Die 13. Ausgabe des jährlichen „State of Software Security Reports“ untersucht die Trends der Softwarelandschaft und Sicherheitspraktiken entlang dieser Trends. Die Ergebnisse sind teilweise besorgniserregend. Aus der Studie zu Softwaresicherheit im Bereich der öffentlichen Hand geht hervor, dass Applikationen für die öffentliche Hand tendenziell mehr Sicherheitslücken aufweisen als Anwendungen für den privaten Sektor. Die höhere Anzahl von Fehlern und Schwachstellen in Anwendungen korreliert mit einem erhöhten Sicherheitsrisiko.

von Wolf-Dietrich Lorenz

Die Forschenden fanden heraus, dass rund 82 Prozent der von Organisationen des öffentlichen Sektors entwickelten Anwendungen mindestens eine Sicherheitslücke aufwiesen. (1) Im Vergleich dazu waren es bei Privatunternehmen 74 Prozent. Die Daten für die Studie wurden innerhalb der letzten 12 Monate erhoben. Je nach Art der festgestellten Schwachstelle war die Wahrscheinlichkeit, dass in den letzten 12 Monaten eine Sicherheitslücke in Anwendungen des öffentlichen Sektors eingebaut wurde, um 7 bis 12 Prozent höher.

Der Unterschied zwischen dem privaten und öffentlichen Sektor in der Häufigkeit, mit der Fehler in Anwendungen auftreten, ist enorm. Der Healthcare-Sektor kauft, erstellt und verwendet mehr Software als je zuvor. Moderne IT-Systeme haben sich weiterentwickelt und sind immer komplexer geworden, daher ist die Taxonomie der Anwendungsfehler vielfältiger geworden.  In dieser neuen Realität arbeiten motivierte Angreifer daran, Schwachstellen in Anwendungen auszunutzen und sich Zugang zu persönlichen Gesundheitsinformationen zu verschaffen – bekanntermaßen 50-mal wertvoller als Finanzdaten auf dem Schwarzmarkt.

Wenn es um Schwachstellen mit „hohen Schweregrad“ geht, haben öffentliche Sektoren die Oberhand. Im 12-Monats-Zeitraum der Studie war der Prozentsatz der Anwendungen mit schwerwiegenden Sicherheitslücken im öffentlichen Sektor (16,5%) geringer als bei Privatunternehmen (19%). Schwachstellen mit höherem Schweregrad besitzen ein höheres Potenzial, das gesamte System zu beeinflussen, wenn sie ausgenutzt werden.

Die Studie „State of Software Security Reports“ wurde vor dem Hintergrund einer Reihe von weltweiten Regierungs-Initiativen zur Verbesserung der Cybersicherheit durchgeführt, wie beispielsweise dem EU Cyber Resilience Act, der darauf abzielt, zusätzliche Mindestsicherheitsanforderungen für Produkte mit digitalen Elementen einzuführen.

(1)   veracode-state-of-software-security-2023-public-sector.pdf

Abb: Programmiersprachen in Branchen

37% der Softwareanwendungen sind in .NET-Microsoft-Softwareplattformen geschrieben. Java ist die  branchenweit meist verwendete Softwaresprache außer im öffentlichen Sektor.

wdl