Gefahren aus der Software-Supply-Chain

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

SYNOPSYS GmbH

Nicht mein Code, nicht mein Problem?

Möglicherweise waren die Kosten von Datenlecks – und sogar die sehr großer Lecks, die Unternehmen weltweit in die Schlagzeilen bringen – langfristig doch nicht schmerzhaft genug, um einen umfassenden Sicherheitscheck zu veranlassen. Beim US-Einzelhändler Target etwa hatte das schwerwiegende Datenleck kaum Auswirkungen auf die Unternehmensbilanz. Der geschätzte Gesamtverlust lag irgendwo im Bereich von 250 Millionen Dollar.

Benjamin Dean von der School of International and Public Affairs an der Columbia University hat im Jahr 2015 dazu Berechnungen durchgeführt und festgestellt, dass der Verlust durch Abschreibungen auf etwa 105 Millionen Dollar gedrückt wurde. Der Umsatz hingegen stieg 2016 auf fast 73,8 Milliarden US-Dollar. Dean folgert daraus, dass die finanziellen Anreize für Unternehmen, in eine größere Informationssicherheit zu investieren, geringer sind als allgemein angenommen.

Blauäugigkeit schützt vor Strafe nicht

Doch auch Software-Entwickler agieren beim Thema Sicherheit oft blauäugig. Einen typischen Irrtum zur IT-Sicherheit stellt die sogenannte „nicht mein Code – nicht mein Problem“-Denkweise dar. Wer Third-Party-Code verwendet, tut dies häufig unter der Annahme, dass dieser Code bereits von jemand anderem auf Qualität und Sicherheit getestet wurde.

Das kann stimmen oder nicht stimmen. Fakt ist: Wenn ein Flugzeug wegen einer fehlerhaften Dichtungskomponente im Triebwerk abstürzt, ist jeder in der Lieferkette in ernsthaften Schwierigkeiten, vom Hersteller der Dichtungskomponente bis hin zum Triebwerkhersteller, dem Flugzeughersteller und natürlich der Fluggesellschaft selbst.

Sorgfaltspflicht in der Software Supply Chain

Software hat in puncto Sicherheit genau die gleichen Abhängigkeiten und Risiken in der Lieferkette, getragen werden diese aber lediglich vom Produktentwickler und dem Käufer. Unternehmen werden sich in Zukunft wohl verstärkt mit ihrer Software-Supply-Chain beschäftigen müssen, insbesondere wenn es um den Schutz personenbezogener Daten geht.

Den meisten Unternehmen mangelt es hier noch an Kontrolle und Einsicht. Zudem hat der zunehmende Druck auf die Gewinnmargen das Spiel verändert. Unternehmen suchen nach kreativen Möglichkeiten zur Kostensenkung. Insbesondere in den USA wird massiv von der Möglichkeit Gebrauch gemacht, Anwendungen offshore programmieren zu lassen. Da bleibt die Sicherheit dann oft auf der Strecke.

Das Risiko für Unternehmen aufgrund von Datenpannen und Datenlecks zu Geldbußen und Schadenersatz verurteilt zu werden, ist nicht zuletzt aufgrund neuer Gesetze, wie der nun gültigen DSGVO, stark gestiegen. Wenn es zum Daten-GAU kommt und der Fehler in der Lieferkette lag, dann wird der Fall letztlich vor Gericht geklärt werden müssen.

Dabei kann das Gericht die Sorgfaltspflichten der beteiligten Unternehmen durchaus verschieden einschätzen. Je mehr professionelle Ressourcen das Unternehmen zur Verfügung hat, desto höher wird das Haftungsrisiko. Die Anforderungen an Unternehmensstruktur und Verantwortlichkeiten ändern sich rapide.

Gunnar Braun

Bestehende Prozesse zur Überprüfung der Datensicherheit- und Verarbeitung tragen diesem Umstand oft nicht in ausreichendem Maße Rechnung. Ich rate Unternehmen deshalb dazu, professionelle Software Composition Analysis Tools zu nutzen, um den Code ihrer Software-Lieferanten unabhängig überprüfen zu lassen.

* Gunnar Braun ist Vertriebsingenieur bei Synopsys und unterstützt große Unternehmen bei der Erstellung von sicherer Software. Zuvor war er in verschiedenen Engineering- und Managementfunkionen im Bereich Embedded Systems, Simulation und Compilation bei CoWare tätig, einem Technologie-StartUp, das 2010 von Synopsys übernommen wurde. Er besitzt einen Diplomabschluss der RWTH Aachen.

(ID:45377297)