StartseiteMagazinSecurity by Design: IT-Sicherheit von Anfang an | iS2

Security by Design: IT-Sicherheit von Anfang an | iS2

iS2 Bits & Bites: Welche Sicherheitsfragen gehören schon in die Konzeption?

security by design

Sichere Software entsteht nicht erst durch abschließende Tests oder nachträglich ergänzte Schutzmaßnahmen. Die Grundlage wird bereits in der Konzeptionsphase gelegt – dort, wo fachliche Anforderungen definiert, technische Prozesse geplant und Entscheidungen über Daten, Rollen und Schnittstellen getroffen werden.

Gerade in der Versicherungs- und Finanzbranche, in der Anwendungen häufig mit sensiblen Informationen und komplexen Geschäftsprozessen arbeiten, ist ein frühzeitiger Blick auf die IT-Sicherheit entscheidend.

Das Prinzip dahinter: Security by Design. Sicherheit wird von Anfang an als Bestandteil der Softwareentwicklung betrachtet und über den gesamten Entwicklungsprozess hinweg berücksichtigt.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) behandelt die sichere Softwareentwicklung als wichtigen Bestandteil seines IT-Grundschutzes.

1. Welche Daten werden tatsächlich benötigt?

Am Anfang jeder Softwarelösung steht die Frage nach ihrem konkreten Anwendungsfall. Welche Aufgaben soll die Anwendung erfüllen? Welche Informationen werden dafür benötigt und wie werden diese verarbeitet?

Eine durchdachte Konzeption berücksichtigt nicht nur die fachlichen Anforderungen, sondern auch die damit verbundenen Datenflüsse.

Dabei sollten unter anderem folgende Fragen geklärt werden:

  • Welche Daten sind für den jeweiligen Prozess erforderlich?

  • Woher stammen die Informationen und wohin werden sie übertragen?

  • Welche Systeme verarbeiten oder speichern diese Daten?

  • Lassen sich Datenflüsse vereinfachen oder unnötige Verarbeitungsschritte vermeiden?

Ein klar definierter Datenbedarf schafft Transparenz und bildet die Grundlage für eine sichere technische Umsetzung.

2. Rollen und Zugriffsrechte: Wer darf was?

Nicht jede Person benötigt Zugriff auf sämtliche Funktionen oder Informationen einer Anwendung.

Deshalb sollten Rollen und Berechtigungen bereits während der Konzeption festgelegt werden. Entscheidend ist, dass Zugriffsrechte zu den jeweiligen Aufgaben passen und technisch konsequent umgesetzt werden.

Ein wichtiger Unterschied besteht zwischen der sichtbaren Benutzeroberfläche und der tatsächlichen Zugriffskontrolle.

Ein ausgeblendeter Button ist noch keine Sicherheitsmaßnahme.

Auch wenn eine Funktion in der Oberfläche nicht angezeigt wird, muss das System serverseitig prüfen, ob eine Person zur Ausführung der entsprechenden Aktion berechtigt ist.

Eine wichtige Orientierung bietet der OWASP Application Security Verification Standard (ASVS). Er beschreibt überprüfbare Sicherheitsanforderungen für Webanwendungen, unter anderem zur Authentifizierung und Zugriffskontrolle.

Eine sorgfältige Rollen- und Rechtekonzeption hilft dabei, unberechtigte Zugriffe zu verhindern und Verantwortlichkeiten eindeutig abzubilden.

3. Schnittstellen sicher gestalten

Moderne Softwarelösungen arbeiten selten vollständig isoliert. Sie tauschen Informationen mit anderen Anwendungen, Datenbanken oder externen Diensten aus.

Damit werden Schnittstellen zu einem wichtigen Bestandteil der Sicherheitskonzeption.

Bereits in der Planung sollte geklärt werden, welche Systeme miteinander kommunizieren, welche Informationen ausgetauscht werden und wie die Zugriffe abgesichert sind.

Wichtige Aspekte sind dabei:

  • Eindeutige Authentifizierung und Autorisierung

  • Prüfung und Validierung übertragener Daten

  • Geschützte Datenübertragung

  • Definierte Reaktionen auf fehlerhafte oder unvollständige Anfragen

Sichere Schnittstellen erfordern somit mehr als eine funktionierende technische Verbindung. Sie müssen auch unter unerwarteten Bedingungen zuverlässig und kontrolliert reagieren.

4. Was passiert im Fehlerfall?

Eine Anwendung muss nicht nur im regulären Betrieb funktionieren. Ebenso wichtig ist ihr Verhalten bei Ausfällen, ungültigen Anfragen oder fehlenden Berechtigungen.

Deshalb gehören mögliche Fehlerfälle bereits in die fachliche und technische Konzeption.

Was passiert beispielsweise, wenn eine Schnittstelle nicht erreichbar ist? Wie reagiert das System auf unvollständige Daten? Und was geschieht, wenn jemand versucht, auf eine nicht freigegebene Funktion zuzugreifen?

Ein durchdachtes Fehlerkonzept sorgt dafür, dass Anwendungen auch in Ausnahmesituationen kontrolliert reagieren und keine unnötigen Sicherheitsrisiken entstehen.

Sicheres Verhalten muss auch dann gewährleistet sein, wenn etwas nicht wie vorgesehen funktioniert.

5. Sicherheit durch überprüfbare Anforderungen

Damit Sicherheitsanforderungen nicht nur theoretisch bestehen, müssen sie konkret formuliert und überprüfbar sein.

Statt lediglich festzuhalten, dass eine Anwendung „sicher“ sein soll, braucht es nachvollziehbare Kriterien.

Dazu gehört beispielsweise, eindeutig zu definieren, welche Rollen auf bestimmte Informationen zugreifen dürfen und wie das System unerlaubte Zugriffsversuche behandelt.

Auf dieser Grundlage lassen sich gezielte Tests entwickeln, die nicht nur reguläre Anwendungsfälle, sondern auch Ausnahmen und unzulässige Aktionen berücksichtigen.

So entsteht eine direkte Verbindung zwischen fachlicher Anforderung, technischer Umsetzung und Qualitätssicherung.

6. Von der fachlichen Anforderung zur sicheren Softwarelösung

Security by Design ist nicht ausschließlich eine technische Aufgabe.

Bereits bei der Analyse von Geschäftsprozessen und der Definition fachlicher Anforderungen werden wichtige Entscheidungen getroffen, die sich auf die spätere Sicherheit einer Anwendung auswirken.

Hier setzt auch professionelles IT-Consulting an: Fachliche Anforderungen müssen verstanden, strukturiert und in technisch umsetzbare Konzepte übersetzt werden.

Gerade bei komplexen Anwendungen in der Versicherungs- und Finanzbranche ist die enge Zusammenarbeit zwischen Fachbereichen, Consulting und Softwareentwicklung von zentraler Bedeutung.

Eine frühzeitige Abstimmung hilft dabei, Sicherheitsanforderungen nicht isoliert zu betrachten, sondern sinnvoll in bestehende Prozesse und technische Architekturen zu integrieren.

Also: Sicherheit beginnt mit den richtigen Fragen

Security by Design bedeutet, IT-Sicherheit nicht als nachträgliche Ergänzung, sondern als festen Bestandteil der Softwareentwicklung zu verstehen.

Wer Datenbedarf, Berechtigungen, Schnittstellen und mögliche Fehlerfälle bereits in der Konzeption berücksichtigt, schafft eine wichtige Grundlage für sichere und langfristig wartbare Anwendungen.

Dabei endet Sicherheit nicht mit der Veröffentlichung einer Softwarelösung. Neue Anforderungen, technische Veränderungen und Weiterentwicklungen machen eine kontinuierliche Überprüfung notwendig.

Unser iS2 Bits & Bites zum Mitnehmen: Sicherheit gehört in die Konzeption – und bleibt Teil der Weiterentwicklung.

IT-Consulting für die Versicherungs- und Finanzbranche

Die Verbindung von fachlichen Anforderungen und technischer Umsetzung ist ein zentraler Bestandteil erfolgreicher Softwareprojekte.

Erfahren Sie mehr über die IT-Consulting-Leistungen der iS2AG und darüber, wie strukturierte Konzeption und technische Expertise die Entwicklung zukunftsfähiger Softwarelösungen unterstützen.

Mehr über unser IT-Consulting erfahren

Stand: Oktober 2026

Quellen und weiterführende Informationen

Mockup Whitepaper iS2 - 4 Seiten Digitalisierung der Versicherungsbranche
Sie brauchen einen Fahrplan für die
digitale Transformation?
Wir haben da genau das richtige Whitepaper für Sie.
Jetzt herunterladen
Mehr
Beiträge