Training Module
DevSecOps Werkzeuge & Compliance: Von der Tool-Auswahl zur Governance
Baustein im DevSecOps-Kurscluster, klar abgegrenzt von den Nachbarmodulen: die sieben Prinzipien, sechs Lifecycle-Phasen, Rollen und die Scorecard behandelt DevSecOps Grundlagen, die überprüfbaren Artefakte – SBOM, Threat Model, signierte Artefakte, Audit-Trails – behandelt DevSecOps Artefakte, Container-Härtung und Rechte-Eskalation behandelt Docker Sicherheit & Orchestrierung im Detail – hier geht es um das, was dazwischen liegt: welche Sicherheitswerkzeuge in welcher Pipeline-Phase ansetzen, wie eine Organisation mit gefundenen Schwachstellen umgeht, welche Regulatorik im Hintergrund Druck macht und wie eine Compliance-Pipeline architektonisch aufgebaut wird, ohne Teams in Schatten-IT zu treiben. In diesem 160-Minuten-Modul (2 Stunden 40 Minuten) seht ihr an der Fallstudie BadCompany GmbH, wie ein isoliertes Security-Team im Wasserfall-Sechsmonatszyklus zu Datensilos, manuellem Wildwuchs, spätem Feedback und einem Dilemma für die Geschäftsführung führt, ordnet acht Sicherheitswerkzeug-Klassen von Dependency Scanning bis Fuzz-Testing der richtigen Pipeline-Phase zu, arbeitet Quality-Gate-Kriterien und den Umgang mit False Positives und Restrisiken heraus, ordnet ISO 27001, KRITIS, TISAX und BAIT/VAIT als Regulatorik-Landschaft ein und versteht Least Privilege, RBAC und Service-Account-Governance als Zugriffskontrolle. In der Hands-on-Übung entwerft ihr für die fiktive, von der Academy zur Veranschaulichung erstellte BadCompany GmbH zwei parallele Compliance-Policy-Szenarien: eines für ein Legacy-System mit Bestandsschutz, eines für eine Neuentwicklung mit strenger Schwelle.
Format
160 Minuten (2 Stunden 40 Minuten), live (remote oder vor Ort), Input & geführtes Hands-on zu zwei parallelen Compliance-Policy-Szenarien (Legacy vs. Neuentwicklung)
Teilnehmende
Security-/Compliance-Verantwortliche, DevOps-Engineers und Engineering Leads, die Sicherheitswerkzeuge richtig einordnen und eine tragfähige Compliance-Policy für die eigene Organisation entwerfen wollen
Voraussetzungen
Keine Pflicht; DevSecOps Grundlagen (Prinzipien, Lifecycle) und DevSecOps Artefakte (SBOM, Audit-Trail) helfen beim Einstieg, sind aber keine Pflicht
Warum dieses Training für deine Organisation wirkt
Klare Abgrenzung statt Doppelung
Prinzipien und Lifecycle kommen aus DevSecOps Grundlagen, die überprüfbaren Artefakte aus DevSecOps Artefakte, Container-Härtung aus Docker Sicherheit & Orchestrierung – hier bleibt der Fokus auf Werkzeug-Taxonomie und Compliance-Governance auf Organisations- und Prozessebene.
Eine Fallstudie vom Silo zur Governance
BadCompany GmbH zieht sich als roter Faden durch die Session: vom isolierten Security-Silo in Modul 2 bis zur selbst entworfenen Compliance-Policy in der Hands-on-Übung.
Hands-on statt Theorie allein
In der geführten Übung entwerft ihr zwei parallele Compliance-Policy-Szenarien – Legacy-System mit Bestandsschutz, Neuentwicklung mit strenger Schwelle – und gleicht euer Ergebnis mit der Musterlösung ab.
Was Teilnehmende mitnehmen
- Die Fallstudie BadCompany GmbH als Security-Silo einordnen: ein isoliertes Team mit drei Kernaufgaben (Anwendung, Betriebsinfrastruktur, Netzwerk), Wasserfallmodell mit sechsmonatigem Zyklus, Security als letzte Instanz vor dem Deployment, und die vier daraus resultierenden Probleme – fehlende Transparenz, manueller Wildwuchs, spätes teures Feedback, das Dilemma der Geschäftsführung zwischen Risiko und verschobenem Deployment.
- Acht Sicherheitswerkzeug-Klassen den drei Pipeline-Ebenen Sourcecode, Binary/Artifact und Runtime/Deployment zuordnen: Dependency Scanning, SAST, Container Image Scanning, Container Runtime Security, DAST, IAST, Secret Detection und Fuzz-Testing – inklusive der sukzessiven Einführungsreihenfolge, die sich in der Praxis bewährt hat.
- Quality Gates als automatisierten Pipeline-Prüfpunkt verstehen und die dafür nötigen Governance-Regeln festlegen: CVSS-Schweregrad als Showstopper-Kriterium, den Umgang mit False Positives, einen dokumentierten Approval-Prozess für akzeptierte Schwachstellen und die Restrisiko-Dokumentation selbst.
- Die Regulatorik-Landschaft (ISO 27001, KRITIS, branchenspezifisch TISAX und BAIT/VAIT) als Kontext für Compliance-Druck einordnen, ohne sie mit einer eigenen Zertifizierung oder einem eigenen regulierten Projekt zu verwechseln.
- Zugriffskontrolle nach dem Least-Privilege-Prinzip und RBAC statt individueller Rechtevergabe aufbauen, inklusive Service-Account-Governance (rotierte Tokens, minimaler Funktionsumfang) und Härtung der Build-/Deployment-Infrastruktur (Patches, Netzwerksegmentierung, Verschlüsselung, Monitoring).
- In der Hands-on-Übung eine Compliance-Policy für zwei Szenarien der fiktiven, von der Academy zur Veranschaulichung erstellten BadCompany GmbH entwerfen: ein Legacy-System mit Bestandsschutz gegen ein Neuentwicklungs-Projekt mit strenger Schwelle.
- Den Baustein-Ansatz gegenüber dem zentralen Monolith-Ansatz für Compliance-Pipelines abwägen und das Schatten-IT-Risiko bei Überregulierung von Test- und Prototyp-Projekten erkennen.
Für wen dieses Modul ideal ist
- • Security-/Compliance-Verantwortliche, die eine Werkzeug-Taxonomie und eine tragfähige Policy-Governance aufbauen wollen
- • DevOps-Engineers, die einordnen wollen, welches Sicherheitswerkzeug in welcher Pipeline-Phase Sinn ergibt
- • Engineering Leads, die Quality Gates und Zugriffskontrolle in bestehende Prozesse integrieren wollen
- • Voraussetzung: keine Pflicht; DevSecOps Grundlagen und DevSecOps Artefakte hilfreich, keine Pflicht
Rahmendaten
- • Dauer: 160 Minuten (2 Stunden 40 Minuten) live (remote oder vor Ort)
- • Format: Input und geführtes Hands-on zu zwei Compliance-Policy-Szenarien, kein Scanner-Setup, keine Tool-Installation
- • Voraussetzungen: keine Pflicht, DevSecOps Grundlagen und DevSecOps Artefakte hilfreich
Modulaufbau & Agenda
Kick-off & Abgrenzung (10 min): Format, Ablauf und Abgrenzung zu DevSecOps Grundlagen (Prinzipien, Lifecycle, Rollen, Scorecard dort), zu DevSecOps Artefakte (SBOM, Threat Model, signierte Artefakte, Audit-Trail-Checkliste dort) und zu Docker Sicherheit & Orchestrierung (Container-Härtung, Rechte-Eskalation dort) – hier stattdessen Werkzeug-Taxonomie und Compliance-Governance auf Organisations-/Prozessebene.
Fallstudie BadCompany GmbH: Der Security-Silo (20 min): ein isoliertes Security-Team mit drei Kernaufgaben im Wasserfallmodell mit sechsmonatigem Zyklus, Security als letzte Instanz vor dem Deployment, die vier daraus resultierenden Kernprobleme, ISO 27001 und KRITIS als Regulatorik-Druck im Hintergrund.
Sicherheitswerkzeuge in der Pipeline: Tool-Taxonomie (35 min): Dependency Scanning, SAST, Container Image Scanning, Container Runtime Security, DAST, IAST, Secret Detection und Fuzz-Testing, zugeordnet zu den drei Pipeline-Ebenen Sourcecode, Binary/Artifact und Runtime/Deployment, mit sukzessiver Einführungsreihenfolge.
Quality Gates & Umgang mit Schwachstellen (20 min): CVSS-Schweregrad als Showstopper-Kriterium, Warn- statt Abbruch-Modus für Altsysteme, Umgang mit False Positives, dokumentierter Approval-Prozess und Restrisiko-Dokumentation.
Regulatorik-Landschaft & Zugriffskontrolle (25 min): ISO 27001, KRITIS, branchenspezifisch TISAX und BAIT/VAIT als Regulatorik-Landschaft, Least Privilege und RBAC statt individueller Rechtevergabe, Authentifizierung und Vier-Augen-Prinzip, Service-Account-Governance, Härtung der Build-/Deployment-Infrastruktur.
Hands-on: Compliance-Policy für BadCompany GmbH entwerfen (30 min): zwei parallele Szenarien – Legacy-System mit Bestandsschutz, Neuentwicklung mit strenger Schwelle – Abgleich mit der Musterlösung.
Compliance-Pipeline-Architektur & Rollout-Strategie (15 min): Baustein-Ansatz vs. zentraler Monolith-Ansatz, Schatten-IT-Risiko bei Überregulierung von Test- und Prototyp-Projekten, differenzierte Anwendung nach Projektart und Kritikalität.
Fazit & Ausblick (5 min): Zusammenfassung, Verweis auf DevSecOps Artefakte für die Audit-Trail- und Approval-Dokumentation im Detail, auf Docker Sicherheit & Orchestrierung für die Container-Ebene der Supply-Chain-Absicherung und auf Toolchain-Evolution für die organisatorischen Reifestufen hinter der Werkzeug-Taxonomie.
Hands-on Inhalte (Auszug)
Fallstudie BadCompany GmbH
- Security als letzte Instanz vor dem Deployment im sechsmonatigen Wasserfall-Zyklus
- Fehlende Transparenz: Sicherheitsberichte für das Entwicklungsteam nicht einsehbar
- Manueller Wildwuchs: mehrere Git-Server per Hand nach kritischen Bibliotheken durchsucht
- Das Dilemma der Geschäftsführung: Risiko akzeptieren oder Deployment in der Hochsaison verschieben
Tool-Taxonomie
- Sourcecode-Ebene: Dependency Scanning (transitive Abhängigkeiten), SAST als Whitebox-Test, Secret Detection
- Binary/Artifact-Ebene: Container Image Scanning des Basis-Betriebssystems in der Build-Phase
- Runtime/Deployment-Ebene: Container Runtime Security, DAST als Blackbox-Test, IAST als Kombination beider Sichten
- Fuzz-Testing: Coverage-guided vs. Behavioral Fuzzing zum Provozieren von Abstürzen
Quality Gates & Regulatorik
- CVSS-Schweregrad High/Critical als Showstopper-Kriterium, Warn-Modus für Altsysteme
- False Positives schrittweise durch Feintuning statt Scanner-Ablehnung reduzieren
- ISO 27001 (ISMS), KRITIS (BSI-Mindestanforderungen), branchenspezifisch TISAX und BAIT/VAIT
- RBAC über zentrales Identity Management statt individueller Rechtevergabe
Hands-on: Zwei Compliance-Policy-Szenarien
- Legacy-System: Quality Gate auf “keine neuen Schwachstellen” konfigurieren, Altbestand über separaten Migrationsplan abtragen
- Neuentwicklung: Hard-Abort bei High/Critical, verpflichtend SAST, Dependency Scanning und Secret Detection, Peer-Review vor jedem Merge
- Beide Szenarien schriftlich begründen, Abgleich mit der Musterlösung
Dieses Modul ist Teil unserer Pilotphase. Gemeinsam mit euch definieren wir passende Metriken (z. B. Tragfähigkeit der entworfenen Legacy- und Neuentwicklungs-Policy, Trefferquote bei der Tool-Zuordnung zur richtigen Pipeline-Ebene) und werten sie im Anschluss transparent aus. Ergebnisse veröffentlichen wir, sobald sie belastbar sind.
Bereit, das Modul zu buchen?
Wir passen die Fallstudie und die Compliance-Policy-Szenarien auf eure tatsächliche Tool- und Regulatorik-Landschaft an.
Academy Briefing anfragen