Die Eine-Million-Dollar-Frage, die jeder Entwickler seinem potenziellen Arbeitgeber stellen sollte

Es gibt eine Frage, die sich jeder Entwickler stellen muss, egal ob Berufseinsteiger oder erfahrener Profi. Und die Antwort darauf ist wichtig. In einer agilen Welt ist sie sogar noch bedeutender geworden, da sie direkten Einfluss darauf hat, wie erfolgreich Sie als Softwareentwickler sein werden und wie wertvoll Sie für Ihren nächsten Arbeitgeber sind.

Es ist die Millionen-Dollar-Frage. Eigentlich ist es sogar eine Multi-Millionen-Dollar-Frage!

Sind Sie bereit, mich dabei zu unterstützen, sicher zu programmieren?

Die durchschnittlichen Kosten einer Datenpanne liegen mittlerweile bei 3,6 Millionen US-Dollar. Die Wahrscheinlichkeit, dass Ihr Unternehmen in diesem Jahr Opfer eines Angriffs wird, liegt bei eins zu vier. Angesichts dieser Fakten teile ich die Frustration vieler darüber, dass Entwickler ihr Studium nicht mit der Kompetenz für sicheres Programmieren abschließen und Sicherheit nicht fest in ihrer DNA verankert ist.  

Warum? Softwareentwicklung ist immer noch ein relativ junger Beruf. Der Schwerpunkt lag bisher darauf, Menschen beizubringen, wie man schnell Code schreibt, der elegant und funktional ist – jedoch mit sehr begrenztem Fokus auf die Sicherheit dieses Codes. Das schnelle Tempo bei Methoden, Technologien, Sprachen und Möglichkeiten verschärft diese zentralen Qualifikationslücken nur noch.

Wir werden das akademische System nicht von heute auf morgen ändern können. Daher sollten Entwickler und Unternehmen gleichermaßen davon ausgehen, dass sichere Programmierkenntnisse am Arbeitsplatz erlernt werden müssen. In manchen Berufen kann man aus Fehlern lernen, in anderen ist das keine Option. So ist es auch bei der Cybersicherheit.

Die Fakten zeigen, dass wir auch bei der Sicherheitsschulung von Entwicklern am Arbeitsplatz bisher nicht sehr erfolgreich waren. Die meisten großen Sicherheitsverletzungen weltweit sind auf Programmierfehler zurückzuführen, die es Hackern ermöglichen, sich Zugriffsrechte in Computernetzwerken zu verschaffen, um wertvolle Daten zu stehlen. Der Verizon Data Breach Investigation Report (DBIR) 2017 zeigt, dass 30 % aller Sicherheitsvorfälle direkt auf Schwachstellen in der Sicherheit von Webanwendungen zurückzuführen sind – ein Ergebnis, das sich im DBIR-Bericht seit 2013 konsequent wiederholt.

Die 2017 Global DevSecOps Skills Survey, die im August 2017 veröffentlicht wurde, bestätigte, was wir bereits wussten: Während 65 Prozent der DevOps-Profis es für sehr wichtig halten, beim Einstieg in die IT über DevSecOps-Kenntnisse zu verfügen, geben 70 Prozent an, dass sie durch ihre formale Ausbildung nicht die notwendige Schulung erhalten, um in der heutigen DevSecOps-Welt erfolgreich zu sein.

Fast 40 Prozent der befragten Personalverantwortlichen gaben an, dass es am schwierigsten sei, vielseitige High-End-Entwickler mit ausreichenden Kenntnissen im Bereich Sicherheitstests zu finden. 70 Prozent der Befragten sagten, dass die Sicherheitsausbildung, die sie erhalten haben, für ihre aktuelle Position nicht ausreicht. Tatsächlich gaben weniger als 4 % an, überhaupt die Möglichkeit zu einer solchen Weiterbildung zu erhalten.

Ich habe das aus erster Hand erlebt, als ich fast ein Jahrzehnt lang mit verschiedenen Teams professioneller White-Hat-Hacker zusammengearbeitet habe. Mit tragischer Regelmäßigkeit brachen wir in große Unternehmen, Start-ups und Regierungsbehörden ein und stießen dabei immer wieder auf dieselben Schwachstellen.

Deshalb müssen Entwickler bei der Jobsuche den Mund aufmachen. Wenn Ihr potenzieller Arbeitgeber Ihre Sicherheitsschulung nicht ernst nimmt, sollten Sie sich fragen, ob Sie wirklich bei einem solchen Unternehmen arbeiten möchten.

Die zweite Frage, die Sie stellen sollten, ist, wie diese Schulung vermittelt wird. Ist sie praxisorientiert und interaktiv? Sicherheitsschulungen für Entwickler, die auf Folienpräsentationen, Videos, klickbaren Animationen oder abstrakten Diskussionen basieren, werden Ihnen bei Ihrer täglichen Arbeit kaum weiterhelfen. Wird sichergestellt, dass Sie kontinuierlich über die neuesten Schwachstellen auf dem Laufenden gehalten werden? Gibt es eine Security-Gilde oder eine Community, von der Sie lernen können? Gibt es Sicherheitsexperten, an die Sie sich wenden können, wenn Sie Hilfe benötigen?

Ein Engagement für Ihre sicheren Programmierkenntnisse erfordert kontinuierliches Lernen durch praktische Herausforderungen in spezifischen Frameworks und die Konfrontation mit verschiedenen Schwachstellen in unterschiedlichen Szenarien. Man kann SQL-Injections einfach nicht anhand eines einzigen Beispiels lernen. Sie müssen mit mehreren Beispielen verschiedener Arten in Berührung kommen, damit Sie lernen, diese gefährlichen Programmiermuster zu erkennen.

Einer unserer Kunden verlangte von seinen Entwicklern, zwei Monate lang jeden Tag eine einzige Herausforderung (5 Minuten) zu absolvieren. Wir testeten ihre Fähigkeiten vor und nach dem Trainingszeitraum und stellten bei einer Gruppe von Hunderten von Entwicklern eine 60-prozentige Steigerung der Kompetenz im sicheren Programmieren fest. Das bedeutet weniger Ressourcenaufwand für das Finden und Beheben von Sicherheitslücken im späteren Lebenszyklus und erhebliche langfristige Einsparungen. Es bedeutet, dass Hacker Ihren Code nicht nutzen können, um die Daten Ihres Unternehmens zu gefährden.

Laut IDC-Forschung gab es 2014 weltweit 11 Millionen professionelle Entwickler. Im Jahr 2015 stellte Burning Glass fest, dass es bis zu 7 Millionen Stellen gab, die Programmierkenntnisse erforderten, und dass die Zahl der Programmierjobs im Durchschnitt 12 % schneller wuchs als der restliche Markt.

Es gibt viele Software-Jobs da draußen. Beziehen Sie also Stellung und wählen Sie Arbeitgeber, die sich für ihre eigene Sicherheit, Ihre Sicherheit und die Sicherheit ihrer Kunden einsetzen. Wählen Sie im weiteren Sinne Unternehmen, die in Sie investieren.

Es gibt eine Frage, die sich jeder Entwickler stellen muss, egal ob Berufseinsteiger oder erfahrener Profi. Und die Antwort darauf ist wichtig. In einer agilen Welt ist sie sogar noch bedeutender geworden, da sie direkten Einfluss darauf hat, wie erfolgreich Sie als Softwareentwickler sein werden und wie wertvoll Sie für Ihren nächsten Arbeitgeber sind.

Das ist die Eine-Million-Dollar-Frage. Eigentlich ist es sogar eine Multi-Millionen-Dollar-Frage!

Sind Sie bereit, mich dabei zu unterstützen, sicher zu programmieren?