Warum Teams über Schutzziele statt über Security reden sollten

🚨 Testen wir manchmal eigentlich zu viel? Viele Tests heisst nicht, dass auch viele Fehler gefunden werden. So können wir das lösen: Kostenloser Online-Workshop

„Wir reden nicht nur über Sicherheit, wir reden über Schutzziele." - Markus Geiger

Diesmal spreche ich mit Markus Geiger über ein Problem, das viele Tester kennen: Security Requirements sind oft so abstrakt formuliert, dass man damit beim Testen wenig anfangen kann. Markus zeigt, wie man über konkrete Schutzziele wie Vertraulichkeit, Integrität und Verfügbarkeit spricht – und warum Teams ohne Security-Experten mit einfachen Methoden wie Threat-Modeling-Kartenspielen selbst herausfinden können, wo ihre Schwachstellen liegen.

Markus Geieger ist Projektleiter, Trainer und Architekt bei der WPS - Workplace Solutions. Markus hat Nachrichtentechnik in Esslingen am Neckar und Distributed Computing Systems Engineering an der Brunel University in London studiert und hat mehr als 25 Jahre Erfahrung als Softwareentwickler, Softwarearchitekt und Coach in vielen Projekten im Umfeld von Industrie, Logistik und Handel. Neben der Software-Architektur gilt sein besonderes Interesse der IT-Security und dem Secure Development Lifecycle.

Highlights:

Security Requirements lassen sich nur sinnvoll formulieren, wenn vorher geklärt ist, welche Assets schützenswert sind und welche Schutzziele, Vertraulichkeit, Integrität oder Verfügbarkeit, für sie gelten.
Einen Pentest erst kurz vor dem Release durchzuführen ist der teuerste Zeitpunkt, einen Sicherheitsfehler zu entdecken, weil alle Designentscheidungen bereits gefallen sind.
Kartenspiele wie Elevation of Privilege oder Cornucopia ermöglichen es Teams ohne ausgewiesene Security-Expertise, Bedrohungsszenarien spielerisch zu identifizieren und zu dokumentieren.
Kataloge wie der OWASP ASVS sind nützlich, aber erst dann anwendbar, wenn ein Team weiß, welche Schutzziele es erfüllen muss, sonst fehlt der Maßstab für Priorisierung und Testtiefe.
Das Grundrauschen an Angriffen kommt überwiegend von opportunistisch arbeitenden IT-Firmen, die automatisiert nach Lücken scannen, nicht vom klischeehaften Hacker mit gezieltem Angriffsziel.

Weitere Links zur Episode:

[BSI-Info zum Cyber-Resiliance-Act](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html und die Technische Richtlinie dazu: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03183/TR-03183_node.html)
OWASP
OWASP ASVS
OWASP Cornucopia (Threat-Modeling-Game)