Ist das sicher? Software-Sicherheit ohne Panikmache

Sicherheit ist eines der Themen, bei denen am meisten geredet und am wenigsten Konkretes gesagt wird. Auf der einen Seite die Panikmache, die dir das Gefühl gibt, ohne teure Spezialsoftware sei alles verloren. Auf der anderen das Achselzucken: "Wer will schon zu uns?" Beides führt in die Irre. Was hilft, ist zu verstehen, wer dich realistisch angreift und wo dein Geld dagegen am meisten bewirkt.

Der Angreifer sieht anders aus, als du denkst

Kaum jemand sitzt nachts da und knackt gezielt die Software eines Berner KMU. Der Aufwand lohnt sich nicht. Was es dagegen millionenfach gibt, sind automatische Skripte, die das halbe Internet abklappern und nach bekannten Löchern suchen. Die fragen nicht, wer du bist. Sie probieren einfach jede Tür.

Für dich heisst das: Du bist selten das Ziel, sondern eine Nummer in einem Scan. Und Scans finden nicht die geniale Schwachstelle, sondern die offen gelassene. Genau deshalb ist gute Sicherheit für die allermeisten weniger Hexenwerk als Sorgfalt.

Die drei langweiligen Löcher

Fast alles, was in der Praxis schiefgeht, lässt sich auf eine Handvoll Ursachen zurückführen. Keine davon ist spektakulär.

Passwörter und Zugänge. Dasselbe Passwort überall, kein zweiter Faktor, ein Konto, das von einem Ex-Mitarbeiter noch offen ist. Das ist kein Einbruch, das ist ein Schlüssel unter der Fussmatte.

Veraltete Bausteine. Deine Software steht auf fremden Bibliotheken. Für die kommen laufend Sicherheitsupdates, weil jemand ein Loch gefunden und gestopft hat. Wer die Updates nicht einspielt, lässt ein öffentlich bekanntes Loch offen. Genau danach suchen die Skripte. Das ist dieselbe Pflege, über die wir in Software ist nie fertig geschrieben haben, nur mit höherem Einsatz.

Schlüssel am falschen Ort. Ein Zugangs-Token, der versehentlich im Code landet und mit ins öffentliche Repository wandert. Ein Datenbank-Passwort in einer Konfigurationsdatei, die niemand hätte teilen sollen. Solche Schlüssel werden gefunden, oft in Minuten.

Die meisten Einbrüche sind keine Kunststücke. Sie sind eine offen gelassene Tür, die ein Skript im Vorbeigehen gefunden hat.

Sicherheit ist kein Feature für den Schluss

Der teure Denkfehler ist, Sicherheit als etwas zu sehen, das man am Ende dazukauft, wie eine Alarmanlage, die man ans fertige Haus schraubt. So funktioniert es nicht. Ob Schlüssel im Code liegen, wer auf was zugreifen darf, wie Passwörter gespeichert werden, das sind Entscheidungen, die während des Bauens fallen. Nachträglich sind sie teuer bis unmöglich zu ändern.

Deshalb gehören ein paar Dinge bei uns zur Grundausstattung, nicht zur Zusatzoption. Schlüssel und Passwörter leben getrennt vom Code, nicht darin. Anmeldung läuft über erprobte Verfahren, nicht über selbstgebaute. Jeder Zugang gilt nur, solange er gebraucht wird, und nur so weit, wie er muss. Wer nur die Buchhaltung sehen soll, kommt nicht an die Kundendaten. Das ist dieselbe Haltung wie bei den Zugängen und Schlüsseln: so wenig offene Türen wie möglich.

Wie schnell aus vernachlässigten Kleinigkeiten ein Berg wird, kennst du vielleicht aus Technische Schulden. Bei Sicherheit gilt dasselbe, nur zahlst du die Zinsen im Ernstfall auf einen Schlag.

Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung

Fast jeder hat "irgendein Backup". Ob es sich im Ernstfall auch zurückspielen lässt, hat kaum jemand geprüft. Ein Backup, das du nie getestet hast, ist keine Sicherheit, sondern ein Versprechen an dich selbst. Wir testen die Wiederherstellung, solange nichts brennt. Denn der Tag, an dem du das Backup brauchst, ist der schlechteste, um zu merken, dass es nicht geht.

Was "sicher genug" für ein KMU heisst

Absolute Sicherheit gibt es nicht, und wer sie verspricht, verkauft dir etwas. Ein Bankensystem, das Angriffe von Profis aushalten muss, hat andere Anforderungen als der Bestellprozess eines Handwerksbetriebs. Sicherheit auf Bankenniveau für einen Webshop zu bauen ist genauso falsch wie gar keine.

Das realistische Ziel für die meisten ist doppelt. Erstens: nicht die leichteste Beute sein, damit die automatischen Scanner weiterziehen. Zweitens: schnell wieder auf den Beinen sein, wenn doch etwas passiert. Der erste Punkt hält die grosse Masse draussen, der zweite sorgt dafür, dass ein Zwischenfall ein Ärger bleibt und keine Katastrophe wird. Beides zusammen ist für ein KMU deutlich mehr wert als eine teure Festung mit einem vergessenen Kellerfenster.

Sicherheit ist selten das grosse Bollwerk und fast immer die Summe vieler kleiner, unspektakulärer Entscheidungen. Genau deshalb reden wir früh darüber, nicht erst, wenn etwas passiert ist. Panik ist kein guter Ratgeber, und Sorglosigkeit auch nicht. Dazwischen liegt die Sorgfalt, und die ist bezahlbar.

Du fragst dich, wie sicher deine Software wirklich ist? Erzähl uns von deinem Projekt, wir schauen ehrlich hin.