Unternehmen ertrinken in Software-Schwachstellen – Source: www.csoonline.com

afry_harvy – Shutterstock.com

Laut dem aktuellen State of Software Security Report von Veracode ist die durchschnittliche Behebungszeit für Sicherheitslücken in den vergangenen fünf Jahren von 171 auf 252 Tage gestiegen.

Darüber hinaus weist die Hälfte (50 Prozent) der Unternehmen inzwischen eine risikoreiche “Sicherheitsschuld” auf, die länger als ein Jahr bestehen bleibt. Obwohl das Ergebnis für 2025 nur geringfügig über dem Wert (46 Prozent) des vergangenen Jahres liegt, zeichnet sich dadurch ein besorgniserregender Trend ab. Die Studienergebnisse deuten darauf hin, dass die Zahl der Organisationen mit Sicherheitsrückständen um fast zehn Prozent gestiegen ist.

Laut Chris Wysopal, Mitbegründer und Chief Security Evangelist bei Veracode, ist der Zeitaufwand zur Behebung von Software-Fehlern im Laufe der Jahre  zunehmend gestiegen. „Dafür gibt es viele Gründe. Der ständig wachsende Umfang und die Komplexität des Software-Ökosystems sind ein Kernproblem“, erklärt er gegenüber CSO.

„Unternehmen haben mittlerweile mehr Anwendungen und weitaus mehr Code, den sie im Auge behalten müssen. Dies wird nur noch zunehmen, wenn mehr Teams KI für die Code-Generierung einsetzen. Ein Problem, das durch die potenziellen Sicherheitsauswirkungen von KI-generiertem Code auf interne Software und Abhängigkeiten von Drittanbietern noch verschärft wird“, ergänzt der Security-Experte.

Risikominderung und Sicherheitsreife

Die Studie zeigt deutliche Unterschiede in der Art und Weise auf, wie Organisationen mit Sicherheitsmängeln umgehen. Laut Veracode gibt es fünf Schlüsselkennzahlen, um den Sicherheitsreifegrad zu messen und die Fähigkeit einer Organisation zur systematischen Risikominderung zu verbessern:

• Fehlerhäufigkeit: Führende Organisationen weisen in weniger als 43 Prozent der Anwendungen Fehler auf, während rückständige Organisationen mehr als 86 Prozent aufweisen.
• Fehlerbehebungskapazität: Führende Unternehmen beheben monatlich über zehn Prozent der Fehler, während Nachzügler weniger als ein Prozent beheben.
• Fehlerbehebungsgeschwindigkeit: Spitzenreiter beheben die Hälfte der Fehler in fünf Wochen, während leistungsschwächere Unternehmen länger als ein Jahr dafür brauchen.
• Sicherheitsschulden: Weniger als 17 Prozent der Anwendungen in führenden Unternehmen weisen Sicherheitsschulden auf, verglichen mit mehr als 67 Prozent in nachhinkenden Unternehmen.
• Open-Source-Schulden: Führende Organisationen halten kritische Open-Source-Schulden unter 15 Prozent, während in rückständigen Organisationen 100 Prozent der kritischen Schulden Open Source sind.

Um die Sicherheitsreife zu erhöhen, empfehlen die Analysten die Sichtbarkeit und Integration über den gesamten Softwareentwicklungslebenszyklus hinweg zu verbessern. Zudem könnte der Einsatz von Automatisierung und Feedbackschleifen neue Sicherheitslücken vermeiden. Veracode argumentiert weiter, dass Organisationen der Korrelation und Kontextualisierung von Sicherheitsergebnissen in einer einzigen Ansicht Priorität einräumen sollten.

„Die meisten Unternehmen haben nur eine bruchstückhafte Sicht auf die Softwarefehler und -risiken in ihren Anwendungen“, stellt Wysopal fest. „Die ausufernden Toolsets erzeugen eine ‚Alarmmüdigkeit‘. Gleichzeitig entstehen Datensilos, die interpretiert werden müssen, um Entscheidungen zu treffen“, fügt er hinzu. Um den Sicherheitsrückstand zu beheben, rät der Security-Spezialist dazu, die Behebung von Fehlern auf der Grundlage des Risikos zu priorisieren.

Risiken in der Lieferkette

Speziell zu Open-Source-Sicherheitslücken hat der App-Security-Anbieter Black Duck 965 kommerziellen Codebasen aus 16 Branchen analysiert. Demnach enthielten 86 Prozent der kommerziellen Codebasen Open-Source-Software-Schwachstellen. 81 Prozent der Lücken wiesen ein hohes oder kritisches Risiko auf.

Dabei wurden acht der zehn größten Schwachstellen mit hohem Risiko in jQuery, einer weit verbreiteten JavaScript-Bibliothek, entdeckt. Die am häufigsten gefundene Schwachstelle mit hohem Risiko war CVE-2020-11023, eine XSS-Schwachstelle, die veraltete Versionen von jQuery betrifft. Die Lücke ist immer noch in einem Drittel der gescannten Codebasen vorhanden.

„Das Risiko für die Lieferkette, das von Schwachstellen ausgeht, die von Drittanbieter- und Open-Source-Code herrühren, kann durch kontinuierliches Scannen des Codes während des gesamten Softwareentwicklungslebenszyklus gemindert werden“, betonen die Veracode-Spezialisten. „Unternehmen sollten ihre Abläufe modernisieren, um sicherzustellen, dass das Aktualisieren, Testen und Bereitstellen einer neuen Version einer benutzerdefinierten Anwendung so effizient wie möglich ist.“

Wysopal erläutert dazu: „Die Software-Kompositionsanalyse (SCA) erreicht dies, indem sie die Risiken von Drittanbieter- und Open-Source-Softwarekomponenten durch einen automatisierten Prozess erkennt und verwaltet. Sie generiert Software-Stücklisten (SBOM), scannt nach Schwachstellen, bewertet Risiken und bietet Anleitungen zur Fehlerbehebung.“

Lesetipp: Wie Sie Ihre Software-Supply-Chain schützen

Security-Schulden reduzieren

Veracode zufolge sorgt die Beseitigung von Sicherheitslücken und die Nutzung bewährter Verfahren dafür, dass Unternehmen ihre Widerstandsfähigkeit verbessern, Risiken reduzieren und die sich weiterentwickelnden Vorschriften zur Cybersicherheit einhalten können. Der Spezialist für Anwendungssicherheit bietet eine Übersicht über Faktoren, die bei der Entwicklung einer effektiven Strategie zur Reduzierung von Sicherheitslücken helfen:

• Automatisiertes Testen: Integrieren Sie SAST, DAST, SCA und andere automatisierte Test-Frameworks in CI/CD, um Fehler frühzeitig zu erkennen.
• Risikobasierte Richtlinien: Konzentrieren Sie sich auf leicht ausnutzbare, schwerwiegende Fehler und setzen Sie strenge „No-Ship“-Standards durch.
• Befähigte Entwickler: Schulungen anbieten, Sicherheitsbeauftragte ernennen und Sicherheitsaufgaben wie normale Entwicklungsaufgaben behandeln.
• Eine Kultur der Rechenschaftspflicht: Schwachstellen und funktionale Fehler nachverfolgen und sie beheben, sobald sie auftreten.
• Open-Source-Überwachung: Führen Sie ein klares Inventar der Bibliotheken, aktualisieren Sie sie regelmäßig und automatisieren Sie die Prüfungen.
• Disziplin: Ressourcen helfen zwar, aber eine kohärente Strategie und starke Prozesse sind wichtiger. Selbst kleinere Teams, die gut aufeinander abgestimmt und diszipliniert sind, übertreffen oft größere Teams mit schwächerem Fokus. (jm)