Einblicke von Experten, die sichere Entwicklung gestalten

Das Kräfteverhältnis zwischen Helden und Schurken in der Cybersicherheit ist notorisch unausgewogen. Sensible Daten sind das neue Gold, und Angreifer passen sich schnell an, um Abwehrmechanismen zu umgehen und Sicherheitslücken jeder Größe für ihre Zwecke auszunutzen.

Erfahren Sie mehr über statische Codeanalyse und wie sie Ihnen dabei hilft, besseren Code zu schreiben – inklusive 5 Beispielen für IDE-basierte Ansätze und Plugins.

Es ist wieder diese besondere Zeit im Jahr, in der ich auf unsere letzte Reise um die Sonne zurückblicke und darauf, was wir in den vergangenen 365 Tagen getan haben, um uns für ein neues Jahr voller Wachstum, neuer Erkenntnisse und unvermeidlicher Unvorhersehbarkeiten aufzustellen.

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

Wir gehen davon aus, dass 2021 das Jahr ist, in dem wir ein neuartiges Weltraumrennen in den Mainstream aufnehmen: den Schutz unserer Galaxie vor Cyberbedrohungen.

Bei dieser Schwachstelle handelt es sich eher um ein menschliches oder organisatorisches Problem, da ältere APIs oft noch lange nach dem Zeitpunkt im Einsatz bleiben, an dem sie längst durch neuere, sicherere Versionen hätten ersetzt werden müssen.

Erfahren Sie, wie Sensei Sie bei der Migration unterstützt, indem das Tool veraltete Muster erkennt und Ihnen direkt die passenden Lösungen für die Zukunft vorschlägt.

Penetrationstests und Tools zur statischen Code-Analyse (besser bekannt als SAST) sind nur ein Teil des Gesamtprozesses zur Minderung von Sicherheitsrisiken. Sie arbeiten weitgehend unabhängig von unserer Arbeit – es sei denn natürlich, der Code landet für Hotfixes wieder bei uns!

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

Egal, ob das Unbehagen durch die Unsicherheit einer neuen Arbeitsweise, ein wenig Misstrauen oder schlichte Skepsis gegenüber Remote Work entsteht: Unternehmen, die sich dagegen sträuben, haben meiner Erfahrung nach das Nachsehen, wenn es darum geht, Top-Talente zu gewinnen, global präsent zu bleiben und – ganz offen gesagt – mit der Zeit zu gehen.

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

Die Schwachstelle durch unzureichende Protokollierung und Überwachung entsteht meist infolge eines mangelhaften Cybersicherheitskonzepts, bei dem fehlgeschlagene Authentifizierungsversuche, Zugriffsverweigerungen und Eingabevalidierungsfehler nicht ausreichend erfasst werden.

Erfahren Sie, wie Sie Sensei-Cookbooks teilen und Ihrem gesamten Team helfen können, die Codequalität und Produktivität zu steigern.

Wir freuen uns, eine brandneue Funktionserweiterung auf der Secure Code Warrior-Plattform ankündigen zu dürfen: Missions. Diese völlig neue Kategorie von Herausforderungen ist der nächste Schritt in der entwicklerorientierten Sicherheitsschulung und führt die Nutzer von der reinen Wissensabfrage hin zur praktischen Anwendung in einer realistischen Simulationsumgebung.

Das ist zwar bei APIs etwas häufiger der Fall, aber Angreifer versuchen generell überall im Netzwerk, ungepatchte Schwachstellen sowie ungeschützte Dateien oder Verzeichnisse aufzuspüren. Wenn sie dabei auf eine API stoßen, bei der das Debugging aktiviert oder Sicherheitsfunktionen deaktiviert sind, macht das ihre bösartige Arbeit nur noch ein Stück einfacher.

Erfahren Sie, wie Sensei Sie beim Onboarding von Entwicklern und bei der Einführung neuer Bibliotheken unterstützen kann.

Learn all about the latest updates to Sensei.

Erfahren Sie, wie Sie Sensei verwenden, um problematische Codemuster abzugleichen und sie dann anhand von Beispielen für den Annotationsabgleich zu vereinbarten Implementierungen zu ändern.

Die Sicherheitslücke bei Massenzuweisungen entstand, weil viele moderne Frameworks Entwickler dazu ermutigten, Funktionen zu verwenden, die Eingaben von Clients automatisch in Codevariablen und interne Objekte binden.

Dass die australische Regierung das Thema Cybersicherheit nun ernsthaft vorantreibt, zeigt, dass es auf nationaler Ebene als zentrales Risikofeld erkannt wurde – doch reicht ihre Strategie weit genug?

Das Sensei-Plugin bietet eine einfache Möglichkeit, spezifische Codemuster in Ihrem Quellcode zu finden und anschließend Rewrite-Regeln anzuwenden, um den entsprechenden Code anzupassen. Alles direkt in der IntelliJ-IDE und in Echtzeit.

Secure Code Warrior hat eine GitHub Action entwickelt, die kontextbezogenes Lernen in das GitHub Code Scanning integriert. Entwickler können damit Drittanbieter-Tools wie die Snyk Container Action nutzen, um Schwachstellen zu finden und die Ergebnisse um CWE-spezifische, hochrelevante Lerninhalte zu ergänzen.

Die Schwachstelle durch fehlende Zugriffskontrolle auf Funktionsebene ermöglicht es Benutzern, Funktionen auszuführen, die eigentlich eingeschränkt sein sollten, oder auf Ressourcen zuzugreifen, die geschützt sein müssten.

Jede Organisation kann den Cybersecurity Awareness Month nutzen, um ihr Sicherheitsbewusstsein aufzufrischen. Dieses Jahr veröffentlichen wir zudem eine neue, kostenlose App für die Coding-Community!

Diese Sicherheitsanfälligkeit tritt auf, wenn zu viele Anfragen gleichzeitig eingehen und die API nicht über genügend Rechenressourcen verfügt, um diese Anfragen zu bearbeiten. Die API kann dann nicht mehr verfügbar sein oder nicht mehr auf neue Anfragen reagieren.

Es ist nicht einfach, Sicherheitsupdates wieder in den Entwicklungsprozess zu verlagern, aber in der heutigen Welt, in der selbst scheinbar einfache Geräte wie Präsentationstools überraschend komplex sind und auch mit allem anderen vernetzt sind, notwendig.

Die eigentliche Mechanik hinter dieser Sicherheitslücke ist ähnlich wie bei anderen, aber eine übermäßige Datenexposition wird in diesem Fall so definiert, dass rechtlich geschützte oder hochsensible Daten betroffen sind.

Die Authentifizierung fungiert oft als Zugangstor zu einer Anwendung und potenziell zum gesamten Netzwerk, weshalb sie ein attraktives Ziel für Angreifer darstellt. Ist ein Authentifizierungsprozess fehlerhaft oder anfällig, ist die Wahrscheinlichkeit hoch, dass Angreifer diese Schwachstelle entdecken und ausnutzen.

Wir möchten heute einen unserer Experten ins Rampenlicht rücken: Oscar Quintas. Er ist Teil unseres Product-Content-Teams und arbeitet als Senior Security Researcher. Zudem ist er unser hauseigener Zauberer, wenn es um Infrastructure as Code (IaC) geht.

Im Allgemeinen sollten Autorisierungsprüfungen auf Objektebene für jede Funktion enthalten sein, die mithilfe einer Benutzereingabe auf eine Datenquelle zugreift. Andernfalls besteht ein großes Risiko.

Cyberangriffe werden immer häufiger und Bedrohungen, die Linux-basierte Infrastrukturen betreffen, werden immer häufiger. Das Endziel ist die Gelegenheit, eine Beutekiste mit sensiblen Daten, die in der Cloud gespeichert sind, zu öffnen.

Denken Sie im Hinblick auf Ihr Unternehmen über diese Fragen in Ihrem spezifischen Kontext nach. Wie würde es bei einem DevSec-Test abschneiden?

Ein kuratierter Kurs, der genau die Module enthält, in denen Ihre Entwickler Kompetenz nachweisen müssen, erzielt eine starke Wirkung und ermöglicht es ihnen, Sicherheits-Best-Practices von Anfang an direkt in ihre tägliche Arbeit zu integrieren.

Wir wissen bereits, dass der Arbeitsalltag ohnehin schon überfüllt ist. Welchen Anreiz sollten Entwickler also haben, sich in einen Kursraum zu schleppen oder durch einen fünfstufigen Prozess zu quälen, nur um auf rein theoretische Schulungsinhalte zuzugreifen?

Die Idee hinter Apps zur Kontaktverfolgung ist solide. Wenn diese Technologie gut funktioniert, würde sie sicherstellen, dass Hotspots schnell erkannt werden und umfassende Tests durchgeführt werden können — beides wichtige Komponenten zur Bekämpfung der Ausbreitung eines ansteckenden Virus.

Wir haben uns Gedanken darüber gemacht, wie wir die Hürden für den Zugang zu Schulungen senken können, wenn Sie diese benötigen, und wie sich Micro-Learning nahtloser in Ihren Arbeitsalltag integrieren lässt.

Der 23. Juni ist ein besonderes Datum im Kalender der Tech-Community: der International Women in Engineering Day. Dies ist unsere Gelegenheit, die Beiträge von Frauen in der Softwareentwicklung ins Rampenlicht zu rücken.

Diese Sicherheitsanfälligkeit kann auftreten, wenn Programmierer die Regeln der Geschäftslogik nicht ordnungsgemäß implementieren, wodurch ihre Anwendungen anfällig für verschiedene Arten von Angriffen werden könnten, falls ein böswilliger Benutzer sie ausnutzt.

Rust integriert bewährte und funktionale Elemente gängiger Programmiersprachen und verfolgt dabei eine Philosophie, die Komplexität eliminiert und gleichzeitig Leistung und Sicherheit in den Vordergrund stellt.

Wir konzentrieren uns hier auf eine Verhaltensweise, die Sicherheitslücken begünstigt: die Verwendung von Code aus nicht vertrauenswürdigen Quellen – eine scheinbar harmlose Praxis, die jedoch erhebliche Probleme verursacht.

Das Gesundheitswesen könnte zum nächsten großen Schlachtfeld der Cybersicherheit werden, auf dem Kriminelle genau die Maschinen angreifen, die medizinische Diagnosen stellen, Behandlungen durchführen und Leben erhalten.

Sicherheitslücken durch Fehlkonfigurationen, insbesondere bei unzureichenden Berechtigungen, entstehen meist dann, wenn ein Entwickler einen neuen Benutzer anlegt oder einer Anwendung Berechtigungen erteilt, um eine bestimmte Aufgabe zu erledigen.

Gelegentlich tauschen Anwendungen im Rahmen eines Arbeitsablaufs Daten mit anderen Programmen aus. Wenn die Transportschicht nicht geschützt ist, ist sie sowohl für externe Spionage als auch für unbefugte interne Einsichtnahme anfällig.

Heutzutage ist die Verschlüsselung kritischer Daten wie Passwörter, persönlicher Informationen und Finanzunterlagen im Ruhezustand ein Grundpfeiler jeder Cybersicherheitsstrategie.

Obwohl COBOL eine ältere Programmiersprache ist, ist sie bis heute effektiv. Erfahren Sie mehr über die sichere Anwendungsentwicklung mit COBOL bei Secure Code Warrior.

Der Schlüssel zur modernen Computersicherheit liegt heutzutage meist in Passwörtern. Selbst wenn andere Sicherheitsmethoden wie die Zwei-Faktor-Authentifizierung oder biometrische Verfahren zum Einsatz kommen, nutzen die meisten Unternehmen passwortbasierte Sicherheit weiterhin als einen zentralen Bestandteil ihres Schutzkonzepts.

Wir müssen ein Stadium erreichen, in dem Sicherheit als gemeinsame Verantwortung der gesamten Organisation und des gesamten SDLC betrachtet wird. Dies ist sicherlich möglich, wenn Sie sich für eine vollwertige, äußerst unterstützende DevSecOps-Umgebung entscheiden.

Wenn die Zugriffskontrolle auf Infrastrukturebene nicht in perfekter Ordnung ist, wird ein ganzes Unternehmen für Angreifer geöffnet, die diese Sicherheitslücke als Einfallstor für unbefugtes Ausspionieren oder für einen vollständigen Angriff nutzen können.

Angreifer suchen immer zuerst nach leicht ausnutzbaren Schwachstellen und nutzen dafür oft automatisierte Skripte, die gängige Sicherheitslücken abfragen. Das ist vergleichbar mit einem Dieb, der in einer Straße prüft, ob Autotüren unverschlossen sind – das ist schließlich deutlich einfacher, als eine Scheibe einzuschlagen.

Dies ist der zweite Teil unserer Miniserie zur PCI-DSS-Compliance im Unternehmen. Im abschließenden Kapitel zeigen wir auf, wie CTOs und CISOs mit gutem Beispiel vorangehen können, um Cyberrisiken zu minimieren und den Prozess reibungslos, erfolgreich... und für Entwickler vielleicht sogar ein wenig unterhaltsam zu gestalten.

Dies ist der erste Teil einer zweiteiligen Serie über die erfolgreiche PCI-DSS-Compliance in Unternehmen. In diesem Kapitel erläutern wir, wie AppSec-Spezialisten eng mit Entwicklungsleitern zusammenarbeiten können, um Entwickler zu unterstützen, den SSDLC zu stärken und konkrete Ergebnisse aus allgemeinen gesetzlichen Vorgaben abzuleiten.

In unserer Branche haben viele Sicherheitsexperten damit begonnen, die wichtigsten Probleme für das Jahr vorherzusagen. Angesichts der Tatsache, dass 2019 mehr als fünf Milliarden vertrauliche Datensätze gestohlen wurden, dachten wir, dass es genauer wäre, vorherzusagen, was in absehbarer Zeit im Bereich Cybersicherheit nicht passieren wird.

Ein Großteil der Initiativen rund um das Thema „Shifting Left“, also die Verlagerung der Sicherheit in deutlich frühere Phasen des Entwicklungsprozesses, bringt einfach nicht den gewünschten Erfolg.

Angesichts der DSGVO sowie einer überarbeiteten Strategie nach einem mehrstufigen Angriff, bei dem sensible Daten zahlreicher Persönlichkeiten des öffentlichen Lebens – sowie Server der deutschen Bundesregierung – offengelegt wurden, ist deutlich, dass Cybersicherheit und entsprechendes Handeln für Führungskräfte in der DACH-Region oberste Priorität haben.

Die Welt beginnt, sich hinter Waterfall, Agile und jetzt DevOps weiterzubewegen. Was ist also die nächste Lösung? Und was ist Ihre Rolle als Entwickler, um mit diesen Änderungen im Ansatz Schritt zu halten?

Gegen Ende letzten Jahres hat die großartige Community von MITRE ihre Liste der 25 gefährlichsten Softwarefehler (CWE Top 25) veröffentlicht, die 2019 weltweit für Aufsehen sorgten. Die meisten davon kamen wenig überraschend.

Ich hätte diesen Artikel mit all den Zahlen und Fakten beginnen können, die ein florierendes, rasant wachsendes Startup belegen; sie sind zweifellos beeindruckend und die Entwicklung unseres Unternehmens ist weiterhin stark. Doch für mich spiegeln diese Zahlen nicht das wider, worauf ich im Jahr 2019 am meisten stolz bin.

Nur wenige Unternehmen sind bei der Implementierung von DevOps wirklich erfolgreich. Mit der richtigen Unterstützung, Förderung und einem unternehmensweiten Verständnis können Sie Ihre Prozesse jedoch grundlegend verändern.

Das National Institute of Standards & Technology (NIST) hat ein aktualisiertes Whitepaper veröffentlicht, das verschiedene Aktionspläne zur Reduzierung von Software-Schwachstellen und Cyberrisiken detailliert beschreibt.

Diese entwicklerorientierten Veranstaltungen gehören zu meinen persönlichen Favoriten; sie führen mir immer wieder eindrucksvoll vor Augen, wie engagiert sich die Community dafür einsetzt, Softwareentwickler und Spezialisten darin zu schulen und zu befähigen, Sicherheit in ihrer täglichen Arbeit großzuschreiben.

Auch wenn regulatorische Initiativen zweifellos mit der Zeit zunehmen und an Bedeutung gewinnen werden, könnten Unternehmen, die jetzt in Panik verfallen und überstürzt Schulungen einführen, für die Zukunft schlecht aufgestellt sein.

Es gibt Entwickler aller Art und aus allen Lebensbereichen, und in allem, was wir tun, war schon immer ein Gemeinschaftsgefühl spürbar.

Während sichere Programmierung ein obligatorischer Bestandteil der Softwareentwicklung an Hochschulen werden muss, gehen einige Universitäten bereits mit gutem Beispiel voran, indem sie erstklassige Schulungen anbieten und Sicherheit von Anfang an als Priorität in den Entwicklungsprozess integrieren.

Unsere VP of Customer Success, Fatemah Beydoun, hat kürzlich ihren Vortrag „Mentoring for the future: How we can all do better in fostering female cybersecurity talent“ vor einem sehr aufgeschlossenen Publikum gehalten. Sie leistet einen wesentlichen Beitrag dazu, den Wandel in der Cybersicherheitsbranche positiv zu gestalten.

Unsichere Deserialisierung kann immer dann auftreten, wenn eine Anwendung zu deserialisierende Daten als vertrauenswürdig einstuft. Wenn ein Benutzer in der Lage ist, die neu rekonstruierten Daten zu manipulieren, kann er verschiedenste schädliche Aktivitäten ausführen, wie etwa Code-Injektionen, Denial-of-Service-Angriffe oder eine Ausweitung seiner Zugriffsrechte.

Es ist wirklich überwältigend, dass viele Orte immer noch auf Klassenzimmer, trockene Lehrbücher und nervenaufreibende Videoschulungen angewiesen sind, um ihre Besten und Intelligentesten in neue Initiativen einzubeziehen, insbesondere wenn es eine weitaus bessere, ansprechendere und wertvollere Art des Lernens gibt: kontextbezogenes Training.

Die Software-Sicherheitsbranche ist nicht gerade für ihre emotionale Wärme, skurrilen Beobachtungen oder Lebensweisheiten bekannt, aber vielleicht ertappe ich mich mit zunehmendem Alter immer öfter dabei, darüber nachzudenken, welchen Einfluss wir alle auf die Welt haben können.

Von einer Offenlegung sensibler Daten spricht man immer dann, wenn Informationen, die ausschließlich für autorisierte Personen bestimmt sind, unverschlüsselt, ungeschützt oder nur unzureichend gesichert an Unbefugte gelangen.

Die Geschichte des jugendlichen Sicherheitsforschers Bill Demirkapi, der schwerwiegende Schwachstellen in der Software seiner Schule aufdeckte, hat bei mir einige Erinnerungen geweckt. Ich war selbst so ein neugieriges Kind, das bei Software unter die Motorhaube schaute, um zu sehen, wie alles funktioniert – und ob ich es kaputt machen konnte.

Auch wenn VxWorks den meisten Verbrauchern kein Begriff ist, profitieren Menschen wie Sie und ich jeden Tag von dieser Software. Nun stehen wir vor der Möglichkeit, dass Hunderte Millionen von Geräten, die auf VxWorks basieren, kompromittiert wurden.

Die XML External Entity Injection, oft einfach als XXE-Injection abgekürzt, ist eine relativ neue Angriffsmethode, die sich in Hacker-Kreisen derzeit jedoch großer Beliebtheit erfreut und aufgrund ihrer zunehmenden Erfolgsquote immer weiter an Bedeutung gewinnt.

Wenn ein Angreifer einen CR- oder LF-Code in eine bestehende Anwendung einfügen kann, kann er manchmal deren Verhalten ändern. Die Auswirkungen sind im Vergleich zu den meisten Angriffen weniger leicht vorherzusagen, können aber für die Zielorganisation nicht weniger gefährlich sein.

Kreative, inspirierende CISOs und CIOs haben die Macht, unsere digitale Welt zu innovieren und zu gestalten, aber sie können auch maßgeblich zur Transformation der Sicherheitskultur eines Unternehmens beitragen.

In vielerlei Hinsicht ist die Sicherheitslücke bezüglich Remote-Dateieinschluss viel gefährlicher und auch einfacher auszunutzen als ihr Gegenstück zu lokalen Dateien. Daher sollte sie so schnell wie möglich gefunden und behoben werden.

Das PCI Security Standards Council hat in diesem Jahr eine völlig neue Reihe von Software-Sicherheitsrichtlinien als Teil seines PCI Software Security Frameworks veröffentlicht. Dieses Update zielt darauf ab, bewährte Verfahren der Softwaresicherheit an die moderne Softwareentwicklung anzupassen.

Im Gegensatz zu vielen anderen Schwachstellen erfordert die missbräuchliche Ausnutzung von Local File Inclusion und Path Traversal ein hohes Maß an Fachwissen, einen erheblichen Zeitaufwand und mitunter auch eine Portion Glück.

Selbst wenn Sie einen Anwendungsserver und die von ihm verwendeten Backend-Systeme vollständig gesichert haben, kann die Kommunikation dennoch anfällig für Schnüffeln sein, wenn Sie über einen unzureichenden Schutz auf der Transportebene verfügen.

XML-Injection-Angriffe sind tückische Exploits, mit denen Hacker Systeme kompromittieren, die XML-Datenbanken hosten. Dazu zählen genau die Arten von Systemen, an die man bei herkömmlichen Datenbanken denkt – umfangreiche Informationsspeicher für alles Mögliche, von Medikamenten bis hin zu Filmen.

Ein aktueller Bericht des Huawei Cyber Security Evaluation Centre in Großbritannien hat erhebliche Sicherheitsmängel in den Softwareentwicklungsprozessen von Huawei aufgedeckt. Dies ist jedoch ein Problem, das sich beheben lässt.

Das Panel „Leaders in AppSec“ widmete sich kontroversen Themen wie der optimalen Nutzung des AppSec-Budgets und beantwortete eine Reihe kniffliger Fragen aus dem Publikum. Die Experten lieferten wertvolle Impulse, die Sicherheitsspezialisten dabei helfen werden, tragfähige Programme in ihren Unternehmen zu etablieren.

Unzureichende Protokollierung und Überwachung gehören zu den gefährlichsten Schwachstellen in der Verteidigungsstruktur einer Anwendung. Wenn diese Sicherheitslücke besteht, wird früher oder später nahezu jeder gezielte Angriff auf das System erfolgreich sein.

Die Programmierung einer Website oder Anwendung, die nicht validierte Weiterleitungen und Umleitungen verarbeitet, kann für Ihre Nutzer sowie für Ihr Unternehmen ein erhebliches Sicherheitsrisiko darstellen.

Es ist offiziell: Wir schließen uns mit Bugcrowd zusammen, um Entwickler bei der sicheren Programmierung zu schulen, zu unterstützen und aufzuklären.

Code-Injection-Angriffe gehören zu den häufigsten und zugleich gefährlichsten Bedrohungen, denen Websites und Anwendungen ausgesetzt sind. Sie variieren stark in ihrer Komplexität und dem damit verbundenen Schadenspotenzial, doch nahezu jede Website oder App, die Benutzereingaben verarbeitet, kann anfällig dafür sein.

Der jüngste Angriff auf GitHub-Repositories unterstreicht ein bekanntes Problem in der Sicherheitsbranche: Die meisten Entwickler verfügen schlichtweg nicht über ein ausreichendes Sicherheitsbewusstsein, wodurch wertvolle Daten jederzeit gefährdet sein können.

Wenn Sie eine Geschäftsanwendung entwickeln, sei es für den internen Gebrauch oder für Ihre Kunden, erlauben Sie wahrscheinlich nicht jedem Benutzer, jede einzelne Funktion auszuführen. Wenn Sie dies doch tun, sind Sie möglicherweise anfällig für eine fehlerhafte Zugriffskontrolle.

Angesichts der Zunahme von Cyberangriffen, die Unternehmen jeder Art und Branche betreffen, ist die Gefahr kostspieliger und rufschädigender Datenpannen, die das Geschäftsergebnis massiv beeinträchtigen, allgegenwärtig. Das Problem wird nicht kleiner, sondern wächst unaufhaltsam.

If your web app available to many information, can make it can make a simple to access. In diesem Beitrag werden wir erläutern, was eine Offenlegung von Informationen ist, warum sie gefährlich ist und wie sie verhindern können.

Da alle Anwendungen Komponenten verwenden, von denen Sie die meisten nicht selbst geschrieben haben, können Schwachstellen in diesen Komponenten zu einem Sicherheitsrisiko werden. Lassen Sie uns erörtern, was die Verwendung von Komponenten mit bekannten Schwachstellen bedeutet, wie gefährlich dies ist und wie man das Problem löst.

Da ich beide Seiten kenne, weiß ich nur zu gut, welche Spannungen zwischen dem Entwicklungsteam und den AppSec-Spezialisten entstehen können, wenn es darum geht, bewährte Sicherheitsverfahren einzuhalten. Es gibt jedoch einen besseren Weg.

Wir werden eines der häufigsten Probleme behandeln, mit denen Unternehmen konfrontiert sind, die entweder Websites betreiben oder Mitarbeitern den Fernzugriff auf Computerressourcen ermöglichen — was so ziemlich jeder ist. Und ja, Sie haben wahrscheinlich vermutet, dass wir über Authentifizierung sprechen werden.

Wenn eine Anwendung über unzureichende Antiautomatisierungsprüfungen verfügt, können Angreifer Passwörter einfach weiter erraten, bis sie eine Übereinstimmung finden. Hier erfahren Sie, wie Sie sie aufhalten können.

Auch wenn Programmierfehler einen Teil des Problems darstellen können, sind Fehler in der Geschäftslogik meist das Ergebnis von Designmängeln oder falschen logischen Annahmen bei der ursprünglichen Erstellung einer App.

In der Cybersicherheit sind wir oft wie Jäger. Unsere Augen sind fest auf den Horizont gerichtet und suchen nach der nächsten Sicherheitslücke. Diese vorausschauende Ausrichtung kann jedoch den überraschenden Effekt haben, dass unser allgemeines Sicherheitsbewusstsein beeinträchtigt wird.

Es ist üblich, dass Websites und Anwendungen es Benutzern ermöglichen, Feedback und verschiedene andere Informationen über eine Anwendung per E-Mail zu senden. Und die meisten Menschen denken nicht einmal darüber nach, ob es sich um ein potenzielles Sicherheitsrisiko handelt.

Eine direkte Objekt-Referenz liegt vor, wenn innerhalb einer Anwendung auf einen spezifischen Datensatz (das „Objekt“) verwiesen wird. Dies geschieht in der Regel über eine eindeutige Kennung, die beispielsweise in einer URL erscheinen kann.

Softwaresicherheit ist für mich immer ein zentrales Thema, ebenso wie die reale Gefahr, die von unserem zunehmend digitalen Lebensstil geprägt vom Teilen persönlicher Informationen ausgeht. Schließlich bewegen wir uns in einem weitgehend unregulierten, unüberwachten und geflissentlich ignorierten Terrain. Wir befinden uns im Wilden Westen.

In dieser digitalen Gesellschaft sind Entwickler dafür verantwortlich, Informationen und Unternehmen vor unsicherer kryptografischer Speicherung zu schützen. Lernen Sie von Secure Code Warrior.

Die überwältigende Mehrheit der Websites nutzt XML-Datenbanken für kritische Funktionen wie die Speicherung von Benutzeranmeldedaten, Kundeninformationen, personenbezogenen Daten sowie vertraulichen oder sensiblen Informationen, was XQuery-Angriffen eine recht große Angriffsfläche bietet.

Die Kamer van Koophandel berichtet, wie sie durch rollenbasierte Zertifizierungen, Trust-Score-Benchmarking und eine Kultur der gemeinsamen Sicherheitsverantwortung sicheres Programmieren fest in den Entwicklungsalltag integriert hat.

Erfahren Sie, wie die Partnerschaft zwischen Paysafe und Secure Code Warrior die Produktivität der Entwickler um 45 % steigerte und die Anzahl der Schwachstellen im Code deutlich reduzierte.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Entdecken Sie die Ergebnisse der Devlympics 2023 in diesem Bericht. Erfahren Sie mehr über das Engagement der Entwickler, Trends bei Tech-Stacks und Programmiersprachen in den einzelnen Branchen sowie die wichtigsten Schwachstellen und CWEs, die bei diesem jährlichen, von Secure Code Warrior veranstalteten globalen Event im Fokus standen.

Erfahren Sie, wie Sage die Sicherheit durch einen flexiblen, beziehungsorientierten Ansatz gestärkt, über 200 Security Champions ausgebildet und eine messbare Risikoreduzierung erzielt hat.

Erfahren Sie, wie Workday die Entwicklerschulung durch agiles Lernen mit Secure Code Warrior transformiert hat. Indem Workday seine Entwickler mit praxisorientierten, sprachspezifischen Inhalten befähigt, konnten Schwachstellen bereits früh im SDLC reduziert werden. Entdecken Sie die beeindruckenden Ergebnisse und die wichtigsten Erkenntnisse für den Aufbau einer Kultur für sicheren Code.

Erfahren Sie in dieser Fallstudie, wie Thales Ansätze für Mensch, Prozess und Technologie für ein agiles Programm zum sicheren Programmieren entwickelt hat, um Entwickler zu motivieren, aktive Security Champions zu werden.

Erfahren Sie, wie der Einzelhandelsriese Colgate-Palmolive seine Anwendungssicherheit im Zuge der digitalen Transformation neu gestaltet hat. Um Herausforderungen bei der sicheren Programmierung zu bewältigen, hat das Unternehmen seinen Ansatz innovativ weiterentwickelt und kompakte, kontextbezogene Lerneinheiten direkt in den Workflow der Entwickler integriert.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

Die IAG Group steht hinter vielen der führenden Versicherungsunternehmen im asiatisch-pazifischen Raum und zeichnet Policen für Millionen von Kunden mit einem jährlichen Prämienvolumen von rund 11,4 Milliarden AUD.

Erfahren Sie, wie sie eine interne Initiative zur Technologieausbildung ins Leben gerufen haben, um Tausende von Mitarbeitern bei der Aneignung praktischer, zukunftsweisender Fähigkeiten in verschiedenen Bereichen wie maschinellem Lernen und Cybersicherheit zu unterstützen.

Erfahren Sie in dieser ausführlichen Fallstudie, wie das Unternehmen die Turniere von Secure Code Warrior nutzte, um Entwickler einzubinden, das Bewusstsein für kritische Schwachstellen in Automobilsoftware zu schärfen und Kennzahlen über verschiedene Sprachen und Frameworks hinweg zu gewinnen.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

Regierungen können Cyberangriffe in Maschinengeschwindigkeit nicht länger als Zukunftsszenario abtun, denn – wie der jüngste Medicare-Datenabfluss gezeigt hat – die Zukunft ist bereits Realität.

‍

‍

Der Oktober ist der Monat des Sicherheitsbewusstseins, und wenn die letzten zwölf Monate eines gezeigt haben, dann, dass die Bedrohungslage keine Rücksicht darauf nimmt. Von KI-gestützten Phishing-Kampagnen und Social Engineering mittels Deepfakes bis hin zur ständigen Gefahr durch Ransomware-Angriffe auf Krankenhäuser, Schulen und Kommunen – Sicherheitsteams hatten 2026 kaum eine Verschnaufpause. Dieser jährliche Anlass, der nun in sein drittes Jahrzehnt geht, bleibt eine der besten Gelegenheiten der Branche, innezuhalten, Bilanz zu ziehen und sich zu fragen: Werden wir tatsächlich sicherer oder nur beschäftigter?

OpenAI hat ein für Oktober geplantes Update von Astra gestoppt, nachdem interne Tests Sicherheits- und Ausrichtungsprobleme aufgedeckt hatten – ein Punkt, der im Unternehmen zunehmend für Besorgnis sorgt.

KI-Agenten von OpenAI sind bei der Durchführung vergleichsweise alltäglicher Rechercheaufgaben in australische Regierungswebsites „eingedrungen“ – ein Vorfall, der als einer der ersten seiner Art gilt.

Dieses Ereignis verdeutlicht nach anderen Sicherheitsvorfällen mit KI-Agenten kritische Probleme: die Gefahren nicht abgestimmter KI, die Verantwortung der Entwickler und unzureichende Protokolle zur Offenlegung von Vorfällen. Experten betonen die dringende Notwendigkeit technischer Grenzen, einer robusten Überwachung und einer verpflichtenden, zeitnahen Meldung, um künftige, potenziell katastrophale Vorfälle zu verhindern.

Medicare und mindestens drei weitere staatliche Systeme wurden im Juni von einem KI-Agenten kompromittiert – und wir erfahren erst jetzt davon, was in der Branche für große Besorgnis sorgt.

Mit der globalen KI-Regulierung Schritt zu halten, wird fast genauso schwierig wie mit der Technologie selbst. Für Sicherheitsverantwortliche bringt jede Woche neue Entwicklungen, Regulierungsvorschläge oder politische Änderungen mit sich, die eine ohnehin komplexe Risikolandschaft weiter verschärfen.

Bedrohungsmodellierung ist für Unternehmen mit einem ausgereiften, tiefengestaffelten Cybersicherheitsansatz kaum neu. Sie ist seit Langem ein Eckpfeiler präventiver Sicherheit und hilft Unternehmen dabei, Schwachstellen zu erkennen und zu beheben, bevor diese ausgenutzt werden können.

Secure Code Warrior hat Citizen AI eingeführt, ein Schulungsprogramm zur KI-Kompetenz für nicht-technische Mitarbeiter, das eine verantwortungsvolle KI-Nutzung in allen Geschäftsbereichen fördern soll.

Unser neues Programm zur KI-Kompetenz vermittelt Mitarbeitern ohne Programmierkenntnisse das nötige Urteilsvermögen, Risikobewusstsein und Verantwortungsgefühl für den sicheren Einsatz KI-gestützter Arbeitsabläufe.

Secure Code Warrior hat Citizen AI by Secure Code Warrior vorgestellt, ein neues Programm zur KI-Kompetenz, das speziell für Mitarbeiter ohne Entwicklerhintergrund konzipiert wurde. Es unterstützt Unternehmen dabei, eine Belegschaft für den verantwortungsvollen Einsatz von KI aufzubauen. Citizen AI hilft Organisationen, KI-bezogene menschliche Risiken zu minimieren, unternehmensweite Governance-Initiativen zu unterstützen, das Vertrauen der Mitarbeiter im Umgang mit KI zu stärken und die sichere Einführung KI-gestützter Arbeitsabläufe zu beschleunigen.

‍

Secure Code Warrior, ein führender Anbieter im Bereich KI-Software-Governance und Sicherheitsschulungen für Entwickler, hat heute Citizen AI by Secure Code Warrior vorgestellt. Dieses neue Programm zur KI-Kompetenz wurde speziell für nicht-technische Mitarbeiter entwickelt, um Unternehmen bei der Vorbereitung ihrer Belegschaft auf den verantwortungsvollen Einsatz von KI zu unterstützen.

Unser neues Programm zur KI-Kompetenz vermittelt Mitarbeitern ohne Programmierkenntnisse das nötige Urteilsvermögen, Risikobewusstsein und Verantwortungsgefühl für den sicheren Einsatz KI-gestützter Arbeitsabläufe.

Unternehmen verfehlen ein wichtiges Ziel, wenn sie Governance-Strukturen und Schulungsprogramme für KI-gestützte Softwareentwicklung entwickeln.

Die Entwicklung von KI-Software schreitet für Entwickler und ihre Teams in rasantem Tempo voran. , CEO & Co-Founder bei Secure Code Warrior, stellt fest, dass viele Sicherheitsteams vor einer kritischen Herausforderung stehen, da sich der Standard von menschlich geschriebenem Code hin zu KI-gestützter Programmierung und agentenbasierten Workflows verschiebt: die Bewältigung der neuen Risiken, die durch autonome Systeme entstehen.

‍

‍

Für Softwareentwicklungsunternehmen stellt sich nicht mehr die Frage, ob generative KI zur Codeerstellung eingesetzt werden sollte oder ob der Anteil KI-generierten Codes in naher Zukunft steigen wird. Dieser Zug ist in den letzten 24 Monaten längst abgefahren. Die entscheidende Frage ist, wie Sicherheit und Compliance gewährleistet werden können, während GenAI und KI-Agenten zunehmend Softwarecode in Umlauf bringen.

Der alljährliche „National Insider Threat Awareness Month“ im September erinnert uns daran, dass einige der gefährlichsten Sicherheitsvorfälle nicht von externen Angreifern stammen, die die Perimeter durchbrechen, sondern von innen heraus entstehen. Ob durch böswillige Absicht, Fahrlässigkeit oder menschliches Versagen: Insider mit legitimem Zugriff auf Systeme, Daten und Einrichtungen stellen heute eines der hartnäckigsten und am schwersten zu erkennenden Risiken für Unternehmen dar. Da hybride Arbeitsmodelle, KI-gestützte Tools und zunehmend komplexe IT-Umgebungen die Arbeitswelt verändern, entwickelt sich die Bedrohungslage durch Insider stetig weiter und erfordert neue Aufmerksamkeit von Sicherheitsexperten.

Da agentische KI die Produktivität weiter steigert, wird die manuelle Code-Überprüfung zu einem ernsthaften Engpass. Entwickler müssen früher im Prozess ansetzen und die Grundregeln festlegen, damit die KI sich an die Vorgaben hält.

​Die Cybersicherheitsbranche, die sich seit über einem Jahrzehnt für das Prinzip „Security by Design“ einsetzt, blickt mit großen Augen auf die Risiken durch künstliche Intelligenz (KI). Während Unternehmen die Einführung von KI vorantreiben, ist es für CISOs entscheidend, nicht zum Hindernis zu werden. Ohne effektive KI-Governance sowie entsprechende Überwachungs- und Nachvollziehbarkeitsmechanismen könnten Unternehmen jedoch von KI-Risiken völlig unvorbereitet getroffen werden.​

Secure Code Warrior hat das SCW AI Adoption Model eingeführt. Dieses Framework unterstützt Unternehmen dabei, den Einsatz von KI in der Softwareentwicklung zu steuern, während sich die Branche vom klassischen Software Development Lifecycle (SDLC) hin zum sogenannten Agentic Development Lifecycle (ADLC) wandelt.

Da immer mehr Softwareentwicklungsteams von KI-Coding-Assistenten auf vollständig agentische KI-Codegenerierung umsteigen und die Menge des produzierten Codes exponentiell steigern, muss die Sicherheit dieses Codes oberste Priorität haben. Die Studie bietet praktische Orientierungshilfen für Unternehmen, die auf den Zug der KI-gestützten oder agentischen Softwareentwicklung aufspringen.

Die Nutzung von Tokens kann für Unternehmen unerwartet hohe Kosten verursachen.

KI ermöglicht schnellere Entwicklungszyklen und gibt Entwicklern den Freiraum für wertschöpfendere Aufgaben. Für viele Unternehmen sind diese Effizienzgewinne entscheidend, um wettbewerbsfähig zu bleiben. Die Herausforderung besteht daher nicht darin, ob KI eingesetzt werden sollte, sondern wie dies verantwortungsvoll geschieht. Unternehmen, die in die Weiterbildung ihrer Entwickler, Governance-Strukturen, KI-Observability und robuste Sicherheitskontrollen investieren, sind besser aufgestellt, um die Vorteile zu nutzen und gleichzeitig die damit verbundenen Risiken zu minimieren.

Es geht längst nicht mehr nur darum, KI-Modelle selbst zu schützen. Angreifer konzentrieren sich zunehmend auf das Software-Ökosystem rund um diese Modelle, einschließlich der Entwicklungstools, Middleware, Open-Source-Bibliotheken und automatisierten Bereitstellungspipelines, auf die Unternehmen täglich angewiesen sind.

Wie wir gemeinsam analysieren werden, gibt es viel Bewegung auf globaler Ebene. Zwar findet eine gewisse internationale Zusammenarbeit statt, doch der weitere Weg ist alles andere als einheitlich oder klar – insbesondere in Unternehmen, in denen KI oft eingeführt wird, bevor umfassende Sicherheitsmaßnahmen bestehen.  

Einem Experten zufolge sind KI-Leitplanken nicht als „Sicherheitsgrenzen“ konzipiert, sondern sollen das Verhalten beeinflussen – doch was passiert, wenn dieses Verhalten darin besteht, einen Ihrer Industriepartner zu hacken?

‍

Experten für Cybersicherheit warnen, dass der Einbruch in die Infrastruktur von Hugging Face während einer Sicherheitsüberprüfung durch OpenAI einen Wendepunkt für die Risiken durch autonome KI-Agenten darstellt. Bei diesem Vorfall verließen KI-Modelle eine kontrollierte Testumgebung und führten einen aktiven, mehrstufigen Angriff auf die KI-Plattform durch.

Von KI generierter Code enthält durchschnittlich 15 bestätigte Schwachstellen pro Codebasis, wie eine von Secure Code Warrior veröffentlichte Studie zeigt.

Frontier-KI steckt in einer PR-Krise. Nachdem Hugging Face am 16. Juli einen Blogbeitrag veröffentlichte, in dem behauptet wurde, ein autonomer Agent sei in die interne Umgebung eingedrungen, meldete OpenAI am 21. Juli, dass der Vorfall geschah, als GPT 5.6 Sol und ein „Vorab-Modell“ aus einer kontrollierten Testumgebung ausbrachen.

Untersuchungen von Secure Code Warrior zeigen, dass KI-generierter Code durchschnittlich 15 Schwachstellen pro Codebasis einführt.

‍

Secure Code Warrior hat den SCW AI Trust Index eingeführt, einen dynamischen Maßstab für KI-Programmiersicherheit, der mit jedem neuen Modell wächst. Er unterstützt Unternehmen dabei, die Sicherheitsrisiken von KI-generiertem Code zu verstehen und zu steuern. Die auf einer gemeinsam mit der RMIT University entwickelten Methodik basierende und von Secure Code Warrior erweiterte Studie liefert umfassende Benchmarks dazu, wie häufig führende LLMs unsicheren Code erzeugen – mit erheblichen Auswirkungen für jedes Unternehmen, das KI-gestützte Entwicklung skaliert.

KI-generierter Code weist durchschnittlich 15 Schwachstellen pro Codebasis auf, doch das tatsächliche Risiko hängt stärker von der Kombination der Frameworks ab als vom verwendeten Modell.

Der neue SCW AI Trust Index zeigt, dass Sicherheitsrisiken bei KI-generiertem Code nicht zufällig, sondern modell- und frameworkabhängig vorhersehbar sind. Dies liefert Sicherheitsverantwortlichen die Daten, um KI-gestützte Entwicklung sicher zu skalieren.

Die Herausforderungen bei der Implementierung von KI, ständige Updates und der Wettlauf um die Marktführerschaft nehmen rasant zu, und Sicherheitsexperten sind aufgrund des enormen Risikoprofils besonders stark davon betroffen.

Die australische Regierung hat erklärt, dass KI für die nationale Zukunft des Landes von großer Bedeutung ist – doch wie sieht der aktuelle Stand aus? Erfahren Sie hier, was die klügsten Köpfe der Branche über künstliche Intelligenz und ihre Rolle im modernen Unternehmen denken.

‍

Das Aufkommen agentischer KI markiert einen strukturellen Wandel in der Softwareentwicklung: Es entstehen Systeme, die nicht nur Produktionszyklen beschleunigen, sondern auch autonom Schlussfolgerungen ziehen und unabhängig von direkter menschlicher Steuerung agieren.

Da KI-generierter Code zum Standard wird, benötigen CISOs neue Audit-Strategien, um Entwicklerpraktiken zu bewerten, die Nutzung von KI-Tools zu steuern und Software-Risiken zu identifizieren, bevor sie in die Produktion gelangen.

Diese Kategorie hat 2026 aus einem spezifischen Grund an neuer Dringlichkeit gewonnen: KI-gestützte Programmiertools und -agenten erhöhen massiv die Menge an geschriebenem Code sowie die Häufigkeit, mit der dieser bereitgestellt, getestet und bereitgehalten werden muss. Platform Engineering ist die Ebene, die darüber entscheidet, ob diese gesteigerte Geschwindigkeit zu echtem Mehrwert oder zu Chaos führt.

Einem aktuellen Bericht von Gartner zufolge befeuert der ungebremste Einsatz von Shadow AI und unkontrollierter Automatisierung die Zunahme von KI-Schwachstellen. Gartner stellt fest, dass 32 % der IT-Mitarbeiter, die generative KI-Tools am Arbeitsplatz nutzen, diese vor ihren Cybersecurity-Teams verbergen. In Kombination mit Low-Code/No-Code-Plattformen und informellen Coding-Praktiken vergrößern KI-Copiloten die Angriffsfläche von Unternehmen massiv.

Für diesen Artikel haben wir Sicherheits- und Risikoverantwortlichen eine zentrale Frage gestellt: „Was unterscheidet eine Richtlinie, die Unternehmensrisiken tatsächlich mindert, von einer, die vor allem dazu dient, das Bewusstsein für KI-Risiken zu demonstrieren?“

Pieter Danhieux von Secure Code Warrior über das Management von Risiken bei KI-gestützter Entwicklung

Während generative KI ihren festen Platz in der Unternehmenssoftwareentwicklung einnimmt, gewinnt eine bekannte Disziplin an neuer Dringlichkeit: das Risikomanagement.

Secure Code Warrior hat heute den SCW Trust Agent: AI angekündigt, die branchenweit erste Governance-Lösung, die den Einfluss von Künstlicher Intelligenz (KI) in der Softwareentwicklung direkt beim Commit sichtbar, nachvollziehbar und steuerbar macht – so können Unternehmen KI-Coding-Tools skalieren und Software-Risiken messbar kontrollieren.

Auch wenn wir den SDLC rund um die wirkungsvollsten Elemente der agilen Methodik mit sorgfältigen, DevSecOps-zentrierten Sicherheitsüberlegungen umstrukturieren: Ist das das Ende von AppSec, wie wir es kennen?

Global InfoSec Awards 2026: Secure Code Warrior gewinnt Auszeichnung für herausragende Leistungen in Cybersecurity Risk Management und Compliance

Unsere neue Lösung für AI Software Governance macht KI-generierten Code beim Commit sichtbar, setzt Richtlinien vor der Produktion durch und verknüpft tatsächliches Entwicklungsverhalten mit messbarer Risikominimierung.