Fraunhofer-Institut für sichere Informationstechnologie
Die Datei „Emerging Trends in Software Development & IT Security“ beschäftigt sich intensiv mit den wichtigsten Veränderungen und Herausforderungen in der Softwareentwicklung und deren Implikationen für die IT-Sicherheit. Sie basiert auf einer explorativen Studie, in der Experten aus Industrie, Wissenschaft und Regulierungsbehörden befragt wurden. Die Studie identifiziert sechs zentrale Trends in der Softwareentwicklung und skizziert die damit verbundenen Sicherheitsanforderungen.
- Dynamische, flexible und verteilte Arbeitsumgebungen: Die Softwareentwicklungsprozesse haben sich in den letzten Jahren stark beschleunigt und erfordern flexible Organisationsstrukturen sowie eine zunehmende Verteilung von Produktionsstandorten. Experten betonten, dass Unternehmen stärker in die Kommunikation und den Aufbau von Beziehungen zwischen ihren Entwicklungsteams investieren müssen, um sicherzustellen, dass sicherheitsrelevante Anforderungen klar verstanden und umgesetzt werden. Zudem wird empfohlen, Outsourcing-Partner sorgfältig auszuwählen und kritische Komponenten nicht auszulagern. Die Komplexität der Lieferketten verlangt nach besseren Techniken zur Messung und Zertifizierung von Komponenten.
- Weitverbreitete Einführung agiler Softwareentwicklung: Agile Entwicklungsmethoden haben sich als Reaktion auf die dynamischen Anforderungen des Marktes etabliert. Agile Teams sind flexibler und müssen in der Lage sein, Sicherheitsanforderungen frühzeitig zu erkennen und umzusetzen. Dabei muss die Sicherheitsverantwortung jedoch skalierbar bleiben, damit nicht jeder Entwickler überlastet wird. Die Experten betonten die Bedeutung der Usability als sicherheitsrelevanten Faktor und die Einbindung von Endnutzern bereits in den frühen Phasen der Entwicklung.
- Codegenerierung und der Einsatz vorgefertigter Bausteine: Die zunehmende „Demokratisierung“ der Softwareentwicklung ermöglicht es Entwicklern ohne formale Ingenieursausbildung, Code zu schreiben. Um sicherzustellen, dass auch von Laien geschriebener Code sicher ist, müssen Lernplattformen und Codegeneratoren Sicherheitsaspekte integrieren. In industriellen Anwendungen sollte die Sicherheitsautomatisierung durch integrierte Entwicklungsumgebungen und Frameworks erfolgen. Zudem wird gefordert, dass Frameworks eine Sicherheitszertifizierung erhalten.
- Kompositionale Systeme und Modularisierung: Der Trend zur Modularisierung und Komposition von Systemen stellt eine grundlegende Veränderung in der Art und Weise dar, wie Sicherheit in der Softwareentwicklung betrachtet wird. Unternehmen müssen sicherstellen, dass sie keine externen Komponenten als „Black Box“ integrieren, sondern deren Code verstehen und auf Sicherheitslücken testen. Zukünftig wird es erforderlich sein, formale Spezifikationen der Eigenschaften von Komponenten zu entwickeln, um Zertifizierungen zu ermöglichen. Ziel ist es, intrinsisch sichere Bausteine zu schaffen.
- Verteilte Systeme und verstärkte (domänenübergreifende) Vernetzung: Die zunehmende Vernetzung stellt neue Anforderungen an die Sicherheit verteilter Systeme. Es müssen Techniken entwickelt werden, um die Sicherheit solcher Systeme in Echtzeit zu bewerten. Besondere Herausforderungen bestehen im Bereich des Cloud Computing, wo rechtliche und haftungsrechtliche Fragen geklärt werden müssen. Außerdem müssen Mechanismen zur Trennung sensibler und nicht-sensibler Daten in verteilten Systemen etabliert werden.
- Die Komplexität gewachsener Software-Ökosysteme (Legacy-Systeme): Legacy-Systeme stellen eine erhebliche Herausforderung dar, da Sicherheitsaspekte oft erst nachträglich integriert werden müssen. Eine Möglichkeit besteht darin, unsichere Komponenten zu isolieren oder zu kapseln. Zudem werden Tools benötigt, um die Sicherheit sehr großer und komplexer Systeme zu analysieren. Um zukünftige Legacy-Probleme zu vermeiden, sollte Sicherheit von Anfang an in Systeme integriert werden. Unternehmen müssen in die Harmonisierung ihrer internen Codeproduktion investieren, um die Verständlichkeit des Codes langfristig sicherzustellen.
Insgesamt zeigt die Studie auf, dass die rasante Entwicklung in der Softwarebranche weitreichende Auswirkungen auf die IT-Sicherheit hat. Die Integration von Sicherheit in agile und modulare Entwicklungsprozesse sowie der Umgang mit Legacy-Systemen sind zentrale Herausforderungen, denen sich Unternehmen und Entwickler in den kommenden Jahren stellen müssen. Um diesen Anforderungen gerecht zu werden, sind neue Methoden, Techniken und Tools erforderlich, die es ermöglichen, Sicherheit systematisch und skalierbar in die Softwareentwicklung zu integrieren.
