TechnologyOne ist mehr als nur ein globaler Anbieter von SaaS-Lösungen für Enterprise Resource Planning (ERP): Das Unternehmen entwickelt, implementiert und betreibt seine gesamte Software selbst – ohne auf externe Berater zurückzugreifen. Dieses durchgängige Angebot ist ein zentrales Alleinstellungsmerkmal und verändert die Spielregeln für Kunden grundlegend. Das Unternehmen fördert eine Kultur des starken Engagements und kümmert sich „unermüdlich“ um die Sicherheit seiner Kunden – ganz gleich, ob sie seit sechs Monaten oder seit 20 Jahren dabei sind.
Nick Baker, Leiter für Security Operations und Engineering, und Chris Polkinghorne, Leiter der Programme für Sicherheit und Compliance, wussten: Um diesen hohen Vertrauensstandard zu wahren und die Entwicklungsteams zu beschleunigen, mussten sie ihr Application-Security-Programm (AppSec) grundlegend verändern.
Die Herausforderung: Sichtbarkeitslücken und Engpässe in der Entwicklung
Zuvor nutzte das Unternehmen eine Kombination aus Open-Source-Tools und intern entwickelten Tools für die statische Codeanalyse (SCA). Die selbst entwickelten Tools waren hauptsächlich auf den überwiegend in .NET geschriebenen Code des Unternehmens ausgelegt und deckten neue Plattformen und Technologien, die das Unternehmen ausprobieren wollte, nicht ab. Zwar erfüllten sie zunächst grundlegende Sicherheitsanforderungen, doch wurden sie schnell zum Engpass für die Entwicklungsteams.
Nick erklärt: „Da der Großteil unseres Codes in .NET geschrieben war, war der Anwendungsbereich sehr begrenzt. Es gab keine Tools für neue Plattformen und Technologien.“
Auch hätten die vorhandenen Tools zu viele irrelevante Ergebnisse geliefert, fügte Nick hinzu. „In einem Bericht war von ‚Tausenden Tagen technischer Schulden‘ die Rede. Die False Positives erschwerten ‚konstruktive Gespräche‘ mit den Produktteams.“
Sicherheitsprobleme traten oft erst kurz vor der Veröffentlichung auf – zum denkbar ungünstigsten Zeitpunkt. Für das Sicherheitsteam war das ein großes Problem, denn es gab erhebliche Fähigkeitslücken.
„Entwickler hatten keine Einblicke, bis sie kurz vor der Veröffentlichung standen“, erinnert sich Nick. „Das ist teuer. Wenn sie ein Sicherheitsproblem finden, müssen sie zurückgehen, es beheben und den gesamten Zyklus neu starten.“
Bei großen Produkten konnte schon eine einzige Korrektur stundenlange Neu-Builds und erneute Tests bedeuten.
„Bei einigen unserer Softwareprodukte dauert allein der Build 30 Minuten“, sagt Nick. „Wenn man das für eine einzige Korrektur dreimal machen muss, sind 90 Minuten verschwendet.“
Das Team musste Entwicklern früher und häufiger Sicherheitsfeedback geben – direkt in ihrem Workflow.
Die Anforderungen waren nun klar: weniger Rauschen, eine bessere Abdeckung über Programmiersprachen und Frameworks hinweg sowie schnelles, kontextbezogenes Feedback, mit dem Entwickler direkt arbeiten können.
Die Lösung: Ein kooperativer Partner mit hoher Signalqualität und wenig Rauschen
Bei der Evaluierung von Lösungen hatte das TechnologyOne-Team klare Muss-Kriterien. Alle sollten dazu beitragen, dass das Tool das Unternehmen voranbringt:
Hohe Signalqualität, wenig Rauschen: Veraltete Tools überfluteten die Teams mit nicht umsetzbaren Befunden und Problemen auf Lint-Ebene.
Abdeckungslücken: Die Lösung musste mehrere Programmiersprachen in .NET, Node.js, Python, Go und mehr unterstützen – nicht nur den Legacy-Stack von TechnologyOne.
Umfassende Abdeckung: Unterstützung sowohl für die Analyse von Drittanbieterkomponenten (SBOM) als auch für die statische Codeanalyse.
Skalierbarkeit: Die Lösung musste auf Tausende von Repositories skalierbar sein.
Das Snyk-Team überzeugte als echter Partner – sowohl durch die technische Eignung als auch durch die Qualität der Zusammenarbeit. Nick erinnert sich: „Die ersten Gespräche mit Snyk waren echte Problemlösungssitzungen. Die Zusammenarbeit begann vom ersten Tag an.“
Auch die Entscheidung von TechnologyOne, Snyk über AWS Marketplace zu beziehen, vereinfachte den Prozess und ermöglichte dem Team einen schnellen Übergang von der Evaluierung zur Bereitstellung. Die Einführung von Snyk verlief schnell und veränderte vieles. TechnologyOne band innerhalb weniger Tage die gesamte Software aus seinen Code-Repositories ein. Das war ein großer Schritt im Vergleich zu den vorherigen Tools.
„Wir brauchten sofort eine umfassende Abdeckung – und hatten sie innerhalb weniger Tage, nicht Wochen oder Monate“, sagt Nick.
Die Partnerschaft mit Snyk ging über die Tools hinaus. Als ein Produktteam auf ein Hindernis stieß, kam das Snyk-Engineering-Team mit einer funktionierenden Lösung und sorgte dafür, dass die Arbeit weiterging.
„Das hat mich beeindruckt. Das Produktteam war wirklich zufrieden damit, wie die Situation gehandhabt wurde.“
Die Wirkung: Geschwindigkeit und Vertrauen
Wie schnell sich ein Mehrwert erzielen lässt, ist wichtig – ganz gleich, ob Sie vier oder 400 Entwickler haben. Mit Snyk konnten Sicherheitsverantwortliche sehen, dass sichere Praktiken umgesetzt wurden, ohne jedem Team hinterherlaufen zu müssen.
Chris erklärt: „Wir möchten, dass unsere Entwicklungsteams schnell und zugleich sicher arbeiten. Das ist unverzichtbar. Snyk hat die nötige Vertrauensebene geschaffen und liefert Daten, die zeigen, dass die Teams die richtigen Dinge tun und dabei ihr Tempo beibehalten.“
Das passt zum Markenversprechen von TechnologyOne: sichere, zuverlässige Innovation.
Durch den Ersatz von Legacy-Tools mit vielen irrelevanten Ergebnissen und ineffizienten Prozessen erhielt TechnologyOne Einblick in seine umfangreiche Codebasis und konnte die Zeit zur Behebung von Schwachstellen reduzieren.
Echtes Shift Left: bessere Entwicklererfahrung ohne Reibungsverluste
Das Scannen von Pull Requests wurde über Nacht eingeführt. „Wir konnten es aktivieren, und es hat den Menschen die Arbeit erleichtert“, sagt Nick.
Das Ergebnis des Shift Left war nicht nur Theorie. Es löste direkt ein kostspieliges Problem im SDLC von TechnologyOne: verspätete Feedbackschleifen, die mehrstündige Neu-Build-Zyklen verursachten und die Freigabe von Releases verzögerten. Jetzt erhalten Entwickler innerhalb von Sekunden Empfehlungen – direkt an der betreffenden Codezeile.
Chris sagt: „Mit Snyk und der IDE sieht der Entwickler die Codezeile, erhält die Empfehlung, ändert den Code in Sekunden und macht weiter.“
Sicherheit als Wegbereiter, nicht als Hindernis
Snyk veränderte die Entwicklererfahrung, indem Sicherheitsfeedback direkt in den Workflow integriert wurde. So wurde Sicherheit zum Wegbereiter statt zum Hindernis. Die Sicherheitskultur bei TechnologyOne unterscheidet sich grundlegend von der vieler Enterprise-Softwareunternehmen.
Die Partnerschaft mit Snyk hat den Ansatz von TechnologyOne für Application Security grundlegend verändert: Sicherheit wird nicht mehr als Hürde in der Entwicklung betrachtet, sondern als zentraler Wegbereiter für Geschwindigkeit und Qualität in den Workflows der Entwickler.
„Wir sind ein Sicherheitsteam, das als Wegbereiter wahrgenommen werden möchte“, sagt Chris. „Es heißt selten: ‚Nein, das geht nicht.‘ Meistens heißt es: ‚Ja – unter bestimmten Bedingungen.‘“
Diese Einstellung – schnell und sicher – trägt dazu bei, dass TechnologyOne ein besonders attraktiver Arbeitsplatz ist.
Ausblick: Entwicklertraining mit Snyk Learn skalieren
Als Nächstes wurde Snyk Learn eingeführt, um kontextbezogene, auf den jeweiligen Tech-Stack abgestimmte Schulungen für die Teams bereitzustellen. Das Ziel? Sicheres Programmieren zur Selbstverständlichkeit machen.
Chris merkt an: „Wenn Hunderte von Entwicklern auf unterschiedlichen Plattformen und mit unterschiedlichen Tech-Stacks arbeiten, ist es sehr schwierig, eine Schulung zu erstellen, die sich wiederholen lässt und all diese individuellen Herausforderungen löst. Früher bestand unser Entwicklertraining entweder aus ‚unserer zentralen, unverzichtbaren Software‘ oder aus ‚einer allgemeinen Schulung‘. Dabei gab es viele Lücken.“
Nick ergänzt: „Snyk Learn bietet Inhalte, die auf den Tech-Stack jedes Teams zugeschnitten sind – dadurch bleiben sie im Gedächtnis. Niemand macht gern eine allgemeine Schulung. Mit Snyk Learn sind die Inhalte relevant, ansprechend und wirklich nützlich.“
Indem TechnologyOne Snyk in jede Phase des Softwarelebenszyklus eingebettet hat, entstand eine Secure-by-Design-Kultur, die Entwicklern ermöglicht, schnell zu arbeiten und Vertrauen aufzubauen. Das hat gezeigt, dass Geschwindigkeit und Sicherheit nicht miteinander konkurrieren müssen. Richtig umgesetzt, verstärken sie sich gegenseitig.