Threat Model
Die strukturierte Frage, was in einem System schiefgehen kann, wer davon profitieren würde und was das kosten würde.
Ein Threat Model beantwortet vier Fragen: Was bauen wir? Was kann dabei schiefgehen? Was tun wir dagegen? Und haben wir das gut genug getan? Das klingt banal, aber die meisten Sicherheitsprobleme entstehen nicht durch fehlendes Wissen, sondern dadurch, dass diese Fragen nie explizit gestellt wurden.
Der richtige Zeitpunkt ist vor der Implementierung. Zu diesem Zeitpunkt kostet eine Änderung eine Diskussion; nach dem Bau kostet sie einen Umbau. Deshalb beginnen unsere Projekte damit - noch bevor über Frameworks gesprochen wird, wird festgelegt, wo die Vertrauensgrenzen verlaufen und welche Daten sie überqueren.
Nützlich wird die Übung durch Konkretheit. "Angreifer könnte Daten stehlen" hilft niemandem. "Ein Nutzer mit gültigem Konto kann durch Manipulation der Rechnungs-ID die Rechnung eines anderen Kunden abrufen" beschreibt einen Fall, den man nachstellen, beheben und testen kann. Das Ergebnis ist deshalb keine Risikomatrix, sondern eine Liste konkreter Szenarien mit einer Entscheidung dahinter.
Ein Threat Model ist außerdem das billigste Sicherheitsartefakt, das ein Projekt haben kann. Es braucht keine Werkzeuge und keine Zertifizierung - nur die Beteiligten für einen halben Tag und jemanden, der die unbequemen Fragen stellt.
Die Leistung dahinter
Security & Infrastruktur