Sicherheit, Datenschutz und Lieferkette

Mit KI-Agenten erstellt und gepflegt. Menschen verantworten Prüfung und Veröffentlichung.

Vorschlag · menschliche Prüfung erforderlich · r2

Risiken in durchsetzbare Grenzen übersetzen

Bevor sensible Daten verarbeitet oder Schreibrechte an Werkzeuge vergeben werden, müssen Schutzgüter, Akteure, Eintrittspunkte und Vertrauensgrenzen feststehen. Beschreibe plausiblen Missbrauch: Ein Nutzer übermittelt die Datensatz-ID eines anderen Mandanten, ein Dokument fordert einen Agenten zum Export von Secrets auf, ein CI-Job führt eine nicht vertrauenswürdige Abhängigkeit aus oder eine Wiederherstellung lädt Daten des falschen Kunden. Ordne jedem folgenreichen Risiko einen Verantwortlichen, eine vorbeugende Kontrolle, ein beobachtbares Fehlverhalten und eine Wiederherstellungsmaßnahme zu.

Wähle eine unterstützte Version eines Prüfstandards wie OWASP ASVS und die zur Anwendung passenden Anforderungen. Dokumentiere versionierte Anforderungskennungen und begründete Ausnahmen. Ein Link auf die ASVS-Übersicht oder eine ausgefüllte Checkliste ist keine Zertifizierung. Dieser Leitfaden ist ein eigenständiger Entscheidungsrahmen und keine Wiedergabe des Standards.

Identität, Berechtigungen und Mandanten

Nutze gepflegte Authentifizierungskomponenten, statt ein eigenes Passwort-, Sitzungs- oder Tokenprotokoll zu erfinden. Dokumentiere Registrierung, Kontowiederherstellung, Entzug von Zugriffen und stärkere Authentifizierung für sensible Aktionen. Die Feststellung einer Identität und die Entscheidung über ihre Befugnisse sind getrennte Aufgaben.

Die vertrauenswürdige Ausführungsebene muss Akteur, Zielobjekt und gewünschte Operation prüfen. Eine schwer erratbare Kennung, eine ausgeblendete Schaltfläche, ein privates Netzwerk oder eine erfolgreiche Anmeldung belegen keine Berechtigung. Unbekannte Zugriffskombinationen müssen sicher abgewiesen werden. Teste Lese-, Schreib-, Such-, Export-, Verwaltungs- und Hintergrundpfade einschließlich des Zugriffs nach einer geänderten Mitgliedschaft.

Leite den Mandantenkontext aus einer geprüften Mitgliedschaft ab. Er muss Datenbankabfragen, Jobs, Caches, Dateispeicher, Suchindizes und Wiederherstellungen begleiten. Dienen Datenbank-Zeilenrichtlinien als zusätzliche Grenze, prüfe, dass die tatsächliche Laufzeitrolle sie nicht umgeht und wiederverwendete Verbindungen keinen fremden Mandantenkontext behalten. Mandantenübergreifende Verwaltung und globale Exporte für Betreiber sind eigenständige Befugnisse.

Verwende für Browsersitzungen unterstützte Cookie-Schutzmechanismen und bewusst definierte Regeln für Ablauf, Abmeldung, Rotation und Widerruf. Zustandsändernde Anfragen mit Cookie-Authentifizierung brauchen zum Framework passenden CSRF-Schutz; SameSite ist eine ergänzende Kontrolle. Kontowiederherstellung und Rechteänderungen verdienen dieselbe Sorgfalt wie die Anmeldung.

Daten, Darstellung und ausgehende Anfragen

Private Datensätze, Zugangsdaten und Kundentestdaten gehören nicht in öffentliche Git-Historien, Website-Builds, Client-Bundles oder erzeugte Suchindizes. Eine Anmeldeseite macht öffentlich herunterladbare Dateien nicht privat. Klassifiziere Daten vor ihrer Erhebung und definiere Aufbewahrung, Löschung, Export, Sicherungskopien sowie die Berechtigung zur Untersuchung von Vorfällen.

Validiere Eingaben anhand des Anwendungsvertrags. Nutze parametrisierte Datenbankoperationen sowie gepflegte, zum Ausgabekontext passende Kodierungs- oder Bereinigungsverfahren. Validierung allein verhindert keine Skriptausführung, wenn Daten als HTML dargestellt werden. Beschränke bei Dateiuploads Größe, Typ, Speicherort und Ausführbarkeit.

Ein Server oder Agent, der vom Nutzer beeinflussbare URLs abruft, benötigt eine Richtlinie für ausgehende Anfragen. Begrenze Protokolle, Ziele, Weiterleitungen, Antwortgröße und Dauer. Verhindere Zugriff auf interne Dienste und Cloud-Metadaten, sofern er nicht ausdrücklich benötigt und autorisiert ist. Prüfe aufgelöste Ziele an der Netzwerkgrenze, damit DNS-Änderungen oder Weiterleitungen eine scheinbar erlaubte URL nicht in einen internen Zugriff verwandeln.

Grenzen für Agenten und die Softwarelieferkette

Behandle abgerufene Texte, Werkzeugausgaben, Modellausgaben und delegierte Nachrichten als nicht vertrauenswürdige Daten. Erzwinge Werkzeugrechte außerhalb des Modells: Binde Identität und Ressourcenumfang, validiere Argumente und halte sensible Zugangsdaten im ausführenden Dienst. Eine Freigabe für eine folgenreiche Operation muss Aktion und Parameter festlegen, ablaufen und gegen Wiederverwendung geschützt sein. Weder eine Werkzeugannotation noch die Aussage „freigegeben“ eines Agenten verleiht Befugnisse.

Begrenze Laufzeit, Wiederholungen, Parallelität, Tokens und Ausgaben dort, wo sich diese Grenzen tatsächlich durchsetzen lassen. Trenne Gedächtnis und Retrieval nach berechtigten Nutzern oder Mandanten. Teste indirekte Prompt Injection, Informationsabfluss, Richtlinienänderungen und Übergaben zwischen Agenten. Guardrails können Fehler reduzieren, sind aber keine Sicherheitsgrenze.

Trenne Identitäten für Entwicklung, Build, Bereitstellung und Laufzeit. Halte Secrets aus dem Repository heraus und nutze nach Möglichkeit eingeschränkte, kurzlebige Zugangsdaten. Fixiere aufgelöste Abhängigkeitsversionen mit einer Lockdatei, prüfe Updateherkunft und Lizenzen und beobachte Schwachstellen. Fixiere CI-Actions auf unveränderliche Commits und prüfe, wer Workflows, Artefakte und die Auflösung von Abhängigkeiten ändern darf. Gib nicht vertrauenswürdigen PR-Ausführungen niemals Produktionszugangsdaten und Agenten keinen Zugriff auf den Docker-Socket des Hosts.

Prüfen, reagieren und neu bewerten

Verbinde Bedrohungen mithilfe des Leitfadens zu Sicherheitstests mit automatisierten und manuellen Nachweisen. Prüfe vor der Veröffentlichung sensibler Funktionen unbefugte Zugriffe, Mandantentrennung, Widerruf, Wiederherstellung und den Missbrauch privilegierter Werkzeuge. Logs müssen Untersuchungen ermöglichen, ohne Zugangsdaten oder unnötige personenbezogene Daten offenzulegen. Schütze auch Logzugriff und Aufbewahrung.

Dokumentiere Vorfallkontakt, Eindämmung, Widerruf von Zugangsdaten, Beweissicherung, Wiederherstellung und Meldung. Überarbeite das Bedrohungsmodell nach einer neuen Integration, Rechteänderung, Datenklasse, einem Vorfall oder einer geänderten Architekturgrenze. Rechtliche Pflichten und Risikoakzeptanz liegen bei qualifizierten menschlichen Verantwortlichen.

Primärbelege

owasp-asvs-requirements · owasp-authorization · owasp-multi-tenant · owasp-authentication · owasp-session · owasp-csrf · owasp-xss · owasp-ssrf · owasp-ai-agent · github-workflows