Software-Entwickler: Gestalter der Welt
Software-Entwickler gestalten heute die Welt: Ihr Code steuert Autos, Geld und Strom. Daraus folgt Verantwortung für Sicherheit und Fairness.
Security, Regulierung & Compliance
Sicherheit lässt sich nicht am Ende eines Projekts dazutesten, und die regulatorischen Anforderungen nehmen zu, vom Cyber Resilience Act bis zu Normen wie IEC 62443. Dieser Themenbereich verbindet Security, Regulierung und Compliance mit der täglichen Qualitätsarbeit in Entwicklung und Test.
Die Artikel und Podcastfolgen behandeln Secure by Design, Security-Anforderungen im Team, statische Analyse, Fuzzing, Penetrationstests und automatisierte Sicherheitsprüfungen. Dazu kommen Zero Trust, der sichere Einsatz von Open Source, rechtliche Fragen in Softwareverträgen und KI in regulierten Umgebungen wie medizinischen Laboren. Gemeinsam ist ihnen der Blick auf Security als Aufgabe des ganzen Teams.
Artikel
Security geht jeden was an
Software-Security ist ein KO-Kriterium für digitale Dienste mit sensiblen Daten. Warum Tester, Entwickler und Projektleiter Grundwissen brauchen.
Statische Analyse: Sicherheitsmängel vor dem Test finden
Statische Codeanalyse findet Sicherheitslücken, ohne den Code auszuführen. Fünf Mängelklassen, Java-Regeln und eine Fallstudie zeigen, was sie kann.
Agile Entwicklung für Medizinprodukte: Angepasst an Normen
Software für Medizinprodukte agil entwickeln, konform zu ISO 13485 und IEC 62304: ein Hersteller über kleine Iterationen und Daily Meetings.
E-Government-Plattform Sachsen: Akzeptanztests im Testcenter
Die E-Government-Plattform Sachsen testet im Testcenter von IT und Fachbereichen. Freigabetests für Zwischenversionen verkürzen die Abnahme.
Podcastfolgen
Dunkle Seite des Testens: Fehler, die wir selbst auslösen
Die dunkle Seite des Testens beginnt beim Aufbau: Ein Test kann den Ausfall auslösen, den er verhindern soll. Davor steht eine eigene Risikobewertung.
KI als Tester: Mit LLM as a Judge Sprachmodelle prüfen
KI als Tester: Mit LLM as a Judge und kalibrierten Rubriken lassen sich LLM-Anwendungen automatisiert testen, auch ohne deterministisches Ergebnis.
KI im Labor: Erst die Strategie, dann die API-Anbindung
KI im Labor gelingt auch unter strenger Regulierung: Stakeholder kartieren, den Umfang eng halten und die Konformität per Bow-Tie-Analyse belegen.
Security Requirements: Erst Assets, dann Anforderungen
Security Requirements: Testbare Sicherheitsanforderungen entstehen aus den drei Schutzzielen und der Frage, welche Assets schützenswert sind.
Sicherheitstests für KI: Ausgabe prüfen statt nur Eingabe
Sicherheitstests für KI reichen von manipulierten Trainingsdaten bis zu Prompts, die Gehälter verraten. Oft schützt erst ein Filter an der Ausgabe.
IEC 62443-4-1 umsetzen: was die Norm konkret verlangt
Die IEC 62443-4-1 verlangt Independence of Testers: Tester und Entwickler berichten nicht an dieselbe Führungskraft. Wie ein Hersteller das umsetzt.
Smartphone-Sicherheit: vom Abhören bis zu Overlay-Angriffen
Smartphone-Sicherheit hat oft versagt, vom Abhören analoger Anrufe bis zu Overlay-Angriffen. Heute nutzen Angreifer vor allem großzügige App-Rechte.
KI‑generierte Testfälle im regulierten Umfeld
KI-generierte Testfälle im Medizintechnik-Umfeld: wie ein RAG-System ohne Tool-Validierung regulatorisch sauber bleibt.
Werkvertrag in der Softwareentwicklung: Backlog ist das Werk
Beim Werkvertrag in der Softwareentwicklung zählt nicht die Überschrift: Agile Verträge gelten vor Gericht oft als Werkvertrag. Klare Klauseln helfen.
Open-Source-Software: Vier Anforderungen an Hersteller
Open-Source-Software im Produkt verlangt S-BOM, Lizenzprüfung, erfüllte Pflichten und Blick auf Schwachstellen. Was der Cyber Resilience Act ändert.
Sicherheit durch Design: IT-Sicherheit gehört in den Entwurf
Sicherheit durch Design baut IT-Sicherheit von Anfang an ein: mit Bedrohungsmodellierung, sicheren Defaults und bewährten Bibliotheken statt Eigenbau.
Fuzzing nach Maß: Zufallsdaten plus Wissen über das Format
Fuzzing klingt nach Chaos, ist aber Methode und deckt Sicherheitslücken systematisch auf. Gezielte Testdaten schlagen den reinen Zufall.
Nudging für Security: Sichere Wahl als einfachste Option
Nudging für Security macht die sichere Wahl zur einfachsten Option, ohne Nutzer zu zwingen. Rund 85 Prozent der Angriffe starten beim Menschen.
KI-Testbeschreibung: Testfälle strukturiert wie Code
Eine KI-Testbeschreibung gliedert Testfälle in Testziel, Schritte und Akzeptanzkriterien, gestützt auf fünf Fähigkeiten und Kriterien wie Robustheit.
Wie kommt Security Testing in die CI/CD-Pipeline?
Security Testing mit OWASP ZAP oder Nuclei in der Pipeline findet Standardlücken vorab, der Pentest-Report schrumpft von rund 60 auf 4 bis 5 Seiten.
Cyber Resilience Act: Vernetzte Maschinen fallen darunter
Cyber Resilience Act im Maschinenbau: Wen die Verordnung trifft und warum ein frühes Screening einen konkreten Kostenvorteil bringt.
Security by Design: Sicherheit gehört an den Anfang
Security by Design plant Sicherheit ab dem ersten Entwurf: Schichten der Verteidigung, sichere Defaults, einfache Threat Models, keine eigene Krypto.
Security-Audits: Baseline statt großer Aufräumaktion
Security-Audits wirken im Alltag: Findings beim Anfassen einer Datei gleich mit aufräumen, Checks in den Pull-Request holen und den Trend messen.
Software-Sachverständiger: Stand der Technik heißt bewährt
Ein Software-Sachverständiger prüft gegen den Stand der Technik, einen juristischen Begriff, und klärt, ab welcher Fehlerdichte Software unreif ist.
Zero Trust bei der Telekom: Von 30 auf 3 Identity Provider
Zero Trust ist mehr als ein Buzzword: Wer es nicht selbst definiert, redet aneinander vorbei. Was das konkret bedeutet und wo man anfängt.
Digitale Barrierefreiheit: 57 Prozent automatisiert prüfbar
Digitale Barrierefreiheit richtet sich an fünf Nutzergruppen und gehört in den Styleguide. Manche Kriterien prüfen Tools, andere erfahrene Tester.
Automotive-Testen: Normen schreiben Testmethoden vor
Automotive-Testen: Ein Scheibenwischer gilt schon als sicherheitskritisches System. Was das für Testmethoden, Normen und den Testalltag bedeutet.
Cyberkriminalität: Arbeitsteilig wie ein Start-up
Cyberkriminalität arbeitet wie ein Start-up mit Abteilungen für Zugang, Trojaner und Phishing. Wer Lösegeld zahlt, wird oft erneut angegriffen.