In dieser Lektion befassen sich die Lernenden mit den OWASP Top-10-Schwachstellen und lernen, wie sich Sicherheitsvorfälle durch proaktive Praktiken der sicheren Programmierung und effektive Analysewerkzeuge verhindern lassen. Die Lektion verdeutlicht, warum die Behebung von Sicherheitslücken in einer späten Phase des Entwicklungsprozesses kostspielig und nicht nachhaltig ist und warum eine systematische Prävention – durch sichere Programmierung und regelmäßige Tests – einen besseren Ansatz darstellt. Anhand von Sicherheitsvorfällen aus der Praxis, wie beispielsweise der XSS-Sicherheitslücke bei Fortnite, werden die praktischen Folgen häufiger Programmierfehler veranschaulicht. Die Lernenden werden in wichtige Tools eingeführt, darunter statische Anwendungssicherheitstests (SAST) und dynamisches Scannen mit OWASP ZAP. Durch eine Mischung aus Videos, Lesematerial, Diskussionen und praktischen Übungen erwerben die Lernenden die Fähigkeiten und das Selbstvertrauen, um systematisch sichere, robuste Anwendungen zu entwickeln – und so ihren Programmieransatz von reaktiven Korrekturen hin zu proaktiver Prävention zu verändern.

In dieser Lektion untersuchen die Teilnehmer, wie die Einbindung von Sicherheitsmaßnahmen in Continuous-Integration- und Continuous-Deployment-Pipelines (CI/CD) Release-Prozesse von reinen Bereitstellungsmechanismen zu kontinuierlichen Garanten des Vertrauens macht. Anhand eines Szenarios, das eine nächtliche Bereitstellung veranschaulicht, bei der eine als anfällig bekannte Bibliothek in die Produktion gelangt ist, verdeutlicht die Lektion, warum automatisierte Sicherheitsprüfungen bereits ab der allerersten Pipeline-Phase integriert werden müssen. Die Lernenden untersuchen praktische Tool-Implementierungen – wie Snyk für das Scannen von Abhängigkeiten, OWASP Dependency-Check zur Erkennung von Open-Source-Schwachstellen und GitHub-Actions-Workflows zur Automatisierung –, um sicherzustellen, dass Probleme erkannt werden, bevor der Code die Produktion erreicht. Fallstudien zu CI/CD-Fehlkonfigurationen, wie beispielsweise der Cloud-Sicherheitsvorfall bei Capital One, zeigen, wie kleine Versehen in den Einstellungen der Pipeline oder der „Infrastructure-as-Code“ zu schwerwiegenden Vorfällen führen können, was die Notwendigkeit einer kontinuierlichen Überwachung unterstreicht. Anhand praktischer Demonstrationen lernen die Teilnehmer, wie sie Sicherheitskontrollen einrichten, die Builds bei kritischen Befunden abbrechen, wie sie Scan-Ergebnisse interpretieren und wie sie die Durchsetzung von „Policy-as-Code“ konfigurieren – und das alles, ohne die Entwicklungsgeschwindigkeit zu beeinträchtigen. Am Ende der Lektion werden die Teilnehmer sowohl verstehen, wie diese Sicherheitstools konfiguriert und in reale Pipelines integriert werden, als auch warum es nicht mehr akzeptabel ist, Sicherheit als separate Phase zu behandeln – Sicherheit muss kontinuierlich und integriert sein und von jedem Beteiligten im Bereitstellungs-Workflow mitgetragen werden.