit der Einführung umfassender und effektiver Sicherheitsprogramme begonnen haben, werden auf Managementebene üblicherweise 1 bis 1,5 Stunden pro Woche für die berufliche Weiterbildung genehmigt, damit Entwickler ihre Kenntnisse im Bereich Secure Coding erweitern können. Wir stellen jedoch fest, dass Unternehmen sich zunehmend vom Fokus auf die „auf der Plattform verbrachte Zeit“ hin zur Frage bewegen, „welche Softwareentwicklungsteams das höchste und das niedrigste Risiko für das Unternehmen darstellen“. Dies ist eng mit formalisierten Zertifizierungen, der Identifizierung von Security Champions und Mentoring-Programmen für optimale Ergebnisse verknüpft. Die Zeiteinteilung sowie eine konstruktive und positive Bewertung sind absolut entscheidend, um sicherheitsbewusste Entwickler zu gewinnen, die Sicherheit nicht nur schätzen, sondern das Risiko für das Unternehmen messbar reduzieren.

Wie nutzen Unternehmen Secure Code Warrior bereits?

Mehrere Unternehmen nutzen Secure Code Warrior bereits, um ein Bewusstsein zu schaffen, die Fähigkeiten ihrer Entwickler auszubauen und eine positive Sicherheitskultur zu etablieren.

In einem Anwendungsfall nutzte ein Team beispielsweise die SCW-Plattform, um seine Stärken und Schwächen im Bereich Sicherheit aufzudecken:

Aktion der Entwickler:Die Entwickler konnten ihre eigenen Ergebnisse einsehen, die Bereiche identifizieren, auf die sie sich konzentrieren sollten, und waren in der Lage, ihr Training selbst zu steuern und anzupassen, um spezifische Schwachstellen oder Wissenslücken zu schließen, die sie bei zukünftigen Softwareentwicklungen unterstützen.

Aktion des Managements:Sie analysierten die Stärken und Schwächen auf Teamebene und konnten einen spielerischen Ansatz wählen, der gezielt auf die spezifischen Problembereiche eingeht. Dies schuf einen wechselseitigen Bildungsweg, der relevantes Wissen schnell aufbaut.

Ergebnis:Sobald Penetrationstests auf Teamebene durchgeführt werden, sind alle Schwachstellen sichtbar. Der Vergleich mit früheren Ergebnissen machte es einfach zu validieren, ob das Training effektiv dazu beigetragen hat, häufige Sicherheitslücken zu reduzieren.

Dies führt zurück zu den Anfangsphasen der Softwareentwicklung, in denen die Festlegung von Teamzielen zur kontinuierlichen Verbesserung und die Einführung von Best Practices für Sicherheit von Anfang an effektiv und einfach umzusetzen sind und über den gesamten Entwicklungsumfang hinweg Zeit sparen können.

DevSecOps-Projektteams

In einer idealen DevSecOps-Umgebung sind mehrere Geschäftsbereiche in einem Projektteam vertreten, um zentrale Ergebnisse zu definieren und zu liefern – eines davon sind Best Practices für Sicherheit.

Im Hinblick auf die Recherche und Planung vor Projektbeginn kann die SCW-Plattform die Sicherheitskompetenzen des geplanten Entwicklungsteams bewerten, bevor die Arbeit beginnt. So lassen sich künftige Ergebnisse von Penetrationstests sowie sicherheitsbedingte Verzögerungen im SDLC vorhersagen, was genügend Zeit lässt, um sich angemessen darauf vorzubereiten. Es kann ein auf den Projektcode und die Struktur zugeschnittenes Training erstellt werden, das das Team durchläuft, einschließlich eines Bewertungs- bzw. Zertifizierungsprozesses, der die allgemeinen Fähigkeiten im Bereich Security Awareness überprüft und ein vordefiniertes Bestehenskriterium erfordert, bevor das Team an den Projektergebnissen arbeitet.

Dies bietet einen Ansatz mit enormem geschäftlichem Mehrwert: Die Kosten für die Behebung von Schwachstellen sinken, Sicherheitsrisiken werden gemindert, Zeit bei Penetrationstests wird gespart, die Kosten für teure Bug-Bounty-Programme werden reduziert und die Entwickler-Kohorte wird auf zentralisierte, nachhaltige, skalierbare und einheitliche Weise weitergebildet.

Fazit:

Unternehmen stehen unter wachsendem Druck, Sicherheit zu priorisieren, Daten zu schützen und weltweit immer strengere Vorschriften einzuhalten – dies gilt insbesondere für Organisationen, die unter den strengen DSGVO-Richtlinien in der EU tätig sind.

Für Unternehmen im DACH-Raum ist es offensichtlich, dass sie tragfähige Sicherheitswege beschreiten, indem sie Schulungsaufwand und -ergebnisse mit realen Aktivitäten zur Risikoprävention verknüpfen, einschließlich der Reduzierung häufiger Schwachstellen im produzierten Code.

Um einen wirklich quantifizierbaren Business Case für höhere Sicherheitsbudgets, mehr Bewusstsein und allgemeine Compliance aufzubauen, muss das Training für Entwickler ansprechend, konsistent, anpassungsfähig und messbar sein. Die Verfolgung des aktuellen Kompetenzstands zur Anpassung des richtigen Trainings, die Entdeckung von Security Champions und die Messung der Teamleistung im Zeitverlauf sind allesamt entscheidende Initiativen. Viele zukunftsorientierte Unternehmen im DACH-Raum erkennen die Vorteile nach einem umfassenden SCW-Pilotprojekt.

Viele Unternehmen kämpfen mit zu allgemeinen Kennzahlen für ihre Sicherheitsleistung. Durch den langfristigen und konsequenten Einsatz der SCW-Plattform können Unternehmen präzise Bewertungen, Kurse und Management-Metriken nutzen, um Folgendes zu ermitteln:

• Verringerung von Schwachstellen im Zeitverlauf
• Senkung der Kosten für die Behebung von Schwachstellen im Zeitverlauf
• Kontinuierliche Entwicklung der individuellen und teambezogenen Fähigkeiten
• Kosten- und Zeitersparnis bei Pentests

Welche Kennzahlen verfolgt Ihr Unternehmen derzeit, wie oft werden diese überprüft und haben sie im Laufe der Zeit deutliche Verbesserungen gezeigt? Wie stark sind Ihre Schulungsinitiativen in die bestehenden Entwickler-Workflows integriert?

Der dynamische, spielerische und umfassende Ansatz von SCW gilt als entscheidender Bestandteil des Secure Software Development Life Cycle. Unternehmen statten ihre Entwickler mit den richtigen Tools und Schulungen aus und integrieren SCW fest in ihren SSDLC-Workflow.