Seminar Intensiv: Secure SDLC, Threat Modeling und sichere Architektur

Seminarbeschreibung

Das Intensivseminar führt organisatorische und architektonische Sicherheitsarbeit in einem durchgängigen Projekt zusammen. Eine mehrschichtige Anwendung wird vom Schutzbedarf über das Bedrohungsmodell bis zu überprüfbaren Freigabekriterien bearbeitet. Das Format eignet sich für erfahrene technische Rollen, die Sicherheitsentscheidungen über mehrere Entwicklungsphasen hinweg koordinieren.

Gebündelt werden die Kernthemen der Einzelseminare zu Application Security für Projektleitung und Product Owner, Secure SDLC, Threat Modeling sowie Kryptografie und Secrets Management. Gemeinsame Grundlagen und wiederkehrende Fallarbeit werden zusammengeführt. Dadurch entsteht eine kompakte Gesamtsicht mit ausgewählten Vertiefungen; der Übungsumfang aller Einzelkurse wird nicht vollständig wiederholt.

Inhalte im Überblick

• Secure SDLC und überprüfbare Anforderungen
• Produktverantwortung und Risikosteuerung
• Threat Modeling in der Projektfallstudie
• Sichere Architekturentscheidungen
• Kryptografie, Schlüssel und Secrets
• Integrierte Architektur- und Freigabewerkstatt

Zielgruppe

Softwarearchitekten, erfahrene Entwickler, technische Projekt- und Entwicklungsleitung sowie Security Champions mit Gestaltungsverantwortung.

Voraussetzungen

Erfahrung mit Softwarearchitekturen, Entwicklungsprozessen und Releases. Grundkenntnisse von Webanwendungen, Identitäten, Tests und Anwendungssicherheit; für die Kryptografieübungen Programmierpraxis in einem abgestimmten Stack.

Seminarinhalte

Secure SDLC und überprüfbare Anforderungen

• Schutzbedarf und kritische Funktionen in konkrete Sicherheitsanforderungen übersetzen.
• Prüfpunkte über Planung, Implementierung, Test und Wartung definieren.
• Anforderungen, Entscheidungen und Nachweise in einer gemeinsamen Struktur verbinden.

Produktverantwortung und Risikosteuerung

• Sicherheitsarbeiten priorisieren und Verantwortlichkeiten zwischen Produkt, Entwicklung und Betrieb festlegen.
• Releasekriterien, befristete Ausnahmen und notwendige Nachweise formulieren.
• Befunde anhand fachlicher Auswirkungen und tatsächlicher Exposition beurteilen.

Threat Modeling in der Projektfallstudie

• Komponenten, Datenflüsse, Identitäten und Vertrauensgrenzen modellieren.
• Technische Bedrohungen und fachliche Missbrauchsszenarien systematisch erarbeiten.
• Maßnahmen priorisieren und ein überarbeitetes Modell einer zweiten Bewertung unterziehen.

Sichere Architekturentscheidungen

• Mandantentrennung, Objektberechtigungen und Dienstgrenzen im Entwurf verankern.
• Fehlerverhalten, administrative Funktionen und Abhängigkeiten bewusst begrenzen.
• Alternativen anhand von Schutzwirkung, Betriebsfolgen und überprüfbaren Annahmen vergleichen.

Kryptografie, Schlüssel und Secrets

• Passwortspeicherung, authentisierte Verschlüsselung und TLS nach ihren Integrationsanforderungen einsetzen.
• Schlüsselzugriffe, Datenformate, Nonces und sichere Fehlerbehandlung an vorbereiteten Beispielen prüfen.
• Secret-Bereitstellung, Rotation und Wiederherstellung in das Architekturkonzept aufnehmen.

Integrierte Architektur- und Freigabewerkstatt

• Die Fallstudie von der Anforderung bis zum Sicherheitsnachweis konsistent ausarbeiten.
• Eine sensible Funktion mit positiven und negativen Testfällen abnehmen.
• Offene Risiken, Zuständigkeiten und Auslöser für eine erneute Bewertung dokumentieren.

Praxisübungen

1. Für das Beispielprodukt Schutzbedarf, Sicherheitsbacklog und Entscheidungsrollen festlegen.
2. Ein Datenflussmodell erstellen und priorisierte Bedrohungen in Architekturmaßnahmen übersetzen.
3. Ein Schlüssel- und Secret-Konzept anhand vorbereiteter Integrationsbeispiele überprüfen.
4. Die überarbeitete Architektur mit Missbrauchs- und Fehlerfällen erneut bewerten.
5. Eine konsistente Freigabeunterlage mit Anforderungen, Tests und verbleibenden Risiken zusammenstellen.

Schulungsumgebung

Gemeinsame Architekturfallstudie, Modellierungswerkzeug, vorbereitete Anwendungsbeispiele, Testdaten sowie Vorlagen für Anforderungen und Freigaben. Die Entwicklungsumgebung für die technischen Übungen ist vorbereitet.

Zugehörige Einzelseminare

Die folgenden Fachthemen werden in diesem Intensivseminar zusammengeführt. Die Einzelkurse bieten zusätzliche Vertiefungen und Übungsvarianten.

• Application Security für Projektleitung und Product Owner
• Kryptografie und Secrets Management für Entwickler
• Secure SDLC: Grundlagen sicherer Softwareentwicklung
• Threat Modeling und sichere Softwarearchitektur

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen