Seminar Secure SDLC – Sicherheitsanforderungen und Threat Modeling

Seminarbeschreibung

Unklare Sicherheitsanforderungen führen häufig zu Maßnahmen, deren Umsetzung und Wirksamkeit später nur schwer überprüfbar sind. Das Seminar zeigt, wie aus Geschäftsprozessen, Schutzbedarf und plausiblen Missbrauchsszenarien konkrete Entwicklungs- und Testaufgaben entstehen. Anforderungen werden dabei so formuliert, dass fachliche und technische Rollen dieselbe Erwartung an die Anwendung teilen.

Threat Modeling wird anhand eines begrenzten, aber vollständigen Anwendungsfalls durchgeführt. Datenflüsse, Vertrauensgrenzen, externe Dienste und privilegierte Funktionen bilden die Grundlage der Analyse. Neben der erstmaligen Erstellung werden Auslöser für Aktualisierungen und die Nachverfolgung offener Bedrohungen behandelt. Die ausgewählten Gegenmaßnahmen werden durch Review und geeignete Sicherheitstests überprüfbar gemacht.

Die Fallanwendung enthält Benutzerkonten, eine mandantenbezogene Datenablage, eine Exportfunktion und eine angebundene Hintergrundverarbeitung. Diese Bausteine erlauben die Analyse unterschiedlicher Vertrauensübergänge ohne ein übermäßig großes Systemmodell. Aus einer zunächst allgemeinen Forderung nach geschützten Daten entstehen beispielsweise konkrete Regeln für Objektzugriffe, erlaubte Exportinhalte und die Behandlung fehlgeschlagener Aufträge. Die Qualität einer Gegenmaßnahme wird daran geprüft, ob ihr Geltungsbereich klar ist und ein entsprechender Test entworfen werden kann. Offene Annahmen bleiben bis zu ihrer Klärung ausdrücklich sichtbar.

Inhaltsübersicht

1. Schutzbedarf und Sicherheitsanforderungen
2. Systemmodell und Vertrauensgrenzen
3. Bedrohungen und Missbrauchsfälle
4. Priorisierung und Gegenmaßnahmen
5. Backlog und Verifikation
6. Pflege und Moderation

Seminarinhalte

Schutzbedarf und Sicherheitsanforderungen

• Datenarten, geschäftliche Auswirkungen und verfügbare Sicherheitsannahmen systematisch erfassen.
• Funktionale Anforderungen, Qualitätsmerkmale und betriebliche Rahmenbedingungen voneinander unterscheiden.
• Anforderungen aus einem geeigneten Verifikationskatalog auswählen und auf das Produkt zuschneiden.

Systemmodell und Vertrauensgrenzen

• Akteure, Prozesse, Datenspeicher und Schnittstellen in einem Datenflussmodell darstellen.
• Authentisierung, Mandantengrenzen, Administrationszugänge und Drittanbieterübergänge sichtbar machen.
• Annahmen, ausgeschlossene Bereiche und offene Architekturfragen explizit dokumentieren.

Bedrohungen und Missbrauchsfälle

• STRIDE als Strukturierungshilfe verwenden und auf konkrete Datenflüsse anwenden.
• Manipulation von Geschäftsvorgängen, Berechtigungsfehler und Ressourcenmissbrauch untersuchen.
• Angriffsvoraussetzungen und plausible Schadensbilder ohne schematische Vollständigkeitsbehauptung beschreiben.

Priorisierung und Gegenmaßnahmen

• Relevanz, technische Erreichbarkeit und Geschäftsauswirkung gemeinsam bewerten.
• Vermeidung, technische Kontrollen, Erkennung und begründete Risikoakzeptanz unterscheiden.
• Gegenmaßnahmen mit verantwortlicher Rolle, Abhängigkeiten und offenen Annahmen versehen.

Backlog und Verifikation

• Sicherheitsanforderungen in User Stories, Akzeptanzkriterien und negative Tests übersetzen.
• Bedrohung, Gegenmaßnahme, Umsetzung und Prüfnachweis nachvollziehbar verknüpfen.
• Fehlende Testbarkeit und widersprüchliche Anforderungen in einem gemeinsamen Review auflösen.

Pflege und Moderation

• Änderungen an Datenflüssen, Berechtigungen und Drittanbindungen als Reviewauslöser festlegen.
• Ein Threat-Modeling-Meeting vorbereiten, zeitlich begrenzen und ergebnisorientiert moderieren.
• Offene Punkte nachverfolgen und das Modell mit Implementierung und Betrieb abgleichen.

Praxisübungen

1. Den Anwendungsfall und dessen Schutzbedarf anhand eines vorgegebenen Produktbriefs eingrenzen.
2. Ein Datenflussmodell mit Mandanten-, Benutzer- und Administrationsgrenzen erstellen.
3. Bedrohungen und Missbrauchsfälle entwickeln und anhand des tatsächlichen Kontexts priorisieren.
4. Gegenmaßnahmen auswählen und in überprüfbare Entwicklungsaufgaben überführen.
5. Für ausgewählte Anforderungen Positiv- und Negativtests entwerfen.
6. Eine geänderte Drittanbieteranbindung in das Modell aufnehmen und den Änderungsbedarf beurteilen.