Der Einsatz von Künstlicher Intelligenz beschleunigt die Softwareentwicklung, erhöht jedoch zugleich die Anforderungen an die Anwendungssicherheit. Eine aktuelle Studie von Checkmarx zeigt, dass viele Unternehmen ihre Sicherheitsstrategien nicht im gleichen Tempo weiterentwickeln. Zeitdruck, fehlende Governance und unzureichende Sicherheitsprüfungen führen dazu, dass weiterhin verwundbare Software produktiv eingesetzt wird.

Foto: Checkmarx Sandeep Johri, CEO von Checkmarx Foto: Checkmarx Patrick Siffert, Regional Director DACH & Iberia bei Checkmarx Die Nutzung von KI-Werkzeugen ist in der Softwareentwicklung inzwischen nahezu flächendeckend angekommen. Laut dem aktuellen „Future of Application Security Report“ von Checkmarx verwenden bereits 96 Prozent der Entwicklerinnen und Entwickler KI-Tools innerhalb ihrer Entwicklungsumgebung. Die Mehrheit bewertet deren Nutzen positiv. Gleichzeitig offenbart die Studie jedoch erhebliche Defizite bei der Integration von Sicherheitsmaßnahmen in moderne Entwicklungsprozesse.

Für die Untersuchung wurden weltweit 2.350 CISOs, Verantwortliche für Anwendungssicherheit sowie Entwickler aus 14 Ländern befragt. Die Ergebnisse zeigen, dass Unternehmen zwar zunehmend auf KI-gestützte Entwicklung setzen, gleichzeitig aber weiterhin mit grundlegenden Herausforderungen bei Sicherheit, Governance und Compliance kämpfen.

Besonders kritisch ist dabei der Umgang mit Sicherheitsrisiken unter hohem Zeitdruck. So geben 95 Prozent der befragten CISOs an, unter Druck zu stehen, Compliance-relevante Sicherheitsprobleme zurückzustellen, wenn Projektfristen gefährdet sind. Gleichzeitig wird Sicherheit in vielen Organisationen noch immer nicht als fester Bestandteil des Entwicklungsprozesses behandelt.

Sicherheitsprüfungen erfolgen häufig zu spät

Ein zentrales Ergebnis der Studie betrifft die Integration von Sicherheit in den Softwareentwicklungsprozess. Lediglich 18 Prozent der Entwickler führen nach eigenen Angaben kontinuierliche Sicherheitsprüfungen bereits während der Entwicklung durch. Bei mehr als 80 Prozent der Befragten sind solche Kontrollen hingegen noch kein fester Bestandteil des Entwicklungsalltags.

Die Folge ist, dass Sicherheitslücken häufig erst in späteren Projektphasen oder sogar nach einem Sicherheitsvorfall entdeckt werden. Gleichzeitig zeigt die Untersuchung, dass drei Viertel aller Unternehmen bereits wissentlich verwundbare Software ausgeliefert haben. Als Gründe nennen die Befragten vor allem Zeitdruck, die zunehmende Komplexität moderner Anwendungen sowie die Hoffnung, dass vorhandene Schwachstellen unentdeckt bleiben.

Die Ergebnisse deuten zudem auf einen Zusammenhang zwischen KI-generiertem Code und dem Sicherheitsniveau von Anwendungen hin. Unternehmen, deren Produktivcode zu 81 bis 100 Prozent durch KI erzeugt wird, liefern laut Studie mehr als dreimal so häufig verwundbare Software aus wie Organisationen mit einem KI-Code-Anteil von lediglich ein bis 20 Prozent. Der Anteil liegt hier bei 47 gegenüber 14 Prozent.

Zwar erkennen Unternehmen die Risiken zunehmend an, die Umsetzung entsprechender Gegenmaßnahmen erfolgt jedoch nur langsam. Der Anteil der Unternehmen, die nach eigenen Angaben wissentlich verwundbare Software ausliefern, sank innerhalb eines Jahres von 81 auf 75 Prozent. Gleichzeitig stieg der Anteil der Organisationen mit klar definierten Governance-Vorgaben für den Einsatz von KI lediglich von 18 auf 22 Prozent.

KI verändert die Anforderungen an die Anwendungssicherheit

Mit der zunehmenden Verbreitung leistungsfähiger KI-Modelle verändert sich auch die Bedrohungslage. Laut Report entstehen neue Angriffsflächen, während sich die Zeitspanne zwischen der Entdeckung und der Ausnutzung von Schwachstellen kontinuierlich verkürzt.

Die Autoren der Studie empfehlen deshalb Sicherheitsansätze, die klassische deterministische Prüfverfahren mit KI-gestützten Analyse- und Bewertungsmethoden kombinieren. Ergänzt werden sollen diese durch klare Governance-Regeln für den KI-Einsatz sowie eine weitgehende Automatisierung der Schwachstellenbehebung.

Trotz dieser Entwicklungen verfügen laut Studie weiterhin 78 Prozent der Unternehmen über keine klaren Vorgaben für den Einsatz von KI. Dadurch steigt das Risiko unkontrollierter Schatten-KI sowie die Gefahr, dass unsicherer oder nicht ausreichend geprüfter Code in Produktivsysteme gelangt.

Zugleich offenbart die Untersuchung eine deutliche Diskrepanz zwischen Selbstwahrnehmung und Realität. Während 73 Prozent der Unternehmen ihr Sicherheitsniveau als „Advanced“ oder „Highly Mature“ einstufen, berichten gleichzeitig 93 Prozent von Sicherheitsvorfällen im Zusammenhang mit ihren eigenen Anwendungen.

Europäische Unternehmen kämpfen mit der Schwachstellenbehebung

Besonders kritisch fällt der Blick auf die Behebung identifizierter Sicherheitslücken aus. Die europäischen Ergebnisse zeigen laut Checkmarx ein besorgniserregendes Bild. So gelingt es 35 Prozent der befragten Unternehmen nicht, innerhalb von drei Monaten mehr als die Hälfte der entdeckten Schwachstellen zu schließen.

Für Checkmarx unterstreichen die Ergebnisse die Notwendigkeit, Anwendungssicherheit stärker in die Entwicklungsprozesse zu integrieren und bestehende Sicherheitsstrategien an die neuen Rahmenbedingungen anzupassen.

Sandeep Johri, CEO von Checkmarx, erklärt:

„Der Report macht deutlich, dass viele Unternehmen die Risiken zwar erkannt haben, ihre Sicherheitsmaßnahmen jedoch nicht im gleichen Tempo weiterentwickeln. KI kann die Softwareentwicklung erheblich beschleunigen, erhöht jedoch auch das Risiko und ersetzt keine wirksamen Sicherheitskontrollen.“

Nach Einschätzung von Johri sind neue Sicherheitskonzepte erforderlich, die klassische Prüfverfahren mit KI-gestützten Analysen verbinden.

„Erforderlich sind Ansätze, die deterministische Prüfverfahren mit KI-gestützten, probabilistischen Analyse- und Bewertungsverfahren kombinieren, neue Angriffsmuster zuverlässig erkennen und Sicherheitsteams in die Lage versetzen, Schwachstellen schneller und gezielter zu beheben.“

Auch Patrick Siffert, Regional Director DACH & Iberia bei Checkmarx, sieht weiterhin erheblichen Handlungsbedarf:

„Die Zahlen zeigen, dass viele Unternehmen bei der Umsetzung von Anwendungssicherheit weiterhin vor erheblichen Herausforderungen stehen. Entscheidend ist, Sicherheit als festen Bestandteil von Entwicklungsprozessen zu verankern, identifizierte Schwachstellen konsequent zu priorisieren und zeitnah zu beheben.“