Die jährliche Veracode-Studie zur Softwaresicherheit zeigt eine negative Entwicklung: Die Hälfte der Unternehmen leidet unter kritischen Sicherheitsmängeln, wobei 70 Prozent dieser Schwachstellen aus Drittanbieter-Code und der Software-Lieferkette stammen. Zudem hat sich die durchschnittliche Behebungszeit für Sicherheitslücken auf 252 Tage verlängert – ein Anstieg um 47 Prozent in fünf Jahren. Der Bericht liefert fünf zentrale Metriken zur Bewertung der Sicherheitsreife von Unternehmen.

Foto: Veracode Chris Wysopal, Chief Security Evangelist bei Veracode Die jährliche Studie von Veracode zum Status der Softwaresicherheit gibt einen umfassenden Einblick in die Herausforderungen, mit denen Unternehmen im Bereich IT-Security konfrontiert sind. Basierend auf Daten von 1,3 Millionen analysierten Anwendungen und 126,4 Millionen sicherheitsrelevanten Einzeldaten zeigt der Bericht, dass Unternehmen zunehmend Schwierigkeiten haben, Schwachstellen in ihren Systemen zu bewältigen. Besonders herausfordernd ist die steigende Dauer zur Behebung von Sicherheitslücken und der hohe Anteil an Sicherheitsproblemen durch Drittanbieter-Code.

Das wachsende Problem mit der kritischen Sicherheitsschuld

Laut der Studie haben 50 Prozent der Unternehmen mittlerweile eine sogenannte "Sicherheitsschuld" aufgebaut, die sich durch länger als ein Jahr unbehobene Schwachstellen definiert. Besonders problematisch ist, dass 70 Prozent dieser Schwachstellen aus Drittanbieter-Code und der Software-Lieferkette stammen. Diese Sicherheitsmängel können erhebliche finanzielle, betriebliche und rufschädigende Konsequenzen haben.

Quelle: Veracode

Abbildung 1 zeigt den Prozentsatz von Sicherheitsschuld in Unternehmen

Chris Wysopal, Chief Security Evangelist bei Veracode, kommentiert: "Die Angriffsfläche ist zunehmend komplizierter geworden, insbesondere in den letzten Jahren mit der explosionsartigen Zunahme von KI-Technologie. Im letztjährigen Bericht wurde festgestellt, dass 46 Prozent der Unternehmen eine hochgradige Sicherheitsschuld haben. Auch wenn der Anstieg im Vergleich zum Vorjahr marginal erscheinen mag, geht er in die falsche Richtung. Unsere Untersuchungen liefern solide Beweise dafür, dass Unternehmen diese Schulden verringern können. Aber viele brauchen Hilfe, um Prioritäten zu setzen, welche Schwachstellen zuerst angegangen werden sollten."

Fünf zentrale Metriken als Benchmarking 

Die Studie präsentiert fünf Kennzahlen, um die Sicherheitsreife eines Unternehmens zu bewerten:

1. Fehlerhäufigkeit: Unternehmen mit einer hohen Sicherheitsreife weisen in weniger als 43 Prozent der Anwendungen Fehler auf, während Organisationen mit erhöhtem Risiko Werte von über 86 Prozent erreichen.

2. Behebungskapazität: Unternehmen mit einer starken Sicherheitsstrategie beheben monatlich mehr als 10 Prozent der Schwachstellen, Nachzügler weniger als 1 Prozent.

3. Behebungsgeschwindigkeit: Leistungsstarke Unternehmen beheben 50 Prozent der Schwachstellen innerhalb von fünf Wochen, während schwächere Organisationen mehr als ein Jahr benötigen.

4. Häufigkeit von Sicherheitslücken: In sicherheitsstarken Unternehmen weisen weniger als 17 Prozent der Anwendungen Lücken auf, während es bei schwächeren mehr als 67 Prozent sind.

5. Open-Source-Schulden: Unternehmen mit hoher Sicherheitsreife halten den Anteil kritischer Open-Source-Schulden unter 15 Prozent, während Organisationen mit schwacher Sicherheitsstrategie Werte von 100 Prozent aufweisen.

Quelle: Veracode

Abbildung 2 zeigt die Verteilung der Sicherheitsschulden in den Anwendungen von 20 Beispielunternehmen

Wysopal erklärt: "Die Studie gibt Unternehmen einen hilfreichen Rahmen, um die Sicherheitsreife ihrer Anwendungen zu bewerten. So können sie die spezifischen Faktoren verstehen, die zu Sicherheitsschulden in ihrer Software beitragen, die Bedeutung jeder einzelnen Kennzahl einschätzen und ihre eigene Leistung mit der ähnlicher Organisationen vergleichen."

Regulierungen und ihre positiven Effekte

Trotz der besorgniserregenden Sicherheitslücken gibt es auch positive Entwicklungen. So hat sich die Anzahl der Anwendungen, die die Top 10 des Open Worldwide Application Security Project (OWASP) bestehen, in den letzten fünf Jahren um 63 Prozent erhöht.

Ein wesentlicher Treiber dieser Entwicklung sind neue Cyber-Sicherheitsregulierungen wie die US-Securities and Exchange Commission (SEC) Rules und der EU Cyber Resilience Act. Diese Vorschriften haben dazu geführt, dass Softwareanbieter disziplinierter im Risikomanagement vorgehen und Sicherheitslücken gezielter beheben.

Strategien zur Verbesserung der Sicherheitsreife

Der Bericht von Veracode zeigt, dass Unternehmen durch gezielte Maßnahmen ihre Sicherheitslage verbessern können. Zwei zentrale Empfehlungen stehen dabei im Fokus:

1. Erhöhte Transparenz und Integration: Unternehmen sollten Automatisierung und Feedbackschleifen über den gesamten Lebenszyklus der Softwareentwicklung hinweg nutzen, um neue Sicherheitslücken frühzeitig zu erkennen und zu vermeiden.

2. Korrelation und Kontextualisierung von Sicherheitsdaten: Die Priorisierung der sicherheitskritischsten Schwachstellen hilft dabei, mit minimalem Aufwand maximalen Schutz zu erzielen.

Wysopal hebt hervor: "Tools wie Application Security Posture Management ermöglichen es Sicherheitsexperten und Entwicklungsteams, Prioritäten zu setzen und fundierte Entscheidungen zu treffen. Denn sie zeigen auf, welche Lücken ausnutzbar sind und was erreichbar sowie dringend ist."

Die Ergebnisse des Veracode-Reports verdeutlichen die Notwendigkeit eines strategischen Ansatzes in der Softwaresicherheit. Unternehmen, die ihre Sicherheitsmängel gezielt angehen, stärken nicht nur ihre Widerstandsfähigkeit gegen Cyberangriffe, sondern minimieren auch regulatorische Risiken und wirtschaftliche Folgen.