Software Testing & Qualität - Testautomatisierung, KI & Agilität

Security-Anforderungen im Team entwickeln - Markus Geiger

Listen Later
Warum Teams über Schutzziele statt über Security reden sollten

📌 Konferenz-Tipp: TACON 2026 in Leipzig (16.–17. September). Ich war letztes Jahr als Keynote dort und fand den Austausch richtig gut 👉 https://swt.fm/tacon

„Wir reden nicht nur über Sicherheit, wir reden über Schutzziele." - Markus Geiger

Diesmal spreche ich mit Markus Geiger über ein Problem, das viele Tester kennen: Security Requirements sind oft so abstrakt formuliert, dass man damit beim Testen wenig anfangen kann. Markus zeigt, wie man über konkrete Schutzziele wie Vertraulichkeit, Integrität und Verfügbarkeit spricht – und warum Teams ohne Security-Experten mit einfachen Methoden wie Threat-Modeling-Kartenspielen selbst herausfinden können, wo ihre Schwachstellen liegen.

Markus Geieger ist Projektleiter, Trainer und Architekt bei der WPS - Workplace Solutions. Markus hat Nachrichtentechnik in Esslingen am Neckar und Distributed Computing Systems Engineering an der Brunel University in London studiert und hat mehr als 25 Jahre Erfahrung als Softwareentwickler, Softwarearchitekt und Coach in vielen Projekten im Umfeld von Industrie, Logistik und Handel. Neben der Software-Architektur gilt sein besonderes Interesse der IT-Security und dem Secure Development Lifecycle.

Highlights:

  • Security Requirements lassen sich nur sinnvoll formulieren, wenn vorher geklärt ist, welche Assets schützenswert sind und welche Schutzziele, Vertraulichkeit, Integrität oder Verfügbarkeit, für sie gelten.
  • Einen Pentest erst kurz vor dem Release durchzuführen ist der teuerste Zeitpunkt, einen Sicherheitsfehler zu entdecken, weil alle Designentscheidungen bereits gefallen sind.
  • Kartenspiele wie Elevation of Privilege oder Cornucopia ermöglichen es Teams ohne ausgewiesene Security-Expertise, Bedrohungsszenarien spielerisch zu identifizieren und zu dokumentieren.
  • Kataloge wie der OWASP ASVS sind nützlich, aber erst dann anwendbar, wenn ein Team weiß, welche Schutzziele es erfüllen muss, sonst fehlt der Maßstab für Priorisierung und Testtiefe.
  • Das Grundrauschen an Angriffen kommt überwiegend von opportunistisch arbeitenden IT-Firmen, die automatisiert nach Lücken scannen, nicht vom klischeehaften Hacker mit gezieltem Angriffsziel.

    • Weitere Links zur Episode:

    • [BSI-Info zum Cyber-Resiliance-Act](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html und die Technische Richtlinie dazu: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03183/TR-03183_node.html)
    • OWASP
    • OWASP ASVS
    • OWASP Cornucopia (Threat-Modeling-Game)

      • Danke an die Community-Partner des Podcasts:Alliance for Qualification | ASQF | Austrian Testing Board | dpunkt.verlag | German Testing Board | German Testing Day | GI Fachgruppe TAV | Heise | HANSER Verlag | ISTQB | iSQI GmbH | oop | QS-TAG | SIGS-DATACOM | skillsclub | Swiss Testing Board | TACON Credits: Sound | Grafik

      ...more
      View all episodesView all episodes
      Download on the App Store
      Software Testing & Qualität - Testautomatisierung, KI & AgilitätBy Richard Seidl - Experte für Software-Entwicklung und Testautomatisierung