Sichere Web-Anwendungen für eGovernment Neuer BSI-Leitfaden reduziert Fehler in der Software

Applikationen werden meist in Form von Web-Anwendungen entwickelt. Sicherheits­spezifische Vorgaben werden dabei oft mit der Ausschreibung veröffentlicht, teilweise aber auch erst im Projekt erarbeitet. Dies führt dazu, dass die Anwendungen Schwachstellen aufweisen, die Angreifer aus­genutzen. Der BSI-Leitfaden soll diese Situation entschärfen.

Anbieter zum Thema

Kodak Alaris Germany GmbH

publicplan GmbH

mgm technology partners GmbH

Zur Entwicklung sicherer Webanwendungen bietet das BSI in Zusammenarbeit mit SEC Consult eine Lösung für diese Problematik. Durch einheitliche, fundierte Vorgaben für die sichere Entwicklung in Kombination mit einer strukturierten Vorgehensweise für das Testen und die Abnahme der Software soll es möglich sein, das Niveau der IT-Sicherheit in der Bundesverwaltung und darüber hinaus deutlich zu optimieren.

IT-Verantwortlichen und Projektleitern aus öffentlichen Einrichtungen sowie aus der Industrie wird ein Leitfaden zur Seite gestellt, der als Hilfsmittel für die Erstellung von Verdingungsunterlagen oder die Festschreibung von Leistungs- sowie Abnahmekriterien dienen kann und somit den gesamten Vergabeprozess unterstützt.

Der BSI-Leitfaden wurde als wichtige Orientierungshilfe für das Beschaffungswesen deutscher Behörden entwickelt. In diesem Kontext sollen die Guidelines gleich in mehrerlei Hinsicht Hilfestellung geben:

• Einerseits unterstützt der BSI-Leitfaden deutsche Behörden dabei, sichere Software zu beschaffen.

• Andererseits richtet er sich an Software-Produzenten, die Behörden mit sicherer Software versorgen möchten.

Der BSI-Leitfaden ist aber auch für alle anderen Unternehmen und Organisationen geeignet, unabhängig von Größe und Tätigkeitsfeld. Er beschreibt keinen detaillierten Entwicklungsprozess, sondern gibt eine Empfehlung zur Entwicklung sicherer Webanwendungen beziehungsweise für Software im Allgemeinen ab. Er darf und kann an die Anforderungen des jeweiligen Unternehmens oder der jeweiligen Organisation angepasst werden.

Ziel der Initiative ist es, mögliche Gefährdungen von Software, die bereits bei der Entwicklung entstehen und oft erst sichtbar werden, wenn sie beim Anwender in Betrieb sind, zu reduzieren beziehungsweise vollständig zu eliminieren.

Vor diesem Hintergrund haben die Autoren des Leitfadens die Problemstellung bei der Entwicklung von Web-Anwendungen und Software sowohl aus der Perspektive des Auftragnehmers, als auch aus der Sicht des Auftraggebers beleuchtet.

Für den Auftragnehmer ist es vor allem wichtig zu wissen, worauf er im Entwicklungsprozess zu achten hat, da er sich dabei auf die Vorgaben des Auftraggebers stützen muss. Der Leitfaden definiert daher angemessene Sicherheitsanforderungen entsprechend des Schutzbedarfs der zu entwickelnden Anwendung, den sogenannten Secure Software Development Lifecycle (SSDL).

Dem Auftraggeber wiederum helfen die Guidelines dabei, die Vorgaben, die der Softwareentwickler erhalten hat, auf ihre Einhaltung zu überprüfen. Somit ist der Auftraggeber in der Lage, den Auftragnehmer bzw. den gesamten Entwicklungsprozess objektiv zu bewerten.

Um die Sicherheit bei der Entwicklung von Software und Webanwendungen zu erhöhen, sind auch weitere Standards und Guidelines hilfreich, so zum Beispiel die ÖNORM A 7700, der OWASP Application Security Verification Standard, das OWASP Open Software Assurance Maturity Model oder das Building Security in Maturity Model.

Mehr Informationen auf den BSI-Seiten.

(ID:42300826)