Sicherheit in der Softwareentwicklung
Veranstaltungsort
E.ON SEBrüsseler Platz 1
45131 Essen, Deutschland
Beschreibung
Die Digitalisierung schreitet rasant voran – und mit ihr steigen die Anforderungen an die Sicherheit von Software. Neue Regularien wie der Cyber Resilience Act (CRA) der EU setzen Entwickler:innen und Verantwortliche unter Druck, da sie verbindliche Vorgaben für die IT-Sicherheit von Produkten mit digitalen Elementen einführen. Gleichzeitig verändert Künstliche Intelligenz (KI) die Softwareentwicklung grundlegend: Sie bietet Chancen für effizientere Prozesse. Dies umfasst grundsätzlich alle Phasen des Entwicklungsprozesses von der Konzeption, dem Design bis hin zum Schreiben von Code und dem Testen von Code. Neben den vielen bepriesenen Vorteilen birgt dies aber auch neue Risiken, etwa in den Bereichen Softwaresicherheit, Datensicherheit, der allgemeinen Transparenz und bei der Compliance. Zudem definieren Normen und Anforderungskataloge wie ISO 27001, die NIST SSDF (SP 800-218) oder die TR-03185 des BSI Anforderungen an die Softwaresicherheit, die zur Rate gezogen werden können, wenn es die Anforderungen in der Praxis umzusetzen gilt.
So versuchten auch Forscher Maximilian Schreiber und Pascal Tippe im Rahmen der Studie „Security Vulnerabilities in AI-Generated Code: A Large-Scale Analysis of Public GitHub Repositories[1]“, das Ausmaß von Sicherheitsschwachstellen zu erfassen. Hierbei haben sie mittels CodeQL 4.241 Common Weakness Enumeration (CWE) über 77 eindeutige Schwachstellentypen identifiziert. Hierfür analysierten Sie 7.703 GitHub-Repositories. Dabei stellte sich heraus, dass 87,9% von KI generierter Code keine CWEs enthalten. Gleichzeitig scheint es unterschiedliche Risikoprofile pro Programmiersprache und KI-Agenten zu geben.
Dieser ganztägige, praxisorientierte Workshop richtet sich an Informationssicherheitsbeauftragte, Informationssicherheitsberater:innen sowie IT-Leiter:innen und vermittelt ein umfassendes Verständnis der aktuellen Anforderungen und Best Practices für sichere Softwareentwicklung. Im Fokus stehen dabei die Auswirkungen des Cyber Resilience Act auf Entwicklungsprozesse und die Frage, wie Compliance sicherzustellen ist. Zudem werden Chancen und Risiken von KI in der Softwareentwicklung diskutiert – von grundsätzlichen Fragestellungen bis zu technischen und organisatorischen Maßnahmen für einen sicheren Einsatz.
Ein weiterer Schwerpunkt liegt auf Best Practices für sichere Softwareentwicklung: Von Secure-by-Design-Prinzipien über sichere Entwicklungsmethoden bis hin zu effizienten Testverfahren wie Code Reviews oder Penetrationstests. Darüber hinaus gibt der Workshop einen Überblick über die zentralen Anforderungen aus Normen wie ISO 27001, die NIST SSDF (SP 800-218) oder die TR-03185 des BSI und zeigt auf, wie diese in der Praxis umgesetzt werden können.
[1]doi.org/10.48550/arXiv.2510.26103
Dateien
Programm
Programm (Stand 23.10.2026)
10:00-10:15 | Benedict Voßbein, Sprecher der Fachgruppe SECMGT Begrüßung
|
10:15-10:55 | Jasmin Mair (E.ON, Head of Application Security) "Mehr als KI: Was moderne Softwareentwicklung wirklich sicher macht" AI schreibt Code. Leistungsfähige KI-Modelle werden immer besser darin, Schwachstellen zu finden. Ist das Problem sicherer Softwareentwicklung damit gelöst? Nicht ganz. Der Vortrag zeigt, wie KI die Entwicklung, den Betrieb, und auch Application Security Aktivitäten verändert und welches Potenzial KI-basiertes Code Scanning bietet. Gleichzeitig wird deutlich: Sichere Software entsteht nicht allein durch besseren Code und bessere Scanner. Ein ganzheitlicher sicherer Software Development Lifecycle (SDLC) verankert Security an vielen Stellen, von Design und Architektur über Entwicklung und CI/CD bis hin zu Deployment und Betrieb. KI erweitert dabei unsere Möglichkeiten, ersetzt aber nicht die Grundlagen sicherer Softwareentwicklung. (inkl. Diskussion / FAQ) |
10:55-11:10 | Kommunikationspause - Zeit zum Wissensaustausch |
11:10-11:50 | Stefan Keller (Cybersecurity and Privacy Manager bei einem großen Pharma/Medical Device Konzern) "Sichere Software-Entwicklung für Medical Devices, die Patientendaten verarbeiten" Der Vortrag behandelt die Kundenerwartungen, die Rolle der IT-Sicherheit, die Herausforderungen, die erreichten Schritte und einen Ausblick für die Zukunft. Es geht zum Beispiel um:
(inkl. Diskussion / FAQ) |
11:50-13:30 | Mittagspause |
13:30-14:10 | Pascal Debus (Fraunhofer AISEC) "Secure by Design, Auditable by Design: KI-Sicherheit von der Codegenerierung bis zum autonomen Agenten" Der Einsatz generativer KI verändert die Softwareentwicklung grundlegend: Large Language Models erzeugen zunehmend produktiven Code, während agentische Systeme darüber hinaus selbstständig Werkzeuge nutzen, auf Ressourcen zugreifen und Aktionen ausführen. Damit verschiebt und erweitert sich zugleich die Angriffsfläche. Der Vortrag zeigt anhand aktueller Forschungsarbeiten zur sicheren Codegenerierung, wie Sicherheitsmechanismen bereits während der Generierung ansetzen können. Insbesondere wird vorgestellt, wie interne Repräsentationen von Sicherheitskonzepten in codegenerierenden Sprachmodellen erkannt und durch gezieltes Model Steering genutzt werden können, um die Erzeugung sicheren Codes zu fördern. Sichere Codegenerierung allein genügt jedoch nicht, sobald KI-Systeme autonom handeln. Aufbauend darauf wird eine Security-by-Design-Architektur für agentische KI diskutiert, die Schutzmechanismen auf mehreren Ebenen verbindet: Sicherheit des Sprachmodells und der Agenten-Infrastruktur, Identität und Attestierung von Agenten, feingranulare Autorisierung, Monitoring und Nachvollziehbarkeit sowie Isolation und Sandboxing als Defense-in-Depth-Maßnahmen. Abschließend wird betrachtet, wie diese technischen Kontrollmechanismen zugleich die Grundlage für prüfbare Sicherheitsnachweise schaffen können. Vor dem Hintergrund regulatorischer Anforderungen und zukünftiger Zertifizierungsansätze wird damit die Frage adressiert, wie KI-gestützte Software nicht nur sicher entwickelt und betrieben, sondern ihre Sicherheit auch nachvollziehbar und überprüfbar gemacht werden kann. (inkl. Diskussion / FAQ) |
14:10-14:25 | Kommunikationspause - Zeit zum Wissensaustausch |
14:25-15:05 | Bernhard C. Witt (Principal on Cybersecurity and Critical Entities Protection, SITS Deutschland GmbH) "Entwicklung mit Cursor" Erfahrungsbericht zur Absicherung von KI in der Softwareentwicklung Anhand des Einsatzes von CURSOR im Rahmen der Softwareentwicklung wird über zweckmäßiges Vorgehen und konsequentes Adressieren relevanter Risiken anhand von mehreren Projekten bei verschiedenen Kunden zusammengefasst berichtet. Hierbei wird ausgeführt, unter welchen Voraussetzungen eine sicherheitstechnische Freigabe für den Einsatz von CURSOR erteilt werden kann und welche Herausforderungen dabei zu meistern sind, um diese KI dauerhaft wirksam „im Zaum halten“ zu können. (inkl. Diskussion / FAQ) |
15:05-15:20 | Kommunikationspause - Zeit zum Wissensaustausch |
15:20-16:00 | Diskussion / Open Panel Erfahrungen & Best Practices der Workshopteilnehmer |
Anmeldung
- Kosten
- Kostenlos
- Hinweis
- Zu dieser Veranstaltung können Sie sich online anmelden.
- Anmeldefrist
- 16.11.2026
- Freie Plätze
- 33