Statische vs. dynamische Cybersicherheitsschulung: Impulsive Konformität, zukünftige Probleme

Es scheint, als sei „Cybersicherheits-Compliance“ schon seit Jahren ein Trendthema, begleitet von unzähligen Artikeln, Initiativen und Ausschüssen, die darüber diskutieren, wie die Welt dem riesigen, vielschichtigen Ungeheuer namens Cyberkriminalität am besten begegnen kann.

Das Problem ist, dass wir kaum nennenswerte Fortschritte gemacht zu haben scheinen. Weltweit sind die Kosten für Datenschutzverletzungen stetig gestiegen – um 12 % innerhalb von fünf Jahren auf etwa 3,92 Millionen US-Dollar pro Vorfall im Jahr 2019. Da unsere Internetnutzung innerhalb weniger Jahrzehnte explodierte, waren viele Unternehmen gezwungen, sich ohne Schutzschild zu behaupten, während sie schnell online gingen, ihren Betrieb aufnahmen und mit den Folgen unsicherer Software, begrenzter AppSec-Ressourcen und in einigen Fällen dem Missbrauch des Kundenvertrauens zu kämpfen hatten.

Heute sind wir zweifellos reifer. Wir verstehen das Ausmaß der Bedrohung und diskutieren es ausführlich. Unternehmen sind sich der Auswirkungen eines Cyberangriffs auf das Kundenvertrauen, ihren Ruf und ihr Geschäftsergebnis sehr wohl bewusst, und viele suchen aktiv nach Wegen, die Softwaresicherheit durch Compliance-Schulungen, die Einstellung von Fachkräften und zunehmend durch DevSecOps-Initiativen zu verbessern. Trotz dieser großen Fortschritte gewinnen wir den Kampf nicht – nicht einmal annähernd. Allein im Jahr 2019 wurden bei Datenschutzverletzungen mindestens vier Milliarden Datensätze gestohlen.

Ein fehlendes Element war bisher die eher schleppende Umsetzung von Cybersicherheitsstandards, Erwartungen und Konsequenzen bei Sicherheitsverletzungen auf Regierungsebene. Die Einführung der DSGVO hat zumindest in Europa dazu geführt, dass erste Konsequenzen gezogen wurden, doch viele Regierungsstellen ziehen erst jetzt nach. Die plötzliche Notwendigkeit, neu entstandene Compliance-Initiativen schnell umzusetzen, könnte in Zukunft unerwünschte Auswirkungen haben.

Übereilte Entscheidungen (bei der falschen Schulung)

Robuste Richtlinien wie NIST, neue Vorschriften für den Bundesstaat New York und die Gründung des UK Cyber Security Council waren allesamt monumentale Erfolge für alle, die sich für die Sicherheit unserer Daten einsetzen. Sie erkennen die Probleme in der aktuellen Softwareentwicklung an und leiten Unternehmen dazu an, welche Standards sie erfüllen müssen, um im Sinne der Best Practices für Sicherheit als ethisch und regelkonform zu gelten.

Leider sind einige der wichtigsten Elemente zum jetzigen Zeitpunkt noch zu auslegungsbedürftig. Eine der Vorgaben in der Gesetzgebung des UK Cyber Security Council lautet beispielsweise:

„Erstellung einer definierten Liste von Zertifizierungen und eines leicht verständlichen Rahmens, der aufzeigt, wie diese miteinander verknüpft sind und welche Kompetenzen sie vermitteln, aufbauend auf der bereits geleisteten Arbeit zu Karrierewegen.“

Während ihre Initiativen zweifellos mit der Zeit besser und umfangreicher werden, könnten Unternehmen, die jetzt in Panik verfallen und sich überstürzt in Schulungen stürzen, für die Zukunft schlecht aufgestellt sein.

Die Cybersicherheitsanforderungen eines Unternehmens ändern sich rasant, und es ist unwahrscheinlich, dass statische Schulungslösungen die Flut unsicherer Software in dem erforderlichen Maße eindämmen können. Die Landschaft verändert sich schneller, als ein herkömmlicher Kurs aktualisiert werden kann, was dazu führen kann, dass einige Unternehmen in die Falle der reinen „Alibi-Compliance“ tappen; Entwickler, Auftragnehmer und andere Sicherheitsexperten erhalten keine angemessene Schulung, und wir sind wieder leichte Beute.

Statische Schulungen und statische Tools leiden unter denselben Problemen

Statische Analysetools sind ein integraler Bestandteil des SDLC und dienen den in den meisten großen Unternehmen knappen und überlasteten AppSec-Spezialisten als Arbeitstiere beim Scannen. Sie leisten gute Arbeit, haben aber einen Haken: Kein einzelnes Tool kann jede Schwachstelle scannen und dabei die riesige Bandbreite an Programmier-Frameworks unterstützen. Zudem ist es ein langsamer Prozess, und es reicht bereits eine einzige Sicherheitslücke, die durch das Raster fällt, um Angreifern Tür und Tor zu öffnen.

Bei statischen Schulungen gibt es ein ähnliches Problem. Wenn Entwickler Sicherheitsschulungen als starren „Einmal-Kurs“ erhalten, ist es sehr unwahrscheinlich, dass dieser mit den aktuell vorherrschenden Sicherheitsproblemen Schritt hält. Er dient als Momentaufnahme des Zeitpunkts seiner Erstellung, wird selten ausreichend aktualisiert, nicht in der bevorzugten Sprache oder dem Framework des Lernenden angeboten und ist zudem nicht auf die Schwachstellen zugeschnitten, mit denen sie in ihrem Arbeitsalltag wahrscheinlich konfrontiert werden. Stellen Sie sich vor, Sie versuchen, eine relevante Information aus einem Video abzurufen, das Sie vor Monaten gesehen haben, während Sie gleichzeitig Lieferfristen einhalten und Code bereitstellen müssen ... das wird kaum funktionieren.

Traditionelle Lehrmethoden werden in vielen Branchen neu bewertet, aber wenn es um Sicherheitsschulungen für Entwickler geht, muss man sich nur das schiere Ausmaß der Datenschutzverletzungen ansehen, die wir immer noch erleben (insbesondere solche, die auf Schwachstellen zurückzuführen sind, deren Vermeidung wir beim Programmieren seit Jahrzehnten kennen, wie SQL-Injection), um zu erkennen, dass wir einen anderen Weg einschlagen müssen.

Wir benötigen Schulungen, die über den Rahmen eines einzelnen, linearen Kurses hinausgehen und sich flexibel an die sich ständig ändernden Anforderungen der Cybersicherheits-Best-Practices anpassen können.

Dynamische Schulung: der Goldstandard

Indem Sie Entwicklern eine dynamische Schulungslösung anbieten, die schnell an das Unternehmen, das individuelle Qualifikationsniveau und allgemeine Branchentrends angepasst werden kann, bieten Sie ihnen das beste Fundament für sicheres Programmieren, halten das Thema Sicherheit präsent und fördern eine sicherheitsbewusste Denkweise.

Einheitslösungen, die nie aktualisiert werden und von Anfang an nicht motivieren, sind reine Zeitverschwendung. Leider führt das oft dazu, dass man aus reinem Konformitätsdruck ineffektive Programme kauft. Diese sind oft schon veraltet, bevor sie überhaupt eingeführt werden, und haben kaum Bezug zum Arbeitsalltag.

Dynamische Schulungen sind lebendige Instrumente, die kontinuierlich aktualisiert werden, sich am täglichen Bedarf orientieren, kritisches Denken fördern und die Mitarbeiter tatsächlich befähigen, Fähigkeiten zu erlernen und Probleme zu lösen.

Wie sieht also ein dynamisches Schulungsprogramm im Sicherheitskontext aus?

Es zeichnet sich durch folgende Punkte aus:

• Häppchenweise: Entwickler lernen Fähigkeiten in überschaubaren Einheiten, die deutlich leichter zu behalten (und vor allem anzuwenden) sind als langatmige Schulungsfolien oder Videos.
• Relevant: Was nützt allgemeines Sicherheitstraining mit Beispielen in C#, wenn der Entwickler hauptsächlich in Java programmiert? Schulungen sollten direkt auf die jeweilige Rolle zugeschnitten sein, damit Entwickler beim Programmieren erkennen, was sie finden, beheben (und idealerweise von vornherein vermeiden) müssen.
• Aktuell: Das klingt offensichtlich, ist es aber oft nicht. Die Cybersicherheitslandschaft wandelt sich ständig, und mit mehr Code wächst die Verantwortung. Damit Entwickler Ihre erste Verteidigungslinie bilden können, benötigen sie Schulungen, die stets auf dem neuesten Stand der Sicherheitsstandards sind.
• Motivierend: Es ist kein Geheimnis, dass Entwickler Sicherheit oft als lästige Pflicht empfinden, besonders wenn sie ihren kreativen Arbeitsfluss stört. Die richtige Schulung zeigt ihnen, wie sie alltägliche Sicherheitsprobleme lösen können, die sich sonst zu großen Risiken entwickeln würden – so entsteht eine Kultur der Verantwortung und des Sicherheitsbewusstseins.
• Unterhaltsam: Dynamische Schulungen sind selten langweilig; sie sollten von Grund auf spannend gestaltet sein. Denken Sie daran, was Entwickler lieben: Probleme lösen, sich mit Kollegen messen und – wie viele von uns – Belohnungen und Anerkennung. Nutzen Sie diese Stärken, um die besten Ergebnisse zu erzielen.

Es ist eine spannende Zeit für Softwareentwickler: Sie sind ein integraler Bestandteil digitaler Innovation, bauen großartige Unternehmen auf und erobern mit ihren Kreationen die Welt. Da Regierungsbehörden und Großkonzerne zunehmend ihre Rolle bei der Festlegung von Sicherheitsstandards erkennen, ist es wichtig, Entwickler mit effektiven, dynamischen Schulungen zu unterstützen, die Freude an sicherem Programmieren wecken, statt nur bürokratische Pflichtübungen zu fordern.