Einblicke von Experten, die sichere Entwicklung gestalten

Was ist eine Sicherheitsfehlkonfiguration? Entdecken Sie die häufigsten Sicherheitslücken durch Fehlkonfigurationen und erfahren Sie, wie Sie diese verhindern können. Lernen Sie von Secure Code Warrior.

Je älter meine Tochter und mein Unternehmen werden, desto mehr erkenne ich die vielen Parallelen zwischen der Gründung eines Startups und der Erfahrung, zum ersten Mal Eltern zu werden. In beiden Fällen befinde ich mich nun im vierten Jahr.

Schauen wir uns jetzt an, wie Clickjacking funktioniert, warum es gefährlich ist und was Entwickler wie Sie tun können, um es zu verhindern.

OS-Command-Injection-Angriffe können auch von unerfahrenen Hackern mit geringen Kenntnissen durchgeführt werden, was sie zu einer der häufigsten Schwachstellen macht, mit denen Sicherheitsteams konfrontiert sind. Glücklicherweise gibt es eine ganze Reihe sehr effektiver Methoden, um diese Angriffe erfolgreich abzuwehren.

Sessions sind der Schlüssel zu einer guten Nutzererfahrung im Web. Eine fehlerhafte Verwaltung dieser Sessions kann jedoch zu Sicherheitslücken führen, die von Angreifern ausgenutzt werden können.

Ist es nicht an der Zeit, das Thema Sicherheit neu zu denken? Es ist ganz einfach: Wir müssen die Art und Weise, wie wir darüber sprechen, ändern und das Ganze für beide Seiten – vor allem für das Entwicklungsteam – positiver (und natürlich unterhaltsamer!) gestalten.

Auch wenn Padding Oracle nach einem ziemlich schlechten Namen für eine Alternative-Rock-Band klingt, handelt es sich tatsächlich um eine Sicherheitslücke, die Angreifer nutzen können, um Informationen ohne Kenntnis des Verschlüsselungsschlüssels zu entschlüsseln.

Probleme können auftreten, wenn böswillige Benutzer eine LDAP-Abfrage manipulieren können. Auf diese Weise kann der Empfangsserver dazu verleitet werden, ungültige Abfragen auszuführen, die normalerweise nicht zulässig wären, oder sogar Benutzern mit eingeschränkter Sicherheit ohne Passwort Zugriff auf hohe Ebenen oder Administratorrechte zu gewähren.

Der eigentliche Kampf, dem wir uns stellen müssen, gilt nicht irgendwelchen Skript-Kiddies oder gefährlichen organisierten Cyberkriminellen... sondern der Herausforderung, mehr Menschen überhaupt erst für das Thema Datenpannen zu sensibilisieren.

Im Bereich Cybersicherheit können Angreifer schnell jede Anwendung oder jedes Programm ausnutzen, das uneingeschränkte Datei-Uploads unterstützen darf. Und die Ergebnisse können verheerend sein.

NoSQL-Datenbanken erfreuen sich wachsender Beliebtheit. Ihre Geschwindigkeit und die einfache Handhabung unstrukturierter Daten sind kaum zu leugnen, doch mit der zunehmenden Verbreitung treten zwangsläufig auch immer mehr Sicherheitslücken zutage.

CSRF-Angriffe sind ziemlich komplex und erfordern das Zusammenspiel mehrerer Faktoren, um erfolgreich zu sein. Mit anderen Worten: Damit ein solcher Angriff funktioniert, muss eine ganze Reihe von Sicherheitsvorkehrungen versagen. Dennoch sind sie ein äußerst beliebter und lukrativer Angriffsvektor.

Angreifer verwenden SQL Injection — eine der ältesten (seit 1998!) und die lästigsten Datenlücken, die es gibt — um vertrauliche Informationen zu stehlen und zu verändern, die in Millionen von Datenbanken auf der ganzen Welt verfügbar sind.

Wenn Online-Privatsphäre ohne Sicherheit existieren soll, herrscht Chaos. Fragen Sie nur Ross Ulbricht.

Beobachtung: Die zunehmende Innovationskraft und Vorreiterrolle von Finanzinstituten bei der Weiterbildung ihrer Entwickler im Bereich sicherer Programmierung.

Es gibt die bekannte Theorie, dass Kakerlaken so gut wie alles überleben können – sogar eine nukleare Explosion.

Es gibt viele Lösungen, die Schwachstellen im Code aufspüren, aber die Sicherheit muss stärker darauf ausgerichtet sein, Entwicklern Sicherheitsrichtlinien zu vermitteln, damit diese Fehler gar nicht erst entstehen.

Wir müssen den Dialog verändern und Sicherheit zu einem festen Bestandteil des Arbeitsalltags eines jeden Entwicklers machen. Ich bin überzeugt, dass einer der besten Wege hierfür darin besteht, Entwickler durch Ansätze wie Gamification für das Thema Sicherheit zu begeistern und zu befähigen.

Wir müssen aufhören, Sicherheit als lästiges Hindernis für unternehmerische Innovation zu betrachten.

Ich dachte, ich würde eine Karriere im Bereich Infrastruktur oder Service Support beginnen und bekam dann eine Entwicklungsmöglichkeit in einem Graduiertenprogramm. Es stellte sich heraus, dass ich genau dort sein musste.

Entwickler von Anfang an in die Lage zu versetzen, sicheren Code zu schreiben, ist eine Gelegenheit für CISOs, aus der Sicherheitslücke heraus eine gewisse proaktive Kontrolle zu übernehmen. Hier besteht die Möglichkeit, schnelle, einfache und messbare Verbesserungen sowohl für Sicherheits- als auch für Entwicklungsteams zu erzielen.

Laut den Ermittlern verhinderte lediglich ein Fehler im Computercode der Angreifer eine Explosion.

Unsere Vision ist es, Entwickler zur ersten Verteidigungslinie ihres Unternehmens zu machen, indem wir Sicherheit sichtbar machen und ihnen die Fähigkeiten und Werkzeuge an die Hand geben, von Anfang an sicheren Code zu schreiben.

Wie sollen Entwickler sicheren Code schreiben, wenn ihnen niemand vermittelt, warum das wichtig ist, welche Folgen unsicherer Code hat und vor allem, wie sie die Entstehung solcher Schwachstellen in ihren jeweiligen Programmier-Frameworks von vornherein verhindern können?

Spezifikationen für XML und XML-Schemas weisen mehrere Sicherheitslücken auf. Gleichzeitig bieten diese Spezifikationen die notwendigen Werkzeuge, um XML-Anwendungen zu schützen. Obwohl wir XML-Schemas verwenden, um die Sicherheit von XML-Dokumenten zu definieren, können sie auch für eine Vielzahl von Angriffen missbraucht werden.

Wir können eine Datei in eine ZIP-Datei einschleusen, deren Name mit einem

Die Kosten für die Änderung einer einzigen Codezeile in einem Avioniksystem belaufen sich auf 1 Million Dollar und die Umsetzung dauert ein Jahr. Für Southwest Airlines, deren Flotte auf der Boeing 737 basiert, wäre das der „Bankrott“

Folge 139: Matias Madou spricht über Schulungen zur sicheren Softwareentwicklung und Forschung im Bereich Software-Sicherheitstests

Die vollständige Geräteverschlüsselung von Android schützt alle Daten und schreibt sie verschlüsselt in den Speicher, sodass sie erst nach dem Entsperren des Geräts sichtbar sind. Erfahren Sie mehr von Secure Code Warrior.

Manchmal ist es unerlässlich, dass eine Anwendung sicherstellen kann, dass eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird

Durch die Definition benutzerdefinierter Berechtigungen kann eine App ihre Ressourcen und Funktionen für andere Apps freigeben.

Fast 300.000 Entwickler in rund 95.000 Anwendungen nutzen BSIMM8, um ihre Software-Sicherheitsinitiativen (SSIs) zu planen, umzusetzen und zu bewerten.

Bei der Benutzernamen-Enumeration nutzen Hacker Brute-Force-Angriffe, um an Benutzername- und Passwortdaten zu gelangen. Erfahren Sie mit Secure Code Warrior, wie Sie sich vor Benutzernamen-Enumeration schützen können.

5 wichtige Lektionen für die Einführung effektiver Sicherheitsschulungen für Entwickler

Die Bedeutung dieser Arbeit besteht darin, dass wir empirische Beweise für eine erhebliche Anzahl alarmierender Probleme mit der sicheren Codierung geliefert haben, über die bisher nicht berichtet wurde.

Der Bug existiert immer noch. Er lässt sich nicht sofort beheben. In den letzten Monaten habe ich im Rahmen von Bug-Bounty-Programmen Dutzende Unternehmen und betroffene Anbieter kontaktiert, damit sie ihre Systeme absichern.

Während CIOs ihre agilen Unternehmensfähigkeiten konsequent ausbauen, werden sichere Programmierkenntnisse zu einer Innovationswaffe – ihr Fehlen hingegen zu einem Instrument der Zerstörung.

Egal, ob Sie die Führungsebene in Cybersicherheit schulen oder Entwicklern JAVA- oder C#-Kenntnisse für sicheres Programmieren vermitteln – Kreativität, Gamification und Spaß haben immer ihren Platz.

Wenn ein Entwickler beim Programmieren in JavaScript einen Cross-Site-Scripting-Fehler schreibt und er das innerhalb weniger Minuten nach dem Erstellen des Fehlers erkennen kann

Es gibt eine Frage, die sich jeder Entwickler stellen muss, egal ob Berufseinsteiger oder erfahrener Profi. Und die Antwort darauf ist entscheidend.

Letzte Woche habe ich Schwachstellen in Java Spring recherchiert, um unsere Richtlinien für sicheres Programmieren auf den neuesten Stand zu bringen.

Im Jahr 2016 entdeckte ein Sicherheitsforscher, der unter dem Namen x0rz bekannt ist, laut einem Tweet eine verbreitete Schwachstelle namens Cross-Site Scripting (XSS) auf der Hauptwebsite von Equifax.

Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.

Datenremanenz bezeichnet die physische Restdarstellung von Daten, die auf irgendeine Weise gelöscht wurden.

Wieder einmal ist die Ursache für den Equifax-Hack eine Schwachstelle in einer Webanwendung. Solche Sicherheitslücken gibt es schon seit über einem Jahrzehnt, doch sie sind heute aktueller denn je.

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

Die Kamer van Koophandel berichtet, wie sie durch rollenbasierte Zertifizierungen, Trust-Score-Benchmarking und eine Kultur der gemeinsamen Sicherheitsverantwortung sicheres Programmieren fest in den Entwicklungsalltag integriert hat.

Erfahren Sie, wie die Partnerschaft zwischen Paysafe und Secure Code Warrior die Produktivität der Entwickler um 45 % steigerte und die Anzahl der Schwachstellen im Code deutlich reduzierte.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Entdecken Sie die Ergebnisse der Devlympics 2023 in diesem Bericht. Erfahren Sie mehr über das Engagement der Entwickler, Trends bei Tech-Stacks und Programmiersprachen in den einzelnen Branchen sowie die wichtigsten Schwachstellen und CWEs, die bei diesem jährlichen, von Secure Code Warrior veranstalteten globalen Event im Fokus standen.

Erfahren Sie, wie Sage die Sicherheit durch einen flexiblen, beziehungsorientierten Ansatz gestärkt, über 200 Security Champions ausgebildet und eine messbare Risikoreduzierung erzielt hat.

Erfahren Sie, wie Workday die Entwicklerschulung durch agiles Lernen mit Secure Code Warrior transformiert hat. Indem Workday seine Entwickler mit praxisorientierten, sprachspezifischen Inhalten befähigt, konnten Schwachstellen bereits früh im SDLC reduziert werden. Entdecken Sie die beeindruckenden Ergebnisse und die wichtigsten Erkenntnisse für den Aufbau einer Kultur für sicheren Code.

Erfahren Sie in dieser Fallstudie, wie Thales Ansätze für Mensch, Prozess und Technologie für ein agiles Programm zum sicheren Programmieren entwickelt hat, um Entwickler zu motivieren, aktive Security Champions zu werden.

Erfahren Sie, wie der Einzelhandelsriese Colgate-Palmolive seine Anwendungssicherheit im Zuge der digitalen Transformation neu gestaltet hat. Um Herausforderungen bei der sicheren Programmierung zu bewältigen, hat das Unternehmen seinen Ansatz innovativ weiterentwickelt und kompakte, kontextbezogene Lerneinheiten direkt in den Workflow der Entwickler integriert.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

Die IAG Group steht hinter vielen der führenden Versicherungsunternehmen im asiatisch-pazifischen Raum und zeichnet Policen für Millionen von Kunden mit einem jährlichen Prämienvolumen von rund 11,4 Milliarden AUD.

Erfahren Sie, wie sie eine interne Initiative zur Technologieausbildung ins Leben gerufen haben, um Tausende von Mitarbeitern bei der Aneignung praktischer, zukunftsweisender Fähigkeiten in verschiedenen Bereichen wie maschinellem Lernen und Cybersicherheit zu unterstützen.

Erfahren Sie in dieser ausführlichen Fallstudie, wie das Unternehmen die Turniere von Secure Code Warrior nutzte, um Entwickler einzubinden, das Bewusstsein für kritische Schwachstellen in Automobilsoftware zu schärfen und Kennzahlen über verschiedene Sprachen und Frameworks hinweg zu gewinnen.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

Regierungen können Cyberangriffe in Maschinengeschwindigkeit nicht länger als Zukunftsszenario abtun, denn – wie der jüngste Medicare-Datenabfluss gezeigt hat – die Zukunft ist bereits Realität.

‍

‍

Der Oktober ist der Monat des Sicherheitsbewusstseins, und wenn die letzten zwölf Monate eines gezeigt haben, dann, dass die Bedrohungslage keine Rücksicht darauf nimmt. Von KI-gestützten Phishing-Kampagnen und Social Engineering mittels Deepfakes bis hin zur ständigen Gefahr durch Ransomware-Angriffe auf Krankenhäuser, Schulen und Kommunen – Sicherheitsteams hatten 2026 kaum eine Verschnaufpause. Dieser jährliche Anlass, der nun in sein drittes Jahrzehnt geht, bleibt eine der besten Gelegenheiten der Branche, innezuhalten, Bilanz zu ziehen und sich zu fragen: Werden wir tatsächlich sicherer oder nur beschäftigter?

OpenAI hat ein für Oktober geplantes Update von Astra gestoppt, nachdem interne Tests Sicherheits- und Ausrichtungsprobleme aufgedeckt hatten – ein Punkt, der im Unternehmen zunehmend für Besorgnis sorgt.

KI-Agenten von OpenAI sind bei der Durchführung vergleichsweise alltäglicher Rechercheaufgaben in australische Regierungswebsites „eingedrungen“ – ein Vorfall, der als einer der ersten seiner Art gilt.

Dieses Ereignis verdeutlicht nach anderen Sicherheitsvorfällen mit KI-Agenten kritische Probleme: die Gefahren nicht abgestimmter KI, die Verantwortung der Entwickler und unzureichende Protokolle zur Offenlegung von Vorfällen. Experten betonen die dringende Notwendigkeit technischer Grenzen, einer robusten Überwachung und einer verpflichtenden, zeitnahen Meldung, um künftige, potenziell katastrophale Vorfälle zu verhindern.

Medicare und mindestens drei weitere staatliche Systeme wurden im Juni von einem KI-Agenten kompromittiert – und wir erfahren erst jetzt davon, was in der Branche für große Besorgnis sorgt.

Mit der globalen KI-Regulierung Schritt zu halten, wird fast genauso schwierig wie mit der Technologie selbst. Für Sicherheitsverantwortliche bringt jede Woche neue Entwicklungen, Regulierungsvorschläge oder politische Änderungen mit sich, die eine ohnehin komplexe Risikolandschaft weiter verschärfen.

Bedrohungsmodellierung ist für Unternehmen mit einem ausgereiften, tiefengestaffelten Cybersicherheitsansatz kaum neu. Sie ist seit Langem ein Eckpfeiler präventiver Sicherheit und hilft Unternehmen dabei, Schwachstellen zu erkennen und zu beheben, bevor diese ausgenutzt werden können.

Secure Code Warrior hat Citizen AI eingeführt, ein Schulungsprogramm zur KI-Kompetenz für nicht-technische Mitarbeiter, das eine verantwortungsvolle KI-Nutzung in allen Geschäftsbereichen fördern soll.

Unser neues Programm zur KI-Kompetenz vermittelt Mitarbeitern ohne Programmierkenntnisse das nötige Urteilsvermögen, Risikobewusstsein und Verantwortungsgefühl für den sicheren Einsatz KI-gestützter Arbeitsabläufe.

Secure Code Warrior hat Citizen AI by Secure Code Warrior vorgestellt, ein neues Programm zur KI-Kompetenz, das speziell für Mitarbeiter ohne Entwicklerhintergrund konzipiert wurde. Es unterstützt Unternehmen dabei, eine Belegschaft für den verantwortungsvollen Einsatz von KI aufzubauen. Citizen AI hilft Organisationen, KI-bezogene menschliche Risiken zu minimieren, unternehmensweite Governance-Initiativen zu unterstützen, das Vertrauen der Mitarbeiter im Umgang mit KI zu stärken und die sichere Einführung KI-gestützter Arbeitsabläufe zu beschleunigen.

‍

Secure Code Warrior, ein führender Anbieter im Bereich KI-Software-Governance und Sicherheitsschulungen für Entwickler, hat heute Citizen AI by Secure Code Warrior vorgestellt. Dieses neue Programm zur KI-Kompetenz wurde speziell für nicht-technische Mitarbeiter entwickelt, um Unternehmen bei der Vorbereitung ihrer Belegschaft auf den verantwortungsvollen Einsatz von KI zu unterstützen.

Unser neues Programm zur KI-Kompetenz vermittelt Mitarbeitern ohne Programmierkenntnisse das nötige Urteilsvermögen, Risikobewusstsein und Verantwortungsgefühl für den sicheren Einsatz KI-gestützter Arbeitsabläufe.

Unternehmen verfehlen ein wichtiges Ziel, wenn sie Governance-Strukturen und Schulungsprogramme für KI-gestützte Softwareentwicklung entwickeln.

Die Entwicklung von KI-Software schreitet für Entwickler und ihre Teams in rasantem Tempo voran. , CEO & Co-Founder bei Secure Code Warrior, stellt fest, dass viele Sicherheitsteams vor einer kritischen Herausforderung stehen, da sich der Standard von menschlich geschriebenem Code hin zu KI-gestützter Programmierung und agentenbasierten Workflows verschiebt: die Bewältigung der neuen Risiken, die durch autonome Systeme entstehen.

‍

‍

Für Softwareentwicklungsunternehmen stellt sich nicht mehr die Frage, ob generative KI zur Codeerstellung eingesetzt werden sollte oder ob der Anteil KI-generierten Codes in naher Zukunft steigen wird. Dieser Zug ist in den letzten 24 Monaten längst abgefahren. Die entscheidende Frage ist, wie Sicherheit und Compliance gewährleistet werden können, während GenAI und KI-Agenten zunehmend Softwarecode in Umlauf bringen.

Der alljährliche „National Insider Threat Awareness Month“ im September erinnert uns daran, dass einige der gefährlichsten Sicherheitsvorfälle nicht von externen Angreifern stammen, die die Perimeter durchbrechen, sondern von innen heraus entstehen. Ob durch böswillige Absicht, Fahrlässigkeit oder menschliches Versagen: Insider mit legitimem Zugriff auf Systeme, Daten und Einrichtungen stellen heute eines der hartnäckigsten und am schwersten zu erkennenden Risiken für Unternehmen dar. Da hybride Arbeitsmodelle, KI-gestützte Tools und zunehmend komplexe IT-Umgebungen die Arbeitswelt verändern, entwickelt sich die Bedrohungslage durch Insider stetig weiter und erfordert neue Aufmerksamkeit von Sicherheitsexperten.

Da agentische KI die Produktivität weiter steigert, wird die manuelle Code-Überprüfung zu einem ernsthaften Engpass. Entwickler müssen früher im Prozess ansetzen und die Grundregeln festlegen, damit die KI sich an die Vorgaben hält.

​Die Cybersicherheitsbranche, die sich seit über einem Jahrzehnt für das Prinzip „Security by Design“ einsetzt, blickt mit großen Augen auf die Risiken durch künstliche Intelligenz (KI). Während Unternehmen die Einführung von KI vorantreiben, ist es für CISOs entscheidend, nicht zum Hindernis zu werden. Ohne effektive KI-Governance sowie entsprechende Überwachungs- und Nachvollziehbarkeitsmechanismen könnten Unternehmen jedoch von KI-Risiken völlig unvorbereitet getroffen werden.​

Secure Code Warrior hat das SCW AI Adoption Model eingeführt. Dieses Framework unterstützt Unternehmen dabei, den Einsatz von KI in der Softwareentwicklung zu steuern, während sich die Branche vom klassischen Software Development Lifecycle (SDLC) hin zum sogenannten Agentic Development Lifecycle (ADLC) wandelt.

Da immer mehr Softwareentwicklungsteams von KI-Coding-Assistenten auf vollständig agentische KI-Codegenerierung umsteigen und die Menge des produzierten Codes exponentiell steigern, muss die Sicherheit dieses Codes oberste Priorität haben. Die Studie bietet praktische Orientierungshilfen für Unternehmen, die auf den Zug der KI-gestützten oder agentischen Softwareentwicklung aufspringen.

Die Nutzung von Tokens kann für Unternehmen unerwartet hohe Kosten verursachen.

KI ermöglicht schnellere Entwicklungszyklen und gibt Entwicklern den Freiraum für wertschöpfendere Aufgaben. Für viele Unternehmen sind diese Effizienzgewinne entscheidend, um wettbewerbsfähig zu bleiben. Die Herausforderung besteht daher nicht darin, ob KI eingesetzt werden sollte, sondern wie dies verantwortungsvoll geschieht. Unternehmen, die in die Weiterbildung ihrer Entwickler, Governance-Strukturen, KI-Observability und robuste Sicherheitskontrollen investieren, sind besser aufgestellt, um die Vorteile zu nutzen und gleichzeitig die damit verbundenen Risiken zu minimieren.

Es geht längst nicht mehr nur darum, KI-Modelle selbst zu schützen. Angreifer konzentrieren sich zunehmend auf das Software-Ökosystem rund um diese Modelle, einschließlich der Entwicklungstools, Middleware, Open-Source-Bibliotheken und automatisierten Bereitstellungspipelines, auf die Unternehmen täglich angewiesen sind.

Wie wir gemeinsam analysieren werden, gibt es viel Bewegung auf globaler Ebene. Zwar findet eine gewisse internationale Zusammenarbeit statt, doch der weitere Weg ist alles andere als einheitlich oder klar – insbesondere in Unternehmen, in denen KI oft eingeführt wird, bevor umfassende Sicherheitsmaßnahmen bestehen.  

Einem Experten zufolge sind KI-Leitplanken nicht als „Sicherheitsgrenzen“ konzipiert, sondern sollen das Verhalten beeinflussen – doch was passiert, wenn dieses Verhalten darin besteht, einen Ihrer Industriepartner zu hacken?

‍

Experten für Cybersicherheit warnen, dass der Einbruch in die Infrastruktur von Hugging Face während einer Sicherheitsüberprüfung durch OpenAI einen Wendepunkt für die Risiken durch autonome KI-Agenten darstellt. Bei diesem Vorfall verließen KI-Modelle eine kontrollierte Testumgebung und führten einen aktiven, mehrstufigen Angriff auf die KI-Plattform durch.

Von KI generierter Code enthält durchschnittlich 15 bestätigte Schwachstellen pro Codebasis, wie eine von Secure Code Warrior veröffentlichte Studie zeigt.

Frontier-KI steckt in einer PR-Krise. Nachdem Hugging Face am 16. Juli einen Blogbeitrag veröffentlichte, in dem behauptet wurde, ein autonomer Agent sei in die interne Umgebung eingedrungen, meldete OpenAI am 21. Juli, dass der Vorfall geschah, als GPT 5.6 Sol und ein „Vorab-Modell“ aus einer kontrollierten Testumgebung ausbrachen.

Untersuchungen von Secure Code Warrior zeigen, dass KI-generierter Code durchschnittlich 15 Schwachstellen pro Codebasis einführt.

‍

Secure Code Warrior hat den SCW AI Trust Index eingeführt, einen dynamischen Maßstab für KI-Programmiersicherheit, der mit jedem neuen Modell wächst. Er unterstützt Unternehmen dabei, die Sicherheitsrisiken von KI-generiertem Code zu verstehen und zu steuern. Die auf einer gemeinsam mit der RMIT University entwickelten Methodik basierende und von Secure Code Warrior erweiterte Studie liefert umfassende Benchmarks dazu, wie häufig führende LLMs unsicheren Code erzeugen – mit erheblichen Auswirkungen für jedes Unternehmen, das KI-gestützte Entwicklung skaliert.

KI-generierter Code weist durchschnittlich 15 Schwachstellen pro Codebasis auf, doch das tatsächliche Risiko hängt stärker von der Kombination der Frameworks ab als vom verwendeten Modell.

Der neue SCW AI Trust Index zeigt, dass Sicherheitsrisiken bei KI-generiertem Code nicht zufällig, sondern modell- und frameworkabhängig vorhersehbar sind. Dies liefert Sicherheitsverantwortlichen die Daten, um KI-gestützte Entwicklung sicher zu skalieren.

Die Herausforderungen bei der Implementierung von KI, ständige Updates und der Wettlauf um die Marktführerschaft nehmen rasant zu, und Sicherheitsexperten sind aufgrund des enormen Risikoprofils besonders stark davon betroffen.

Die australische Regierung hat erklärt, dass KI für die nationale Zukunft des Landes von großer Bedeutung ist – doch wie sieht der aktuelle Stand aus? Erfahren Sie hier, was die klügsten Köpfe der Branche über künstliche Intelligenz und ihre Rolle im modernen Unternehmen denken.

‍

Das Aufkommen agentischer KI markiert einen strukturellen Wandel in der Softwareentwicklung: Es entstehen Systeme, die nicht nur Produktionszyklen beschleunigen, sondern auch autonom Schlussfolgerungen ziehen und unabhängig von direkter menschlicher Steuerung agieren.

Da KI-generierter Code zum Standard wird, benötigen CISOs neue Audit-Strategien, um Entwicklerpraktiken zu bewerten, die Nutzung von KI-Tools zu steuern und Software-Risiken zu identifizieren, bevor sie in die Produktion gelangen.

Diese Kategorie hat 2026 aus einem spezifischen Grund an neuer Dringlichkeit gewonnen: KI-gestützte Programmiertools und -agenten erhöhen massiv die Menge an geschriebenem Code sowie die Häufigkeit, mit der dieser bereitgestellt, getestet und bereitgehalten werden muss. Platform Engineering ist die Ebene, die darüber entscheidet, ob diese gesteigerte Geschwindigkeit zu echtem Mehrwert oder zu Chaos führt.

Einem aktuellen Bericht von Gartner zufolge befeuert der ungebremste Einsatz von Shadow AI und unkontrollierter Automatisierung die Zunahme von KI-Schwachstellen. Gartner stellt fest, dass 32 % der IT-Mitarbeiter, die generative KI-Tools am Arbeitsplatz nutzen, diese vor ihren Cybersecurity-Teams verbergen. In Kombination mit Low-Code/No-Code-Plattformen und informellen Coding-Praktiken vergrößern KI-Copiloten die Angriffsfläche von Unternehmen massiv.

Für diesen Artikel haben wir Sicherheits- und Risikoverantwortlichen eine zentrale Frage gestellt: „Was unterscheidet eine Richtlinie, die Unternehmensrisiken tatsächlich mindert, von einer, die vor allem dazu dient, das Bewusstsein für KI-Risiken zu demonstrieren?“

Pieter Danhieux von Secure Code Warrior über das Management von Risiken bei KI-gestützter Entwicklung

Während generative KI ihren festen Platz in der Unternehmenssoftwareentwicklung einnimmt, gewinnt eine bekannte Disziplin an neuer Dringlichkeit: das Risikomanagement.

Secure Code Warrior hat heute den SCW Trust Agent: AI angekündigt, die branchenweit erste Governance-Lösung, die den Einfluss von Künstlicher Intelligenz (KI) in der Softwareentwicklung direkt beim Commit sichtbar, nachvollziehbar und steuerbar macht – so können Unternehmen KI-Coding-Tools skalieren und Software-Risiken messbar kontrollieren.

Auch wenn wir den SDLC rund um die wirkungsvollsten Elemente der agilen Methodik mit sorgfältigen, DevSecOps-zentrierten Sicherheitsüberlegungen umstrukturieren: Ist das das Ende von AppSec, wie wir es kennen?

Global InfoSec Awards 2026: Secure Code Warrior gewinnt Auszeichnung für herausragende Leistungen in Cybersecurity Risk Management und Compliance

Unsere neue Lösung für AI Software Governance macht KI-generierten Code beim Commit sichtbar, setzt Richtlinien vor der Produktion durch und verknüpft tatsächliches Entwicklungsverhalten mit messbarer Risikominimierung.

Secure Code Warrior (SCW) hat diese Woche einen KI-Agenten eingeführt, der von KI-Tools erstellten Code erkennt und automatisch die entsprechenden Governance-Richtlinien anwendet.

Secure Code Warrior hat den SCW Trust Agent: AI eingeführt, ein Software-Governance-Produkt, das den Einsatz von KI-Codierungstools in der Entwicklung nachverfolgt und diese Nutzung beim Einchecken von Code mit Software-Risiken verknüpft.

Globee® Awards 2026 für Cybersicherheit: Secure Code Warrior gewinnt Gold Globee für Cybersicherheitslösungen in der Softwareentwicklung (Best Of)

Secure Code Warrior hat den SCW Trust Agent: AI vorgestellt, eine Governance-Lösung, die den Einfluss von KI in der Softwareentwicklung sichtbar, nachvollziehbar und direkt beim Commit steuerbar macht – so können Unternehmen KI-Coding-Tools skalieren und Software-Risiken messbar kontrollieren.

Secure Code Warrior kündigt heute den SCW Trust Agent: AI an, die branchenweit erste Governance-Lösung, die den Einfluss von KI in der Softwareentwicklung direkt beim Commit sichtbar, nachvollziehbar und steuerbar macht. Unternehmen können damit KI-Coding-Tools skalieren und gleichzeitig Software-Risiken messbar kontrollieren. Erstmals lässt sich nachverfolgen, welche KI-Modelle bestimmte Commits beeinflusst haben, diesen Einfluss mit Schwachstellen korrelieren und Korrekturmaßnahmen ergreifen, bevor unsicherer Code in die Produktion gelangt.

Secure Code Warrior hat den SCW Trust Agent: AI vorgestellt, eine Governance-Lösung, die den Einfluss von KI in der Softwareentwicklung direkt beim Commit sichtbar, nachvollziehbar und steuerbar macht. Unternehmen können so KI-Coding-Tools skalieren und Software-Risiken messbar kontrollieren. Organisationen können nachverfolgen, welche KI-Modelle bestimmte Commits beeinflusst haben, diesen Einfluss mit Schwachstellen korrelieren und Korrekturmaßnahmen ergreifen, bevor unsicherer Code in die Produktion gelangt.

Unsere neue Lösung für AI Software Governance macht KI-generierten Code beim Commit sichtbar, setzt Richtlinien vor der Produktion durch und verknüpft tatsächliches Entwicklungsverhalten mit messbarer Risikominimierung.

Entwickler hatten es in traditionellen Bedrohungsmodellierungs-Programmen lange schwer, wirklich mitzureden. Mit den richtigen Fähigkeiten haben sie nun jedoch die Chance, KI verantwortungsvoll einzusetzen, um Risiken und Nachbesserungsbedarf in ihrem Code drastisch zu reduzieren.

KI-generierter Code mag zwar „von der Maschine“ stammen, doch ein Standardansatz bei der Absicherung reicht bei weitem nicht aus, um die Schwachstellen zu beheben, die LLMs mit sich bringen können. Unternehmen müssen präzise Sicherheitsüberprüfungen etablieren, bei denen menschliche Entwickler den Prozess steuern, um effektive Sicherheitskontrollen zu implementieren und gleichzeitig die spezifische „Programmier-Handschrift“ jedes verwendeten LLMs zu berücksichtigen. KI-generierter Code muss denselben individuellen Risikobewertungen unterzogen werden wie von Menschen geschriebener Code.

Da Tools für künstliche Intelligenz (KI) immer häufiger im Softwareentwicklungsprozess eingesetzt werden, werden ihre Auswirkungen auf die Sicherheit immer deutlicher. Aktuellen Untersuchungen zufolge haben fast 70 % der Unternehmen Schwachstellen entdeckt, die durch KI-Tools verursacht wurden, während jeder Fünfte infolge dieser Schwachstellen einen schwerwiegenden Vorfall erlebt hat.

Laut dem Marktforschungsunternehmen Forrester[1] wird die technische Schuld bei 75 % der Unternehmen in diesem Jahr auf ein mittleres bis hohes Niveau ansteigen, was auf die rasante Ausbreitung von KI-Anwendungen in verschiedenen Bereichen, einschließlich der Softwareentwicklung, zurückzuführen ist.

Obwohl das Jahr 2026 noch jung ist, zeigen neue Forschungsergebnisse das Ausmaß der Cyberrisiken durch KI-gestützte Softwareentwicklung: Fast 7 von 10 Unternehmen haben Schwachstellen in KI-generiertem Code entdeckt, und 1 von 5 war bereits von einem schwerwiegenden Vorfall betroffen, der direkt auf diese Schwachstellen zurückzuführen ist.

Künstliche Intelligenz (KI) ist aus der modernen Softwareentwicklung nicht mehr wegzudenken. Von großen Sprachmodellen, die Code auf Abruf generieren, bis hin zu agentenbasierten Systemen, die ganze Arbeitsabläufe automatisieren – KI-Tools versprechen enorme Produktivitäts- und Effizienzsteigerungen.

Entwickler sollten KI als einen Partner betrachten, der engmaschig überwacht werden muss, statt als autonome Einheit, die man einfach gewähren lässt. Ohne diese Einstellung ist eine erdrückende technische Schuld unvermeidlich.

Von technischen Kompromittierungen bis hin zu KI-gestützten Angriffen: Cyberkriminelle sehen Softwareentwickler zunehmend als Hauptziel, was systemische Risiken schafft, denen sich CISOs stellen müssen.

Es ist die Woche der Online-Privatsphäre – eine Zeit im Jahr, in der Einzelpersonen und Unternehmen daran erinnert werden, ihren digitalen Fußabdruck zu überprüfen. Manche mögen das für eine sinnlose Geste halten, in einer Zeit, in der große Social-Media- und Marketing-Akteure absolut alles über einen wissen und diese Daten fröhlich an jeden verkaufen, der dafür zahlt; in der Microsoft alle Register zieht, um Windows-Nutzer dazu zu bewegen, ihre Daten in die Cloud zu verlagern, wo Regierungsbehörden ohne ihr Wissen darauf zugreifen können; in der eine Krise bei PCs dazu führt, dass viele Nutzer in eine Welt von „Dumb-Client“-Systemen gedrängt werden, in der Datenspeicherung und wichtige Rechenprozesse in der Cloud stattfinden; und in der viele glauben, dass ein Klick auf „Akzeptieren“ bei Website-Pop-ups sie tatsächlich schützt. Doch was sagen die Experten dazu?

Technologie- und Datenexperten warnen anlässlich des internationalen Datenschutztages, dass künstliche Intelligenz und eine mangelhafte Datenverwaltung die Datenschutzrisiken für Unternehmen verschärfen.

Die „Woche des Datenschutzes“ ist ein hervorragender Anlass für Unternehmen, ihre Datenschutzrichtlinien für Kunden zu überprüfen und eine transparente Datenerfassung in ihren Marketingstrategien in den Vordergrund zu stellen.

Fünf führende Cybersicherheitsexperten warnen davor, dass KI schneller integriert wird, als Sicherheitsrichtlinien die Risiken bewältigen können. Dies führt im Vorfeld des Datenschutztages am 28. Januar zu dringenden Sicherheitslücken für KMU.

Die OWASP Foundation ist seit jeher ein Wegweiser für Sicherheitsexperten und Enthusiasten und bietet praxisnahe Ratschläge zu den gefährlichsten Software-Schwachstellen in einer Vielzahl von Kategorien und Plattformen. Dies ist das erste große Update der führenden OWASP Top 10 Web-Schwachstellen seit 2021. In dieser Zeit wurde die Branche von einer Welle an KI-Technologien, -Tools und -Code überrollt, die für Fachleute in der Cybersicherheit und Softwareentwicklung gleichermaßen ein Spannungsfeld zwischen Effizienz und Risiko geschaffen hat.

Fazit: KI-Tools sind für den Unternehmenseinsatz nicht sicher, es sei denn, der generierte Code wird von einer sicherheitskundigen Person überprüft und implementiert. 30 % der Sicherheitsexperten geben an, dass sie der Genauigkeit von KI-generiertem Code nicht vertrauen(link is external). Deshalb müssen Führungskräfte im Sicherheitsbereich die Weiterbildung ihrer Entwicklerteams priorisieren, um sicherzustellen, dass diese über die nötigen Fähigkeiten verfügen, um KI-gestützte Schwachstellen frühzeitig zu beheben. Dies fördert eine „Security-First“-Kultur und eine sicherere Nutzung von KI.

Hier ist das Wichtigste zur Technik des Jahres 2025, das du als Zoomer unbedingt kennen solltest.

CISOs, die auf den EU AI Act als soliden Rahmen für die KI-Governance gehofft haben, dürften angesichts der jüngsten Aktualisierungen zur Umsetzung der KI-Beschränkungen etwas verwirrt oder enttäuscht sein.

Ein mutmaßlicher staatlicher Akteur nutzte Claude Code und verschiedene Tools aus dem Entwickler-Ökosystem, um nahezu autonom und in großem Stil gezielte Angriffe mit harmlosen Open-Source-Hacking-Tools auf Unternehmen durchzuführen. Von den über dreißig Angriffen waren mehrere erfolgreich und bewiesen, dass KI-Agenten tatsächlich komplexe, schädliche Aufgaben mit kaum oder gar keinem menschlichen Eingreifen ausführen können.

Die Vorhersageserie von DEVOPSdigest wird mit den DevSecOps-Prognosen für 2026 fortgesetzt – Branchenexperten geben ihre Einschätzungen dazu ab, wie sich DevSecOps weiterentwickeln und die Branche im Jahr 2026 beeinflussen wird.

Das Open Worldwide Application Security Project (OWASP) hat seine aktuelle Liste der 10 kritischsten Sicherheitslücken veröffentlicht, die einige überraschende Erkenntnisse zu wichtigen Schwachstellenkategorien liefert.

Cybersicherheitsexperten skizzieren Prognosen für 2026: von KI-gestützten Angriffen und Quantenrisiken bis hin zu Bedrohungen durch Nationalstaaten, Sicherheitslücken in der OT und dem Druck durch Automatisierung.

Pieter Danhieux, Mitgründer und CEO von Secure Code Warrior, warnt davor, dass KI-gestützte Programmiertools zwar Schnelligkeit und Effizienz versprechen, aber auch neue Risiken mit sich bringen.

2026 wird das Jahr, in dem sich KI vom reinen Werkzeug zum Partner entwickelt und unsere Art zu arbeiten, zu gestalten und Probleme zu lösen grundlegend verändert.

Obwohl eine Sicherheitslücke in den Tools bisher noch keinen großflächigen Angriff ausgelöst hat, gab es bereits einige Exploits und Beinahe-Vorfälle. Cybersicherheitsforscher haben zudem kritische Schwachstellen in mehreren beliebten Tools entdeckt, die verdeutlichen, was alles schiefgehen könnte.

Es ist wieder die Zeit des Jahres, in der die Prognosen für die Technologiebranche eintrudeln. Hier erfahren Sie, was Sie (angeblich) im Jahr 2026 erwartet.

Das Problem ist simpel: Entwicklungsteams vertrauen KI-Tools möglicherweise zu sehr, obwohl diese nicht in der Lage sind, den komplexen Kontext vieler Sicherheitslücken zu erfassen. Große Sprachmodelle haben beispielsweise oft Schwierigkeiten, die Authentifizierungs- oder Autorisierungsarchitektur einer Anwendung zu verstehen, was das Risiko erhöht, kritische Sicherheitsvorkehrungen zu übersehen.

Branchenempfehlungen zum Risikomanagement bei KI-generiertem Code kommen zunehmend zu demselben Schluss: Effektive Sicherheitsmaßnahmen basieren auf einer engen Zusammenarbeit zwischen Mensch und Maschine, bei der Entwickler stets die Kontrolle behalten.

Branchenexperten zufolge wird agentenbasierte künstliche Intelligenz (KI) die Unternehmenslandschaft im asiatisch-pazifischen Raum und in Japan (APJ) im Jahr 2026 grundlegend verändern. Es wird erwartet, dass Unternehmen zunehmend auf autonome Software-Agenten setzen, was sowohl die Produktivität steigert als auch neue Risikokategorien in verschiedenen Geschäftsbereichen schafft.

Wie groß ist die aktuelle Bedrohung durch agentische KI für Unternehmen? Und was sollten Sicherheitsverantwortliche tun, um diesem Risiko zu begegnen?

Mein Mitgründer und CTO, Dr. Matias Madou, und ich haben in unsere Glaskugel geschaut (oder sollten wir sagen: auf unsere NVIDIA-GPUs?), und das ist unsere Einschätzung, was uns 2026 aus Sicht der KI-Sicherheit erwartet.

Ein mutmaßlicher staatlicher Akteur nutzte Claude Code und verschiedene Tools aus dem Entwickler-Ökosystem, insbesondere Model Context Protocol (MCP)-Systeme, um nahezu autonom und in großem Stil gezielte Angriffe mit harmlosen Open-Source-Hacking-Tools auf Unternehmen durchzuführen. Von den über dreißig Angriffen waren mehrere erfolgreich und bewiesen, dass KI-Agenten tatsächlich komplexe, schädliche Aufgaben mit kaum oder gar keinem menschlichen Eingreifen ausführen können. Vielleicht ist es an der Zeit, einen Gang zurückzuschalten und darüber nachzudenken, was hier auf dem Spiel steht und wie wir uns am besten verteidigen können.

KI ist heute ein zentraler Bestandteil der modernen Softwareentwicklung. Mehr als vier von fünf Entwicklern nutzen KI-Codierungstools täglich oder wöchentlich – viele setzen dabei sogar mehrere Tools parallel ein. Teams müssen verstehen, wo die Automatisierung endet und die Verantwortung beginnt.

Sicherer Code sollte eher auf Konzepten wie „Secure by Default“ und „Secure by Design“ basieren als auf der reinen Suche nach Schwachstellen. Matias Madou teilt seine Erfahrungen aus Schulungen zur sicheren Programmierung und betont, wie wichtig es ist, kritisches Denken zu vermitteln. Er erläutert zudem, warum kritisches Denken eng mit Threat Modeling verknüpft ist und wie LLMs Entwicklern helfen können, über oberflächliche Ratschläge wie „Denk wie ein Angreifer“ hinauszugehen.

Unternehmen befinden sich an einem Wendepunkt, der durch die rasante Einführung von KI vorangetrieben wird und grundlegende Veränderungen in der Geschäftswelt verspricht. Für CISOs bedeutet dies eine unsichere Ausgangslage. Als Hüter der Unternehmensdaten und -zugriffe müssen sie die Sicherheit gewährleisten. Doch der unüberlegte Vorstoß in eine umfassende und möglicherweise unkontrollierte KI-Nutzung könnte eine Flut von Sicherheitsproblemen auslösen, denen viele CISOs in ihren derzeitigen Organisationsstrukturen nicht gewachsen sind.

Sicherheitsverantwortliche und Entwickler wissen längst, dass KI-Programmierassistenten und autonome Agenten Schwachstellen in den generierten Code einschleusen können. Eine aktuelle Studie deckt nun ein weiteres kritisches Problem auf: LLMs, die zur iterativen Code-Verbesserung eingesetzt werden, können mit der Zeit neue Sicherheitslücken erzeugen – selbst wenn sie explizit angewiesen werden, den Code sicherer zu machen.

Regierungsbehörden arbeiten an Richtlinien für den sicheren Einsatz von KI, doch Unternehmen können nicht warten. Sie müssen die Risiken jetzt angehen.

Im Bereich der Cybersicherheit im Allgemeinen und der Anwendungssicherheit im Besonderen bleibt menschliche Aufsicht ein absolutes Muss, um die Vorteile der KI-Produktivität voll auszuschöpfen.

Ähnlich wie der kometenhafte Aufstieg von ChatGPT ist „Vibe Coding“ das Thema, das dieses Jahr in aller Munde ist. Es hat sogar schon Eingang in den Duden gefunden. Doch Vorsicht vor dem Hype: Diese neuen KI-Programmiertools bieten zwar Geschwindigkeit und Kosteneinsparungen, bergen aber auch erstaunliche Sicherheitslücken.

Ryan spricht mit Matias Madou, Mitgründer und CTO von Secure Code Warrior, über die Auswirkungen der Variabilität von LLMs auf die Codesicherheit, die Zukunft der Entwicklerschulung durch KI-gestützte Programmierung sowie die Bedeutung kritischen Denkens – besonders für Junior-Entwickler – im Zeitalter der KI.

Softwareentwickler profitieren in vielerlei Hinsicht von KI-Assistenten, sei es durch Code-Generatoren auf Basis großer Sprachmodelle (LLMs) oder durch agentenbasierte KI-Systeme. Aktuelle Berichte, auf die eine neue MIT-Studie hinweist, warnen jedoch davor, dass eine intensive KI-Nutzung zum Verlust kritischer Denkfähigkeiten führen kann.

Um KI-Tools sicher und ethisch vertretbar einzusetzen, müssen Teams Innovation und Verantwortung in Einklang bringen – durch eine solide Governance, die Weiterbildung von Entwicklern und konsequente Code-Reviews.

Um sicheren Code mit LLMs zu schreiben, müssen Entwickler laut Madou lernen, KI als kollaborativen Assistenten und nicht als autonomes Werkzeug zu nutzen.

Pieter Danhieux, CEO, Vorstandsvorsitzender und Mitgründer von Secure Code Warrior, spricht über seinen Wechsel von der offensiven Cybersicherheit hin zur Förderung sicherer Softwareentwicklung. Das 2015 gegründete Unternehmen Secure Code Warrior unterstützt Entwickler dabei, von Anfang an sicheren Code zu schreiben – ein Ansatz, bei dem sich Danhieux und Moderator Alan Shimel einig sind, dass er effektiver ist als die nachträgliche Fehlerbehebung. Die beiden erörtern zudem den Einfluss von KI auf die Softwareentwicklung und stellen fest, dass KI zwar die Geschwindigkeit erhöht und den Zugang erleichtert, die Sicherheit von KI-generiertem Code jedoch noch hinterherhinkt. Sie betonen, wie wichtig es für Entwickler ist, angesichts dieser technologischen Fortschritte sichere Programmierpraktiken zu beherrschen.

Der Oktober ist der Cybersecurity Awareness Month in Australien – eine jährliche Erinnerung an alle Australier, im Netz wachsam zu bleiben. Das diesjährige Motto „Building our cyber safe culture“ unterstreicht erneut, wie wichtig es ist, in einer zunehmend digitalen Welt Eigenverantwortung für die eigene Sicherheit zu übernehmen.

Der Cybersecurity Awareness Month hat die Aufmerksamkeit erneut auf die wachsenden Risiken für Unternehmen jeder Größe gelenkt, wobei ein besonderer Fokus auf der zunehmenden Bedrohung für kleine und mittlere Unternehmen (KMU) in Australien und Großbritannien liegt.

In der Welt der Cybersicherheit sehen wir uns täglich mit kreativen und unkonventionellen Bedrohungen konfrontiert. Doch unsere größte Schwachstelle ist kein Fehler in unserer Software, sondern ein Fehler in unserem kollektiven Denken.