tim@cole.de

Gastbeitrag von Stefan Keller*

Der Security-by-Design-Ansatz wird mit dem Inkrafttreten des CRA von einer freiwilligen Best Practice zur verbindlichen Anforderung über den gesamten Produktlebenszyklus. Gleichzeitig halten sich in vielen Organisationen hartnäckig vereinfachte oder überholte Vorstellungen darüber, was Sicherheit in der Entwicklung eigentlich bedeutet, nicht zuletzt mit Blick auf Kosten, Innovation oder Verantwortlichkeiten. Open Systems hat fünf zentrale Mythen auf den Prüfstand gestellt:

Mythos 1: Security kann man später ergänzen.
Faktencheck: Nein, genau das ist das Problem.

Die Vorstellung, Sicherheitsfunktionen erst nachträglich zu integrieren, ist weit verbreitet. In der Praxis entstehen sicherheitskritische Entscheidungen jedoch bereits im Design: etwa bei Datenflüssen, Schnittstellen oder Identitätsmodellen. Werden die Aspekte ohne Security-Perspektive umgesetzt, entstehen strukturelle Schwachstellen, die sich später nur mit großem Aufwand oder gar nicht beheben lassen. Security nachträglich hinzuzufügen, führt daher meist zu doppelten Kosten oder dauerhaftem Risiko.

Mythos 2: Security ist eine reine IT-Aufgabe.
Faktencheck: Nein, echte Sicherheit wird ganzheitlich gedacht.

Wer sagt, Sicherheit liege primär bei IT- oder Security-Teams, verschiebt damit Verantwortung an die falsche Stelle im Lebenszyklus. In der Praxis entstehen viele Risiken bereits bei grundlegenden Produktentscheidungen. Etwa, welche Daten überhaupt gesammelt werden, wie einfach sich ein Konto anlegen lässt oder welche Funktionen für Nutzer offen zugänglich sind. Diese Entscheidungen wirken oft harmlos, bestimmen aber maßgeblich die Angriffsfläche eines Produkts. Die IT kann solche Vorgaben später nur noch absichern, aber nicht mehr grundlegend ändern. Security-by-Design bedeutet deshalb, Sicherheit von Anfang an mitzudenken – nicht erst, wenn das Produkt technisch umgesetzt ist.

Mythos 3: Security bremst Innovation.
Faktencheck: Kurzfristig ja, bewirkt aber langfristig oft das Gegenteil.

Wahr ist, dass komplexe Sicherheitsanforderungen zunächst den Aufwand erhöhen und die Entwicklung verlangsamen können. Allerdings: Fehlt diese Grundlage, müssen Funktionen nachträglich überarbeitet werden, Systeme können instabil laufen und Teams sind mit Fehlerbehebung statt mit neuen Features beschäftigt. Innovation findet dann nicht mehr im Produkt, sondern im Krisenmodus statt. Security-by-Design sorgt deshalb nicht für weniger Innovation, sondern dafür, dass sie dauerhaft tragfähig bleibt.

Mythos 4: Security ist ein Kostenfaktor.
Faktencheck: Nur kurzfristig, strategisch ist sie Risikomanagement.

Security erscheint oft als zusätzlicher Budgetposten für Tools, Prozesse und Audits. Die eigentlichen Kosten entstehen jedoch erst durch fehlende Sicherheit: Kritische Events, Ausfälle, Datenverluste oder Reputationsschäden sind meist deutlich teurer und kaum kalkulierbar. Security-by-Design verschiebt den Fokus von reaktiven Kosten zu proaktiver Absicherung von Geschäfts- und Markenwerten.

Mythos 5: Compliance bedeutet Sicherheit.
Faktencheck: Nein, Compliance ist ein Mindeststandard.

Angreifer orientieren sich nicht an Checklisten, sondern an realen Schwachstellen. Sicherheit ist zudem kein statischer Zustand, sie verändert sich mit Nutzung, Systemänderungen und der sich entwickelnden Bedrohungslage. Ein Security-by-Design-Ansatz, der mit dem Produkt-Launch endet, erzeugt daher auch eine Scheinsicherheit; wirklich wirksam ist nur ein kontinuierlicher Ansatz im Betrieb. Der CRA adressiert diese Notwendigkeit und fordert ein Lifecycle-Denken inklusive Entwicklung, Betrieb, Updates und Reaktion.

Security-by-Design ist kein Dokumentationsprojekt, sondern eine dauerhafte Management-Aufgabe. Der Cyber Resilience Act macht endlich klar: Sicherheit entscheidet sich nicht in Audits, sondern im Zusammenspiel aus Architektur, Betrieb und Verantwortung über den gesamten Produktlebenszyklus hinweg.

*Stefan Keller ist Chief Product Officer bei Open Systems, einem international tätigen Anbieter von co-managed SASE- und Zero-Trust-Betriebsmodellen

Gastbeitrag von Alan Trefler*

Die Wirtschaftlichkeit großer Sprachmodelle steht kurz davor, mit der Unternehmensrealität zu kollidieren.

Warum? In der ersten Phase der Einführung wurde KI meist in Form subventionierter, häufig nutzerbasierter, Preismodelle angeboten. Die Tokens schienen praktisch kostenlos zu sein. Das machte das Experimentieren einfach – vor allem für jene, die inzwischen regelrecht von ihrer täglichen Dosis KI-Agenten abhängig geworden sind. In manchen Unternehmen scheint die Nutzung inzwischen zum Selbstzweck geworden zu sein. Der absurde Trend des sogenannten Tokenmaxxing feiert Quantität statt Qualität, als ob sich Eingaben einfach mit Ergebnissen gleichsetzen lassen.

Doch jetzt, da die großen Sprachmodelle die Unternehmen an KI-Agenten gewöhnt haben, wird die eigentliche Rechnung fällig. Weiterlesen →

Dieser Beitrag erschien erstmals am 24.5.2007

Vor ein paar Jahren versuchte die rot-grüne Regierung, indische Ingenieure mit „red-green cards“ zu ködern. Sie hätte ihnen deutsche Reisepässe anbieten sollen.

Ich hatte vor Jahren das große Glück, eine Vorlesung am Massachusetts Institute of Technology, dem legendären MIT, zu besuchen. Im Saal saßen vielleicht 500 Studenten, und ich schätze, dass 90 Prozent von ihnen Schlitzaugen hatten oder einen Latino-Teint trugen. Anders ausgedrückt: Amerika bildete damals fleißig Fachleute für Drittweltstaaten aus – genau diejenigen, die in ein paar Jahren die lukrativen Hitech-Jobs erledigen werden, die Amerika zur Zeit nach Bangalore, Schanghai oder Manila exportiert. Weiterlesen →

Der Ärger mit dem Smartphone wird gefühlt immer größer. Das kann natürlich daran liegen, dass ich selbst immer älter werde, aber die Websites selber sind wohl das Hauptproblem. Ich werde ständig gezwungen, meine Passwörter neu einzugeben, auch auf Seiten, die ich seit Jahren benütze – und das mit dem armseligen Mäuseklavier meines iPhones. Ständig tauchen neue Popups auf, und ich bin gezwungen, mich auf die Suche nach dem kleinen Kreuz zu machen, mit dem ich sie ausschalten kann – nur sind sie meist gut versteckt irgendwo am oberen oder unteren Bildschirmrand. Unerwünschte Videos flattern über die Seite, die ich gerade besuchen will. Immer häufiger bin ich gezwungen abzubrechen.

Die mangelnde Barrierefreiheit auf dem Smartphone hat jedoch keineswegs nur Auswirkungen auf ältere Personen oder Menschen mit Behinderungen; auch junge Nutzergruppen sind stark davon betroffen, wie eine aktuelle Mobile Accessibility-Umfrage von  AccessiWay, einem Spezialisten für barrierefreie Lösungen zeigt. Weiterlesen →