Forschungsbereich Softwaretechnik und IT-Sicherheit

Die Erarbeitung von Prozessen, Methoden und Werkzeugen zur Entwicklung sicherer softwareintensiver Systeme ist das Ziel des Forschungsbereichs Softwaretechnik und IT-Sicherheit. Der Stellenwert von Software ist heute ein anderer. Immer mehr Unternehmen z.B. im Maschinen- und Anlagenbau oder der Automobilindustrie erkennen die Notwendigkeit, ihre Kompetenzen in der Softwareerstellung auszuweiten – und haben großes Interesse an den Lösungen unseres Forschungsbereichs. Direktor Prof. Eric Bodden und die Abteilungsleiter Dr. Mattias Becker und Dr. Matthias Meyer erläutern im Interview, warum das so ist und welche Angebote das Fraunhofer IEM macht. 

Warum sollten sich Unternehmen, unabhängig von der Branche, mit sicherer Softwareentwicklung beschäftigen?

Matthias Meyer: Weil Software heute überall zum Einsatz kommt – und der Wert vieler Produkte mittlerweile erheblich durch die Software bestimmt wird. Nicht nur im Sinne der Wertschöpfung, wo Softwareentwicklung einen großen Anteil an der Entwicklung eines Produkts hat, sondern auch im Sinne des Kundennutzens und der User-Experience. Hinzu kommt, dass es in technischen Systemen von heute keine Safety ohne Security gibt. Betriebssicherheit ist untrennbar mit der Angriffs- und Informationssicherheit verknüpft. Inzwischen fordern auch Industrienormen dies ein, etwa für den Maschinen- und Anlagenbau, die Automatisierungsbranche und die Automobilindustrie. Gemeinsam mit Unternehmen finden wir Wege, diese eher allgemeinen Security-Empfehlungen unternehmensindividuell umzusetzen.  

Wird die Notwendigkeit, sich mit IT-Sicherheit zu beschäftigen, auch durch aktuelle globale und geopolitische Krisen verstärkt?

Eric Bodden: IT-Security ist so wichtig, wie noch nie zuvor – und die Dringlichkeit wird auch zunehmend erkannt. Der Begriff kritische Infrastruktur ist überall präsent: Atomkraftwerke, Einzelhandel, Logistik und Lieferketten: Überall wird Software eingesetzt und deren Angriffssicherheit muss jederzeit gewährleistet werden. Eine durchgängige sichere Software kann man nicht einfach kaufen. Sie ist immer Ergebnis individueller Konfigurationen und muss stetig überprüft werden. Und das Thema kritische Lieferketten gilt inzwischen auch für die Softwareentwicklung, wo heute bis zu 90 % der Software eingekauft oder Open Source bezogen wird. Nicht nur angesichts der aktuellen geopolitischen Lage sollten Unternehmen sich unabhängiger von fremder und intransparenter Software machen. 

Was bekommen Unternehmen, die sich stärker mit sicherer Softwareentwicklung und IT-Sicherheit auseinandersetzen wollen, am Fraunhofer IEM?

Matthias Becker: Ein strukturiertes Vorgehen, das mit passenden Methoden und Werkzeugen unterstützt wird. Gemeinsam verschaffen wir uns so Transparenz in Bezug auf die Qualität von Software und Softwareentwicklungsprozessen. Mit einer Bedrohungsanalyse ermitteln wir etwa potenzielle Schwachstellen und finden Gegenmaßnahmen. Unser besonderer Schwerpunkt dabei ist der Ansatz Security by Design: Ziel ist es, die Security eines softwareintensiven Systems entlang seines ganzen Lebenszyklus zu betrachten. 

Eric Bodden: Aktuell entwickeln wir Softwarewerkzeuge zur Marktreife, die den Security-by-Design-Prozess unterstützen. Wir wollen möglichst vielen Unternehmen möglich machen, den Ansatz zu nutzen. Höherer Automatisierungsgrad, effektivere Programmierung und regelmäßige Absicherungsprozesse: Unsere Security-by-Design-Werkzeuge eröffnen Unternehmen viele Potenziale. 

Stichwort Kompetenzen: Wie verankert man Security-Know-How im Unternehmen?

Matthias Becker: Die Verantwortung für IT-Sicherheit darf nicht nur in der Entwicklungsabteilung liegen, sondern muss zur Chefsache gemacht werden. Hier sind in vielen Unternehmen ein Umdenken und ein entsprechender Wissensaufbau nötig. Wir bieten eine Reihe von Schulungen, die genau hier ansetzten und Personengruppen wie Entwickler:innen, Product Owner und Führungskräfte ansprechen. Wichtig ist uns, nicht nur den Stand der Technik zu vermitteln, sondern unsere Kund:innen auf die kommenden Herausforderungen vorzubereiten.

Welche Möglichkeiten bietet das neue Secure Engineering Lab?

Matthias Meyer: Mit dem Secure Engineering Lab bietet wir Unternehmen eine moderne Infrastruktur für die Softwareentwicklung. Wir laden zu verschiedenen Anlässen ins Lab ein: zum Coworking in gemeinsamen Projekten, für Workshops und Schulungen oder auch wenn es ums Kennenlernen von Best Practices geht. Unsere leistungsfähige Soft- und Hardware erlaubt uns zu zeigen, wie man heute moderne Softwareentwicklungsprozesse aufbaut. Und Unternehmen haben die Möglichkeit, ihre eigene Entwicklungsinfrastruktur zusammenzustellen und direkt bei uns auszuprobieren.  

Welche Themen geht der Forschungsbereich aktuell verstärkt an?

Eric Bodden: Einige spannende neue Projekte – wie etwa zum aktuellen Thema Privacy by Design: Wie verhindern Unternehmen Datenklau und vermeiden Imageschäden? Weitere Herausforderungen, denen wir mit unseren Entwicklungsmethoden begegnen, liegen in der Software-Wertschöpfungskette: Inzwischen ist es nicht mehr nur die Hardware, die in großen Teilen zugeliefert wird, auch im Bereich Software gibt es komplexe Lieferketten. Das führt zu einer anderen Komplexität bei der Integration; sowohl in den Softwareentwicklungsprozessen als auch beim Thema IT-Security.