Datenleck in den Niederlanden: Was Entwickler daraus lernen sollten

Derzeit kommt es in den Niederlanden zu einer Reihe von Datenlecks. Blauw, ein renommiertes Marktforschungsunternehmen in den Niederlanden, meldete Anfang dieser Woche ein Datenleck. Blauw bietet Unternehmen und Veranstaltern qualitative Marktforschung und arbeitet mit vielen großen niederländischen Marken zusammen.

Durch das aktuelle Datenleck sind die personenbezogenen Daten einer beträchtlichen Zahl niederländischer Verbraucher offengelegt worden. Bislang sind folgende Vorfälle bekannt:

• VodafoneZiggo, einer der größten Telekommunikations-, TV- und Internetanbieter in den Niederlanden: 700.000 Kunden betroffen (Quelle EN, NL)

• NS, die niederländische Staatsbahn: 780.000 Kunden betroffen (Quelle EN, NL)

• Vriend van Amstel Live, ein Konzertformat des Heineken-Konzerns: 22.000 Kunden betroffen (Quelle NL)

Angesichts der vielen Marken, für die Blauw Marktforschung betreibt, sind diese Zahlen vermutlich nur die Spitze des Eisbergs. Einige Kunden – darunter Albert Heijn, Etos, bol.com und Vattenfall – geben jedoch an, nicht von dem Datenleck betroffen zu sein.

Was können Entwickler aus einem solchen Datenleck lernen?

Da wir die Ursache des Datenlecks noch nicht kennen und Blauw sich geweigert hat, seinen Softwareanbieter offenzulegen, sind Spekulationen wenig sinnvoll. Dennoch können wir aus einem solchen Datenleck viel lernen. In den Niederlanden leben nur 17,5 Millionen Menschen – die oben genannten Zahlen sind also beträchtlich! Die Auswirkungen dürften enorm sein und sind definitiv von nationaler Bedeutung. Die Zeitung „Algemeen Dagblad“ schreibt, dass möglicherweise Millionen niederländischer Bürger von diesem Datenleck betroffen sind.

Datenlecks können erhebliche Sicherheitsrisiken mit sich bringen. Als Entwickler von Softwaresystemen müssen wir unsere Verantwortung ernst nehmen. Lösungen für unsere Anwendungen müssen skalierbar, wartbar und sicher sein. Autonome Engineering-Teams arbeiten effizient, aber eine sicherheitsbewusste Haltung bei der Entwicklung ist heute unverzichtbar. Eine Lösung zu entwickeln, die einfach nur funktioniert, reicht nicht mehr aus.

Erstaunlicherweise gehören Schwachstellen wie Cross-Site-Scripting und SQL-Injection auch heute noch zu den häufigsten Schwachstellen moderner Anwendungen – und das schon seit Jahren. Das deutet vermutlich darauf hin, dass Entwickler im Allgemeinen nicht genügend Sicherheitsmaßnahmen ergreifen oder nicht ausreichend geschult sind, um diese Probleme zu bewältigen.

Ein weiterer wichtiger Aspekt ist die Supply Chain. Der Code, den Entwickler schreiben, macht nur einen kleinen Teil der tatsächlichen Anwendungen aus. Open-Source-Frameworks und -Bibliotheken übernehmen oft den Großteil der Arbeit und ermöglichen eine schnelle Entwicklung. Doch genau wie Autos und Gebäude in der realen Welt muss auch Open-Source-Software gewartet werden. Bibliotheken regelmäßig auf neuere Versionen zu aktualisieren, sollte selbstverständlich sein.

Was sollten Entwickler tun?

Zum Glück können Entwickler viel tun, um ihre Anwendungen vor ähnlichen Datenlecks zu schützen.

• Informieren Sie sich über häufige Schwachstellen.
  Snyk Learn ist eine großartige kostenlose Plattform mit zahlreichen Lektionen und Lernpfaden, etwa dem OWASP-Top-10-Lernpfad zu häufigen Schwachstellen.

• Verwenden Sie Tools, um Ihren eigenen Code auf Sicherheitslücken zu prüfen.
  Snyk Code ist eine großartige kostenlose Option, mit der Sie Ihren Code in Ihrer IDE oder in Ihrer Pipeline analysieren können, um Probleme wie Path Traversal oder SQL-Injection zu erkennen.

• Prüfen Sie Code sorgfältig. Planen Sie ausreichend Zeit ein und stellen Sie sicher, dass die richtigen Personen für Code-Reviews zur Verfügung stehen. Weitere Informationen finden Sie in diesem Spickzettel.

• Halten Sie Ihre Abhängigkeiten und Frameworks auf dem neuesten Stand. In diesem Blogbeitrag erfahren Sie mehr darüber, wie Sie eine solide Strategie für das Abhängigkeitsmanagement entwickeln.

• Optimieren Sie Ihr Build- und Release-System, damit Sie Ihre Anwendung bei Bekanntwerden einer Schwachstelle problemlos neu erstellen und erneut bereitstellen oder verteilen können.

• Scannen Sie Ihre Open-Source-Bibliotheken auf bekannte Schwachstellen. Snyk Open Source ist ein guter Ausgangspunkt.

• Überwachen Sie Ihre Anwendung in der Produktionsumgebung auf neue Schwachstellen.
  Probleme werden oft erst mit der Zeit entdeckt. Behalten Sie direkt über Ihre CLI im Blick, was in der Produktionsumgebung läuft – mit Snyk Monitor.

Als Entwickler sind Sie dafür verantwortlich, dass der von Ihnen geschriebene Code sicher ist, denn Sie sitzen am Steuer und setzen die Lösungen um.

Datenlecks wie dieses lassen sich aufgrund der vielfältigen Ursachen nie vollständig verhindern. Die meisten Sicherheitsverletzungen und Datenlecks entstehen jedoch durch eine Kombination häufiger Sicherheitsprobleme. Die Zahl potenzieller Angriffsvektoren zu verringern, ist die Verantwortung aller, die daran arbeiten oder damit arbeiten – Entwickler eingeschlossen. Zusammenarbeit und Kommunikation über sichere Programmierpraktiken halten Sicherheitsvorfälle und entsprechende Schlagzeilen auf ein Minimum.