Warum Gamification der Schlüssel zu mehr Softwaresicherheit ist

AppSec-Manager, CISOs, CIOs, Cybersicherheitsexperten – ich habe im Laufe meiner Karriere in der Softwareentwicklung und Sicherheit mit vielen von ihnen gesprochen, die in den unterschiedlichsten Unternehmen weltweit tätig sind.

Egal wie unterschiedlich ihre Situation ist, wie erfahren ihr Team ist oder wie viel Zeit in dieser sich ständig wandelnden digitalen Welt vergeht, ein Problem bleibt immer gleich: Sie schaffen es selten, ihr Entwicklerteam positiv für das Thema Sicherheit zu gewinnen. Sicherheit ist nach wie vor ein Reizwort, eine Quelle für Konflikte zwischen Teams und ein echtes Ärgernis in der Branche.

Software-Sicherheit ist jedoch viel zu wichtig, als dass wir in unserer allgemeinen Denkweise so weitermachen könnten. Wir müssen die Art und Weise, wie wir über Sicherheit sprechen, grundlegend ändern und sie zu einem festen Bestandteil des Arbeitsalltags eines jeden Entwicklers machen. Ich bin überzeugt, dass einer der besten Wege hierfür darin besteht, Entwickler durch Ansätze wie Gamification für das Thema Sicherheit zu begeistern und sie aktiv einzubinden.

Die aktuelle Situation

Entwickler verlassen die Universität mit nur sehr wenig praktischem Wissen darüber, wie man sicheren Code schreibt. In ihrem Berufsalltag hat Sicherheitsschulung selten Priorität (und wenn doch, ist sie meist Teil der obligatorischen Compliance-Videos zu Gesundheit und Sicherheit, die so langweilig sind, dass sich niemand für sicheres Programmieren begeistern kann). Oft ist ihre erste Erfahrung mit Sicherheit ein Audit oder ein Fehlerbericht aus einem Test, der plötzlich ein geplantes Release stoppt und ihre kreative Arbeit jäh unterbricht. Sie geraten mit den für die Sicherheitsberichte Verantwortlichen aneinander, sodass „Sicherheit“ in ihren Köpfen zum Synonym für „Kritik“ wird. Einfach frustrierend.

Es ist wirklich schade, dass diese negative Wahrnehmung von Software-Sicherheit so weit verbreitet ist. Schließlich gehören einige der besten Erinnerungen meiner Karriere dem Erlernen von Software-Sicherheit. In meinen frühen Tagen als Hacker habe ich Konferenzen besucht, auf denen ich nicht nur meine Fähigkeiten testen (und ehrlich gesagt auch ein wenig angeben) konnte, sondern auch riesigen Spaß daran hatte, Gleichgesinnte zu treffen, die genauso gerne Software „geknackt“ haben wie ich.

BruCon, DefCon, BlackHat... diese Veranstaltungen boten Leuten wie mir die Möglichkeit, unsere Fähigkeiten in einem freundschaftlichen Wettbewerb einzusetzen. Auch wenn ich nie zugeben würde, an solch asozialen Dingen teilgenommen zu haben, zeigten manche ihr Hacker-Können sogar, indem sie in die Telefone anderer Teilnehmer eindrangen und deren Informationen für alle sichtbar auf den Präsentationsbildschirmen anzeigten. Es wurde zu einem Spiel, diese Schwachstellen zu finden – sie auszunutzen und zu beheben –, um die Software besser zu machen. Vor ein paar Jahren hatte ich das Privileg, vor Hunderten von Jugendlichen im Nahen Osten über Cybersicherheit zu sprechen. Ich erinnere mich noch gut an ein achtjähriges Mädchen, das beim Spielen lernte, wie man Passwörter per Brute-Force knackt und Base64-Kodierung anwendet.

Gamification wird auch eingesetzt, um Programmierkenntnisse zu vermitteln. Bildungseinrichtungen auf der ganzen Welt nutzen diesen Ansatz, um schon sehr jungen Kindern bis hin zu Schülern der Oberstufe das Programmieren beizubringen. Kinder ab vier Jahren besuchen regelmäßig Ferienkurse wie CodeCamp, und es gibt eine Vielzahl fantastischer Online-Programme, die Kindern Python und andere Programmiersprachen vermitteln. Ich habe sogar das großartige bildschirmfreie Programmier-Tool Cubetto für meine vierjährige Tochter gekauft.

Doch trotz all dieses Spaßes und Fortschritts gibt es eine Lücke. Niemand hat daran gedacht, Gamification zu nutzen, um Entwicklern beizubringen, wie man sicheren Code schreibt.

Nun ja... fast niemand. Vor ein paar Jahren wurde mir klar, dass wir Sicherheit wieder inspirierend machen und Entwickler wirklich motivieren müssen, sich einzubringen und mitzuspielen.

Gamification: Der einfache Weg in die Zukunft.

Es ist mein tiefer Antrieb, Entwickler mit Sicherheitswissen zu stärken und zu fördern. Diese Leidenschaft hat mich dazu gebracht, Secure Code Warrior zu gründen. Software-Sicherheit ist so wichtig und kann wirklich spannend sein.

Ich bin mit dieser Ansicht nicht allein.

Gamification kann selbst die banalsten Aufgaben unterhaltsamer machen und die Menschen so motivieren, dass sie weitermachen, gewinnen und Fortschritte erzielen wollen – man denke nur daran, wie Pokémon GO selbst die faulsten Menschen vom Sofa holte, um draußen nach imaginären Kreaturen zu suchen, oder wie Fitbit für viele zum täglichen Ziel macht, ihr Schrittziel zu erreichen... es stellt sich ein echtes Gefühl der Enttäuschung ein, wenn diese Ziele nicht erreicht werden, Serien abreißen oder Abzeichen nicht verdient werden.

Zurück zur Sicherheitsschulung: Wir haben bei vielen Kunden bewiesen, dass Gamification der Schlüssel ist, um die Sicherheitskultur in Unternehmen grundlegend zu verändern, Brücken zwischen AppSec- und Entwicklerteams zu bauen und ganz allgemein dabei zu helfen, Software auf einem höheren Standard zu entwickeln.

Im Moment hat Sicherheit für Entwickler keine Priorität. Indem Sie Ihre Schulungsmethoden um ein freundschaftliches, wettbewerbsorientiertes und motivierendes Element erweitern, regen Sie sie dazu an, nicht nur „mitzuspielen“, sondern immer wieder zurückzukehren, um mehr Punkte zu sammeln, Highscores zu knacken, präziser zu arbeiten und ihre Teamkollegen herauszufordern.

Wir wissen bereits, dass erfolgreiche Schulungen in etwa so aussehen:

• Entwickler arbeiten mit echtem Code in ihren gewohnten Sprachen und Frameworks.
• Die Challenges sind kurz und decken alle gängigen Sicherheitslücken ab.
• Das Angebot wird ständig erweitert und aktualisiert, damit Entwickler ihre Fähigkeiten kontinuierlich ausbauen können.
• Die Challenges variieren in ihrer Komplexität und sind daher sowohl für erfahrene Entwickler als auch für Einsteiger motivierend.
• Entwickler und ihre Manager können den Fortschritt einsehen, einschließlich der abgeschlossenen Challenges, Stärken und Schwächen, der investierten Zeit und der Genauigkeit.

Einer unserer größten Kunden hat bei der Einführung eindrucksvoll gezeigt, welches Potenzial in einer gamifizierten Plattform steckt: Sie statteten ihre Entwickler mit thematisch passender Teamausrüstung aus, boten großartige Preise für die Gewinner und machten das Turnier zu einem unvergesslichen Erlebnis. Seitdem veranstalten sie internationale Wettbewerbe, und das gesamte Team sammelt bis heute fleißig Trainingsstunden.

Ihre eigene Software-Revolution beginnt hier. Die australische Bankenbranche geht bei der Einführung von gamifiziertem Training im Kampf gegen unsicheren Code voran – ein innovativer Ansatz, der herkömmliche (und langweilige) Schulungen auf den Kopf stellt. Sehen Sie sich an, was unser Kunde mit seinem erstklassigen Turnier erreicht hat. Sind Sie bereit, Ihr Team auf das nächste Level zu heben mit uns?

Wir müssen den Dialog verändern und Sicherheit zu einem festen Bestandteil des Arbeitsalltags eines jeden Entwicklers machen. Ich bin überzeugt, dass einer der besten Wege hierfür darin besteht, Entwickler durch Ansätze wie Gamification für das Thema Sicherheit zu begeistern und zu befähigen.