Seminar Kompakt: Secure Software Development in der Praxis

Seminarbeschreibung

Das Kompaktseminar eignet sich für Teams, die eine gemeinsame praktische Basis für sichere Softwareentwicklung benötigen. Der Schwerpunkt liegt auf häufigen, im Entwicklungsalltag direkt bearbeitbaren Aufgaben. Eine kleine Anwendung wird von der Sicherheitsanforderung bis zur geprüften Änderung durchlaufen.

Das Format reduziert die Themenbreite und die Zahl der Übungsvarianten bewusst. Native Speicherfehler, umfassende Kubernetes-Härtung, vollständige Identity-Provider-Integration und vertiefte LLM-Sicherheit werden nicht als zusätzliche Praxisstrecken eingeplant. Dafür bleiben innerhalb der drei Tage eigene Implementierung, Negativtests und die Auswertung einer Pipelineprüfung möglich. Für Spezialisierung und größere Projekte schließen die Einzel- und Intensivseminare an.

Inhalte im Überblick

• Sicherheitsziele und Entwicklungsablauf
• Kurze Bedrohungsanalyse
• Web-Coding und sichere Datenverarbeitung
• API-Berechtigungen und Sitzungsbezug
• Prüfungen in der Lieferkette
• Sicherheitsbefunde bearbeiten
• Gemeinsame Änderungswerkstatt

Zielgruppe

Entwickler, Security Champions, technische Qualitätssicherung und kleinere Entwicklungsteams mit gemeinsamer Webentwicklungspraxis.

Voraussetzungen

Programmierkenntnisse im abgestimmten Web-Stack sowie Erfahrung mit HTTP, Datenbanken, Git und Tests. Allgemeine Entwicklungsgrundlagen werden vorausgesetzt; systematische Security-Erfahrung ist nicht erforderlich.

Seminarinhalte

Sicherheitsziele und Entwicklungsablauf

• Schutzbedarf und kritische Funktionen einer Anwendung erfassen.
• Verantwortlichkeiten sowie einfache Prüfpunkte für Änderungen und Releases festlegen.
• Zusätzliche Risiken durch KI-Codevorschläge und fremde Komponenten einordnen.

Kurze Bedrohungsanalyse

• Datenflüsse und Vertrauensgrenzen einer ausgewählten Funktion darstellen.
• Konkrete Missbrauchsszenarien für Identitäten, Daten und Geschäftsabläufe entwickeln.
• Priorisierte Anforderungen mit positiven und negativen Testfällen verbinden.

Web-Coding und sichere Datenverarbeitung

• Einen Injection- oder Ausgabefehler mit geeigneten Framework-Funktionen beheben.
• Dateien, Geheimnisse und Fehlermeldungen auf unbeabsichtigte Offenlegung prüfen.
• Kryptografische Funktionen über vorhandene Bibliotheken korrekt einordnen und riskante Eigenlösungen erkennen.

API-Berechtigungen und Sitzungsbezug

• Objektzugriffe serverseitig prüfen und Rollen sowie Mandanten unterscheiden.
• Token- und Sitzungsannahmen an der vorbereiteten Integration kontrollieren.
• Unzulässige Aktionen mit einer kleinen Berechtigungsmatrix testen.

Prüfungen in der Lieferkette

• Eine vorhandene Pipeline um ausgewählte Code-, Abhängigkeits- und Secret-Prüfungen ergänzen.
• Komponentenbestand, Artefaktidentität und sichere Konfiguration im Release berücksichtigen.
• Scannerbefunde prüfen und relevante Freigaberegeln festlegen.

Sicherheitsbefunde bearbeiten

• Einen Befund reproduzieren, priorisieren und einem Verantwortlichen zuordnen.
• Ursachenbehebung, Nachtest und betroffene Versionen berücksichtigen.
• Eine nachvollziehbare Information über die geprüfte Korrektur formulieren.

Gemeinsame Änderungswerkstatt

• Eine Funktion anhand des erarbeiteten Bedrohungsmodells korrigieren.
• Funktions- und Sicherheitstests sowie den Pipeline-Lauf auswerten.
• Die Änderung anhand der vereinbarten Kriterien im Review abnehmen.

Praxisübungen

1. Die Sicherheitsanforderungen einer ausgewählten Funktion festlegen.
2. Einen konkreten Web- oder API-Fehler reproduzieren und durch einen Test belegen.
3. Die Korrektur implementieren und berechtigte sowie unberechtigte Zugriffe prüfen.
4. Den Änderungsstand durch die vorbereitete Pipeline laufen lassen und relevante Befunde bearbeiten.
5. Den korrigierten Stand mit Funktions- und Sicherheitsnachweisen im Teamreview abnehmen.

Schulungsumgebung

Vorbereitete Webanwendung in einem abgestimmten Stack, IDE, Git, Testsuite und einfache CI/CD-Pipeline. Alle Übungsdaten und Konten sind für die isolierte Laborumgebung vorgesehen.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen