Security by Design
Security by Design ist das Prinzip, Sicherheit von der ersten Konzeptphase an in ein Produkt hineinzuentwickeln, statt sie nachträglich über Patches nachzurüsten. Normen wie ISO/SAE 21434 und Gesetze wie der EU Cyber Resilience Act machen das Prinzip verbindlich.
Was bedeutet Security by Design konkret?
Security by Design ist kein einzelnes Werkzeug, sondern eine Arbeitsweise entlang des gesamten Entwicklungsprozesses:
- Bedrohungen früh analysieren: schon in der Konzeptphase systematisch durchdenken, was schützenswert ist und wie ein Angreifer es kompromittieren könnte — mit Methoden wie Threat Modeling oder einer TARA.
- Architektur aus Risiken ableiten: Sicherheitsanforderungen und Designentscheidungen folgen aus der Risikoanalyse, nicht aus Bauchgefühl oder Checklisten.
- Verifizieren statt hoffen: die Umsetzung der Sicherheitsanforderungen wird über Reviews und Tests nachgewiesen.
- Über den Lebenszyklus pflegen: neue Schwachstellen und Bedrohungen fließen zurück in die Analyse — Security by Design endet nicht mit dem Release.
Abgrenzung: Design statt nachträglichem Patchen
Der Gegenentwurf zu Security by Design ist das reaktive Modell: erst bauen, dann auf gefundene Schwachstellen mit Patches reagieren. Patches bleiben auch bei bester Vorarbeit notwendig — aber als alleinige Strategie greifen sie zu kurz:
| Security by Design | Nachträgliches Patchen | |
|---|---|---|
| Zeitpunkt | Konzept- und Entwurfsphase | Nach Implementierung oder Release |
| Reichweite | Kann Architekturfehler vermeiden | Behebt einzelne Symptome — Architekturfehler lassen sich kaum wegpatchen |
| Kosten | Vorabinvestition in Analyse und Design | Jede späte Korrektur kostet ein Vielfaches; wer erst nach der Implementierung über Angriffspfade nachdenkt, zahlt jede Designentscheidung doppelt |
| Haltung | Proaktiv, risikobasiert | Reaktiv, vorfallgetrieben |
Security by Design im Cyber Resilience Act
Der EU Cyber Resilience Act (CRA) macht Security by Design zur gesetzlichen Pflicht für Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Er ist am 10. Dezember 2024 in Kraft getreten; ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, ab dem 11. Dezember 2027 müssen alle Anforderungen erfüllt sein. Neben Security by Design verlangt der CRA Security by Default — eine sichere Grundkonfiguration im Auslieferungszustand — und Lifecycle-Verantwortung: Vulnerability Management, Update-Management und Meldepflichten über den gesamten Support-Zeitraum.
Security by Design in Normen
Auch die großen Cybersecurity-Normen verkörpern das Prinzip: Die ISO/SAE 21434 verankert die TARA bereits in der Konzeptphase des Fahrzeug-Lebenszyklus, die IEC 62443 fordert für industrielle Komponenten einen sicheren Produktentwicklungs-Lifecycle. Beide arbeiten risikobasiert — jede Maßnahme wird aus einer strukturierten Bedrohungsanalyse abgeleitet, nicht nachträglich aufgeklebt.
Security by Design in der Praxis
Security by Design ist kein Slogan, sondern schlicht die wirtschaftlichere Arbeitsweise: Eine Designentscheidung, die in der Konzeptphase getroffen wird, kostet einen Bruchteil ihrer nachträglichen Korrektur. Der Einstieg ist unspektakulär — eine saubere Bedrohungsanalyse am Anfang des Projekts, dokumentierte Risikoentscheidungen und die Disziplin, diese Analyse bei jeder Systemänderung nachzuziehen. Schwierig ist erfahrungsgemäß nicht der erste Entwurf, sondern die Pflege über Jahre und Produktvarianten hinweg — genau dort entscheidet sich, ob Security by Design gelebt wird oder Papier bleibt.