Thought Leadership
Die Sovereign Tech Agency will speicherbasierte Sicherheitslücken künftig schon auf Ebene der Programmiersprache verhindern. Das BSI unterstützt den Vorstoß, auch mit Blick auf den Cyber Resilience Act.
Die Sovereign Tech Agency (STA) hat ein Positionspapier veröffentlicht, in dem sie Unternehmen, Normungsgremien und Politik dazu auffordert, verstärkt auf speichersichere Programmiersprachen zu setzen. Ziel ist es, speicherbasierte Schwachstellen nicht erst im Nachhinein zu patchen, sondern von vornherein durch die Wahl der Sprache auszuschließen. An dem Papier hat auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) mitgewirkt.
Speicherfehler als Dauerbrenner
Speicherbasierte Schwachstellen entstehen, wenn Programme mit dem Arbeitsspeicher nicht so umgehen, wie es eigentlich vorgesehen ist, etwa wenn Daten außerhalb des dafür reservierten Speicherbereichs geschrieben werden. Solche Fehler zählen zu den hartnäckigsten Problemen der Softwareentwicklung. Laut STA machen sie in großen, in C oder C++ geschriebenen Codebasen zwischen 60 und 70 Prozent aller Schwachstellen aus.
Speichersichere Sprachen wie Rust, Go oder Java setzen demnach genau hier an. Sie erkennen typische Speicherfehler bereits beim Kompilieren oder verhindern sie durch ihr Sprachdesign von vornherein. Entwicklerinnen und Entwickler müssen die entsprechenden Lücken dadurch gar nicht erst nachträglich aufspüren und schließen. Das ist ein Aufwand, der in sicherheitskritischer Software traditionell einen Großteil der Wartungsarbeit ausmacht.
Wer hinter dem Papier steht
Die Sovereign Tech Agency GmbH ist eine Tochtergesellschaft der Bundesagentur für Sprunginnovationen (SPRIND) und investiert im öffentlichen Interesse in die Stärkung des Open-Source-Ökosystems. Damit soll sie einen Beitrag zur digitalen Souveränität Deutschlands und Europas leisten. Erarbeitet wurde das aktuelle Positionspapier gemeinsam mit Vertretern aus Wirtschaft, Forschung und der Open-Source-Community.
Migration soll gefördert, nicht verordnet werden
Das Papier enthält konkrete Handlungsempfehlungen für unterschiedliche Adressaten aus Industrie, Normung und Politik. Im Kern geht es darum, den Umstieg auf speichersichere Sprachen zu beschleunigen, ohne die praktischen Hürden einer solchen Migration zu ignorieren. Schließlich lässt sich etwa eine über Jahrzehnte gewachsene C-Codebasis nicht von heute auf morgen ersetzen. Vorgeschlagen werden deshalb unter anderem konkrete Migrationsstrategien für bestehende Projekte sowie eine finanzielle Förderung von Fortbildungsprogrammen, sowohl auf EU-Ebene als auch national.
Das BSI wiederum nutzt das Papier, um seine „Secure by Design“-Linie zu untermauern: Sicherheit soll bereits beim Entwurf einer Software mitgedacht werden, statt sie nachträglich draufzusetzen. Dieser Ansatz deckt sich auch mit aktuellen EU-Vorgaben wie dem Cyber Resilience Act (CRA), der Herstellern digitaler Produkte künftig strengere Sicherheitspflichten über den gesamten Produktlebenszyklus auferlegt.
(red)
