Sichere Webanwendungen: Neuer BSI-Leitfaden reduziert Software-Fehler

SEC Consult und das deutsche Bundesamt für Sicherheit in der Informationstechnik geben eine Orientierungshilfe bei der Software-Entwicklung. [...]

SEC Consult, Berater im Bereich Information Security, wurde aufgrund seines fundierten Know-hows ausgewählt, gemeinsam mit dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Leitfaden zur Entwicklung sicherer Webanwendungen zu erstellen.

Der BSI-Leitfaden wurde als wichtige Orientierungshilfe für das Beschaffungswesen deutscher Behörden entwickelt. In diesem Kontext geben die Guidelines gleich in mehrerlei Hinsicht Hilfestellung: Einerseits unterstützt der BSI-Leitfaden deutsche Behörden dabei, sichere Software zu beschaffen. Andererseits richtet er sich an Software-Produzenten, die Behörden mit sicherer Software versorgen möchten.

Der BSI-Leitfaden ist aber auch für alle anderen Unternehmen und Organisationen geeignet, unabhängig von Größe und Tätigkeitsfeld. Er beschreibt keinen detaillierten Entwicklungsprozess, sondern gibt eine Empfehlung zur Entwicklung sicherer Webanwendungen bzw. Software im Allgemeinen ab. Er darf und kann an die Anforderungen des jeweiligen Unternehmens angepasst werden.

Ziel der Initiative ist es, mögliche Gefährdungen von Software, die bereits bei der Entwicklung entstehen und oft erst sichtbar werden, wenn sie beim Anwender in Betrieb sind, zu reduzieren bzw. vollständig zu eliminieren. Vor diesem Hintergrund haben die Autoren des Leitfadens die Problemstellung bei der Entwicklung von Webanwendungen und Software sowohl aus der Perspektive des Auftragnehmers, als auch aus der Sicht des Auftraggebers beleuchtet.

Für den Auftragnehmer ist es vor allem wichtig zu wissen, worauf er im Entwicklungsprozess zu achten hat, da er sich dabei auf die Vorgaben des Auftraggebers stützen muss. Der Leitfaden definiert daher angemessene Sicherheitsanforderungen entsprechend des Schutzbedarfs der zu entwickelnden Anwendung, den sogenannten Secure Software Development Lifecycle (SSDL). Dem Auftraggeber wiederum helfen die Guidelines dabei, die Vorgaben, die der Softwareentwickler erhalten hat, auf ihre Einhaltung zu überprüfen. Somit ist der Auftraggeber in der Lage, den Auftragnehmer bzw. den gesamten Entwicklungsprozess objektiv zu bewerten.

Um die Sicherheit bei der Entwicklung von Software und Webanwendungen zu erhöhen, sind auch weitere Standards und Guidelines hilfreich, so zum Beispiel die ÖNORM A 7700, der OWASP Application Security Verification Standard, das OWASP Open Software Assurance Maturity Model oder das Building Security in Maturity Model.

Mehr Informationen zum BSI-Leitfaden finden Sie hier. (pi)