Codeprüfungen bei Fremdentwicklern

Sicherheit in der SAP-Anwendungsentwicklung

| Autor / Redakteur: Rainer Velten* / Peter Schmitz

Manuell Kontrolle von Programmcode ist zeitaufwändig. Aber es gibt Tools zur automatischen Codeprüfung, die sich problemlos in den Entwicklungsprozess integrieren lassen.
Manuell Kontrolle von Programmcode ist zeitaufwändig. Aber es gibt Tools zur automatischen Codeprüfung, die sich problemlos in den Entwicklungsprozess integrieren lassen. (Bild: Pexels - Pixelio / CC0)

Wer wie die MEAG die SAP-Anwendungsentwicklung an Dienstleister auslagert, braucht effektive Methoden zur Kontrolle der Codequalität und -sicherheit. Manuell lässt eine solche Codeprüfung kaum umsetzen, helfen kann ein Tool zur automatischen Kontrolle.

Die MEAG steht für das Vermögensmanagement von Munich Re und ERGO, ist in Europa, Asien und Nordamerika präsent und bietet ihr umfassendes Know-how auch externen institutionellen Anlegern und Privatkunden an. Für die Finanzprodukte vielfach ausgezeichnet, fühlt sich die MEAG einem hohen Qualitätsanspruch verpflichtet und setzt daher alles daran, das Kapitalanlage-Portfolio für die Kunden stetig weiterzuentwickeln und damit zu optimieren. Daher werden Aufgaben und Prozesse der IT, die nicht zur direkten Wertschöpfung beitragen, nach Möglichkeit an Dienstleister ausgelagert.

Betroffen davon ist neben dem IT-Systembetrieb auch die Anwendungsentwicklung. Während die MEAG strategisch auf Standardsoftware setzt, muss diese in begrenztem Maße immer wieder durch Add-ons von Drittanbietern und Eigenentwicklungen erweitert und ergänzt werden. Dies gilt auch für die SAP-Systeme. In diesem Bereich ist es vornehmlich ITERGO, der zentrale Dienstleister der ERGO Group, der mit der Programmierung kundeneigener ABAP-Anwendungen betraut wird. Um die Konformität mit unternehmenseigenen Richtlinien sicherzustellen, hat die MEAG einen Entwicklerleitfaden erstellt, der unter anderem Namenskonventionen, Sicherheitsrichtlinien und Berechtigungsabfragen umfasst.

Leitfaden für Fremdentwickler

Doch wie lässt sich wirksam kontrollieren, ob die Fremdentwickler die MEAG-Vorgaben auch tatsächlich einhalten? Dieser Frage musste sich das Unternehmen dringend stellen, um die Qualität und Sicherheit des selbstgeschriebenen ABAP-Codes zu gewährleisten. Außerdem schreibt das Kreditwesengesetz der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ein systematisches Risikocontrolling der Outsourcing-Partner vor. Mit Bordmitteln allein lässt sich dieses Controlling jedoch nicht umsetzen, da die MEAG selbst über kein ausreichendes Entwickler-Know-how verfügt. Hinzu kommt, dass manuelle Codeprüfungen auf Basis des MEAG-Entwicklerleitfadens sehr zeitaufwändig wären. Daher suchten die IT-Verantwortlichen nach einem Werkzeug zur automatischen „Rechtschreibprüfung“ – und wurden im Virtual Forge CodeProfiler fündig.

Einsatz in mehreren Projektphasen

Der CodeProfiler kommt gleich in mehreren Projektstadien zum Einsatz. Bereits während der Entwicklungsphase bei ITERGO und den Drittanbietern dient er dazu, die SAP-Eigenentwicklungen und SAP-Add-ons schnell und einfach auf Fehler zu scannen. Damit können mögliche Risiken im Code frühzeitig erkannt und beseitigt werden. Ein weiteres Mal wird das Werkzeug von der MEAG direkt vor der Produktivsetzung genutzt, um ganz sicher zu gehen, dass nicht doch schadhafter Code in die vorhandenen SAP-Systeme eingespielt wird. Zusätzlich unterzieht die MEAG alle produktiven SAP-Anwendungen einmal pro Quartal einem Komplettscan, um etwaige Schwachstellen zu lokalisieren, die sich in der Zwischenzeit zum Beispiel bei gegebenenfalls unzureichend geprüften Notfällen eingeschlichen haben könnten.

In jeder Projektphase werden durch die detaillierten Scanergebnisse die Korrekturläufe beschleunigt. Direkt nach der Einführung des CodeProfilers konnte die MEAG zudem die Altlasten in den vorhandenen SAP-Eigenentwicklungen und -Add-ons umfassend identifizieren. Zusätzlich wurden durch die Korrektur vorhandener Schwachstellen in den SAP HANA-Systemen deutliche Performance-Steigerungen erzielt.

Kein eigenes Entwickler-Know-how erforderlich

Für die MEAG hat sich die Einführung der automatischen Code-Prüfungen mehr als gelohnt: Ohne eigenes Entwickler-Know-how aufbauen zu müssen, können der zugelieferte ABAP-Code und die Drittanbieter-Add-ons auf mögliche Schwachstellen und Risiken analysiert werden. Mit jedem Prüfbericht erhalten die IT-Verantwortlichen von den Fremdentwicklern eine Art „TÜV-Protokoll“, das die ordnungsgemäße Programmierung bescheinigt. Im Verbund mit den eigenen Scans können sie damit sicher sein, nur fehlerfreien Code in die vorhandenen SAP-Systeme zu transportieren. Gleichzeitig werden die Revisionsanforderungen in Hinblick auf Codesicherheit und Dokumentation erfüllt.

Die MEAG geht davon aus, durch den Einsatz des CodeProfilers ein bis zwei IT-Mitarbeiter zu sparen, die besser für strategische Aufgaben eingesetzt werden können: Den ABAP-Code und die Add-ons manuell zu überprüfen, wäre ein immenser Aufwand, würde zudem deutlich länger dauern und die Fehleranfälligkeit erhöhen.

* Rainer Velten ist Leiter IT Real Estate / Alternative Investment Solutions bei der MEAG AG.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44303552 / Softwareentwicklung)