Im Fördervorhaben HITSSSE wurde untersucht, wie die IT-Sicherheit von KMUs durch sichere Softwareentwicklung gesteigert werden kann. Wenn vorhandene Sicherheitstools einfach einsetzbar sind und verwertbare Ergebnisse liefern, steigt die Sicherheit der damit entwickelten Produkte. Durch die Bereitstellung von klaren Leitfäden und Handlungsempfehlungen können effiziente, agile Entwicklungsprozesse etabliert werden, die das Prinzip „Security-by-Design“ von Anfang an berücksichtigen. So kann ein nachhaltiger Effekt zugunsten einer erhöhten Sicherheit von Produkten deutscher KMUs erzielt werden. 

Die effiziente Umsetzung des Projektes HITSSSE wird durch die Kooperation des Instituts für Innovative Sicherheit (THA_innos) und des Innovationslabors der Hochschule Augsburg (THA_ias) ermöglicht. Über die Laufzeit von drei Jahren analysierten und optimierten die Partner die Entwicklung sicherer Software aus drei Perspektiven. 

Das Forschungsvorhaben fokussiert sich auf drei Bereiche der Softwareentwicklung:

1. Softwareentwicklung für Applikations- und Server-Software, wie sie in vielen Firma zu eigenen Zwecken betrieben wird
2. Softwareentwicklung für eingebettete Systeme, z.B. für Software auf industriellen Geräten, aber auch diverse Geräte des Internets der Dinge
3. Usability und Faktor Mensch als Enabler für sichere Softwareentwicklung

Um konkrete Empfehlungen für sichere Prozesse bzw. die genutzten Tools erstellen zu können, wurden KMUs als assoziierte Partner hinzugezogen, analysiert und die erarbeiteten Lösungen dort pilotiert. Ihre direkte Einbindung ist unerlässlich und trug zur Akzeptanz der entwickelten Ansätze bei. 

Für Unternehmen alle Größen sind Daten über Prozesse, Personen oder Systeme wichtige Werte und damit schützenswerte Güter (engl. Assets). Werden solche Daten manipuliert oder geraten in falsche Hände, kann dies die Wirtschaftlichkeit und Arbeitsfähigkeit eines Unternehmens beeinträchtigen. Deshalb wurde die Security Annotation entwickelt, um KMU den Einstieg in die IT-Sicherheit zu erleichtern. Mit diesem Konzept ist es möglich, sicherheitssensiblen Quellcode dauerhaft zu kennzeichnen und den Assets sowie potenziellen Schwachstellen zuzuordnen. Die Annotationen sowie die verlinkten Zusatzinformationen werden Commit-spezifi sch gespeichert. Dadurch wird eine auf den Sicherheitsstatus der gesamten Codebasis abgestimmte Dokumentation erzeugt. Diese Dokumentation ist sowohl für Entwickler als auch Projektmanager relevant, um die Softwareentwicklung mit dem Risikomanagement zu verbinden

Beim Versuch CI/CD Pipeline-Tools in die interne Infrastruktur einzubinden kann es oft zu Problemen kommen. Schuld sind häufig Konfigurationsprobleme, besonders wenn Embedded Hardware verwendet wird. Um diese Störungen zu verhindern, bietet die CI-in-a-Box eine vollständig gekapselte CI/CD Infrastruktur. Hiermit erhalten Softwareentwickler:innen eine sichere Plattform, um automatisierte CI/CD Pipeline Prozesse auszuprobieren und kennenzulernen. Bei der Infrastruktur wird Wert auf Flexibilität, Reproduzierbarkeit und Robustheit gelegt. Deshalb ist die CI-in-a-Box kompakt und mobil – und damit flexibel und nach Bedarf einsetzbar. Zudem ist die zu nutzende Softwareumgebung mit einem Klick installierbar und ebenso einfach zurückgesetzt werden. Durch eine vorgeschaltete OPNsense wird ein internes Netzwerk errichtet. So kann die CI-in-a-Box separiert vom Unternehmensnetzwerk betrieben werden. Für den einfachen Zugang zur CI-in-a-Box und der CI/CD Prozesse werden Beispielprojekte schwerpunktmäßig für den Embedded-Bereich bereitgestellt, die die Verwendung und Integration der Plattform unterstützen.