Security vor der Cloud
Fragt man Entwickler, die seit gut zwei Jahrzehnten Software schreiben, was Security früher für ihren Job bedeutete, passt die Antwort bei den meisten auf einen Post-it. Passwörter mit Salt hashen. Eingaben validieren. Authentifizierung und Sessions sauber umsetzen. Und wem Security wirklich wichtig war und wer es sich leisten konnte, der ließ ab und zu einen Penetrationstest durchführen.
Das ergab Sinn, denn Entwickler verantworteten die Anwendungsschicht. Infrastrukturteams sicherten den Perimeter des Rechenzentrums mit Firewalls und VPNs. Compliance kümmerte sich um Audits und Zertifizierungen. In Sachen Security arbeiteten diese Teams nebeneinander statt miteinander.
Die Cloud machte Infrastruktur zu Code
Dann zogen die Workloads in die Cloud, und die physischen Mauern verschwanden. Ein Rechenzentrum ist ein Gebäude: Man schließt die Türen ab, stellt eine Firewall davor und übergibt dem Netzwerkteam die Schlüssel. Ein Cloud-Konto ist Software. Netzwerke, Speicher und Berechtigungen existieren dort nur als Konfiguration, und wer diese Konfiguration ändern kann, verschiebt den Perimeter.
Bald lag diese Konfiguration in denselben Repositories wie die Anwendung. Mit Infrastructure as Code definierten Entwickler selbst die Ressourcen, auf denen ihre Software lief, und ein einziger Pull Request konnte einen Port ins Internet öffnen oder einen Storage-Bucket öffentlich machen. Die Infrastruktur und mit ihr ein Teil der Security wanderten in die Produktteams. DevOps gab diesem Wandel einen Namen, DevSecOps sollte daraus gelebte Sicherheitspraxis machen.
Zwei Kurven, die den Job verändert haben
Die Zahl veröffentlichter Schwachstellen steigt seit einem Jahrzehnt: von rund 6.500 im Jahr 2016 auf fast 100.000 in diesem Jahr. KI hat diesen Trend nicht ausgelöst, beschleunigt ihn aber. Dieselben Modelle, die Entwicklern beim Schreiben von Code helfen, helfen Angreifern, die Fehler darin zu finden.
Die größere Veränderung ist das Tempo, mit dem diese Lücken ausgenutzt werden. Aus einer Schwachstelle einen funktionierenden Angriff zu machen, erforderte früher echte Ingenieursarbeit: Zeit, Geld und Fähigkeiten, die nur wenige hatten. KI senkt diese Hürde drastisch. Mit aktuellen KI-Modellen wird aus einer frisch veröffentlichten Lücke innerhalb von Stunden ein funktionierender Angriff, auch in den Händen von Leuten mit deutlich weniger Know-how. Das Zeitfenster ist entsprechend geschrumpft: 2018 brauchten Angreifer im Schnitt rund zwei Monate, 2025 nutzten sie Lücken im Schnitt eine Woche aus, bevor es überhaupt einen Patch gab.
