Sieben Punkte für mehr Softwaresicherheit

Eberbacher Gespräch gibt Handlungsempfehlungen zur Verbesserung von Software Security Heartbleed zeigt typische Probleme der Softwareentwicklung

(Mynewsdesk) Die aktuelle Heartbleed-Schwachstelle zeigt, wie wichtig es ist, die Sicherheit von Software zu verbessern. Konkrete Handlungsempfehlungen dazu diskutierten IT-Experten im Eberbacher Gespräch zu Software Security . Neben der Entwicklung besserer Testwerkzeuge fordern die Teilnehmer, die Sicherheit von Software bei öffentlichen Ausschreibungen stärker zu berücksichtigen sowie eine Diskussion der Haftungsfragen. Das Fraunhofer-Institut für Sichere Informationstechnologie SIT hat die Ergebnisse jetzt in einem Bericht veröffentlicht, der die wichtigsten Herausforderungen und passende Lösungsansätze beschreibt. Unter www.sit.fraunhofer.de lässt sich das Positionspapier kostenlos herunterladen.

Software ist heute so komplex, dass Menschen selbst schwerwiegende Fehler trotz intensiver Prüfung nicht erkennen können. So bemerkte auch der Prüfer im Heartbleed-Fall den Fehler nicht. Dabei handelte es sich um Open-Source-Software, deren Programmcode sogar öffentlich einsehbar und nachprüfbar ist. Wie bei vielen Open-Source-Projekten nutzten Unternehmen den kostenlosen Code und sorgten so unabsichtlich für eine Verbreitung des Fehlers. „Das Beispiel zeigt, wie wichtig es ist, die Sicherheitsqualität von Programmcode vor dem Einsatz besser zu prüfen, und wie gefährlich die Nutzung von fremdem Code ist“, sagt Prof. Michael Waidner, Leiter des Fraunhofer SIT und Direktor des BMBF-Komptenzzentrums European Center for Security and Privacy by Design (EC SPRIDE). „Auch wenn noch nicht klar ist, welche Schäden durch die Schwachstelle entstanden sind, zeigt das Beispiel doch erneut, dass es wesentlich teurer ist, Softwarefehler nachträglich zu beheben, als sie in der Entwicklungsphase zu beseitigen.“

Um die Entwicklung sicherer Software zu fördern, erarbeiteten die Teilnehmer des Eberbacher Gesprächs sieben konkrete Empfehlungen: Dazu zählt neben der Beantwortung der Haftungsfrage die Entwicklung von flexiblen Sicherheitsprozessen, die sich auch für kleine und mittlere Softwarehersteller eignen. Neben einer verbesserten Ausbildung von Programmierern sollten auch die Vergaberichtlinien für Behörden so geändert werden, dass Mindestanforderungen hinsichtlich der IT-Sicherheit erfüllt werden. Um Unternehmen Anreize zu geben, die Sicherheit eingesetzter Software zu erhöhen, müssen Manager die Kostenvorteile von sicherer Software berechnen können, etwa mit Hilfe von neuen quantitativen Modellen. Darüber hinaus braucht es nach Meinung der Teilnehmer auch neue Zertifizierungsmethoden, die dem rasanten Tempo der Softwareentwicklung entsprechen sowie neue Tools zur Schwachstellen-Analyse. „Gerade im Bereich der automatisierten Testwerkzeuge ist die deutsche Forschung besonders stark“, sagt Michael Waidner. „Neue Methoden erlauben es zum Beispiel, Fehler im Programmcode schneller und besser zu finden. Diese Ansätze gilt es jetzt, in Produkte zu verwandeln.“ Auf lange Sicht könnte sich auch eine Haftungsklärung positiv auf IT-Sicherheit und Datenschutz auswirken.

Über die Eberbacher Gespräche
Angewandte Forschung zur IT-Sicherheit braucht den Dialog zwischen Wissenschaft und Wirtschaft, um anwendungsrelevante Antworten auf die grundsätzlichen Fragestellungen zu erhalten: Was sind die aktuellen Herausforderungen für IT-Sicherheit und Datenschutz in der Praxis? Was ist für die Zukunft zu erwarten? Was kann und soll Technik leisten, wo sind die Grenzen des Machbaren? Wo braucht es neue Ideen? Die »Eberbacher Gespräche« des Fraunhofer SIT bieten ein Forum für diesen Dialog. Experten aus Wissenschaft und Wirtschaft treffen sich für jeweils einen Tag im Kloster Eberbach und erarbeiten für ein Thema gemeinsam Antworten auf diese Fragen.

Shortlink zu dieser Pressemitteilung:
http://shortpr.com/io7fyl

Permanentlink zu dieser Pressemitteilung:
http://www.themenportal.de/it-hightech/sieben-punkte-fuer-mehr-softwaresicherheit-57156

=== Titelblatt – Eberbacher-Bericht (Bild) ===

Bericht zum Eberbacher Gespräch Sichere Software-Entwicklung

Shortlink:
http://shortpr.com/9f5asu

Permanentlink:
http://www.themenportal.de/bilder/titelblatt-eberbacher-bericht

=== Eberbacher Bericht „Sichere Software-Entwicklung“ (Dokument) ===

Die aktuelle Heartbleed-Schwachstelle zeigt, wie wichtig es ist, die Sicherheit von Software zu verbessern. Konkrete Handlungsempfehlungen dazu diskutierten IT-Experten im Eberbacher Gespräch zu Software Security . Neben der Entwicklung besserer Testwerkzeuge fordern die Teilnehmer, die Sicherheit von Software bei öffentlichen Ausschreibungen stärker zu berücksichtigen sowie eine Diskussion der Haftungsfragen. Das Fraunhofer-Institut für Sichere Informationstechnologie SIT hat die Ergebnisse jetzt in einem Bericht veröffentlicht, der die wichtigsten Herausforderungen und passende Lösungsansätze beschreibt. Unter www.sit.fraunhofer.de lässt sich das Positionspapier kostenlos herunterladen.

Shortlink:
http://shortpr.com/874kb3

Permanentlink:
http://www.themenportal.de/dokumente/eberbacher-bericht-sichere-software-entwicklung

Die Informationstechnologie hat bereits weite Teile unseres Alltags durchdrungen: Ob Auto, Telefon oder Heizung ohne IT-Einsatz sind die meisten Geräte und Anlagen heute nicht mehr denkbar. Insbesondere Unternehmen nutzen ­­­IT-Systeme zur effektiven Gestaltung ihrer Arbeitsprozesse. Das Fraunhofer-Institut für Sichere Informationstechnologie beschäftigt sich mit dem Schutz dieser Systeme vor Ausfällen, Angriffen und Manipu­lationen.

Das Institut ist für Unternehmen aller Branchen tätig. Viele er­folg­reiche Projekte mit internationalen Partnern sind ein­­­­drucks­voller Beweis für eine vertrauensvolle und zuverlässige Zusam­men­­arbeit. Zu unseren Kunden zählen unter anderem die Deutsche Bank, SAP, Deutsche Telekom und das Bundesamt für Sicherheit in der Informationstechnik.

Fraunhofer-Institut für Sichere Informationstechnologie
Oliver Küch
Rheinstraße 75
64295 Darmstadt
06151/869-213
presse@sit.fraunhofer.de
www.sit.fraunhofer.de