IT-Security: 3 wichtige Learnings

Steigende Cyberangriffe sind zu einem ständigen Begleiter in der Welt der Webentwicklung geworden. Phishing, Malware und DDoS-Attacken können gravierende Folgen für Unternehmen haben. Neben dem Verlust von Daten und finanziellen Schäden, kann auch die Reputation eines Unternehmens erheblich leiden.

Als Entwickler*in spielst du eine Schlüsselrolle dabei, diese Risiken zu minimieren. Deshalb ist es wichtig, dass du dich proaktiv mit dem Thema IT-Security beschäftigst und effektive Sicherheitspraktiken in deine Entwicklungsprozesse integrierst. So vermeidest du Schwachstellen und schützt deine Systeme.

In diesem Artikel erhältst du einen Überblick über wesentliche Aspekte der IT-Security. Zudem teile ich meine drei wichtigsten Learnings. Diese Erkenntnisse sollen dir helfen, deine Webanwendungen sicherer zu gestalten und auf dem neuesten Stand der Sicherheitspraktiken zu bleiben.

Was ist IT-Security?

IT-Security konzentriert sich auf den Schutz von digitalen Systemen und Netzwerken vor Bedrohungen und Angriffen. Dies umfasst Maßnahmen zum Schutz von:

Hardware
Software
Netzwerkinfrastrukturen

Dadurch soll die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen gewährleistet werden.

Was ist der Unterschied zwischen IT-Security und InfoSec?

InfoSec beziehungsweise Informationssicherheit umfasst alles, was mit dem Schutz von Informationen zu tun hat. Neben digitalen Daten betrifft dies auch physische und organisatorische Maßnahmen.

Physische Sicherheitsmaßnahmen: Schutz von Geräten und Gebäuden, wie z.B. Alarmanlagen und Zutrittskontrollen zu Serverräumen.
Zugriffskontrollen: Bestimmungen darüber, wer auf bestimmte Informationen oder Systeme zugreifen darf, wie z.B. Passwörter und Benutzerrollen.
Richtlinien zur Informationsverarbeitung: Regeln und Verfahren für den sicheren Umgang mit Informationen, wie z.B. Datenaufbewahrung und -vernichtung.

Während InfoSec alle Arten von Informationsschutz umfasst, bezieht sich IT-Security speziell auf den Schutz der Technik und Netzwerke, die für die Speicherung und Übertragung digitaler Daten verwendet werden. IT-Security ist damit ein Teilbereich von InfoSec.

Learning 1: Secure Coding

Bei Secure Coding oder auch sichere Programmierung schreibst du den Code so, dass er gegen Sicherheitslücken und Angriffe resistent ist. Du befolgst während der gesamten Entwicklungsphase bewähre Sicherheitspraktiken.

Was beinhaltet Secure Coding?

Inputvalidierung

Stelle sicher, dass alle Benutzereingaben gründlich überprüft werden. So verhinderst du schadhafte Daten, die zu Sicherheitsanfälligkeiten wie SQL-Injection oder Cross-Site Scripting (XSS) führen könnten.

Beispiel: Angenommen, du hast ein Formular zur Eingabe eines Benutzernamens. Eine Benutzerin gibt den folgenden Namen ein: <script type="text/javascript">alert("XSS");</script>. Wenn diese Eingabe ungefiltert auf einer Webseite angezeigt wird, könnte ein schädliches Skript ausgeführt werden, was zu einem Cross-Site Scripting (XSS) Angriff führt.

Um solche Angriffe zu verhindern, solltest du die Eingaben validieren und bereinigen. Validiere beispielsweise, dass Benutzernamen nur erlaubte Zeichen enthalten. Bereinige zusätzlich die Eingaben, um schädliche Skripte zu entfernen. Zudem solltest du sicherstellen, dass Benutzereingaben in der Ausgabe korrekt behandelt werden. Dadurch minimierst du das Risiko von XSS-Angriffen.

Mehr zu XSS und deren Vermeidung findest du auf diesem Cheat Sheet von OWASP.

Fehlerbehandlung

Implementiere robuste Mechanismen zur Fehlerbehandlung. Vermeide detaillierte Fehlermeldungen, die möglicherweise sensible Informationen ausgeben könnten.

Beispiel: Statt “Passwort ist inkorrekt” solltest du besser “User oder Passwort sind inkorrekt” als Fehlermeldung ausgeben. Ansonsten gibt deine Fehlermeldung den Hinweis, dass dieser Account existiert. Angreifende können so dazu ermutigt werden, es weiter zu versuchen, das richtige Passwort zu erraten. Du erhöhst mit dieser Fehlermeldung das Risiko von gezielten Angriffen.

Verwaltung von Berechtigungen

Gewährleiste, dass Benutzer*innen nur auf die Daten und Funktionen zugreifen dürfen, für die sie autorisiert sind. Das umfasst die Implementierung von Zugriffsteuerungen und Berechtigungsüberprüfungen.

Beispiel: Deine Webanwendung ermöglicht es Benutzer*innen, Profile zu erstellen und zu bearbeiten.

Ohne Zugriffskontrollen kann jede Person als Admin das Profil von anderen Benutzer*innen einsehen, bearbeiten und unbefugt auf die Daten zugreifen.

Mit Zugriffskontrollen stellst du sicher, dass Benutzer*innen nur ihre eigenen Profile bearbeiten und auf die Daten zugreifen können.

Mit einer Middleware oder Zugriffskontrollmechanismen kannst du zum Beispiel folgende Logik implementieren: Beim Zugriff auf ein Profil wird die ID des Profilbesitzenden mit der ID der aktuell angemeldeten Benutzerin abgeglichen. Stimmt die ID überein und hat die Person die Zugriffsrechte, wird der Zugriff gewährt. Stimmt die ID nicht überein und liegen keine Zugriffsrechte vor, wird der Zugriff verweigert und eine Fehlermeldung angezeigt.

Sicherer Umgang mit sensitiven Daten

Schütze vertrauliche Informationen in dem du zum Beispiel sensible Daten für die Übertragung verschlüsselst.

Beispiel: Deine Webanwendung ermöglicht Benutzer*innen die Eingabe von Passwörtern bei der Anmeldung. Werden diese Daten ohne Verschlüsselung übertragen, können Angreifende sie abfangen.

Verwende deshalb HTTPS statt HTTP bei der gesamten Kommunikation zwischen Browser und Server. Durch HTTPS wird die Datenübertragung verschlüsselt. Zudem schützt HTTPS vor Abhören und Man-in-the-Middle-Attacken.

Passwörter solltest du zudem niemals als Klartext in der Datenbank speichern. Nutze starke Hash-Funktionen, um Passwörtern vor dem Speichern zu hashen.

Verwendung sicherer Bibliotheken und Frameworks

Verwende nur Bibliotheken und Frameworks die getestet wurden. Achte zudem darauf, dass diese Bibliotheken und Frameworks regelmäßig aktualisiert wurden, um bekannte Sicherheitsanfälligkeiten zu vermeiden.

Beispiel: Für deine Webanwendung verwendest du das Express-Framework für Node.js.

Bei einer unsicheren Vorgehensweise nutzt du eine veraltete Version von Express. Diese kann Sicherheitlücken enthalten.

Bei einer sicheren Vorgehensweise achtest du darauf, dass die Express-Version auf dem aktuellsten Stand ist. Zudem führst du regelmäßig Updates durch, um deine Anwendung vor bekannten Sicherheitslücken zu schützen.

Regelmäßige Codeüberprüfungen und -audits

Führe regelmäßige Sicherheitsüberprüfungen und -analysen des Codes durch. So identifizierst du Schwachstellen und kannst diese beheben.

Beispiel: Du entwickelst eine Webanwendung und führst einmal pro Monat ein Code-Audit durch. Dabei nutzt du automatisierte Tools wie SonarQube, um Sicherheitsanfälligkeiten im Code zu finden.

Bei einer Überprüfung entdeckst du eine unsichere Verwendung von Benutzereingaben in einer SQL-Abfrage, die für SQL-Injection anfällig ist. Durch das Beheben dieser Schwachstelle schützt du deine Anwendung vor potenziellen Angriffen.

Sicherheitsbewusste Programmierpraktiken

Halte dich an bewährte Sicherheitspraktiken und -standards, um die Sicherheit von Webanwendungen zu verbessern. Schaue dir das OWASP (Open Web Application Security Project) an.

Beispiel: Beim Programmieren folgst du den OWASP Richtlinien. Du implementierst empfohlene Sicherheitsmaßnahmen wie das Vermeiden von unsicheren Datenübertragungen und das regelmäßige Patchen deiner Software. So stellst du sicher, dass deine Anwendung den aktuellen Sicherheitsstandards entspricht und minimierst bekannte Angriffsvektoren.

Schaue dir hierfür den OWASP Secure Coding Practices-Quick Reference Guide an. In einer übersichtlichen Checkliste enthält er Secure Coding Praktiken, die du in deinen Entwicklungsprozess integrieren kannst.

Learning 2: Sensibilisierung und Schulung

Das Sensibilisieren für IT-Security Themen ist entscheidend beim Kampf gegen Cyberangriffen. Regelmäßige Schulungen helfen allen Beteiligten die Sicherheitsmaßnahmen zu verstehen und anzuwenden.

Vorgehensweisen können sein:

Workshops in denen aktuelle Sicherheitsbedrohungen und Abwehrmaßnahmen besprochen werden
Phishing-Simulationen zur Schärfung des Bewusstsein für Social-Engineering-Angriffe
Zugang zu Online-Kurse und Zertifizierungen im Bereich der IT-Security
Eine IT-Security Community, in der Erfahrungen geteilt und das richtige Vorgehen gegen Sicherheitslücken besprochen werden

Wichtig ist hierbei die Regelmäßigkeit von Schulungen und Sensibilisierungsmaßnahmen. Nur so bleibt das Bewusstsein für neueste Bedrohungen und Sicherheitspraktiken aktuell.

Beispiel: Dein Unternehmen führt jährlich Sicherheitsschulungen durch, die Themen wie Phishing-Erkennung, sichere Passwortnutzung und den Umgang mit sensiblen Daten abdecken. Dies fördert das Sicherheitsbewusstsein und hilft, aktuelle Bedrohungen zu erkennen. Zusätzlich tauscht ihr euch einmal im Monat in einer IT-Security Community über aktuelle Bedrohungen und Sicherheitsmaßnahmen aus.

Learning 3: Notfallmanagement und Reaktionspläne

Damit du im Falle eines Sicherheitsvorfalls schnell und effektiv reagieren kannst, benötigst du einen gut durchdachten Notfallplan. Dieser sollte verschiedene Szenarien enthalten. Führe regelmäßig Übungen durch, um die Effektivität des Plans zu testen.

Elemente, die der Plan beinhalten sollte:

Regelmäßige Tests und Updates: der Notfallplan sollte regelmäßig überprüft und aktualisiert werden, damit er immer aktuell ist
Schnelle Reaktionszeit: klare Prozeduren für die sofortige Reaktion auf Sicherheitsvorfälle
Klare Verantwortlichkeiten: jede Person weiß, was im Ernstfall zu tun ist

Beispiel: Bei einem DDoS-Angriff auf deine Webanwendung greifst du auf einen vorab erstellten Notfallplan zurück. Dieser Plan umfasst Schritte zur schnellen Erkennung des Angriffs, zur Kommunikation mit dem Hosting-Anbieter und zur Implementierung von Schutzmaßnahmen. Der Plan enthält auch eine Checkliste für die interne Kommunikation und Berichterstattung, um den Vorfall effektiv zu handhaben.

Fazit

Schütze deine Systeme vor potenziellen Bedrohungen und minimiere das Risiko von Sicherheitsvorfällen. Nutze hierfür diese drei Learnings aus der IT-Security:

Wende Secure Coding Praktiken wie Inputvalidierung an.
Animiere deinen Arbeitgebenden regelmäßige Schulungen und Sensibilisierungsmaßnahmen anzubieten und nimm gemeinsam mit deinen Kolleg*innen daran teil.
Entwickle frühzeitig Notfallmanagement- und Reaktionspläne, um im Ernstfall sofort reagieren zu können.

Diese Maßnahmen helfen dir die Sicherheit deiner Webanwendung erheblich zu verbessern.

Informiere dich darüber hinaus über aktuelle Sicherheitspraktiken und -bedrohungen, damit deine Webanwendungen den neuesten Sicherheitsstandards entsprechen.

Titelbild erzeugt mit Canva