Wie man Shift Left macht und Sicherheitsrisiken früher erkennt – in der Anwendung und in der Infrastruktur

Aufgedeckte Sicherheitslücken in der Produktion bergen ein reales Geschäftsrisiko. Ausfälle, Verstöße gegen die Compliance-Vorgaben und verzögerte Veröffentlichungen beginnen oft mit Schwachstellen, die viel früher im Entwicklungszyklus eingeführt werden.

Die Herausforderung liegt im Timing. Sicherheitsüberprüfungen finden häufig statt, nachdem der Code bereits geschrieben, zusammengeführt oder bereitgestellt wurde. An diesem Punkt sind Sicherheitslücken nicht mehr isoliert; Sie sind in Anwendungen, Infrastruktur und Abhängigkeiten eingebettet, was die Sanierung komplexer macht.

Die Daten machen die Auswirkungen deutlich:

• Die Behebung von Problemen in der Produktion kann bis zu 30-mal mehr kosten, als sie während des Entwurfs zu lösen.
• Unternehmen, die ein kontinuierliches Expositionsmanagement implementieren, haben eine dreimal geringere Wahrscheinlichkeit, einen Sicherheitsverstoß zu erleiden.
• Selbst grundlegende Lücken, wie beispielsweise im Zertifikatsmanagement, bergen Risiken, da jederzeit 25 % der SSL/TLS-Zertifikate abgelaufen sein können.

Gleichzeitig beschleunigt sich die Entwicklungsgeschwindigkeit. KI, Automatisierung und DevOps ermöglichen es Teams, schneller als je zuvor zu arbeiten, während Systeme immer komplexer werden und Anwendungen, Infrastruktur, Abhängigkeiten und Cloud-Umgebungen umfassen. Manuelle Code-Überprüfungen und Richtlinienprüfungen sind berüchtigt unzuverlässig – 25 % der durch manuelle Workflows ausgelösten Warnungen sind Fehlalarme, was das Risiko menschlicher Fehler erhöht und die Bereitstellungszyklen verlangsamt.

Das Ergebnis ist ein wachsendes Angriffsfenster, in dem Sicherheitslücke eindringen, sich ausbreiten und schwerer einzudämmen können.

Moderne Entwicklungsmodelle haben traditionelle Sicherheitsansätze überholt. Was einmal in langsameren Release-Zyklen funktioniert hat, kann mit Continuous Delivery nicht mehr mithalten.

Mehrere Faktoren treiben diese Lücke voran:

• Die Entdeckung von Sicherheitslücken in einem späten Stadium beeinträchtigt die Auslieferung: Oftmals treten Sicherheitsprobleme erst nach dem Zusammenführen oder der Bereitstellung auf, was Nacharbeiten, Rollbacks und Verzögerungen bei der Veröffentlichung zur Folge hat.
• KI beschleunigt sowohl die Geschwindigkeit als auch das Risiko: Ungefähr 40% des Codes sind KI-generiert, was die Ausgabe erhöht, aber auch die Wahrscheinlichkeit, dass Sicherheitslücken in großem Maßstab eingeführt werden.
• Überarbeitung verbraucht Ressourcen: Zwischen 20–30 % der IT-Budgets werden für die Pflege von minderwertigem Code und die Behebung technischer Schulden ausgegeben.

Diese Muster verstärken ein Kernproblem: Sicherheit ist nach wie vor weitgehend reaktiv.

Wenn die Erkennung zu spät erfolgt, sind die Teams zur Brandbekämpfung gezwungen, wodurch Zeit, Budget und Fokus von der Innovation abgelenkt werden. Da Systeme immer stärker miteinander verknüpft sind, können sich Sicherheitslücken über mehrere Ebenen ausbreiten, bevor sie erkannt werden.

Gleichzeitig kann Sicherheit nicht mehr als letzter Kontrollpunkt am Ende der Bereitstellung fungieren. Moderne Plattformen stehen vor Herausforderungen wie sich rasch verändernder Infrastruktur, verzögerter, von Menschen gesteuerter Governance, weit verbreiteter Verwendung langlebiger und statischer Zugangsdaten, Anmeldedaten sowie Konfigurationsabweichungen, die durch manuelle Prozesse verursacht werden. Um Schritt zu halten, muss sich die Sicherheit zu einer programmierbaren, automatisierten und kontinuierlichen Praxis entwickeln, die in den gesamten Lebenszyklus der Bereitstellung eingebettet ist.

Um mit der modernen Softwarebereitstellung Schritt zu halten, verfolgen Unternehmen einen Shift-Left-Ansatz und verlagern die Sicherheit früher in den Softwareentwicklungszyklus (SDLC).

Anstatt Sicherheit als nachgelagerte Überprüfung zu behandeln, wird sie in die Art und Weise eingebettet, wie Teams Software entwerfen, bauen und bereitstellen. Dieser Ansatz verkürzt die Zeit zwischen der Einführung einer Sicherheitslücke und deren Sanierung und verhindert, dass sich Probleme verschlimmern.

Ein Shift-Left-Modell führt typischerweise mehrere wichtige Praktiken ein:

• Erkennen Sie Sicherheitslücken bereits bei der Codeerstellung, nicht nach der Bereitstellung.
• Priorisieren Sie Risiken auf der Grundlage von realen Auswirkungen und Kontexten, nicht nur nach Schweregrad.
• Ermöglichen Sie Entwicklern, Probleme sofort zu beheben, ohne ihren Workflow zu stören.
• Integrieren Sie Sicherheitsprüfungen direkt in CI/CD-Pipelines.

Für Infrastruktur gilt dieser Ansatz bereits früher im Bereitstellungszyklus:

• Setzen Sie Compliance-Richtlinien durch, bevor Ressourcen eingesetzt werden. 
• Verwalten Sie Geheimnisse sicher, um die Offenlegung von Zugangsdaten zu reduzieren.
• Halten Sie Audit-Trails und Governance in verschiedenen Umgebungen aufrecht. 
• Standardisieren Sie die Konfigurationen, um das Risiko von Abweichungen und Fehlkonfigurationen zu reduzieren.

Zusammen helfen diese Praktiken Unternehmen, die Kosten für die Problembehebung zu senken, die Bereitstellung zu beschleunigen und ihre Angriffsfläche zu verkleinern, ohne die Entwicklung zu verlangsamen.

Die Anwendung von Shift-Left-Prinzipien erfordert mehr als nur Prozessänderungen. Sie erfordert einen kontinuierlichen, integrierten Ansatz für das Risikomanagement über den Full Stack hinweg.

In der Praxis tendieren leistungsstarke Teams zu einem Modell, das Folgendes betont:

• Erkennung: Identifizierung von Sicherheitslücken während der Codeentwicklung, um spätere Ausfälle zu verhindern. 
• Automatisierte Sanierung: Reduziert den manuellen Aufwand durch die Lösung wiederholbarer Probleme direkt im Workflow.
• Kontinuierliches Lernen: Mit jedem Release-Zyklus wird die Priorisierung verbessert und die Störungen reduziert.
• Einheitliche Sichtbarkeit: Verknüpfung von Erkenntnissen über Code, Infrastruktur, Abhängigkeiten und Laufzeit.
• Funktionsübergreifende Zusammenarbeit: Ermöglichung der Zusammenarbeit von Entwicklern, Betriebs- und Sicherheitsteams mit gemeinsamer Verantwortung für die durchgängige Durchsetzung der Sicherheit – von der Codeentwicklung über die Bereitstellung bis hin zum Laufzeitbetrieb.
• Standardisierte Best Practices und goldene Workflows: Etablierung einheitlicher Bereitstellungs- und Sicherheitsmuster, Sicherheitsgeländer und genehmigter Automatisierungs-Workflows, um Sicherheitslücken zu verringern, Konfigurationsabweichungen zu minimieren und die Produktionszuverlässigkeit sowie die betriebliche Effizienz zu verbessern.

Diese Vorgehensweise schafft eine Feedbackschleife, in der die Sicherheit während des gesamten Lebenszyklus von der Entwicklung bis zur Bereitstellung kontinuierlich bewertet, verfeinert und durchgesetzt wird – anstatt nur sporadisch am Ende der Bereitstellung angewendet zu werden.

Das Ergebnis ist ein messbarer Wandel mit weniger Überraschungen in der Spätphase, geringerem operativen Risiko, schnelleren und besser vorhersehbaren Veröffentlichungen und einem effizienteren Einsatz der technischen Ressourcen.

Da sich die Entwicklung weiter beschleunigt – und KI sowohl Geschwindigkeit als auch Komplexität gewinnt – muss sich die Sicherheit weiterentwickeln, um Schritt zu halten.

Der Wandel ist im Prinzip einfach: Sicherheit muss früher in den Vordergrund rücken und Teil des Entwicklungsprozesses der Teams werden, nicht erst im Nachhinein berücksichtigt werden.

Unternehmen, die diesen Ansatz erfolgreich einsetzen, können Sicherheitslücken erkennen, bevor sie zu betrieblichen Problemen werden, kostspielige Nacharbeiten und Produktionsunterbrechungen minimieren und die Einhaltung von Vorschriften gewährleisten, ohne Engpässe zu verursachen. Durch diese Vorgehensweise können sie Software liefern, die von Grund auf sicher ist.

Letztendlich entsteht robuste Software nicht im Produktionsbetrieb. Sie ist in jede Phase des Lebenszyklus integriert – von der ersten Codezeile bis zur Infrastruktur, die sie ausführt.

Erfahren Sie, wie Sie Softwarerisiken frühzeitig im Entwicklungs- und Bereitstellungszyklus erkennen können

Erfahren Sie, wie IBM Concert® das Expositionsmanagement revolutioniert.

Erfahren Sie, wie Terraform eine sichere Infrastruktur in großem Maßstab durchsetzt

Erfahren Sie, wie Sie Sicherheit frühzeitig in Ihren Softwareentwicklungszyklus integrieren können.

Erkunden Sie IBM Secure Coder