DSGVO-Compliance und Open Source

Datenschutz und Kontrollmaßnahmen sind ein anhaltender Trend, der Verbraucher und Unternehmen gleichermaßen beschäftigt. Nach jahrelanger Vorbereitung und Debatte wurde die Datenschutz-Grundverordnung (DSGVO) schließlich von der EU verabschiedet. Die Durchsetzung beginnt bereits im Mai 2018. Unternehmen, die sich nicht daran halten, müssen mit hohen Geldstrafen rechnen. Die DSGVO betrifft nicht nur Unternehmen, die innerhalb der EU tätig sind – wenn Sie Daten von EU-Bürgern erfassen, gelten die neuen Regeln auch für Sie. Wie erwartet, bestätigte die EU ihre Entscheidung, bei Nichteinhaltung hohe Geldstrafen zu verhängen. Unternehmen müssen bis zu 4 % ihres weltweiten Umsatzes oder 20 Millionen Euro zahlen – je nachdem, welcher Betrag höher ist. Eine Strafe dieser Höhe könnte viele Unternehmen in den Ruin treiben.

Nach den neuen DSGVO-Regeln hätte die jüngste Equifax-Datenpanne ganz anders gehandhabt werden müssen. Vielleicht hätte Richard Smith, CEO von Equifax, seinen Ruhestand nicht vorzeitig antreten müssen, wenn die Öffentlichkeit innerhalb der ersten 72 Stunden nach der Datenpanne benachrichtigt worden wäre – und nicht erst nach den tatsächlich verstrichenen 40 Tagen. Nach der DSGVO müsste Equifax nun gemäß Artikel 32 nachweisen, dass das Unternehmen „geeignete technische und organisatorische Maßnahmen umsetzt, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Darüber hinaus verpflichtet die DSGVO Unternehmen dazu, ihre Sicherheitsmaßnahmen kontinuierlich an den aktuellen Stand der Technik in ihrer Branche anzupassen.

Wie Equifax auf die harte Tour erfahren musste, entwickelt sich der Einsatz von Open Source in Unternehmen besonders schnell. Um agiler zu arbeiten, werden große Mengen an Open-Source-Software eingebunden. Entwickler erhalten jedoch in der Regel weder die nötige Anleitung noch die erforderliche Aufsicht, um zu beurteilen, ob Open Source Compliance- und Sicherheitsrisiken für ihr Unternehmen birgt. Geschweige denn haben sie die Zeit, mit den neuesten Versionen Schritt zu halten und so frei von Sicherheitslücken zu bleiben.

Laut einer Studie von Verizon nutzen „die meisten Angriffe bekannte Sicherheitslücken [in Open-Source-Komponenten] aus, die nie behoben wurden, obwohl seit Monaten oder sogar Jahren entsprechende Patches verfügbar sind“. Auch Heather Adkins (Security Manager bei Google Information) hat ausdrücklich über die Bedeutung aktueller, gepatchter Abhängigkeiten gesprochen: „Ich denke, das gehört zu den Kosten, die der Einsatz von Open-Source-Software mit sich bringt. Tatsache ist: Wir müssen am Ball bleiben. Selbst wenn Sie nur zu zweit in einer Garage arbeiten, muss eine Person für die Sicherheit verantwortlich sein – sei es nebenbei in der IT oder als leitende Entwicklerin bzw. leitender Entwickler.“

Es überrascht daher nicht, dass dieses Problem in den OWASP Top 10 Application Security Risks für 2017 hervorgehoben wird: „A9 – Verwendung bekanntermaßen anfälliger Komponenten“. Unternehmen können es sich nicht länger leisten, diesem Thema keine höchste Priorität einzuräumen.

Zu den technischen Maßnahmen, mit denen ein Unternehmen ein seiner Risikolage angemessenes Sicherheitsniveau gewährleisten kann, gehören automatisierte Sicherheitstools und bessere Prozesse, die Folgendes leisten:

• Bekannte Sicherheitslücken in den verschiedenen Tech-Stacks erfassen

• Entwicklern helfen, vorhandene Sicherheitslücken zu finden und einfach zu beheben sowie neue zu verhindern

• In die Workflows und Tools der Entwickler integriert sein

• Die Developer Experience in den Mittelpunkt stellen, damit Entwickler die Tools flächendeckend einsetzen und die Sicherheit mit den Entwicklungsteams statt nur mit den Sicherheitsteams mitwachsen kann

• Einfach zu bedienen sein und keine Sicherheitsexpertise voraussetzen

Genau hier kommt Snyk ins Spiel – deshalb haben wir uns entschieden, Tools zu entwickeln, die auf Entwickler ausgerichtet sind. Snyk meldet nicht einfach nur Sicherheitslücken, die Entwickler dann ignorieren können, sondern automatisiert deren Behebung. So wird der gesamte Lebenszyklus einer Anwendung geschützt: von der frühzeitigen Prävention über Commit-Hooks und Compliance-Gates in CI/CD bis hin zur Überwachung auf Sicherheitslücken in bereitgestellten PaaS- und Serverless-Anwendungen.

Heather Adkins hat recht: Abhängigkeiten im Blick zu behalten und dafür zu sorgen, dass sie aktuell und sicher sind, gehört zu den Kosten, die der Geschäftsbetrieb mit sich bringt. Die Kosten, die entstehen, wenn Sie das nicht tun, sind jedoch deutlich höher.