Dem Security-Experten Thomas Tschersich zufolge verringert ein Unternehmen mit Security by Design sein Haftungsrisiko.
Security by Design

7 Goldene Regeln.

Bei der Entwicklung neuer Softwareprodukte fällt ein wichtiger Aspekt immer noch zu oft unter den Tisch: die Sicherheit. Und das in einer Zeit, in der Experten täglich etwa 380.000 neue Varianten von Schadprogrammen registrieren. In der Folge verzeichnen schon heute große Konzerne mehrere Tausend Attacken pro Tag.
Autor: Jan Ungruhe
Illustration: Alex Freund/thelicensingproject.com

Kein Wannacry – Mit dem „Arbeitsplatz aus der Cloud“ von Telekom hätte es verhindert werden können
Cloud Workplaces werden zentral durch T-Systems im Datacenter gepatched. Ein langwieriger und zeitaufwendiger RollOut neuer Viren Software auf physikalische Client Systeme in der Fläche ist nicht erforderlich. Beim Cloud Workplace sind die Nutzerdaten vom Client System getrennt. Eine Schadsoftware am Client, welche die Systemdaten angreift ist durch einfachen Neustart des Clients wieder bereinigt. Das geht in drei Minuten.

„Das Problem ist: 95 Prozent der erfolgreichen Angriffe basieren auf schlecht programmierter, schlecht gewarteter oder schlecht konfigurierter Software“, sagt Thomas Tschersich, Leiter Internal Security & Cyber Defense Deutsche Telekom. Dieses Problem ließe sich aber lösen, indem Security zu Beginn der Überlegung direkt berücksichtigt würde – „anstatt erst ein Pflaster über das Produkt zu kleben, wenn es bereits zusammengebaut wurde“, sagt Tschersich. Der Fachbegriff dafür lautet: Security by Design.

Security by Design vermeidet Fehler frühzeitig

Berücksichtigt ein Entwickler Sicherheitseigenschaften als Designkriterium, lassen sich Systemfehler von vornherein vermeiden. „Ein Softwareingenieur arbeitet dann auch ganz anders, denn er arbeitet Spezifikationen ab. Gehört Security nicht zu den Designkriterien, arbeitet er es auch nicht ab“, erklärt Tschersich. In diesem Fall könne der Entwickler nur hoffen, dass alles gut geht. „Meistens sehen wir aber: Es geht nicht gut.“
Im Idealfall ist das Thema Security bereits ein fester Bestandteil in der Ideenphase: Lässt sich die Idee unter Sicherheitsgesichtspunkten überhaupt realisieren? Wie muss die funktionale Sicherheitsanforderung aussehen? So fließt der Sicherheitsaspekt bereits bei der Erstellung des Prototyps mit ein – und wird durch alle Produktionsstufen mitgetragen. „Beim Abnahmetest wird das fertige Produkt dann bestenfalls nur noch durchgewinkt“, sagt Tschersich.

Angriffsfläche um mehr als 95 Prozent reduzieren

Security-Experte Tschersich empfiehlt Unternehmen, sich an sieben Grundregeln zu orientieren. „Setzt man diese ‚Goldenen Regeln‘ um, reduziert man die Angriffsfläche um mehr als 95 Prozent.“

Security by Design verringert Haftungsrisiko

Dem Security-Experten zufolge verringert ein Unternehmen mit Security by Design zudem sein Haftungsrisiko. „Hersteller müssen künftig damit rechnen, dass sie dafür haften, wenn sie die Sicherheit nicht von Anfang an vernünftig eingebaut haben.“ Könne das Unternehmen keinen Nachweis für ausreichende Sicherheit erbringen, habe es schon bald „ein signifikantes finanzielles Problem“, so Tschersich.
Security by Design – 7 Goldene Regeln
Die Angriffsfläche lässt sich deutlich minimieren, indem Überflüssiges deaktiviert wird. Deaktivierte, nicht benötigte Softwareprogramme und Komponenten auf IT-Systemen können auch nicht angegriffen werden. Tschersich: „Wer im Haus nur eine Haustür braucht, baut auch nur eine ein.“
Vertrauliche Informationen und Informationssysteme sollten nur für die gewünschten Kommunikationspartner zugänglich sein. „Wer sicherstellt, dass nur authentifizierte Nutzer oder Systeme auf etwas zugreifen können, schließt mit einer hohen Wahrscheinlichkeit alle nicht identifizierten aus“, sagt Tschersich.
Jede Eingabe sollte auf zulässige Zeichen, insbesondere Sonderzeichen, und auf die maximal zulässige Eingabelänge geprüft werden. Ein Beispiel: Bei der Bestellung auf einem Webportal sind im Feld für das Geburtsdatum des Nutzers nur Zahlen und möglicherweise noch Punkte erforderlich. „Ein Angriff kann verhindert werden, indem alles außer Zahlen und Punkten ignoriert wird“, sagt Tschersich.
Nach einem erfolgreichen Angriff auf ein System versuchen Angreifer häufig, von dort nach und nach Zugriff auf weitere Systeme zu erhalten. Systeme sollten daher voneinander getrennt werden. „Wenn ein Angreifer dann etwa den Webserver hackt, ist er noch lange nicht auf der Datenbank“, sagt Tschersich.
Der Zugang zu Systemen der Datenspeicherung, -verarbeitung und -übermittlung liegt meistens nicht vollständig in der Hand des eigenen Unternehmens, etwa wenn Clouddienste genutzt werden. Umso wichtiger ist es, vertrauliche Informationen zu schützen. Tschersich erklärt: „Selbst wenn Angreifer ein System hacken, können sie auf verschlüsselte Daten nicht zugreifen.“
Systeme sind schutzlos, wenn sie nicht stets auf einen aktualisierten Versionsstand gebracht werden. Nur so wird verhindert, dass Angreifer bekannte Sicherheitslücken ausnutzen. Neue Versionsstände enthalten zum Beispiel oftmals Abwehrmechanismen gegen bekannt gewordene Sicherheitslücken der Vorgängerversionen.
Der Zustand der Systeme muss im Hinblick auf ihre Sicherheit und Angreifbarkeit kontinuierlich durch Security-Checks kontrolliert werden. „Systeme leben und entwickeln sich weiter. Zudem werden immer neue Schwachstellen bekannt“, erklärt Tschersich.