Innovation oder Security-Katastrophe? Low- und No-Code – Probleme vorprogrammiert?

Anbieter zum Thema

netfiles GmbH

Hyland Software Germany GmbH

Low- und No-Code bieten viele attraktive Möglichkeiten. Zum Beispiel die deutliche Senkung der Kosten für Anwendungsentwicklungen. Meist ist jedoch nichts über den Quellcode und die gegebenenfalls damit verbundenen Schwachstellen bekannt. Wie lassen sich Risiken mindern?

Eine wachsende Zahl von Unternehmen erwägt die Nutzung von Low-Code- und No-Code-Plattformen, um Anwendungsentwicklung und -bereitstellungen zu vereinfachen und zu automatisieren. Umfragen haben ergeben, dass bereits rund 45 Prozent der Unternehmen diese Technologien nutzen. Ein weiteres Fünftel derjenigen, die sie nicht nutzen, wollen die Technologie in den kommenden zwölf Monaten einführen.

Dies ist kaum verwunderlich, da es bei Low-Code und No-Code um sehr schnelle Modelle zur Anwendungsentwicklung handelt. Sie erlauben es, visuelle Methoden wie beispielsweise Drag-and-Drop und interaktive Menüs zu verwenden, um die Code-Generierung zu automatisieren.

Mit Low-Code können die User neben automatisch generiertem Code von einer Plattform auch benutzerdefinierten Code hinzufügen. Bei No-Code-Optionen wird letztendlich nur der automatisch generierte Code der Plattform in die darauffolgende Anwendung einbezogen.

Mögliche Sicherheitsrisiken

Low- und No-Code-Plattformen bieten zwar schnellere Prototyping- und Entwicklungsfunktionen als bisher, können aber auch Ausgangspunkte für Hacker-Angriffe und andere Schwachstellen und Bedrohungen bieten. Dazu gehören folgende Hauptprobleme:

Geringe Transparenz

Der Einsatz von Low-und-No-Code-Plattformen bedeutet zwangsläufig, dass Code verwendet wird, der in einigen Fällen nicht überprüft werden kann. Wenn der Anbieter einer solchen Plattform die Best Practices für IT-Security und sichere Codierung nicht befolgt, kann dies später zu Problemen bei den Anwendern führen.

Die Implementierung von Sicherheitsaudits bei Anbietern gestaltet sich in der Regel als zeitaufwändig bzw. kostspielig und ist für manche möglicherweise gar nicht realisierbar. In vielen Fällen wird kein Einblick in die Sicherheitskontrollen gewährt, die von Plattform-Anbietern verwendet werden. Das bedeutet, dass die Unternehmen sich auf die vorliegenden Sicherheitstools verlassen müssen.

Qualität des Codes

Zu den größten Problemen bei Low- und No-Code-Plattformen gehört die Qualität des Codes selbst. Beide Ansätze umfassen einen Teil des Codes, der vollständig im Kontext einer Plattform eines Anbieters generiert wird. Die Qualität dieser Code-Ausschnitte kann je nach eingesetzten Tools und Services stark variieren.

Jedoch muss bei Entwicklungsprojekten das Thema Sicherheit von Anfang an Priorität eingeräumt werden, unabhängig von Art und Umfang des Projekts. Wenn Codeteile der Plattform von zweifelhafter Qualität sind, stellt dies ein potenzielles Problem dar, insbesondere wenn unsichere Komponenten von unerfahrenen Entwicklern repliziert werden.

Überwachung

Low-Code-Ansätze basieren fast immer darauf, dass Entwicklungsteams Tools verwenden, die von Sicherheitsteams überwacht werden können. Eine vollständige statische Analyse oder dynamisches Testen des Codes ist jedoch in diesem Fall kaum möglich, zumindest nicht für den von der Plattform generierten Code.

Bei No-Code erfolgt möglicherweise nur eine geringe oder gar keine Überwachung der Codeentwicklung und -bereitstellung. Dies kann zu neuen Formen der Schatten-IT führen, die schwer zu erkennen sind, was zu einem Mangel an Transparenz führt.

Fehler in der Geschäftslogik

Ähnlich wie bei Zugriffskontroll-Berechtigungen sollten Geschäftslogik-Berechtigungen und -privilegien in die Funktionalität der Software integriert sein. Wenn dies unterlassen wird, ist es möglich, dass sensible Daten an unbefugte Personen weitergegeben werden.

Eine API-Konnektivität kann die Angriffsfläche einer Anwendung noch weiter vergrößern. Die Anbieter von Low- und No-Code-Plattformen sind daher angehalten, alle diese Probleme wie bei einer üblichen Softwareentwicklung zu testen und zu bewerten, da sonst die oben genannten Probleme auftreten können.

Anwendungsprobleme

Zusätzlich zu den Risiken, die mit der Erstellung und dem Hosting von No-Code- und Low-Code-Apps einhergehen, ist es möglich, dass diese Plattformen auch schwerwiegende Anwendungsmängel und Schwachstellen wie beispielsweise SQL-Injection, Cross-Site-Scripting, Command-Injection sowie Authentifizierungs- und Autorisierungsfehler auf verursachen können.

Viele herkömmliche Testtools und -methoden – sowohl statische als auch dynamische – lassen sich, wenn überhaupt, nicht einfach in Low-Code- und No-Code-Ansätze integrieren. Und da Low- und No-Code es jemandem mit wenig oder keinem Background als Entwickler sehr einfach machen, Code zu erstellen, kann die Wahrscheinlichkeit für Fehler und Sicherheitsprobleme erheblich zunehmen.

Maßnahmen zur Risikominderung

Trotz der potenziellen Sicherheitsprobleme, die mit Low- und No-Code-Plattformen verbunden sind, gibt es Maßnahmen, die Unternehmen ergreifen können, um die potenziellen Risiken zu mindern. Eine der wichtigsten Maßnahmen besteht darin, Anbieter und Partner sorgfältig auszuwählen und sich für Optionen zu entscheiden, bei denen die Sicherheitsprozesse klar und transparent sind. Die Plattform sollte aus diesen Gründen hohen Sicherheitsstandards genügen. Als Kunde ist es daher sinnvoll, sich Einblicke in den Ansatz für die verwendeten Sicherheitspraktiken zu verschaffen.

Hierzu sind unter anderem folgende Fragen zu klären:

• Welcher Tech-Stack wird verwendet?

• Kommen SAST-, DAST-, IAST-Scanning und anderen Sicherheitstools zum Einsatz?

• Wie viel Wert wird auf das Sicherheitsbewusstsein im gesamten Unternehmen und vor allem im Entwicklungsteam gelegt?

Auf diese Weise lässt sich sicherstellen, dass die Plattform von Menschen entwickelt wurde, die das Thema Sicherheit ernst nehmen. Grundsätzlich zahlt es sich aus, in das Sicherheitsbewusstsein der eigenen Organisation zu investieren, einschließlich sicherheitsqualifizierter, praktischer Entwickler, die für das Aufspüren von Schwachstellen im Einsatz sind.

(ID:49791222)