Mobile-Menu

State of Software Security Report 2024 Veracode beklagt „Security Debt“ in Unternehmen

Von Stephan Augsten 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
SEPPmail - Deutschland GmbH

Im jüngsten „State of Software Security“- oder kurz SoSS-Report bemängelt Veracode, dass manche Schwachstellen zu lange unbeachtet bleiben. Das Unternehmen spricht hier von „Security Debt“, also Sicherheitsschulden, die sich nach und nach anhäuften.

In 42 Prozent der Anwendungen und in 71 Prozent der Unternehmen finden sich Sicherheitslücken, die länger als ein Jahr lang nicht behoben wurden.(© Sashkin - stock.adobe.com)
In 42 Prozent der Anwendungen und in 71 Prozent der Unternehmen finden sich Sicherheitslücken, die länger als ein Jahr lang nicht behoben wurden.
(© Sashkin - stock.adobe.com)

Mit dem Begriff „Security Debt“, wohl dem Begriff „Technical Debt“ entlehnt, wollte Veracode für den diesjährigen SoSS-Bericht eine einheitliche, unabhängige Kenngröße bei der Definition von Sicherheitsmängeln schaffen. Das Unternehmen fasst darunter alle Schwachstellen zusammen, die mehr als ein Jahr nicht behoben wurden. Das Risiko hänge mit einer steigenden Nachfrage nach Geschwindigkeit und Innovation zusammen.

Der Bericht basiert auf Untersuchungen aus dem Jahr 2023 und stellt fest, dass Anwendungen unabhängig von ihrer ursprünglichen Größte jährlich um etwa 40 Prozent wachsen. Mit Umfang und Alter der Anwendungen häuften sich allerdings Sicherheitslücken an. Mittlerweile seien 42 Prozent der Anwendungen und 71 Prozent der Unternehmen von Security Debt betroffen. 46 Prozent der Unternehmen verzeichneten demnach sogar anhaltende Sicherheitslücken mit mindestens hohem Schweregrad.

Ein wesentlicher Faktor für Sicherheitsschulden sei laut Veracode die Verwendung von Code aus Open-Source-Bibliotheken. Über den Daumen enthielten etwa sieben von zehn Anwendungen entsprechende Sicherheitslücken. Das beheben dieser Schwachstellen dauere 1,5-mal so lange wie das Fixen intern erstellten Codes. Die Hälfte der bekannten Open-Source-Schwachstellen bleibe elf Monate lang ungelöst.

Der Bericht zeigt jedoch auch positive Trends. So habe sich die Anzahl der Sicherheitslücken mit hohem Schweregrad in Anwendungen seit 2016 halbiert, was auf Fortschritte bei den Sicherheitspraktiken hinweise. Veracode weist darauf hin, dass Development-Teams, die Sicherheitslücken schnell angehen, ihre kritischen Sicherheitsschulden um bis zu drei Viertel reduzieren können. Eine Priorisierungsstrategie sei entscheidend, um die Entwicklungszeit der Teams bestmöglich zu nutzen.

Die Rolle der Künstlichen Intelligenz (KI) auf das Entstehen und Tilgen von Sicherheitsschulden wird im Bericht ebenfalls diskutiert. Chris Eng, Chief Research Officer bei Veracode, bescheinigt KI zwar eine Effizienzsteigerung, „doch das bedeutet nicht zwangsweise, dass sicherer Code produziert wird.“ KI ebne aber auch den Weg für eine neue Dimension der Softwaresicherheit, so Eng weiter. Veracode selbst hatte kürzlich ein solches Tool zur Fehlerbehebung vorgestellt.

Weitere Ergebnisse finden Interessierte im „State of Software Security“-Report 2024 sowie im Veracode-Blog.

(ID:49920176)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte