Was ist Shift-Left-Security?

Sicherheitslücken sind zur Hauptursache für Cyberangriffe geworden und sind laut dem X-Force Threat Intelligence Index 2026 für 40 % der vom IBM X-Force-Team beobachteten Vorfälle verantwortlich. „Sicherheitsverantwortliche müssen zu einem proaktiveren Ansatz übergehen“, sagte Mark Hughes, Global Managing Partner for Cybersecurity Services bei IBM, in einer Pressemitteilung zum Threat Intelligence Index. Eine Shift-Left-Strategie macht Cybersicherheit proaktiv statt reaktiv und sorgt dafür, dass sie von Anfang an Priorität hat, statt erst nachträglich berücksichtigt zu werden.

Der Shift-Left-Ansatz ist Teil des Secure Software Development Lifecycle (SSDLC) und bedeutet, dass Sicherheit in jede Phase der Softwareentwicklung integriert wird. Er ist auch eine wichtige Best Practice für DevSecOps, die die Integration von Anwendungssicherheit (AppSec) und Infrastruktursicherheit in DevOps-Prozesse automatisiert.

Shift-Left-Security reduziert Sicherheitsrisiken, indem sie frühzeitig erkannt werden, bevor sie sich verschärfen. Sie umfasst die folgenden zentralen Maßnahmen:

• Bedrohungsmodellierung

• Sichere Codierung

• Sicherheitstests

• CI/CD-Integration

• Security as Code

Die Bedrohungsmodellierung findet während der Planungsphase statt. Dabei werden potenzielle Bedrohungen für ein System identifiziert und bewertet und Maßnahmen zu deren Minderung oder Verhinderung skizziert.

Der Prozess beginnt mit der Analyse der Systemarchitektur, dem Auffinden von Zugriffspunkten und der Abbildung von Datenflüssen. Anschließend werden die Bedrohungen nach Schweregrad eingestuft, um die Priorität festzulegen. Danach werden Kontrollmechanismen oder Schutzmaßnahmen zur Bewältigung von Bedrohungen festgelegt. Das daraus resultierende Bedrohungsmodell kann im gesamten SDLC optimiert werden.

Die Modellierung von Bedrohungen beinhaltet verschiedene Techniken, wie die STRIDE-Methodik und das MITRE ATT&CK-Framework. Das Open Worldwide Application Security Project (OWASP) bietet weitere Hinweise zur Bedrohungsmodellierung.

Sichere Codierungspraktiken umfassen defensive Programmierstrategien, die den Quellcode gegen Cyberangriffe stärken. Dazu gehören:

• Die Berücksichtigung von Sicherheitsaspekten in Code-Reviews;

• Authentifizierung und Autorisierung zur Überprüfung der Identität einer Entität und zur Gewährung des richtigen Zugangs;

• Verknüpfung parametrisierter Abfragen mit vorbereiteten Anweisungen, um SQL-Injection-Angriffe zu verhindern;

• Robuste Protokollierung und sichere Fehlerbehandlungsmechanismen;

• Serverseitige Validierung und Bereinigung von Eingaben und Ausgabe-Kodierung zum Schutz vor Injection-Angriffen;

• Starke kryptografische Protokolle zum Schutz der Datenverfügbarkeit, Vertraulichkeit und Integrität.

Mit umfassenden Sicherheitstests werden die im Quellcode eingebetteten Sicherheitsmaßnahmen validiert. Im Gegensatz zum Shift-Left-Testing, das darauf abzielt, die Codeabdeckung und Codequalität zu verbessern, liegt der Fokus von Sicherheitstests auf der Anwendung als Ganzes, um Sicherheitsprobleme aufzudecken.

Hier sind gängige Arten von Sicherheitstests:

• Static Application Security Testing (SAST): SAST wird auch als „White-Box-Testing“ bezeichnet und analysiert den Code, ohne die Anwendung auszuführen. Es wendet vordefinierte Regeln an, um Sicherheitslücken zu markieren.

• Dynamic Application Security Testing (DAST): DAST wird auch als Black-Box-Testing bezeichnet und analysiert Anwendungen während des laufenden Betriebs. Es verwendet simulierte Angriffe, um reale Bedrohungsakteure nachzuahmen.

• Interactive Application Security Testing (IAST): IAST analysiert sowohl den Codezusammenhang als auch das Laufzeitverhalten, um Schwachstellen in Echtzeit zu erkennen.

Diese Methoden können kombiniert werden, um ein umfassenderes Bild der wahrscheinlichen Sicherheitslücken zu erhalten.

Sicherheitsautomatisierung kann in Continuous Integration/Continuous Delivery (CI/CD) integriert werden. Zu den Möglichkeiten, Sicherheit in CI/CD-Pipelines zu integrieren, zählen:

• Implementierung von Pre-Commit-Hooks, die vor dem Erstellen eines Pull Requests einen Secret-Scan durchführen und Änderungen blockieren, die fest im Code hinterlegte Secrets enthalten (z. B. API-Schlüssel, Verbindungszeichenfolgen und andere Zugangsdaten);

• Scannen der Infrastruktur als Code (IaC) auf Fehlkonfigurationen;

• Secret-Erkennung für Artefakte, Build-Protokolle und Umgebungsvariablen, um alle exponierten Secrets aufzudecken, bevor sie die Produktion erreichen;

• Software Composition Analysis (SCA) zur Untersuchung von Open-Source-Bibliotheken und -Komponenten, Erstellung einer Software-Stückliste (SBOM) und Vergleich dieser mit Datenbanken bekannter Sicherheitslücken;

• Sicherheitslücken-Scan für Container-Abbildungen von cloudnative Anwendungen.

Wie Policy als Code behandelt Security as Code Sicherheitsregeln und Richtlinien als ausführbare Logik. Automatische Prüfungen können durchgeführt werden, bevor Entwickler Codeänderungen vornehmen, um sicherzustellen, dass sie die Sicherheitsregeln und -richtlinien einhalten.

Security as Code ist in denselben Versionskontrollsystemen verankert, die Softwareentwicklungsteams zur Codeverwaltung verwenden. Damit lassen sich codebasierte Sicherheitsrichtlinien umfassend, konsistent und skalierbar anwenden. Aktualisierungen können zudem problemlos überprüft und nachverfolgt werden.

Shift-Left-Security hilft, die Angriffsfläche eines Unternehmens zu verringern und gleichzeitig die Softwarequalität aufrechtzuerhalten. Unternehmen profitieren von folgenden Vorteilen der Shift-Left-Security:

• Verbesserte Teamkultur

• Höhere Kundenzufriedenheit

• Reduzierte Kosten

• Schnellere Releases

Shift-Left-Security fördert die Zusammenarbeit zwischen Entwickler-, DevOps- und Sicherheitsteams. Sie teilen Sicherheitswissen und Best Practices und beseitigen so Informations-Silos. Und sie einigen sich auf Sicherheitsziele und arbeiten zusammen, um sicherere Software zu entwickeln.

Durch die frühzeitige Integration von Sicherheitsmaßnahmen in den Entwicklungszyklus wird verhindert, dass schwerwiegende Sicherheitslücken in die Produktionsumgebung gelangen und sich negativ auf die Benutzer auswirken. Außerdem werden dadurch die Ausfallzeiten begrenzt, die bei Notfallkorrekturen oder Patches zur Behebung von Sicherheitslücken auftreten. Dies ermöglicht es den Teams, qualitativ hochwertige, zuverlässige, sichere und stabile Systeme bereitzustellen, was wiederum das Vertrauen der Kunden stärkt.

Das Erkennen von Sicherheitslücken in den späteren Phasen des SDLC kann kostspielige Nacharbeiten zur Folge haben. Werden Sicherheitsprobleme frühzeitig erkannt, sind ihre Behebungskosten geringer.

Shift-Left-Security verhindert Engpässe, die durch Verzögerungen bei der Suche nach Sicherheitslücken gegen Ende des Entwicklungsprozesses entstehen, was zu schnelleren Lieferzyklen führt. Mittlerweile hilft die nahtlose Integration von Shift Left-Sicherheit in das SDLC, die Workflows zu optimieren, während automatisierte Tests und Automatisierung als Teil von CI/CD-Pipelines zu schnelleren Releases beitragen.

Shift-Left-Security trägt dazu bei, den gesamten Sicherheitsstatus eines Unternehmens zu verbessern. Hier sind einige Tipps für die Umsetzung der Shift-Left-Security:

• Festlegung klarer Sicherheitsanforderungen und -richtlinien

• Klein anfangen

• Automatisierung konsequent einsetzen

• Priorisierung nach Schweregrad

• Shift Left mit Shift Right kombinieren

• Im Laufe der Zeit optimieren

• Wissen ist ein entscheidender Faktor

In den Planungs- und Analysephasen des SDLC müssen neben funktionalen und anderen Projektanforderungen auch Sicherheitsanforderungen und -richtlinien definiert werden. Jetzt ist der richtige Zeitpunkt, Cybersicherheitsteams hinzuzuziehen, die auf diesem Weg entscheidende Beratung und Unterstützung bieten.

Die frühzeitige Verankerung der Sicherheit kann eine Herausforderung sein, insbesondere bei großen Softwareprojekten. Wenn Sie klein und einfach anfangen, lässt sich dieser Prozess leichter umsetzen. Dies kann beispielsweise die Anwendung einer bestimmten sicheren Codierungspraxis oder die Durchführung von Sicherheitstests für eine untergeordnete Funktion umfassen.

Automatisierung ist ein wichtiges Asset, wenn es um Shift-Left-Security geht. Red Hat Advanced Cluster Security für Kubernetes ist beispielsweise eine Kubernetes-native Sicherheitsplattform, die containerisierte Apps über ihren gesamten Lebenszyklus hinweg sichert – von der Erstellung und Deploy bis zur Laufzeit. Es ermöglicht das automatische Scannen von Container-Images auf Fehlkonfigurationen und bekannte Sicherheitslücken. Es kann außerdem Sicherheitsrichtlinien automatisch durchsetzen, z. B. Builds blockieren oder Bereitstellung-Pipelines anhalten, wenn ein Image die automatisierten Prüfungen nicht besteht.

Bei der Implementierung der Shift-Left-Security kann es bei den jeweiligen Teams aufgrund der zahlreichen Warnmeldungen, die von den verwendeten Tools erzeugt werden, zur Alarmermüdung (Alarm Fatigue) kommen. Die Einrichtung eines Triage-Systems kann hilfreich sein, da dabei Probleme mit hohem Risiko vor solchen mit niedrigem Risiko gelöst werden.

Die Kombination beider Strategien kann zu sichererer, stärkerer Software führen. Während Shift Left Sicherheitsaspekte über den gesamten SDLC hinweg verankert, schützt Shift Right vor sich weiterentwickelnden Sicherheitsbedrohungen in der Produktionsumgebung. Beide Ansätze ergänzen sich daher.

Beispiele für Shift-Right-Security sind der Laufzeit-Anwendungsselbstschutz (RASP), der Angriffe in Echtzeit erkennt und darauf reagiert, sowie Web Application Firewalls (WAFs), die den Datenverkehr zu Webanwendungen überwachen und anhand von Sicherheitsrichtlinien schädlichen Datenverkehr blockieren.

Shift-Left-Security ist eine fortlaufende, iterative Methode. Unternehmen können ihre bisherigen Erfahrungen nutzen, um ihren Ansatz kontinuierlich weiterzuentwickeln.

Unternehmen müssen Shift-Left-Security in die Sicherheitsschulungen ihrer Entwicklungs- oder DevOps-Teams integrieren. Teams müssen verstehen, warum eine Verschiebung der Sicherheit nach links wichtig ist, wie man sie implementiert und wie man die notwendigen Werkzeuge nutzt.

Da generative KI zunehmend in Softwareentwicklungs-Workflows integriert wird, kann sie auch dazu beitragen, diese Workflows abzusichern.

So basiert beispielsweise IBM Bob, ein KI-gestützter Entwicklungspartner, auf dem Prinzip, Sicherheit von Anfang an mitzudenken, und verfolgt den Shift-Left-Ansatz. Es verfügt über einen integrierten Review-Workflow, der Codeänderungen analysiert und potenzielle Sicherheitsprobleme markiert, bevor Entwickler ihre Änderungen in das Repository übernehmen. Teams können einen sicherheitsorientierten Code-Review-Skill erstellen, der den Quellcode auf gängige Schwachstellen und die Einhaltung von Secure-Coding-Praktiken prüft.

Noch einen Schritt weiter: Bob kann sicheren Code mit einem Actor-Critic-Workflow generieren. Ein Actor-Subagent schreibt sicherheitskonformen Code gemäß konfigurierten Sicherheitsregeln, während ein Critic-Subagent den Code anhand veröffentlichter Sicherheitsstandards validiert.

Inzwischen ist IBM® Concert,  eine agentische IT Ops-Plattform, die Sicherheitsrisiken proaktiv und frühzeitig erkennt, bevor sie sich zu Problemen in der Produktion ausweiten. Concert Protect verwendet KI-gestütztes Schwachstellenmanagement, um nachzuweisen, welche Sicherheitslücken tatsächlich relevant sind, und deren Behebung zu koordinieren.