DevSecOps ist ein Ansatz der Softwareentwicklung, der Sicherheitsprüfungen und gemeinsame Verantwortung für Sicherheit in jede Phase der DevOps-Pipeline einbaut – von Design und Programmierung bis zu Deployment und Betrieb.
Wie DevSecOps funktioniert
Klassisch übergab die Entwicklung fertigen Code kurz vor dem Release an ein Sicherheitsteam zur Prüfung. DevSecOps verschiebt die Sicherheit „nach links“ (Shift Left): Automatisierte Tests laufen bei jedem Commit, und Entwickler beheben Probleme, solange der Code noch frisch ist. Eine typische CI/CD-Pipeline umfasst:
- SAST – statische Analyse des Quellcodes auf Injection-Fehler und unsichere Funktionen.
- SCA – Software Composition Analysis, die Open-Source-Abhängigkeiten mit bekannten Schwachstellen markiert und eine Software-Stückliste (SBOM) erzeugt.
- Secrets Scanning – Erkennen von Passwörtern und API-Schlüsseln, die in Repositories eingecheckt wurden.
- DAST und Fuzzing – Tests der laufenden Anwendung mit bösartigen Eingaben.
- Infrastructure-as-Code- und Container-Scans – Aufspüren falsch konfigurierter Cloud-Ressourcen und verwundbarer Basis-Images.
Warum DevSecOps wichtig ist
Release-Zyklen werden in Stunden gemessen, manuelle Sicherheitsfreigaben kommen da nicht mit. Zudem sind Build-Systeme selbst zum Ziel geworden: Beim SolarWinds-Vorfall (2020) schleusten Angreifer die Backdoor SUNBURST in den Build-Prozess von Orion ein, und 2021 leitete ein manipuliertes Uploader-Skript von Codecov Zugangsdaten aus den CI-Umgebungen von Kunden ab. Solche Lieferkettenangriffe zeigen, dass die Pipeline ebenso sorgfältig geschützt werden muss wie die Produktion. Rahmenwerke wie das Secure Software Development Framework des NIST (SP 800-218) und SLSA beschreiben die erwarteten Kontrollen.
So gelingt die Einführung von DevSecOps
- Sicherheitstests in der Pipeline automatisieren und Builds bei kritischen Befunden abbrechen.
- Eine SBOM pflegen und Abhängigkeiten laufend aktualisieren.
- CI/CD-Zugangsdaten schützen, Build-Artefakte signieren und einschränken, wer Pipelines ändern darf.
- Entwickler in sicherer Programmierung schulen und ihnen schnelles, umsetzbares Feedback geben.
