Best-Practices für Behörden Behörden brauchen ein Update für ihre Anwendungssicherheit

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die öffentliche Verwaltung wird zunehmend digitaler. Laut Onlinezugangsgesetz sollen Bundes- und Landesbehörden bis 2022 ganze 575 Verwaltungsleistungen online anbieten. Mit der rasanten Beschleunigung der digitalen Transformation muss die Software-Sicherheit priorisiert werden. Ergebnisse des elften State of Software Security (SoSS) Report zeigen, dass die Anwendungssicherheit in Behörden verbesserungswürdig ist.

Im Rahmen der COVID-19-Pandemie konnten Behörden bereits einen ersten Digitalisierungsschub verzeichnen. In Nordrhein-Westfalen wird beispielsweise bereits eine Austauschplattform für Open-Source-Anwendungen entwickelt, damit Behörden diese einfacher implementieren können. Der aktuelle State of Software Security (SoSS) Report zeigt: Die Entwicklerumgebungen in Behörden sind bereits relativ gut – es fehlt aber an einer konsistenten und vielfältigen Strategie bei Sicherheits-Scans. Der Report ist die branchenweit umfangreichste Studie rund um die Anwendungssicherheit. Untersucht wurden dafür rund 130.000 Anwendungen. Der Report analysiert neben Behörden auch noch die Finanzbranche, das Gesundheitswesen, Einzelhandel und Gastgewerbe, die Fertigungsindustrie und die Technologie-Branche. Neben einem Überblick über diese verschiedenen Branchen enthält der SoSS eine detaillierte Analyse von Sicherheitslücken und der Entwicklungsumgebung. Ein branchenübergreifendes Ergebnis: Ausschlaggebend für die Geschwindigkeit beim Beheben von Sicherheitslücken ist das Entwicklerverhalten, das maßgeblich durch die Eigenschaften der Entwicklungsumgebung („Nature“) und die beeinflussbaren Faktoren bei der Entwicklung („Nurture“) bestimmt wird.

Der aktuelle Stand der Anwendungssicherheit in Behörden

Der elfte SoSS deckt auf: 80 Prozent der gescannten Anwendungen von behördlichen Einrichtungen wiesen mindestens eine Sicherheitslücke auf. Damit belegen sie den letzten Platz im Branchenvergleich. Beim Anteil der Hochrisiko-Anwendungen befinden sich Behörden jedoch im Mittelfeld. Lediglich 23 Prozent der gescannten Anwendungen sind Hochrisiko-Anwendungen. Besser schneiden nur die Finanzbranche (22 Prozent) und die Fertigungsindustrie (21 Prozent) ab. Mit einer Fehlerbehebungsrate von 66 Prozent belegen behördliche Einrichtungen in dieser Kategorie den vorletzten Platz. Auch bei der Dauer, bis die Hälfte der Sicherheitslücken behoben wird, befinden sich Behörden auf dem vorletzten Platz. Sie beheben die Hälfte der Sicherheitslücken innerhalb von 233 Tagen. Zum Vergleich: Den ersten Platz belegen hier der Einzelhandel und das Gastgewerbe. Hier werden die Hälfte der Sicherheitslücken innerhalb von 125 Tagen behoben.

Ist Sicherheitslücke gleich Sicherheitslücke?

Der SoSS bietet zusätzlich eine Kategorisierung der identifizierten Sicherheitslücken. Dabei ist auffällig, dass in behördlichen Einrichtungen andere Sicherheitslücken häufig vorliegen, als in den restlichen Branchen. Behörden haben beispielsweise größere Probleme mit Cross-Site Scripting (Häufigkeit von 49 Prozent) im Vergleich zu anderen Branchen (Häufigkeit von 30 Prozent). Das gleiche gilt für Input Validation. Diese Sicherheitslücke kommt mit einer Häufigkeit von 47 Prozent bei behördlichen Einrichtungen vor, in anderen Branchen mit einer Häufigkeit von 36 Prozent. Im Gegensatz dazu sind Sicherheitslücken, die auf die Code Qualität zurückgeführt werden können, ein geringeres Problem bei Behörden (Häufigkeit von 48 Prozent), als in anderen Branchen (Häufigkeit von 53 Prozent). Das gleiche gilt für CLRF Injections – während diese in anderen Branchen eine Häufigkeit von 51 Prozent aufweisen, haben diese bei behördlichen Einrichtungen nur eine Häufigkeit von 39 Prozent. Eine Sicherheitslücke, die alle Branchen und die Behörden gleichermaßen betrifft, sind Daten-Lecks (Häufigkeit von 58 Prozent).

„Nature“ und „Nurture“ bei Behörden: Sicherheit braucht vielfältige Scan-Methoden

Die „Nature“ von behördlichen Einrichtungen weist nur wenige Mängel auf. So verfügen Behörden über neue Anwendungen und haben meist eine überschaubare Unternehmensgröße – in diesen beiden Kategorien belegen sie im Vergleich den ersten Platz. Die Anwendungsgröße bewegt sich im Mittelfeld. Lediglich in der Kategorie Fehlerdichte schneiden Behörden schlecht ab – und belegen hier den letzten Platz. Der Zustand der „Nurture“ in Behörden ist hingegen durchwachsen. Während behördliche Einrichtungen bei der Scan-Frequenz und der Integration von Sicherheitstests in den Entwicklungsprozess (unter Verwendung der API) den ersten Platz belegen, befinden sie sich im Mittelfeld beim Rückgriff auf die Software Composition-Analyse (SCA). Zusätzlich belegen Behörden den letzten Platz bei der Verwendung von dynamischen Analysen (DAST) und der Scan-Kadenz.

Wie die SoSS-Ergebnisse zeigen, scannen Entwickler bei Behörden zwar häufig, aber nicht kontinuierlich. Diese Erkenntnis legt die Vermutung nahe, dass bei den meisten behördlichen Einrichtungen nur zu bestimmten Zeitpunkten gescannt wird – beispielsweise direkt nach der Implementierung oder kurz nach dem Coding. Zusätzlich haben Entwickler in Behörden oftmals nur einen eingeschränkten Überblick über alle Schwachstellen, da sie keine vielfältigen Scan-Arten einsetzen. Dies wirkt sich negativ auf die Fehlerdichte und die Geschwindigkeit bei der Behebung von Sicherheitslücken aus. Zusätzlich zeigen die branchenübergreifenden Analysen, welche Praktiken und Eigenschaften zu einer schnelleren Behebung von Sicherheitslücken führen können. Die Lösung für Behörden: DevSecOps-Ansätze verbessern. Für eine sichere und nachhaltige digitale Transformation müssen Entwickler kontinuierliche und vielfältige Sicherheitsscans etablieren. Die Analysen des SoSS zeigen, dass die Kombinationen aus DAST und statischen Analysen (SAST), eine kontinuierliche Scan-Kadenz und SCA mit SAST zu einer schnelleren Fehlerbehebung führen. Entwickler und IT-Verantwortliche müssen die Defizite in ihrer „Nurture“ erkennen und diese durch den umfassenden Einsatz von DevSecOps-Praktiken beheben. So können Behörden ihre Software während dieser intensiven Zeit der digitalen Transformation und darüber hinaus sichern.

Über den Autor: Julian Totzek-Hallhuber ist Principal Solution Architect von Veracode.

(ID:47635072)