Sichere Anwendungsentwicklung

In dieser Lektion lernst du:

• Was der Secure Development Lifecycle (SDL) ist und warum Sicherheit von Anfang an mitgedacht werden muss
• Wie Threat Modeling mit STRIDE funktioniert und warum es vor der ersten Zeile Code stattfindet
• Wie du Eingaben validierst, Ausgaben sicher kodierst und Cookies richtig absicherst
• Warum sichere Fehlerbehandlung und Memory-Sicherheit zwei der meistunterschätzten Themen der Anwendungsentwicklung sind
• Was Software Sandboxing ist und wo es in der Entwicklung und im Sicherheitsbetrieb eingesetzt wird
• Wie Systeme und Anwendungen systematisch gehärtet werden
• Welche Werkzeuge zur automatisierten Code-Analyse existieren und wann du sie einsetzt
• Wie DevSecOps und Supply Chain Security zusammenwirken, um die gesamte Lieferkette abzusichern

In den bisherigen Lektionen haben wir Anwendungen und Dienste von außen abgesichert: Transportverschlüsselung, Authentifizierung, Netzwerkarchitektur, Härtung. Aber was ist mit dem Code selbst? Was nützt eine perfekte Firewall-Konfiguration, wenn die Webanwendung dahinter eine SQL-Injection-Schwachstelle hat?

Ein Beispiel: Bei NovaHealth entwickelt das Entwicklerteam gerade ein neues Modul für das Patientenportal mit einer Funktion, über die Patienten ihre Laborergebnisse einsehen können. Die Anforderungen sind klar, das Design steht, das Team ist motiviert. Doch Tom hat eine Frage an das Team: „Wann habt ihr zum letzten Mal über Sicherheit gesprochen?“ Stille. Die Antwort ist typisch: Sicherheit war „für später“ eingeplant, erst wenn die Anwendung „fertig“ ist. Genau hier setzen wir an.