Security by Design bezeichnet den Ansatz, Sicherheit von Beginn an, bereits in den frühesten Entwicklungsphasen, in Struktur, Logik und Verhalten eines Systems einzubetten, statt sie erst nachträglich als Zusatz zu behandeln.
Auf einen Blick
Der Ausdruck „Security by Design“ selbst steht weder im Text der NIS-2-Richtlinie noch im Cyber Resilience Act; die deutsche Fassung der NIS-2-Richtlinie spricht in einem Erwägungsgrund von „Sicherheit durch Technikgestaltung“, und das BSI verwendet den Begriff in Erläuterungen zum Cyber Resilience Act.
Security by Default betrifft die Standardeinstellungen eines Produkts, Privacy by Design den Schutz personenbezogener Daten.
Die ENISA nennt Bedrohungsmodellierung als strukturierte Tätigkeit, die Sicherheitsentscheidungen unterstützt.
Was ist Security by Design?
Security by Design verlangt, dass Schutzmaßnahmen von der Konzeption an Teil eines Produkts oder Systems sind und nicht erst nach der Entwicklung ergänzt werden. Laut BSI müssen vernetzte Produkte nach diesem Prinzip mit Blick auf Cybersicherheit entworfen werden, etwa indem gespeicherte oder übertragene Daten verschlüsselt sind und die Angriffsfläche möglichst klein ist. Der Ausdruck „Security by Design“ selbst steht weder im Text der NIS-2-Richtlinie noch im Text des Cyber Resilience Act; die deutsche Fassung der NIS-2-Richtlinie spricht in einem Erwägungsgrund von „Sicherheit durch Technikgestaltung“, während der Ausdruck in Erläuterungen des BSI zum Cyber Resilience Act und im Entwurf (Final Draft) zum Baustein CON.11.1 vorkommt. Die ENISA beschreibt den Ansatz als grundlegende Veränderung der Produktsicherheit: Schutzmaßnahmen sind von Anfang an eingebettet, statt nachträglich ergänzt zu werden. Das britische NCSC schreibt, wirksame Sicherheit müsse von Grund auf eingebaut sein.
Entwickelt ein Versicherer ein neues Kundenportal nach Security by Design, legt er Sicherheitsanforderungen wie Authentifizierung und Verschlüsselung schon im Architekturentwurf fest, statt sie nach der Fertigstellung nachzurüsten. Ein Entwurf allein genügt dabei nicht: Auch gut gestaltete Systeme können verwundbar werden, wenn sie mit unsicheren oder zu freizügigen Standardeinstellungen ausgeliefert werden.
Wie wird Security by Design umgesetzt?
Die ENISA nennt Bedrohungsmodellierung als strukturierte Tätigkeit, die Sicherheitsentscheidungen unterstützt und Teams helfen kann, glaubhafte Bedrohungen und Angriffspfade zu erkennen. Für Hersteller von Produkten mit digitalen Elementen sieht Artikel 13 Absatz 2 des Cyber Resilience Act vor, dass sie eine Bewertung der Cybersicherheitsrisiken durchführen und deren Ergebnis in der Planungs-, Konzeptions-, Entwicklungs-, Herstellungs-, Liefer- und Wartungsphase berücksichtigen; diese Pflichten gelten nach Artikel 71 Absatz 2 ab dem 11. Dezember 2027, Artikel 14 bereits ab dem 11. September 2026 und Kapitel IV ab dem 11. Juni 2026.
Anhang I Teil I der Verordnung sieht vor, dass Produkte mit digitalen Elementen, soweit zutreffend, ohne bekannte ausnutzbare Schwachstellen bereitgestellt werden und mit einer sicheren Standardkonfiguration, sofern zwischen Hersteller und gewerblichem Nutzer bei einem maßgeschneiderten Produkt nichts anderes vereinbart wurde. Außerdem sieht er vor, dass sie, soweit zutreffend, so konzipiert, entwickelt und hergestellt werden, dass sie, auch bei externen Schnittstellen, möglichst geringe Angriffsflächen bieten. Artikel 21 Absatz 2 Buchstabe e der NIS-2-Richtlinie führt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen auf.
Security by Design im Vergleich
| Kriterium | Security by Design | Privacy by Design | Security by Default |
|---|---|---|---|
| Gegenstand | Sicherheit eines Produkts oder Systems, die von der Konzeption an eingebettet ist, statt nachträglich ergänzt zu werden. | Schutz personenbezogener Daten nach Artikel 25 Absatz 1 DSGVO: Der Verantwortliche trifft unter Berücksichtigung der dort genannten Umstände geeignete technische und organisatorische Maßnahmen, wie z. B. Pseudonymisierung, die dafür ausgelegt sind, die Datenschutzgrundsätze wirksam umzusetzen. | Sicherheit der Voreinstellungen: Die Standardeinstellungen vernetzter Produkte müssen laut BSI zu deren Sicherheit beitragen. |
| Zeitpunkt | Von der Konzeption an. | Sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung. | Bei der Auslieferung, in den Standardeinstellungen des Produkts. |
| Beispiele | Laut BSI verschlüsselte Daten und eine möglichst kleine Angriffsfläche. | Nach Artikel 25 Absatz 1 DSGVO technische und organisatorische Maßnahmen wie z. B. Pseudonymisierung, sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung. | Laut BSI etwa schwache Standardpasswörter verbieten und Sicherheitsupdates automatisch installieren. |
Woran erkenne ich Software, die nach Security by Design entwickelt wurde?
| Merkmal | Worauf es ankommt |
|---|---|
| Sicherheit über mehrere Phasen | Artikel 21 Absatz 2 Buchstabe e der NIS-2-Richtlinie nennt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen. |
| Frühe Berücksichtigung im Sicherheitskonzept | Der BSI-Entwurf zum Baustein CON.11.1 (Final Draft) nennt als Ziel, dass die Anforderungen des Geheimschutzes frühzeitig im Sicherheitskonzept nach IT-Grundschutz berücksichtigt werden, und kennzeichnet dies mit „Security-by-Design“. |
| Sicherheit durch Technikgestaltung | Nach einem Erwägungsgrund der NIS-2-Richtlinie sollten Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste Sicherheit durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen implementieren. |
Schutz im Ernstfall
Vorbeugen
- Sicherheitsanforderungen wie Authentifizierung und Verschlüsselung von Beginn an festlegen und Identität und Authentifizierung nach der ENISA als Kernbestandteil der Architektur entwerfen; für Hersteller von Produkten mit digitalen Elementen sieht Anhang I Teil I des Cyber Resilience Act zudem, soweit zutreffend, eine Bereitstellung ohne bekannte ausnutzbare Schwachstellen und mit einer sicheren Standardkonfiguration vor, sofern zwischen Hersteller und gewerblichem Nutzer bei einem maßgeschneiderten Produkt nichts anderes vereinbart wurde.
- Bedrohungsmodellierung nutzen, um glaubhafte Bedrohungen und Angriffspfade zu erkennen, und Systeme so entwerfen, dass sie, auch bei externen Schnittstellen, möglichst geringe Angriffsflächen bieten; für Produkte mit digitalen Elementen sieht das Anhang I Teil I des Cyber Resilience Act vor, soweit zutreffend.
Beispiele aus der Praxis
- Artikel 13 Absatz 2 des Cyber Resilience Act sieht vor, dass ein Hersteller eine Bewertung der Cybersicherheitsrisiken seines Produkts mit digitalen Elementen durchführt und das Ergebnis bereits in der Planungs- und Konzeptionsphase berücksichtigt; diese Pflicht gilt ab dem 11. Dezember 2027.
- Ein Entwicklungsteam setzt schon im Entwurf Bedrohungsmodellierung ein, die laut ENISA Sicherheitsentscheidungen unterstützt und helfen kann, glaubhafte Bedrohungen und Angriffspfade zu erkennen.
- Ein Versicherer plant ein neues Kundenportal und hält Authentifizierung und Verschlüsselung schon im Architekturentwurf als Sicherheitsanforderungen fest, statt sie nach der Fertigstellung nachzurüsten.