{"id":34080,"date":"2026-11-08T18:36:20","date_gmt":"2026-11-08T17:36:20","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/security-by-design\/"},"modified":"2026-11-12T10:46:30","modified_gmt":"2026-11-12T09:46:30","slug":"security-by-design","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/grundlagen-architektur\/security-by-design\/","title":{"rendered":"Security by Design"},"content":{"rendered":"

Was ist Security by Design?<\/h2>\n

Security by Design verlangt, dass Schutzma\u00dfnahmen von der Konzeption an Teil eines Produkts oder Systems sind und nicht erst nach der Entwicklung erg\u00e4nzt werden. Laut BSI m\u00fcssen vernetzte Produkte nach diesem Prinzip mit Blick auf Cybersicherheit entworfen werden, etwa indem gespeicherte oder \u00fcbertragene Daten verschl\u00fcsselt sind und die Angriffsfl\u00e4che m\u00f6glichst klein<\/strong> ist. Der Ausdruck \u201eSecurity by Design\u201c selbst steht weder im Text der NIS-2-Richtlinie noch im Text des Cyber Resilience Act; die deutsche Fassung der NIS-2-Richtlinie spricht in einem Erw\u00e4gungsgrund von \u201eSicherheit durch Technikgestaltung\u201c, w\u00e4hrend der Ausdruck in Erl\u00e4uterungen des BSI zum Cyber Resilience Act und im Entwurf (Final Draft) zum Baustein CON.11.1 vorkommt. Die ENISA beschreibt den Ansatz als grundlegende Ver\u00e4nderung der Produktsicherheit: Schutzma\u00dfnahmen sind von Anfang an eingebettet, statt nachtr\u00e4glich erg\u00e4nzt zu werden. Das britische NCSC schreibt, wirksame Sicherheit m\u00fcsse von Grund auf eingebaut sein.<\/p>\n

Entwickelt ein Versicherer ein neues Kundenportal nach Security by Design, legt er Sicherheitsanforderungen wie Authentifizierung und Verschl\u00fcsselung schon im Architekturentwurf fest, statt sie nach der Fertigstellung nachzur\u00fcsten. Ein Entwurf allein gen\u00fcgt dabei nicht: Auch gut gestaltete Systeme k\u00f6nnen verwundbar werden, wenn sie mit unsicheren oder zu freiz\u00fcgigen Standardeinstellungen<\/strong> ausgeliefert werden.<\/p>\n

Wie wird Security by Design umgesetzt?<\/h2>\n

Die ENISA nennt Bedrohungsmodellierung als strukturierte T\u00e4tigkeit, die Sicherheitsentscheidungen unterst\u00fctzt und Teams helfen kann, glaubhafte Bedrohungen und Angriffspfade zu erkennen. F\u00fcr Hersteller von Produkten mit digitalen Elementen sieht Artikel 13 Absatz 2 des Cyber Resilience Act vor, dass sie eine Bewertung der Cybersicherheitsrisiken<\/strong> durchf\u00fchren und deren Ergebnis in der Planungs-, Konzeptions-, Entwicklungs-, Herstellungs-, Liefer- und Wartungsphase ber\u00fccksichtigen; diese Pflichten gelten nach Artikel 71 Absatz 2 ab dem 11. Dezember 2027, Artikel 14 bereits ab dem 11. September 2026 und Kapitel IV ab dem 11. Juni 2026.<\/p>\n

Anhang I Teil I der Verordnung sieht vor, dass Produkte mit digitalen Elementen, soweit zutreffend, ohne bekannte ausnutzbare Schwachstellen bereitgestellt werden und mit einer sicheren Standardkonfiguration, sofern zwischen Hersteller und gewerblichem Nutzer bei einem ma\u00dfgeschneiderten Produkt nichts anderes vereinbart wurde. Au\u00dferdem sieht er vor, dass sie, soweit zutreffend, so konzipiert, entwickelt und hergestellt werden, dass sie, auch bei externen Schnittstellen, m\u00f6glichst geringe Angriffsfl\u00e4chen<\/strong> bieten. Artikel 21 Absatz 2 Buchstabe e der NIS-2-Richtlinie f\u00fchrt Sicherheitsma\u00dfnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen auf.<\/p>\n

Security by Design im Vergleich<\/h2>\n\n\n\n\n\n\n\n
Kriterium<\/th>\nSecurity by Design<\/th>\nPrivacy by Design<\/th>\nSecurity by Default<\/th>\n<\/tr>\n<\/thead>\n
Gegenstand<\/td>\nSicherheit eines Produkts oder Systems, die von der Konzeption an eingebettet ist, statt nachtr\u00e4glich erg\u00e4nzt zu werden.<\/td>\nSchutz personenbezogener Daten nach Artikel 25 Absatz 1 DSGVO: Der Verantwortliche trifft unter Ber\u00fccksichtigung der dort genannten Umst\u00e4nde geeignete technische und organisatorische Ma\u00dfnahmen, wie z. B. Pseudonymisierung, die daf\u00fcr ausgelegt sind, die Datenschutzgrunds\u00e4tze wirksam umzusetzen.<\/td>\nSicherheit der Voreinstellungen: Die Standardeinstellungen vernetzter Produkte m\u00fcssen laut BSI zu deren Sicherheit beitragen.<\/td>\n<\/tr>\n
Zeitpunkt<\/td>\nVon der Konzeption an.<\/td>\nSowohl zum Zeitpunkt der Festlegung der Mittel f\u00fcr die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung.<\/td>\nBei der Auslieferung, in den Standardeinstellungen des Produkts.<\/td>\n<\/tr>\n
Beispiele<\/td>\nLaut BSI verschl\u00fcsselte Daten und eine m\u00f6glichst kleine Angriffsfl\u00e4che.<\/td>\nNach Artikel 25 Absatz 1 DSGVO technische und organisatorische Ma\u00dfnahmen wie z. B. Pseudonymisierung, sowohl zum Zeitpunkt der Festlegung der Mittel f\u00fcr die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung.<\/td>\nLaut BSI etwa schwache Standardpassw\u00f6rter verbieten und Sicherheitsupdates automatisch installieren.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Woran erkenne ich Software, die nach Security by Design entwickelt wurde?<\/h2>\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Sicherheit \u00fcber mehrere Phasen<\/td>\nArtikel 21 Absatz 2 Buchstabe e der NIS-2-Richtlinie nennt Sicherheitsma\u00dfnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschlie\u00dflich Management und Offenlegung von Schwachstellen.<\/td>\n<\/tr>\n
Fr\u00fche Ber\u00fccksichtigung im Sicherheitskonzept<\/td>\nDer BSI-Entwurf zum Baustein CON.11.1 (Final Draft) nennt als Ziel, dass die Anforderungen des Geheimschutzes fr\u00fchzeitig im Sicherheitskonzept nach IT-Grundschutz ber\u00fccksichtigt werden, und kennzeichnet dies mit \u201eSecurity-by-Design\u201c.<\/td>\n<\/tr>\n
Sicherheit durch Technikgestaltung<\/td>\nNach einem Erw\u00e4gungsgrund der NIS-2-Richtlinie sollten Anbieter \u00f6ffentlicher elektronischer Kommunikationsnetze oder \u00f6ffentlich zug\u00e4nglicher elektronischer Kommunikationsdienste Sicherheit durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen implementieren.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Sicherheitsanforderungen wie Authentifizierung und Verschl\u00fcsselung von Beginn an festlegen und Identit\u00e4t und Authentifizierung nach der ENISA als Kernbestandteil der Architektur entwerfen; f\u00fcr Hersteller von Produkten mit digitalen Elementen sieht Anhang I Teil I des Cyber Resilience Act zudem, soweit zutreffend, eine Bereitstellung ohne bekannte ausnutzbare Schwachstellen und mit einer sicheren Standardkonfiguration vor, sofern zwischen Hersteller und gewerblichem Nutzer bei einem ma\u00dfgeschneiderten Produkt nichts anderes vereinbart wurde.<\/li>\n
  • Bedrohungsmodellierung nutzen, um glaubhafte Bedrohungen und Angriffspfade zu erkennen, und Systeme so entwerfen, dass sie, auch bei externen Schnittstellen, m\u00f6glichst geringe Angriffsfl\u00e4chen bieten; f\u00fcr Produkte mit digitalen Elementen sieht das Anhang I Teil I des Cyber Resilience Act vor, soweit zutreffend.<\/li>\n<\/ul>\n

    KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[416,422,393],"class_list":["post-34080","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-grundlagen-architektur","glossary_intl_topic-enterprise-sicherheitsarchitektur","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Security by Design: Ansatz, Sicherheit von der Konzeption an in ein System einzubetten, statt sie nachtr\u00e4glich nachzur\u00fcsten.","nav_theme":"Grundlagen & Architektur","nav_subtheme":"Enterprise-Sicherheitsarchitektur","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Security by Design bezeichnet den Ansatz, Sicherheit von Beginn an, bereits in den fr\u00fchesten Entwicklungsphasen, in Struktur, Logik und Verhalten eines Systems einzubetten, statt sie erst nachtr\u00e4glich als Zusatz zu behandeln.","at_a_glance":[{"bullet":"Der Ausdruck \u201eSecurity by Design\u201c selbst steht weder im Text der NIS-2-Richtlinie noch im Cyber Resilience Act; die deutsche Fassung der NIS-2-Richtlinie spricht in einem Erw\u00e4gungsgrund von \u201eSicherheit durch Technikgestaltung\u201c, und das BSI verwendet den Begriff in Erl\u00e4uterungen zum Cyber Resilience Act."},{"bullet":"Security by Default betrifft die Standardeinstellungen eines Produkts, Privacy by Design den Schutz personenbezogener Daten."},{"bullet":"Die ENISA nennt Bedrohungsmodellierung als strukturierte T\u00e4tigkeit, die Sicherheitsentscheidungen unterst\u00fctzt."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Artikel 13 Absatz 2 des Cyber Resilience Act sieht vor, dass ein Hersteller eine Bewertung der Cybersicherheitsrisiken seines Produkts mit digitalen Elementen durchf\u00fchrt und das Ergebnis bereits in der Planungs- und Konzeptionsphase ber\u00fccksichtigt; diese Pflicht gilt ab dem 11. Dezember 2027."},{"example":"Ein Entwicklungsteam setzt schon im Entwurf Bedrohungsmodellierung ein, die laut ENISA Sicherheitsentscheidungen unterst\u00fctzt und helfen kann, glaubhafte Bedrohungen und Angriffspfade zu erkennen."},{"example":"Ein Versicherer plant ein neues Kundenportal und h\u00e4lt Authentifizierung und Verschl\u00fcsselung schon im Architekturentwurf als Sicherheitsanforderungen fest, statt sie nach der Fertigstellung nachzur\u00fcsten."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33849,34077,34258],"pillar_link":null,"sources":[{"publisher":"","name":"ENISA Secure by Design and Default Playbook","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/2026-07\/ENISA_Secure_By_Design_and_Default_Playbook_v1.pdf","doc_type":"2026","group":"used"},{"publisher":"","name":"Verordnung (EU) 2024\/2847 (Cyber Resilience Act), ABl. L vom 20.11.2024","url":"https:\/\/publications.europa.eu\/resource\/cellar\/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0004.03\/DOC_1","doc_type":"2026","group":"used"},{"publisher":"","name":"Richtlinie (EU) 2022\/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/9b84d482-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Cyber Resilience Act","url":"https:\/\/www.bsi.bund.de\/EN\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Cyber_Resilience_Act\/cyber_resilience_act_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Verordnung (EU) 2016\/679 (Datenschutz-Grundverordnung), ABl. L 119 vom 4.5.2016","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Secure by Default | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/information\/secure-default","doc_type":"2018","group":"used"},{"publisher":"","name":"CON.11.1 Geheimschutz VS-NUR F\u00dcR DEN DIENSTGEBRAUCH (VS-NfD)","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/Drafts\/Final_Draft\/CON_11_1_Geheimschutz_VS_NUR_FUER_DEN_DIENSTGEBRAUCH_FD.pdf?__blob=publicationFile&v=8","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-08"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t