Suchen

Verantwortung statt „Weiter so“

Gefahren aus der Software-Supply-Chain

Seite: 2/2

Firmen zum Thema

Nicht mein Code, nicht mein Problem?

Möglicherweise waren die Kosten von Datenlecks – und sogar die sehr großer Lecks, die Unternehmen weltweit in die Schlagzeilen bringen – langfristig doch nicht schmerzhaft genug, um einen umfassenden Sicherheitscheck zu veranlassen. Beim US-Einzelhändler Target etwa hatte das schwerwiegende Datenleck kaum Auswirkungen auf die Unternehmensbilanz. Der geschätzte Gesamtverlust lag irgendwo im Bereich von 250 Mio. Dollar.

Benjamin Dean von der School of International and Public Affairs an der Columbia University hat im Jahr 2015 dazu Berechnungen durchgeführt und festgestellt, dass der Verlust durch Abschreibungen auf etwa 105 Mio. Dollar gedrückt wurde. Der Umsatz hingegen stieg 2016 auf fast 73,8 Mrd. US-Dollar. Dean folgert daraus, dass die finanziellen Anreize für Unternehmen, in eine größere Informationssicherheit zu investieren, geringer sind als allgemein angenommen.

Blauäugigkeit schützt vor Strafe nicht

Doch auch Software-Entwickler agieren beim Thema Sicherheit oft blauäugig. Einen typischen Irrtum zur IT-Sicherheit stellt die sogenannte „nicht mein Code – nicht mein Problem“-Denkweise dar. Wer Third-Party-Code verwendet, tut dies häufig unter der Annahme, dass dieser Code bereits von jemand anderem auf Qualität und Sicherheit getestet wurde.

Das kann stimmen oder nicht stimmen. Fakt ist: Wenn ein Flugzeug wegen einer fehlerhaften Dichtungskomponente im Triebwerk abstürzt, ist jeder in der Lieferkette in ernsthaften Schwierigkeiten, vom Hersteller der Dichtungskomponente bis hin zum Triebwerkhersteller, dem Flugzeughersteller und natürlich der Fluggesellschaft selbst.

Sorgfaltspflicht in der Software Supply Chain

Software hat in puncto Sicherheit genau die gleichen Abhängigkeiten und Risiken in der Lieferkette, getragen werden diese aber lediglich vom Produktentwickler und dem Käufer. Unternehmen werden sich in Zukunft wohl verstärkt mit ihrer Software-Supply-Chain beschäftigen müssen, insbesondere wenn es um den Schutz personenbezogener Daten geht.

Den meisten Unternehmen mangelt es hier noch an Kontrolle und Einsicht. Zudem hat der zunehmende Druck auf die Gewinnmargen das Spiel verändert. Unternehmen suchen nach kreativen Möglichkeiten zur Kostensenkung. Insbesondere in den USA wird massiv von der Möglichkeit Gebrauch gemacht, Anwendungen offshore programmieren zu lassen. Da bleibt die Sicherheit dann oft auf der Strecke.

Das Risiko für Unternehmen aufgrund von Datenpannen und Datenlecks zu Geldbußen und Schadenersatz verurteilt zu werden, ist nicht zuletzt aufgrund neuer Gesetze, wie der nun gültigen DSGVO, stark gestiegen. Wenn es zum Daten-GAU kommt und der Fehler in der Lieferkette lag, dann wird der Fall letztlich vor Gericht geklärt werden müssen.

Dabei kann das Gericht die Sorgfaltspflichten der beteiligten Unternehmen durchaus verschieden einschätzen. Je mehr professionelle Ressourcen das Unternehmen zur Verfügung hat, desto höher wird das Haftungsrisiko. Die Anforderungen an Unternehmensstruktur und Verantwortlichkeiten ändern sich rapide.

Gunnar Braun
Gunnar Braun
(Bild: Synopsys)

Bestehende Prozesse zur Überprüfung der Datensicherheit- und Verarbeitung tragen diesem Umstand oft nicht in ausreichendem Maße Rechnung. Ich rate Unternehmen deshalb dazu, professionelle Software Composition Analysis Tools zu nutzen, um den Code ihrer Software-Lieferanten unabhängig überprüfen zu lassen.

* Gunnar Braun ist Vertriebsingenieur bei Synopsys und unterstützt große Unternehmen bei der Erstellung von sicherer Software. Zuvor war er in verschiedenen Engineering- und Managementfunkionen im Bereich Embedded Systems, Simulation und Compilation bei CoWare tätig, einem Technologie-StartUp, das 2010 von Synopsys übernommen wurde. Er besitzt einen Diplomabschluss der RWTH Aachen.

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de (ID: 45382971)