Mobile-Menu

Cyber Resilience Act Sicherheit von Anfang an ins Produkt­design integrieren

Ein Gastbeitrag von Alexander Haupt 4 min Lesedauer

Anbieter zum Thema

Alcatel-Lucent Deutschland AG
Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Mit Milliardenverlusten durch Cyberangriffe und Vorfällen wie dem Sunburst-Angriff zeigt sich: Sicherheit muss von Anfang an ins Produkt­design einfließen. Neue EU-Gesetze wie der Cyber Resilience Act fordern dies, doch proaktive Maßnahmen über Compliance hinaus sind essenziell. Denn Sicherheitslücken und ihre Folgen können längst Hunderte Unternehmen treffen.

Der European Cyber Resilience Act verpflichtet die Hersteller digitaler Hard- und Softwareprodukte, Sicherheitsaspekte während des gesamten Lebenszyklus eines Produkts zu berücksichtigen.(Bild: Gorodenkoff - stock.adobe.com)
Der European Cyber Resilience Act verpflichtet die Hersteller digitaler Hard- und Softwareprodukte, Sicherheitsaspekte während des gesamten Lebenszyklus eines Produkts zu berücksichtigen.
(Bild: Gorodenkoff - stock.adobe.com)

Das Haupteinfallstor für Cyber-Attacken sind digitale Hardware- und Softwareprodukte. In einer digital vernetzten Umgebung ist alles miteinander verbunden, von internen Kommunikationssystemen über IoT-Geräte bis hin zu Cloud-Speichern. Eine Sicherheitslücke in einem Produkt kann daher auch ein ganzes Unternehmen beeinträchtigen. Selbst Anwendungen, die von einem Unternehmen als weniger kritisch eingestuft werden, können zu einem Angriff auf das gesamte System führen. Statista schätzt, dass Cyberkriminalität im Jahr 2023 einen Schaden von 206 Milliarden Euro allein in Deutschland und 8,15 Billionen US-Dollar weltweit verursacht hat. Es steht also viel auf dem Spiel.

Der Sunburst-Angriff ist ein gutes Beispiel dafür, warum es so wichtig ist, bei der Entwicklung von Softwareprodukten intensiv über das Thema Sicherheit nachzudenken. Im Jahr 2020 wurde bei einem Update Malware in die Orion-Software von SolarWinds eingeschleust. Dieser Angriff auf ein einziges Softwareprodukt führte dazu, dass über 18.000 Kundenkonten kompromittiert wurden, darunter das US-Justizministerium. Dessen Daten wurden gestohlen, seine Systeme ausspioniert. Das zeigt, wie sehr die moderne Vernetzung die Reichweite von Cyberangriffen vergrößert hat.

Neue Gesetze auf europäischer und nationaler Ebene sollen helfen, diese Art von Bedrohungen zu bekämpfen. Der European Cyber Resilience Act ist ein rechtlicher Rahmen, der die Anfälligkeit digitaler Hard- und Softwareprodukte gegenüber Cyberangriffen verringern soll. Er schreibt Cyber­sicherheits­anforderungen für digitale Produkte vor, die in der EU auf den Markt gebracht werden, und verpflichtet die Hersteller, Sicherheitsaspekte während des gesamten Lebenszyklus eines Produkts zu berücksichtigen. Diese Verordnung wird dazu beitragen, dass alle Anbieter von Sicherheits-, Kommunikations- und Speicherlösungen robuste Technologien bereitstellen und über Pläne zur Sicherung und Schadensbegrenzung verfügen, um Kundendaten im Falle eines Cyberangriffs zu schützen. Für die meisten Unternehmen reicht die Einhaltung der Vorschriften allein jedoch nicht aus, um Angriffe abzuwehren.

Tatsächlich müssen Unternehmen mehr Geld in vorbeugende Maßnahmen investieren, um sich auf den Kampf gegen Cyberkriminalität vorzubereiten. Nur welche Maßnahmen sollen das sein, denn Cybersicherheit hat viele Spielarten. Welche Überlegungen sollten Anbieter also bei der Entwicklung von Software anstellen?

Sicherheit von Anfang an

Bei der Entwicklung von Netzwerk- und Konnektivitäts­lösungen muss die Sicherheit von Anfang an berücksichtigt werden. Ziel ist es, Cybersicherheitstechniken als Teil des Lebenszyklus der sicheren Softwareentwicklung (SSDLC) anzuwenden. So soll dafür gesorgt werden, dass Sicherheit von Anfang an im Produktdesign integriert ist. Dafür sollten die Sicherheitsanforderungen definiert und festgeschrieben werden, bevor neue Software entwickelt wird. Anschließend sollten bewährte Verfahren zur sicheren Programmierung und Architektur befolgt werden. Das dient dazu, dass Softwarekomponenten isoliert und Protokolle wie Verschlüsselung und Authentifizierung implementiert werden. Umfassende Tests und Überprüfungen gewährleisten, dass alle potenziellen Schwachstellen aufgedeckt werden. In diesem Prozess werden alle Funktionen so konzipiert, dass die Sicherheit ein zentraler Bestandteil ihrer Funktionsweise ist, und nicht erst nachträglich hinzugefügt wird.

Auf dem neuesten Stand bleiben

Ähnlich wie Unternehmen ständig in neue Sicherheitslösungen investieren, nutzen auch Ransomware-Gruppen ständig die neuesten Entwicklungen in der IT, um sich noch raffiniertere Angriffe auszudenken. Technologien wie generative KI führen Angriffsvektoren ein, die bisher unentdeckte Schwachstellen schneller finden und ausnutzen können, und sich selbst entwickelnde Malware kann von bestehenden Sicherheitslösungen oft unentdeckt bleiben. Das Quanten-Computing steht ebenfalls vor der Tür und dürfte schon bald eine neue Bedrohung durch kryptoanalytische Angriffe darstellen. Um Sicherheitsvorfälle zu verhindern, kann der Support nach der Bereitstellung von Software die Aktivitäten im System überwachen und mit Updates und Patches neue Bedrohungen abwehren. Aus diesem Grund ist es unerlässlich, dass Sicherheitslösungen ständig weiterentwickelt und erneuert werden, damit sie vor den neuesten Taktiken und Technologien der Hacker geschützt sind.

Plattformübergreifende Flexibilität

Die meisten Unternehmen arbeiten mit einem Flickenteppich aus unterschiedlicher Software von Drittanbietern, die jeweils eine oder mehrere Funktionen haben. So gibt es beispielsweise eine Lösung für E-Mails, eine andere für die interne Kommunikation und eine dritte für die Speicherung von Daten. Diese Fragmentierung kann dazu führen, dass Unternehmen einem größeren Risiko ausgesetzt sind, da Sicherheitsteams keine einheitliche Sicht auf ihre IT-System haben. Außerdem genügt ein einziger Partner mit mangelhafter Sicherheit, um ein ganzes Unternehmen in Gefahr zu bringen. Unternehmen müssen nach flexiblen, anpassungsfähigen Sicherheitslösungen für ihre Anwendungen, IoT-Geräte und Plattformen suchen, um einen wasserdichten Schutz der Daten in ihren Netzwerken zu schaffen. Diese Lösungen verfolgen einen umfassenderen Ansatz und sind gleichzeitig für ein Sicherheitsteam einfacher zu verwalten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Wenn Anbieter diese drei Aspekte bei der Entwicklung von Soft- und Hardwareanwendungen berücksichtigen, können sie über die Einhaltung von EU-Vorschriften wie NIS-2 hinausgehen. Das Jahr 2024 bringt zweifellos einige Herausforderungen im Bereich der Cybersicherheit mit sich. Es ist jedoch klar, dass Entwickler dann am besten in der Lage sind, ihren Partnern und Kunden eine sichere und gut vernetzte Online-Umgebung zu bieten, wenn sie die Sicherheit in den Mittelpunkt ihrer Produkte stellen.

Über den Autor: Alexander Haupt ist Senior Consultant Network bei Alcatel-Lucent Enterprise.

(ID:50216459)

Weiterführende Inhalte