Aufdeckung von Cyber-Schwachstellen in den Lieferketten der Regierung

Eine Version dieses Artikels erschien bei TechCrunch. Er wurde aktualisiert und hier erneut veröffentlicht.

‍

Als hätten wir im Jahr, das nicht genannt werden darf, nicht schon genug Störungen erlebt, begann 2021 für die US-Regierung mit einem Paukenschlag: einer der schlimmsten Datenpannen der Geschichte. Der SolarWinds-Vorfall war ein verheerender, hochkomplexer Angriff eines Nationalstaats, der mehrere Regierungsbehörden und Großorganisationen in Panik versetzte und sie dazu zwang, ihre Endpunkte hastig abzusichern. Praktisch jeder Endnutzer der SolarWinds-Software war betroffen, was deutlich machte, dass Cybersicherheit und Schutz in Software-Lieferketten von entscheidender Bedeutung sind.

Dass Cybersicherheit wichtig ist, liegt auf der Hand. Doch was bedeutet das eigentlich im Kontext von Lieferketten?

Der Stand der Cybersicherheit in durchschnittlichen Entwicklungsteams

Jeden Tag wird eine enorme Menge an Software produziert – Milliarden von Codezeilen pro Jahr. Angesichts unseres zunehmend digitalen Lebensstils steigt dieser Bedarf weiter an. Die weltweite Zahl der Entwickler wird bis 2024 auf fast 29 Millionen anwachsen. Derzeit gibt es jedoch keine formale Zertifizierung, um ihre Fähigkeit zur sicheren Programmierung zu bewerten. Das bedeutet nicht, dass jeder Entwickler unsicheren Code schreibt oder wiederverwendet, aber es besteht zweifellos ein dauerhaftes Risiko, dass grundlegende Sicherheitsschwachstellen in die Software gelangen, der wir unsere Daten anvertrauen.

Entwickler werden danach beurteilt, wie schnell sie Funktionen erstellen und Code bereitstellen können. Sicherheit war in den meisten Unternehmen bisher kein Maßstab für ihren Erfolg. Diese Einstellung beginnt sich jedoch zu ändern, da immer mehr Firmen erkennen, welches Potenzial sie haben, um häufige Sicherheitslücken bereits in der frühesten Phase der Softwareentwicklung zu verhindern. Erkenntnis und Umsetzung sind jedoch zwei verschiedene Dinge. Da die meisten Informatikstudiengänge den Kontext sicherer Programmierpraktiken vernachlässigen, liegt es oft am Arbeitsplatz des Entwicklers, diese Lücke zu schließen. Wenn Weiterbildung und Wissensaustausch selten oder irrelevant sind, bleiben sie meist wirkungslos. So bleibt der Kreislauf wiederkehrender Schwachstellen durch mangelnde Kompetenzentwicklung bestehen.

Natürlich ist es nicht die Aufgabe des durchschnittlichen Softwareentwicklers, die weltweiten Cybersicherheitsprobleme zu lösen; schließlich stellen Unternehmen aus gutem Grund teure Sicherheitsexperten ein. Sicherheitsgurus sind jedoch Mangelware, und Entwickler können durchaus dazu beitragen, die Belastung zu verringern.

Doch was bedeutet das für uns – und für die Anbieter, die Software für kritische Infrastrukturen und sensible Organisationen entwickeln – im Hinblick auf die Verhinderung verheerender Cyberangriffe? Zumindest ist ein Umdenken bei der Softwarebeschaffung erforderlich.

Die Fallstricke auf dem Weg zu einer sicheren Software-Lieferkette

Die abgedroschene Redewendung, dass eine Kette nur so stark ist wie ihr schwächstes Glied, gilt leider auch für die Software-Lieferkette. Es spielt keine Rolle, ob Ihr Unternehmen auf bewährte Sicherheitsverfahren setzt, in die Weiterbildung der Entwickler investiert und sich in Richtung einer funktionalen DevSecOps-Umgebung bewegt (in der alle die Verantwortung für möglichst sichere Software teilen); wenn Sie Software eines Anbieters mit Sicherheitsproblemen nutzen, übernehmen Sie diese in Ihr Ökosystem und tragen die Konsequenzen.

Sicher, das Sicherheitsteam sollte bei der Bewertung von Drittanbieter-Erweiterungen helfen, aber Entscheidungen werden oft aus geschäftlicher Notwendigkeit getroffen, wenn es kaum Alternativen gibt. An diesem Punkt wird es zu einer Vertrauensfrage. Kümmert sich der Anbieter genauso um Sicherheit wie Ihr Unternehmen? Und kann der Anbieter die Risiken so einschätzen, wie nur Sie es für Ihre zu schützenden Assets könnten?

Transparenz ist ein entscheidender Faktor bei der Bewertung der Sicherheit von Software-Zukäufen. Sind die Anbieter offen bezüglich ihrer eigenen Sicherheitspraktiken? Sie sollten stolz auf ihren Ansatz zum Schutz von Daten sein, und dies sollte höchste Priorität haben. Wenn Sicherheitspraktiken nirgendwo veröffentlicht sind oder keine Informationen verfügbar sind, ist die Wahrscheinlichkeit groß, dass Sicherheit keine Priorität hat. Der Anbieter sollte technische Fragen beantworten können, und unabhängige Zertifizierungen wie ISO27001 und SOC2 schaden ebenfalls nicht. Wenn Sie zudem nicht „unter die Motorhaube“ schauen und im Rahmen Ihrer internen Due-Diligence-Prüfung nach Schwachstellen suchen können, vergessen Sie es.

Da die Nachfrage eine so schnelle Implementierung von Softwarelösungen erzwingt – insbesondere wenn Anbietercode in bestehende Systeme integriert wird, um Aufgaben in einem neuen Kontext zu erfüllen –, müssen sowohl Anbieter als auch Käufer ihr Bestes geben. Beide sollten ihre Entwickler als erste Verteidigungslinie einsetzen, um häufige Sicherheitsfehler zu erkennen, bevor der Code ausgeliefert wird. Hunderte oder Tausende von Abhängigkeiten könnten gefährdet sein, wenn ein neues Element zum bestehenden Netz aus Technologielösungen hinzugefügt wird, und ein kleiner Fehler könnte zu einem katastrophalen Zusammenbruch führen.

Was ist also die Lösung? Alles im Haus von Grund auf neu programmieren? 1998 hätte das vielleicht Sinn ergeben. Doch so wie wir heute nicht mehr „Ask Jeeves“ fragen, wo die nächste Autowaschanlage ist, müssen wir realistische Schutzmaßnahmen implementieren, die im heutigen Kontext funktionieren.

Es gibt kein Allheilmittel, aber es gibt Lösungen

Für Käufer sollte die Sicherheitsbewertung von Anbietersoftware und Entwicklungspraktiken Priorität im gesamten Sicherheitsprogramm und Risikomanagementplan haben. Stellen Sie Fragen zu Zertifizierungen, Praktiken und dem Sicherheitsruf der Entwickler.

Anbieter (und tatsächlich alle Unternehmen, die Software entwickeln) müssen nachweisen können, dass Sicherheit oberste Priorität hat, und sich auf Weiterbildung konzentrieren. Sicherheitsgeschulte Entwickler sind sehr gefragt, und mit den richtigen Tools und Unterstützung können sie aus Ihrem bestehenden Team aufgebaut und befähigt werden, Angriffe durch häufige Schwachstellen abzuwehren. Aber überfordern Sie sie nicht mit irgendeinem Training. Geben Sie ihnen Zeit, mit Sicherheitstools zu wachsen, die ihre Arbeitsabläufe ergänzen. Machen Sie es so einfach wie möglich und beobachten Sie, wie diese lästigen Fehler im Code, der Ihr Geschäft antreibt, abnehmen.

Unterm Strich gilt: Jedes Software-Risiko verschärft sich sofort, wenn es Teil der Lieferkette ist, und betrifft alle Nutzer sowie Systeme, in denen anfällige Komponenten verwendet wurden. Wenn Anbieter Sicherheit nicht so ernst nehmen wie die Unternehmen, die ihre Software implementieren – oder wenn es beiden an einem soliden Sicherheitsprogramm mangelt –, werden verheerende, weitreichende Lieferkettenangriffe wie SolarWinds zwangsläufig zur Norm. Das ist ein kritisches Problem für alle.