Compliance-Lexikon · CRA
Secure by Design – Praxis
Secure by Design wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Werden Sicherheitsanforderungen bereits in der Konzeptionsphase neuer Produkte definiert, statt erst nach der Entwicklung getestet zu werden?
Häufige Fehler in der Praxis
- Sicherheitsanforderungen werden erst kurz vor Release als Penetrationstest geprüft, nicht von Anfang an definiert
- Standardkonfigurationen sind auf Bedienkomfort statt auf Sicherheit ausgelegt (unsichere Werkseinstellungen)
- Sicherheitsrelevante Entscheidungen werden nicht dokumentiert und später nicht nachvollziehbar
Praxis-Tipp
Secure by Design bedeutet auch: sichere Werkseinstellungen. Ein Produkt, das erst nach manueller Konfiguration sicher ist, erfüllt das Prinzip nicht, weil die meisten Anwender Standardeinstellungen nie ändern.
Secure by Design und Secure by Default
Der CRA verlangt sowohl Secure by Design, also Sicherheit als Designprinzip von Beginn an, als auch Secure by Default, also sichere Werkseinstellungen ohne zusätzliche Konfiguration durch den Anwender. Beide Prinzipien ergänzen sich: gutes Design nutzt wenig, wenn die Standardkonfiguration unsicher bleibt.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Sicherheitsanforderungen je Produkt aus der Konzeptionsphase, Nachweis der Freigabe vor Entwicklungsbeginn. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Secure by Design über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.