Von Anfang an sicher Die Vorteile von „Secure by Design“

Anbieter zum Thema

Amazon Web Services EMEA SARL,

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Neue Sicherheitsansätze für Unternehmen sind gefragt, denn die digitale Landschaft wird immer komplexer. Das Konzept „Secure by Design“ bietet einen Rahmen für proaktives Handeln. Er versteht Sicherheit nicht als nachträglichen Zusatz, sondern als fundamentales Designprinzip.

Die Anzahl der Bedrohungen in der IT-Sicherheit wächst exponentiell. 2023 wurden über 26.400 kritische Schwachstellen identifiziert, über 1.500 mehr als im Vorjahr. Viele dieser Schwach­stellen hätten durch eine grundlegend andere Herangehensweise an das Thema Sicherheit vermieden werden können. Genau hier setzt das Konzept „Secure by Design“ (SbD oder auch „Security by Design“) an.

Warum traditionelle Sicherheitsansätze nicht mehr ausreichen

Die konventionelle Methode, Sicherheit erst nach der Entwicklung zu implementieren, rächt sich oftmals. Laut dem Open Web Application Security Project (OWASP) rangiert unsicheres Design auf Platz vier der kritischsten Bedrohungen für Webanwendungen. Die Ursache liegt oft darin, dass Sicherheit nicht als inhärenter Teil des Entwicklungsprozesses betrachtet wird.

Resilienz bei der Softwareentwicklung

Mehr Sicherheit durch robuste Software-Lieferketten

Was macht „Secure by Design“ anders?

Im Gegensatz zu reaktiven Ansätzen integriert SbD Sicherheitsüberlegungen von der ersten Konzeptionsphase an. Dies unterscheidet sich auch von „Secure by Default“, das primär auf sichere Voreinstellungen für Endnutzer abzielt. SbD richtet sich direkt an Entwickler und Architekten mit dem Ziel, potenzielle Angriffsflächen bereits im Designprozess zu minimieren.

Die Integration von Sicherheit in jede Phase des Softwareentwicklungslebenszyklus (Software Development Lifecycle, SDLC) ist dabei zentral. Konzepte wie „Shift Left“ verlagern Sicherheitsmaßnahmen in frühere Entwicklungsphasen, während DevSecOps-Praktiken die Zusammenarbeit zwischen Entwicklung, Sicherheit und Betrieb fördern.

Die tragenden Säulen des Ansatzes „Secure by Design“

Automatisierung als Schlüsselkomponente: Moderne CI/CD-Pipelines (Continuous Integration/Continuous Delivery) ermöglichen die Automatisierung von Sicherheitstests und -kontrollen. Das stellt sicher, dass Sicherheitsanforderungen konsequent eingehalten und menschliche Fehler minimiert werden. Automatisierte Prozesse können Konfigurationsfehler erkennen, Code auf Schwachstellen prüfen und Compliance-Anforderungen kontinuierlich validieren.

Defense-in-Depth: Mehrschichtiger Schutz: Ein weiteres zentrales Prinzip ist der mehrschichtige Schutz. Selbst wenn einzelne Schutzmaßnahmen versagen, bleibt das System durch alternative Sicherheitsebenen geschützt. Diese Redundanz verringert das Risiko katastrophaler Sicherheitsverletzungen erheblich.

Anwendung auf neue Technologien wie KI: Besonders relevant wird SbD im Kontext künstlicher Intelligenz (KI). Laut einer aktuellen Studie betrachten 82 Prozent der obersten Entscheider in Unternehmen sichere KI als essenziell, aber nur 24 Prozent implementieren aktiv Sicherheitsmaßnahmen in ihre KI-Entwicklungsprojekte. SbD-Methoden wie geschlossene Trainingsumgebungen und kontrollierter Datenfluss können hier entscheidende Sicherheitsvorteile bieten.

Neuer Standard für das digitale Zuhause

Der Cyber Resilience Act bringt endlich „Security-by-Design“

Messbarer Mehrwert von „Secure by Design“

• Verbesserte Skalierbarkeit: Durch standardisierte Sicherheitsmaßnahmen können neue Systeme schneller und sicherer implementiert werden. Besonders in dynamischen Cloud-Umgebungen, wo Kapazitätsanforderungen oft unvorhersehbar sind, erweist sich dieser Ansatz als wertvoll.

• Gesteigerte Agilität und Innovationskraft: Was zunächst als zusätzliche Einschränkung erscheinen mag, erweist sich langfristig als Enabler für Innovationen. Wenn Sicherheitsaspekte von Anfang an berücksichtigt werden, können Entwickler sich auf ihre Kernaufgaben konzentrieren, ohne ständig grundlegende Sicherheitsfragen neu bewerten zu müssen.

• Nachhaltige Sicherheitsarchitektur: SbD berücksichtigt auch zukünftige Entwicklungen, wie etwa Fortschritte in der Kryptografie oder neue Bedrohungsszenarien. Systeme, die nach SbD-Prinzipien konzipiert wurden, bleiben länger widerstandsfähig gegen sich ändernde Bedrohungen und benötigen weniger grundlegende Überarbeitungen.

• Wirtschaftliche Effizienz: Die frühzeitige Integration von Sicherheit reduziert den Bedarf an kostspieligen nachträglichen Anpassungen. Studien zeigen, dass die Behebung von Sicherheitsproblemen in der Designphase bis zu hundertmal günstiger sein kann als nach der Implementierung.

Implementierung von „Secure by Design“ in Unternehmen

Die erfolgreiche Einführung von SbD erfordert einen kulturellen Wandel. Sicherheit muss als Gedanke in der gesamten Organisation verankert werden, von der Führungsebene bis zu den Entwicklungsteams. Dies umfasst die klare Dokumentation von Sicherheitsanforderungen und -prozessen sowie kontinuierliche Schulungen aller Beteiligten. Entscheidend sind zudem die Auswahl geeigneter Tools und Standards sowie eine enge Zusammenarbeit zwischen Entwicklungs- und Sicherheitsteams. Nur wenn alle Beteiligten das Konzept verstehen und konsequent umsetzen, kann SbD sein volles Potenzial entfalten.

Sicherheit als zentraler Bestandteil des Software­entwicklungs­prozesses

Gemeinsame Wachsamkeit und Secure by Design stärken die Cybersicherheit

Industrieweite Anerkennung

Die Bedeutung von SbD wird auch durch branchenweite Initiativen unterstrichen. Über 60 führende Technologieunternehmen, darunter AWS, haben das „Secure by Design“-Versprechen der Cybersecurity and Infrastructure Security Agency (CISA) unterzeichnet.

Ein praktisches Beispiel für SbD-Implementierung ist die starke Authentifizierung. Die Aktivierung von Multi-Faktor-Authentifizierung (MFA) kann nachweislich mehr als 99 Prozent der passwortbezogenen Angriffe abwehren – ein einfacher, aber höchst effektiver Schutz.

Sicherheit als Grundprinzip

„Secure by Design“ repräsentiert einen fundamentalen Wandel in der IT-Sicherheit von reaktiven hin zu proaktiven Maßnahmen. Da Cyberbedrohungen immer ausgefeilter werden, bietet das Konzept einen robusten Rahmen, um Systeme von Grund auf sicherer zu gestalten. Unternehmen, die den Ansatz konsequent verfolgen, profitieren nicht nur von besserer Sicherheit, sondern auch von erhöhter Effizienz, Skalierbarkeit und Kundenvertrauen.

Über den Autor: Bertram Dorn arbeitet als Principal in the Office of the CISO bei AWS. Ausgehend von seiner langjährigen Erfahrung im Bereich Cybersicherheit berät er Unternehmen bei der Implementierung von „Secure-by-Design“-Strategien und hält regelmäßig Vorträge zu aktuellen Sicherheitsthemen.

Cyber Resilience Act und Security by Design

Welche Produkte in der EU nicht mehr vertrieben werden dürfen

(ID:50489214)