Security by Design: Sicherheit beginnt nicht mit dem Go-live

Sicherheit ist eine Architektureigenschaft

Authentisierung, Berechtigungen, Datenflüsse, Schnittstellen und Vertrauensgrenzen prägen die Sicherheit einer Anwendung. Werden diese Punkte erst nach der Entwicklung betrachtet, sind Änderungen häufig teuer oder nur noch mit Kompromissen möglich.

Security by Design bedeutet deshalb, Risiken früh in technische Entscheidungen einzubeziehen.

Weniger Angriffsfläche

Eine robuste Lösung stellt nur jene Funktionen, Schnittstellen und Berechtigungen bereit, die tatsächlich benötigt werden. Unnötige Komponenten erhöhen Komplexität und damit auch die mögliche Angriffsfläche.

Das Prinzip der minimal notwendigen Rechte gilt für Benutzer ebenso wie für Dienste, APIs und technische Konten.

Sichere Standards statt Sonderregeln

Sicherheit sollte möglichst durch sichere Voreinstellungen entstehen. Verschlüsselte Verbindungen, etablierte Authentisierungsverfahren, Secret-Management und kontrollierte Fehlerausgaben sollten Teil der technischen Basis sein.

Dadurch hängt Sicherheit weniger davon ab, dass einzelne Personen bei jedem Schritt an eine zusätzliche Sonderregel denken.

Abhängigkeiten gehören dazu

Moderne Software besteht zu einem erheblichen Teil aus Bibliotheken, Frameworks und externen Diensten. Diese Abhängigkeiten müssen bekannt, aktualisierbar und in den Entwicklungsprozess eingebunden sein.

Wartbarkeit und Sicherheit sind deshalb eng verbunden: Eine Lösung, die sich nicht zuverlässig aktualisieren lässt, wird mit der Zeit zwangsläufig schwieriger abzusichern.

Security als Qualitätsmerkmal

Security by Design bedeutet nicht, jedes Projekt mit maximalen Kontrollen zu belasten. Massnahmen müssen zum Schutzbedarf und Risiko passen. Entscheidend ist, dass diese Abwägung bewusst erfolgt.

So wird Sicherheit nicht zum Hindernis am Projektende, sondern zu einem normalen Bestandteil professioneller Softwareentwicklung.