Letzte Überprüfung am 4. November 2026 anhand der in diesem Beitrag verlinkten Quellen.
Der Pull Request sieht übersichtlich aus. Der Coding-Assistent hat den Großteil geschrieben, die Tests laufen durch, und er fügt eine Bibliothek hinzu, von der noch niemand im Team gehört hat. Wenn man ihn mergen will, landet man womöglich auf einem Paket, das letzte Woche noch nicht existierte, oder auf einem Endpunkt, der eine Zugriffsprüfung überspringt. Genau diese Lücke muss die Sicherheitsschulung für Entwickler schließen. OWASPs Top 10:2025 stellt fehlerhafte Zugriffskontrolle an erste Stelle und berichtet, dass… Alle getesteten Anwendungen wiesen irgendeine Form von fehlerhafter Zugriffskontrolle auf..
Diese Liste richtet sich an Engineering-Manager und Sicherheitsbeauftragte. Sie erhalten 10 fertige Kurse in 3 Gruppen, die jeweils erläutern, welche Probleme behoben werden und wie die Implementierung erfolgt. Jede Gruppe schließt mit einem Unsere WahlDer eine rechtliche Punkt beschreibt eine US-Bundesregel; verwenden Sie dies daher als Leitfaden, nicht als Urteil.
Alle 10 Kurse im Überblick
| Kurse | Was es abdeckt | Länge | Das Gesetz dahinter? |
|---|---|---|---|
| Sichere KI-gestützte Softwareentwicklung | Programmierassistenten, Agenten und die sichere KI-Programmierschleife | 45 Minuten | Nein |
| Speichersicheres C und C++ gemäß den CERT- und MISRA-Standards | Lebensdauern, Indikatoren, häufige Fehler und statische Analyse | 45 Minuten | Nein |
| Sicherheit bei gleichzeitiger Verarbeitung | Gewinde, Verriegelungen, Rennbedingungen und Deadlock | 40 Minuten | Nein |
| Onboarding von Entwicklern für Unternehmensplattformen | Eine erste sichere Änderung, Erweiterungen und Änderungskontrolle | 45 Minuten | Nein |
| Datenklassifizierung und -verarbeitung | Ebenen, Speicherung, Weitergabe und Entsorgung von Daten | 25 Minuten | Nein |
| KI-Sicherheit für alle | Shadow AI, Prompt-Injection und unbekannte Codepakete | 30 Minuten | Nein |
| Grundlagen des Sicherheitsbewusstseins | Die Phasen eines Angriffs und grundlegende Gewohnheiten | 35 Minuten | Ja (US-amerikanische Finanzinstitute) |
| Phishing und Social Engineering | Warnsignale, Überprüfung und Meldung | 30 Minuten | Nein |
| Passwörter, Passkeys und Multi-Faktor-Authentifizierung | Sichere Anmeldungen, MFA, Passkeys und Wiederherstellung | 30 Minuten | Nein |
| Social Engineering, Betrug und Deepfakes | Telefon-, Zahlungs- und Identitätsbetrug | 35 Minuten | Nein |
Lediglich der Kurs zur Sensibilisierung für IT-Sicherheit unterliegt einer US-Bundesverordnung, und zwar auch nur für bestimmte Organisationen: Die FTC-Schutzregel besagt, dass betroffene Finanzinstitute Folgendes anbieten müssen: Sicherheitsschulungen für ihre MitarbeiterEs gibt keinen Kurs für alle anderen vor.
Sichere und geschützte Entwicklung
Sichere KI-gestützte Softwareentwicklung: Programmierassistenten und -agenten ohne Risiko
Dieser 45-minütige Kurs beginnt mit einem halluzinierten Paket, das sich zu einem Angriff entwickelt. Anschließend werden sechs Fehlerquellen von Programmierassistenten und -agenten, der sichere KI-Programmierzyklus (Abfrage, Überprüfung, Test, Offenlegung), die Grauzonen von Kundendaten, Shell-Befehle und ungetestete Pull Requests sowie zugelassene Tools mit KI-Nutzungskennzeichnungen in Pull Requests behandelt. Der Kurs schließt mit einer Abschlussprüfung mit 12 Fragen ab, bei der 80 % zum Bestehen erforderlich sind. Die „Fehlersuche“-Runde eignet sich gut als Auswahlfolie. Weitere Informationen finden Sie unter [Link einfügen]. Unser Leitfaden zum KI-generierten Code-Review-Training.
Speichersicheres C und C++ gemäß den CERT- und MISRA-Standards
Speichersicherheitslücken sind eine bekannte Schwachstelle in C und C++. Dieser 45-minütige Kurs beginnt mit einem Absturz aufgrund eines fehlerhaften Zeigers und behandelt anschließend Stack, Heap und Lebensdauern, Zeiger und Arrays, häufige Fehler wie Use-After-Free-Fehler, praktische Programmierregeln und statische Codeanalyse. Eine Frage zur Benennung des Fehlers eignet sich hervorragend als Antwortrunde in einer Team-Code-Review.
Sicherheit bei gleichzeitiger Verarbeitung: Threads, Sperren und Race Conditions
Race Conditions verursachen Fehler, die bis zur Produktion alle Tests bestehen. Dieser 40-minütige Kurs analysiert einen Zähler, der bei jedem zehnten Durchlauf einen Fehler anzeigte, und behandelt anschließend Threads, Prozesse und asynchrone Programmierung, Sperren, Mutexe und Semaphore, Race Conditions und Deadlocks, Muster nach Programmiersprache sowie eine Checkliste zur Überprüfung. Das Szenario „Wähle das richtige Werkzeug“ – Mutex oder Semaphor – ermöglicht Backend-Entwicklern eine schnelle Überprüfung ihres Wissensstands.
Onboarding für Entwickler von Unternehmensplattformen: Ihr erster sicherer Wechsel zu einer Geschäftsplattform
Neue Entwickler auf einer konfigurierbaren Geschäftsplattform verursachen oft schon bei ihrer ersten Änderung Probleme. Dieser 45-minütige Kurs behandelt diese erste Änderung an einer Live-Konfiguration, Plattformkonzepte, Berichte und Verarbeitung, Erweiterungen und das Konfigurations-Repository, Änderungskontrolle und das Verfassen eines Übergabeprotokolls. Setzen Sie den Kurs in der ersten Woche eines neuen Mitarbeiters ein, bevor dieser mit Objekten von Drittanbietern arbeitet.
Unsere Empfehlung: Sichere KI-gestützte Softwareentwicklung. Viele Teams liefern mittlerweile von Assistenten geschriebenen Code aus, und dieser Kurs bietet ihnen eine Schleife, die sie befolgen müssen, bevor sie ihn zusammenführen.
Daten- und KI-Tool-Sicherheit
Datenklassifizierung und -verarbeitung
Entwickler kopieren Produktionsdaten in Testsysteme und tauschen Protokolle im Chat aus. Dieser 25-minütige Kurs behandelt die Gründe für die Datenklassifizierung, die verschiedenen Stufen im Unternehmen, die zulässigen und unzulässigen Vorgehensweisen beim Kennzeichnen, Speichern, Teilen und Löschen von Daten, Warnsignale und Eskalationsverfahren. Zum Abschluss gibt es einen Test mit 10 Fragen, bei dem 80 % zum Bestehen erforderlich sind. „Wo sollten vertrauliche Daten gespeichert werden?“ ist eine typische Multiple-Choice-Frage.
KI-Sicherheit für alle: Schatten-KI, Prompt-Injection und manipulierte Ausgaben
Prompt-Injection und unbekannte Code-Pakete beeinträchtigen Coding-Assistenten direkt. Dieser 30-minütige Kurs behandelt Schatten-KI und einen kompromittierten Chatbot, Prompt-Injection und manipulierten Inhalt, versteckte Anweisungen in PDFs und E-Mails, kostenlose KI-Erweiterungen und unbekannte Code-Pakete sowie die Meldung von Vorfällen und die Anforderung eines zugelassenen Tools. Eine Wortwolke zum Thema „Welche KI-Tools verwenden Sie aktuell in Ihrem Editor?“ zeigt, welche Aspekte Ihre Richtlinien abdecken müssen.
Unsere Wahl: Datenklassifizierung und -verarbeitung. Ein in einen Chatbot eingefügter Stacktrace stellt ein Datenleck dar, und dieser kurze Kurs klärt die verschiedenen Ebenen, bevor es dazu kommt.
Konto- und Phishing-Abwehr
Grundlagen des Sicherheitsbewusstseins
Da Entwickler Zugriff auf Quellcode, Betriebsgeheimnisse und die Pipeline haben, ist die Basissicherheit für sie besonders wichtig. Dieser 35-minütige Kurs behandelt die Gründe für Angriffe auf Menschen, den Ablauf eines Angriffs, Warnsignale, Schutzmaßnahmen sowie das richtige Verhalten bei Vorfällen und deren Meldung. Zum Abschluss besteht der Kurs aus 12 Fragen; 80 % der Fragen müssen beantwortet werden. Für betroffene Finanzinstitute ist der Kurs eine praktische Möglichkeit, die Schulungsanforderungen der FTC Safeguards Rule hinsichtlich des Sicherheitsbewusstseins zu erfüllen, obwohl die Regel keinen bestimmten Kurs vorschreibt.
Phishing und Social Engineering
Entwickler werden Opfer von Phishing-Angriffen auf Repository- und Cloud-Zugangsdaten. Dieser 30-minütige Kurs erklärt, wie Angriffe aufgebaut sind, woran man sie erkennt, wie man sich schützt und wie man einen Vorfall meldet. Zum Bestehen gibt es einen abschließenden Test mit 12 Fragen (80 % der Punkte erforderlich). Fügen Sie der Live-Präsentation ein Beispiel einer gefälschten Anmeldeseite für Code-Hosting hinzu. Ihr SOC priorisiert die Meldungen der Entwickler: siehe unsere SOC-Analysten-Schulungsliste.
Passwörter, Zugangsschlüssel und Multi-Faktor-Authentifizierung für Mitarbeiter
Entwicklerkonten schützen Code und Pipelines und benötigen daher eine starke Authentifizierung. Dieser 30-minütige Kurs behandelt die Gründe für die hohe Bedeutung von Konten, sichere und eindeutige Anmeldungen, Multi-Faktor-Authentifizierung (MFA) und Passwörter, gefälschte Anmeldeseiten sowie die Grauzonen bei der Freigabe, Tastenkombinationen und Wiederherstellung. Eine Bewertungsskala zur Frage „Wie viele Ihrer Konten nutzen MFA?“ regt zu einem offenen Gespräch an.
Social Engineering, Betrug und Deepfakes: Telefon-, Zahlungs- und Identitätsdiebstahlbetrug
Identitätsdiebstahl zielt auf Ingenieure ab, die Zugriffe genehmigen oder Software bereitstellen können. Dieser 35-minütige Kurs behandelt eine überzeugende Anfrage, die Taktiken, die Verifizierung über eine bekannte Telefonnummer, gefälschte Sprach- und Videoaufnahmen sowie die Gründe, warum Dienstalter und Geheimhaltung Druckmittel, aber kein Beweis sind. Ein Szenario mit der Frage „Würden Sie diesen Zugriff gewähren?“ dient als Antwortmöglichkeit.
Unsere Empfehlung: Passwörter, Zugangsschlüssel und Multi-Faktor-Authentifizierung für Mitarbeiter. Ein gestohlener Entwickler-Login kann die gesamte Pipeline erreichen, und Passkeys sind resistent gegen Phishing, sodass ein gestohlenes Passwort allein sie nicht mehr öffnet.
Wie man den Plan umsetzt
Beginnen Sie dort, wo die Schwachstellen am häufigsten auftreten. Mit fehlerhafter Zugangskontrolle, die in jede Anwendung, die von OWASP getestet wurdeKombinieren Sie die Kurse für sicheres Programmieren mit Lerngewohnheiten, nicht nur mit Folien.
- In der ersten Woche eines neuen Entwicklers: Grundlagen der IT-Sicherheit, Passwörter, Passkeys und MFA, Datenklassifizierung und der Plattform-Onboarding-Kurs, falls Ihr Team auf einem solchen aufbaut.
- Innerhalb des ersten Monats: Sichere KI-gestützte Entwicklung, KI-Sicherheit für alle und der Kurs zu Speichersicherheit oder Parallelverarbeitung für die von Ihrem Team verwendeten Sprachen.
- Jedes Jahr: Ein Auffrischungsquiz zu jedem Kurs sowie die KI-Kurse, wann immer ein neuer Assistent oder Agent zugelassen wird.
- Wann es zutrifft: Wenn Sie ein betroffenes Finanzinstitut sind, halten Sie Ihre Schulungen zum Thema Sicherheitsbewusstsein gemäß der FTC Safeguards Rule auf dem neuesten Stand und fragen Sie Ihren Rechtsbeistand, was in Ihrem Land oder Bundesstaat sonst noch gilt.
Möglichkeiten, diese Kurse durchzuführen auf AhaSlides
Sie können jeden dieser Kurse als Selbstlernkurs mit dem AhaSlides Der Kursentwickler kann die Präsentationen als Live-Frage-und-Antwort-Sitzung oder beides durchführen, ergänzt durch eine Umfrage nach Kursende und ein 30-Tage-Check-in, um festzustellen, welche Veränderungen stattgefunden haben.
- Antwort auswählen: Zeigen Sie einen Codeausschnitt aus dem Kurs und fragen Sie, welcher Fehler darin verborgen ist.
- Wortwolke: Fragen Sie: „Was überprüfen Sie, bevor Sie vom Assistenten geschriebenen Code zusammenführen?“ und vergleichen Sie die Antworten mit der sicheren KI-Codierungsschleife.
- Bewertungsskala: Vorher und nachher fragen Sie: „Wie sicher sind Sie sich, dass Sie eine Rennsituation in der Videoanalyse erkennen?“ (Skala von 1 bis 5).
- Offenes Ende: Sammeln Sie anonyme Beinahe-Unfälle aus dem letzten Sprint am Ende einer Live-Session.
FAQ
Welche Sicherheitsschulungen benötigen Entwickler?
Entwickler benötigen Kenntnisse in sicherem Programmieren, dem Umgang mit Abhängigkeiten und Geheimnissen sowie der sicheren Nutzung von KI-Programmierwerkzeugen. Die oben genannten Kurse decken diese Themen ab und vermitteln darüber hinaus die grundlegenden Kenntnisse, die jeder Mitarbeiter benötigt.
Ist KI-generierter Code sicher?
Nicht standardmäßig. Es bedarf der gleichen Überprüfung, Tests und Scans wie jeder andere Code, und es muss sichergestellt werden, dass jedes vorgeschlagene Paket existiert und genehmigt ist.
Was versteht man unter Speichersicherheit?
Speichersicherheit bedeutet die Verhinderung von Fehlern wie Pufferüberläufen und der Verwendung von Speicher nach dem Freigeben, die Angreifer ausnutzen. C und C++ benötigen Regeln und statische Analyse, um dies zu gewährleisten.
Wie oft sollten Entwickler sich im Bereich Sicherheit weiterbilden?
Einmal jährlich, mit kurzen Aktualisierungen, wenn sich Rahmenbedingungen, Tools oder Bedrohungen ändern.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Entscheidung bezüglich Ihres Arbeitsplatzes wenden Sie sich bitte an einen qualifizierten Rechtsanwalt oder die zuständige Aufsichtsbehörde.
