Seminar Intensiv: Secure Coding für Webanwendungen und APIs

Seminarbeschreibung

Das Intensivseminar richtet sich an Entwickler, die Sicherheitsmaßnahmen direkt im Anwendungscode umsetzen. Browserfunktionen, Backend, REST- und GraphQL-Zugriffe werden als zusammenhängende Anwendung behandelt. Fehler werden zunächst reproduziert, anschließend ursachenbezogen korrigiert und dauerhaft in der Testsuite berücksichtigt.

Die Inhalte der Einzelkurse zu Web-Coding, API Security, Authentifizierung und Kryptografie werden in einem gemeinsamen Projekt gebündelt. Ein vorab festgelegter Technologiestack verhindert zusätzliche Sprach- und Framework-Einführungen. Das Format verdichtet die Kernthemen auf fünf Tage und setzt sichere Programmierpraxis voraus. Die ausführlichen Übungsvarianten aller vier Einzelkurse werden durch ausgewählte, miteinander verbundene Aufgaben ersetzt.

Inhalte im Überblick

• Secure Coding entlang der Anwendungsdatenflüsse
• Identitäten, Sitzungen und Berechtigungen
• REST- und GraphQL-Sicherheit
• Kryptografie und Secret-Lebenszyklus
• Sicherheitstests im Entwicklungsablauf
• Durchgängige Implementierungswerkstatt

Zielgruppe

Erfahrene Web-, Backend- und Full-Stack-Entwickler, Security Champions und technische Qualitätssicherung mit Programmieraufgaben.

Voraussetzungen

Sichere Kenntnisse im vereinbarten Stack, praktische Erfahrung mit Webentwicklung, Datenbanken, Git und automatisierten Tests. Kenntnisse der Sicherheitsgrundlagen entsprechend Secure SDLC oder gleichwertige Praxis sind erforderlich.

Seminarinhalte

Secure Coding entlang der Anwendungsdatenflüsse

• Injection, unsichere Ausgaben, riskante Parser und unkontrollierte Dateizugriffe bearbeiten.
• Framework-Schutzfunktionen gezielt einsetzen und Fehlerbehandlung sowie Protokollierung absichern.
• Korrekturen mit ursachenbezogenen Reviews und Grenzwerttests überprüfen.

Identitäten, Sitzungen und Berechtigungen

• Einen geeigneten Anmeldefluss mit vorbereitetem Identity Provider integrieren.
• Tokenvalidierung, Sitzungswechsel, CSRF-Schutz und sensible Aktionen prüfen.
• Objekt-, Rollen- und Mandantenberechtigungen durchgängig in der Anwendung durchsetzen.

REST- und GraphQL-Sicherheit

• API-Verträge, Eingabemodelle und begrenzte Ausgaben für mehrere Rollen definieren.
• Resolverberechtigungen, Abfragekomplexität und Ressourcenlimits umsetzen.
• Webhooks, ausgehende Anfragen und fachliche Zustandsübergänge absichern.

Kryptografie und Secret-Lebenszyklus

• Passwortspeicherung und authentisierte Verschlüsselung über passende Bibliotheksfunktionen prüfen.
• Token- und Transportvertrauen sowie die sichere Behandlung von Schlüsselmaterial einordnen.
• Ein Labor-Secret kontrolliert bereitstellen, rotieren und den alten Wert sperren.

Sicherheitstests im Entwicklungsablauf

• Eine Rollen- und Mandantenmatrix für positive und negative Tests erstellen.
• Ausgewählte statische und dynamische Prüfungen mit manuellem Review verbinden.
• Neue Befunde reproduzieren, priorisieren und als dauerhafte Regression absichern.

Durchgängige Implementierungswerkstatt

• Eine zusammenhängende Benutzerfunktion über Browser, Backend und API sicher umsetzen.
• Unzulässige Aktionen, manipulierte Eingaben und Fehlerzustände gezielt nachtesten.
• Den Änderungsstand anhand nachvollziehbarer Funktions- und Sicherheitsnachweise abnehmen.

Praxisübungen

1. Die Laboranwendung mit mehreren Rollen und Mandanten in Betrieb nehmen.
2. Sicherheitsfehler zunächst durch fehlschlagende Tests belegen.
3. Webfunktionen, Anmeldeintegration und Schnittstellen zusammenhängend korrigieren.
4. Kryptografische Integration und Secret-Wechsel einschließlich Fehlerfällen prüfen.
5. Eine vollständige Funktion im Review abnehmen und die erweiterte Testsuite ausführen.

Schulungsumgebung

Vorbereitete Webanwendung mit REST und GraphQL, Identity Provider, Datenbank, IDE und Testsuite. Der Stack wird vorab gewählt; möglich sind abgestimmte Varianten mit Java, C#, JavaScript/TypeScript, Python oder PHP.

Zugehörige Einzelseminare

Die folgenden Fachthemen werden in diesem Intensivseminar zusammengeführt. Die Einzelkurse bieten zusätzliche Vertiefungen und Übungsvarianten.

• API Security: REST und GraphQL sicher entwickeln
• Authentifizierung, Autorisierung und sichere Sitzungen
• Kryptografie und Secrets Management für Entwickler
• Secure Coding für Webanwendungen

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen