Mobile-Menu

Softwaresicherheit im Wandel Den Schwachstellen-Teufelskreis durchbrechen

Ein Gastbeitrag von Josh Lemos 4 min Lesedauer

Anbieter zum Thema

GitLab GmbH
FTAPI Software GmbH

Fehlalarme, überladene Tech-Stacks und späte Tests bremsen sichere Software. Mit Priorisierung, schlanker Architektur und standardisierten „Paved Roads“ lassen sich Schwachstellenmanagement und Zu­sam­men­arbeit deutlich verbessern.

Die Ursachen vieler aktueller Cybersecurity-Probleme liegen nicht nur in kulturellen Unterschieden zwischen Entwicklungs- und Security-Teams, sondern auch in strukturellen Schwächen, sagt Josh Lemos, Chief Information Security Officer bei GitLab. DevSecOps-Praktiken könnten hier nachhaltig Abhilfe schaffen. Besonders mit Blick auf KI-gestützte Softwareentwicklung ist ein Umdenken nötig.(Bild: © tippapatt - stock.adobe.com)
Die Ursachen vieler aktueller Cybersecurity-Probleme liegen nicht nur in kulturellen Unterschieden zwischen Entwicklungs- und Security-Teams, sondern auch in strukturellen Schwächen, sagt Josh Lemos, Chief Information Security Officer bei GitLab. DevSecOps-Praktiken könnten hier nachhaltig Abhilfe schaffen. Besonders mit Blick auf KI-gestützte Softwareentwicklung ist ein Umdenken nötig.
(Bild: © tippapatt - stock.adobe.com)

Häufig wird angenommen, dass Probleme in der Softwaresicherheit auf kulturelle Unterschiede zwischen Entwicklungs- und Security-Teams zurückzuführen sind. Doch das greift zu kurz. Genauso entscheidend ist die technische Infrastruktur. Die wachsende Komplexität moderner Tech-Stacks und der weiterhin hohe Aufwand für ein wirksames Schwachstellenmanagement gehören zu den zentralen Faktoren, die Organisationen im Bereich Cybersecurity ausbremsen.

GitLabs aktuelle DevSecOps-Studie zeigt ein klares Bild. 58 Prozent der befragten Security-Expertinnen und Experten sagen, dass es ihnen schwerfällt, Entwicklungsteams zur prioritären Behebung von Schwachstellen zu bewegen. Zusätzlich berichten 52 Prozent, dass bürokratische Hürden schnelle Reaktionen verhindern. Hinzu kommen Probleme bei der Interpretation von Sicherheitsmeldungen, eine hohe Zahl an Fehlalarmen und zu spät im Entwicklungsprozess angesetzte Softwaretests. All das spricht für tiefgreifende strukturelle Herausforderungen: Nicht nur in der Teamkultur, sondern eben auch bei Prozessen und den verwendeten Technologien.

Ein Schwachstellenscan kann zwar alle potentiellen Sicherheitslücken identifizieren, doch nicht jede davon ist tatsächlich angreifbar oder ausnutzbar. Authentifizierte Scans haben zwar viele Cybersecurity-Initiativen deutlich gestärkt, sie haben aber auch dazu geführt, dass Entwicklerinnen und Entwickler ständig mit der Behebung unkritischer Lücken beschäftigt sind, und das oft zulasten wichtigerer Aufgaben.

Dieses Ungleichgewicht sorgt für Spannungen zwischen Entwicklungs- und Security-Teams. Doch wie lässt sich dieser Teufelskreis durchbrechen? Drei zentrale Maßnahmen können helfen, die häufigsten Ursachen für Frustrationen im Entwicklungsalltag gezielt zu vermeiden.

1. Relevante Sicherheitsmeldungen gezielt priorisieren

Eine der größten Quellen für Frustrationen ist laut GitLabs Studie die hohe Zahl an Fehlalarmen. Oft deuten diese jedoch auf grundlegende Schwächen im Schwachstellenmanagement hin.

Organisationen sollten sich daher auf sicherheitsrelevante Funde konzentrieren. Herkömmliche SAST-Lösungen (Static Application Security Testing) sind zwar leistungsfähig, stoßen aber an Grenzen, wenn ihre Ergebnisse schwer nutzbar oder nicht im richtigen Kontext einzuordnen sind. Damit sie ihr volles Potenzial entfalten, müssen sie nahtlos mit anderen Entwicklungs- und Security-Tools integriert und für Entwicklerinnen und Entwickler leicht zugänglich sein.

Ein weiteres Problem ist, dass die meisten Tools Schwachstellen nur in sehr begrenztem Kontext analysieren. Hier kann KI unterstützen, etwa mit Funktionen, die die Erkenntnisse verständlich erklären.

2. Tech-Stack reduzieren, Angriffsfläche minimieren

Was für Tests gilt, trifft ebenso auf die Softwarearchitektur zu: Komplexität sollte vermieden werden, wo immer es möglich ist.

Die wachsende Komplexität moderner Softwareumgebungen zählt zu den Hauptursachen aktueller Herausforderungen in der Cybersicherheit. Ein gewisses Maß an Komplexität lässt sich bei umfangreichen, vielschichtigen Softwaresystemen zwar kaum vermeiden. Doch oft sind es überflüssige Altlasten, nicht wartungsfreundlicher Code und unnötige Abhängigkeiten, die potenzielle Schwachstellen begünstigen.

Deshalb sollten Unternehmen gezielt auf eine schlanke Architektur setzen und genau abwägen, welche Tools wirklich notwendig sind und welche Funktionen in die eigene Codebasis gehören. So lassen sich Abhängigkeiten reduzieren, die Software-Lieferkette besser absichern, Fehlalarme minimieren und der Aufwand für die Behebung nicht kritischer Schwachstellen spürbar senken.

3. „Paved Roads“ etablieren

Ein weiteres, in der GitLab-Studie häufig genanntes Problem besteht darin, dass Sicherheitstests oft zu spät im Softwareentwicklungszyklus erfolgen. Frust entsteht, wenn ein Softwareprodukt kurz vor der Auslieferung steht, sich diese jedoch verzögert, weil eine Schwachstelle erst spät entdeckt wird. Solche Schwachstelle lassen sich in solchen Fällen ohnehin nicht frühzeitig identifizieren. Stattdessen kann eine standardisierte Auswahl an Tools, Prozessen und Komponenten bereitgestellt werden, die den Teams als Orientierung dient, um sichere Anwendungen von vornherein effizienter zu entwickeln.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Böse Überraschungen in der Endphase der Softwareentwicklung lassen sich vermeiden, wenn Teams auf erprobte, bewährte Designmuster setzen. Diese basieren auf reproduzierbaren Anwendungsfällen, den sogenannten „Paved Roads“. Darunter versteht man etablierte, standardisierte Verfahren mit kuratierten Tools, Prozessen und Komponenten, die Teams dabei unterstützen, Anwendungen effizient und sicher zu entwickeln. Ein Beispiel ist der Einsatz von GitOps, um gut konzipierte und getestete Infrastruktur als Code zu versionieren und automatisiert bereitzustellen. So lässt sich das Vorgehen skalierbar auf sämtliche Workloads anwenden.

Der Einsatz solcher Standards kann die Flexibilität zwar ein Stück weit einschränken, verringert jedoch den operativen Aufwand und den Nachbesserungsbedarf auf Seiten der Entwicklungs-Teams und erhöht zugleich die Softwaresicherheit. Voraussetzung dafür ist eine enge Zusammenarbeit zwischen Entwicklungs- und Security-Teams. Letztere können die Gestaltung solcher „paved roads“ unterstützen, doch Entwicklerinnen und Entwickler müssen aktiv daran mitwirken, diese in der Codebasis zu verankern und kontinuierlich zu pflegen.

Softwaresicherheit betrifft alle – nicht nur Security-Teams

Cybersecurity-Expertise wandert zunehmend in die Entwicklungsteams. Dieser Trend wird durch die schnelle Adaption KI-basierter Tools weiter verstärkt. Laut GitLabs Studie veröffentlichen 66 Prozent der Befragten im Jahr 2024 mindestens doppelt so häufig neue Software wie im Vorjahr.

Die Überbrückung der kulturellen Kluft zwischen Entwicklungs- und Security-Teams ist nur der erste Schritt. Die Zukunft der Softwaresicherheit erfordert ein grundlegendes Umdenken in der Softwareentwicklung.

Es geht nicht nur um die Förderung der Zusammenarbeit zwischen unterschiedlichen Teams, sondern in erster Linie darum, Kernprozesse zu revolutionieren: durch die Optimierung bestehender Codebases und die Bereitstellung skalierbarer, entwicklerfreundlicher Lösungen, die sich nahtlos in die gesamte Organisation integrieren lassen. Nur so kann gewährleistet werden, dass die Softwaresicherheit mit der hohen Geschwindigkeit moderner Softwareentwicklung Schritt hält.

Über den Autor: Josh Lemos ist Chief Information Security Officer bei GitLab. Er bringt 20 Jahre Erfahrung in der Leitung von Informationssicherheitsteams in seine Rolle ein. Lemos ist verantwortlich für die Entwicklung und Aufrechterhaltung der Unternehmensvision, -strategie und -programme, um sicherzustellen, dass Informationsressourcen und -technologien angemessen geschützt sind, die GitLab DevSecOps-Plattform zu stärken und ein Höchstmaß an Sicherheit für Kunden zu gewährleisten.

(ID:50524574)

Weiterführende Inhalte