Herstellerhaftung bei Software

Best Practises für sichere Programmierungen

Angesichts Zahl und Qualität der Cyberangriffe wollen Regulierungsbehörden und Gesetzgeber die Hersteller mangelhafter Software strenger in die Pflicht nehmen. Da auch in industriellen Produkten häufig Software steckt, sollten auch Produzenten die Sicherheit ihrer Programmierungen methodisch absichern.

Bild: ©pressmaster/stock.adobe.com

In der Vergangenheit waren Softwareanbieter von der Haftung für Sicherheitsverletzungen durch Mängel an ihren Produkten weitgehend verschont. Mit der zunehmenden Abhängigkeit von Technologie und der Häufigkeit und Raffinesse von Cyber-Angriffen zeichnet sich jetzt jedoch ein Wandel ab. Regulierungsbehörden und Gesetzgeber erwägen, Softwareanbieter stärker zur Verantwortung zu ziehen und die Folgen eines Cyber-Angriffs zu übernehmen, wenn ihre Produkte nicht ein gesetzlich vorgeschriebenes Mindestmaß an Sicherheit bieten.

Erste Schritte in Deutschland und den USA

Bundesinnenministerin Nancy Faeser hat bereits 2022 beim 18. Deutschen IT-Sicherheitskongress angekündigt, eine Hersteller-Haftung umsetzen zu wollen. Die US-Regierung unter Joe Biden hat mit der kürzlich veröffentlichten National Cybersecurity Strategy ebenfalls einen ersten Schritt in diese Richtung unternommen. Die Übertragung der Verantwortung hätte unterschiedliche Folgen für die Softwareanbieter. Beispielsweise könnte die zusätzliche Verantwortung für bestimmte Qualitätsstandards von Softwareprodukten und -dienstleistungen zu höheren Kosten oder Änderungen in den Herstellungsverfahren führen. Möglicherweise müssen die Anbieter mehr in Tests, Qualitätssicherung und Security-Maßnahmen investieren. Darüber hinaus kann eine verschärfte Haftung auch zu Änderungen bei Softwareverträgen und Garantien führen, da sich die Anbieter gegen mögliche Klagen und Schäden aufgrund von Softwarefehlern absichern müssen.

1. Sichere Codierung und Bedrohungsmodellierung

Eine sichere Codierung ist für die Entwicklung sicherer und robuster Anwendungen unerlässlich. Zu ihren wichtigsten Bestandteilen gehören die Eingabevalidierung, die Authentifizierung und Autorisierung, eine sichere Kommunikation, Fehlerbehandlung, Zugriffskontrolle sowie Sicherheit bei der Konfiguration, ebenso wie die Überprüfung des Codes.

Softwarehersteller sollten auch potenzielle Sicherheitslücken in einem System oder einer Anwendung identifizieren und unverzüglich Maßnahmen zu deren Behebung ergreifen. Dazu zählen unter anderem das Identifizieren von Schwachstellen im Design, in der Konfiguration oder in der Implementierung der Anwendung, die Erkennung potenzieller Angriffsvektoren sowie das Einrichten von Sicherheitskontrollen.

2. Software Bill of Materials Management (SBOMs)

SBOMs listen alle Komponenten einer Softwareanwendung auf, einschließlich Bibliotheken und Frameworks. Als wesentlicher Bestandteil der Softwareentwicklung können SBOMs dabei helfen, potenzielle Schwachstellen zum Beispiel in Lieferketten, Risiken in Komponenten und Abhängigkeiten von Drittanbietern zu identifizieren. Außerdem unterstützen sie Unternehmen bei der Einhaltung von Branchenvorschriften und -standards und der Zusammenarbeit zwischen verschiedenen Entwicklungsteams. Mithilfe von SBOMs können Unternehmen ihr Risikomanagement in der Lieferkette verbessern, Sicherheitsverletzungen eindämmen und für eine bessere Einhaltung von Open-Source-Lizenzanforderungen sorgen.

3. Penetrationstests und Konfigurationsmanagement

Penetrationstests bilden das zentrale Element einer umfassenden Sicherheitstest-Strategie. Das Konfigurationsmanagement beinhaltet die Definition und Durchsetzung von Sicherheitsrichtlinien und Best Practices für die Systemkonfiguration. Ein sicheres Konfigurationsmanagement umfasst mehrere zentrale Komponenten wie Standardkonfigurationen, Änderungsmanagement, Sicherheitskontrollen sowie das Schwachstellen- und Patchmanagement. Damit werden häufige Sicherheitslücken in Anwendungen vermieden.

4. Zugriffskontrolle und Sicherheitsschulungen

Sensible Daten, Funktionen und Ressourcen sollten nur autorisierten Benutzern oder Systemen zugänglich sein. Sicherheitsschulungen vermitteln den Entwicklern die notwendigen Fähigkeiten und Kenntnisse, um sichere Software zu entwickeln und Schwachstellen einzudämmen.

5. Reaktion auf Vorfälle und kontinuierliche Überwachung

Definierte Reaktionen auf Sicherheitsvorfälle und Schwachstellen in Anwendungen sind ein wesentlicher Bestandteil der Softwareentwicklung. Die Hersteller sollten ihre Systemprotokolle, den Netzwerkverkehr und das Benutzerverhalten kontinuierlich auf Anzeichen von Sicherheitslücken oder -verletzungen analysieren.

Das könnte Sie auch interessieren:

Standardprodukt für Campusnetze verfügbar
Industrielles 5G-Komplettsystem von Siemens

Der Automatisierer Siemens hat eine Infrastruktur für private industrielle 5G-Netze vorgestellt. Das Paket mit Fokus auf Automatisierungsanwendungen besteht aus einem 5G-Core und einem Funkzugangsnetz, das die Central Unit, die Distributed Unit und die Radio Units beinhaltet. Die 5G-Scalance-Router von Siemens sind mit dem Paket kompatibel.‣ weiterlesen

Sigmatek feiert 35. Geburtstag

1988 gründen Andreas Melkus, Theodor Kusejko und Marianne Kusejko Sigmatek und bringen eine Steuerung für den Maschinenbau und die Robotik auf den Markt. 35 Jahre später umfasst das Produktspektrum neben Steuerung und I/Os auch Visualisierung, Antriebstechnik und Safety.‣ weiterlesen

Forschungsprojekt ’AIQualify’
KI-Anwendungen einfacher qualifizieren

Ein neues Software-Framework soll Unternehmen die Abnahme bzw. Auditierung von KI- Anwendungen erleichtern. Das Framework erarbeiten das Fraunhofer IPA und das Institut für Industrielle Fertigung und Fabrikbetrieb IFF der Universität Stuttgart gemeinsam im Forschungsprojekt ’AIQualify’ der Forschungsgemeinschaft Qualität.‣ weiterlesen

Gavin Moore neu im Team
NetApp ernennt regionalen Vice President und CTO

Mit Gavin Moore hat der Cloud- und Daten-Spezialist NetApp einen neuen Vice President sowie CTO für die Regionen EMEA und LATAM. Er berichtet an Giovanna Sangiorgi.‣ weiterlesen

Connected-Worker-Plattform

Gestiegene Preise belasten die deutsche Industrie weiterhin. Und auch beim Thema Fachkräfte ist keine Entspannung in Sicht. Hier kommt die autonome Instandhaltung ins Spiel. Was es mit diesem Konzept auf sich hat und wie Industrieunternehmen es für sich nutzen können, erklärt der Anbieter der Connected-Worker-Plattform Augmentir. ‣ weiterlesen

Additive Fertigung
Fachliche Verstärkung für die Rapid.Tech 3D

AM-Experten aus dem Maschinenbau verstärken Fachbeirat der Rapid.Tech 3D. Die Veranstaltung findet 2024 zum 20. Mal statt.‣ weiterlesen

AI Suite für MES Hydra und APS Fedra
KI ohne Projektierung

KI-Use Cases in der Smart Factory setzen meist individuelle Projektierungen voraus. Jetzt hat MES-Hersteller MPDV die AI Suite vorgestellt. Darin sind acht KI-Standardanwendungen für die Fertigungs-IT Hydra und Fedra enthalten, mit denen sich etwa Ausschuss reduzieren, Rüstzeiten optimieren oder die Produktqualität prognostizieren lassen.‣ weiterlesen

Plattform für Geräteverwaltung
Partnerschaft zwischen TeamViewer und Ivanti

Im Rahmen einer Partnerschaft zwischen TeamViewer und Ivanti wird die Ivanti-Software Neurons for Mobile Device Management (MDM) in TeamViewers Angebot für Remote Monitoring and Management integriert.‣ weiterlesen

MES-Informationstage im Oktober
Proxia lädt zu den XI Days

An zwei Terminen im Oktober können sich Interessierte auf den Proxia XI Days über den Einsatz und die damit verbundenen Möglichkeiten von Manufacturing Execution Systems informieren.‣ weiterlesen

Infineon leitet Forschungsprojekt
EECONE soll für mehr Nachhaltigkeit sorgen

Infineon leitet das europäisches Forschungsprojekt EECONE, das Nachhaltigkeit und Kreislaufwirtschaft in der Elektronikindustrie fördern soll. Insgesamt sind 49 Partner beteiligt.‣ weiterlesen

Montagehalle 4.0 in Rastatt
Mercedes folgt dem ’Digital First’-Ansatz

Mercedes-Benz will mit dem Werk im baden-württembergischen Rastatt eine Blaupause für weitere Werke schaffen. Der Autobauer hat dort unter anderem eine neue Produktionslinie mit digitalen Simulationstechniken umgerüstet.‣ weiterlesen