Wer denn nun?

In der aktuellen ix (8/2008) stellt der Artikel "Lückensuche" Scanner zur Schwachstellensuche in Web-Applikationen vor. Der Autor ist darin der Meinung, dass "[...] als Hauptursache für das Entstehen von Schwachstellen [...] der Kosten- und Zeitdruck [gilt], unter dem Anwendungen in der Regel entwickelt werden müssen."

Unsere Erfahrung ist jedoch, dass unsicherer Code eher auf Grund mangelnden Fachwissens der Anwendungsentwickler entsteht. Das sieht dann auch der Autor des Artikels so, denn ein paar Absätze später widerspricht er seiner ersten Aussage.

Damit Programmierer bei der Entwicklung erst gar keine Schwachstellen entstehen lassen, sollten sie rechtzeitig durch Schulungen sensibilisiert und motiviert werden, auf Sicherheitsaspekte zu achten.

Richtig. Allerdings sollten Projektplaner und Projekt-Manager in diese Schulungen einbezogen werden, denn Software-Sicherheit sollte von Anfang an Bestandteil der Projektplanung sein. Außerdem befinden sich Entscheider eher in der Position, Sicherheitsfunktionen durchzusetzen. Die Entwickler haben in dieser Hinsicht oft die schlechteren Karten.