Security Champions - AppSec in Entwicklungsteams verankern

Security Champions lösen ein fundamentales Skalierungsproblem: Ein einzelnes Security-Team kann nicht alle Entwicklungsprozesse gleichzeitig betreuen. Mit Security Champions wird Sicherheitswissen in jedes Team gebracht - ohne dass jeder Entwickler zum Sicherheitsexperten werden muss.

Das Skalierungsproblem

Typische Situation ohne Security Champions:

Security-Team: 2-5 Personen
Entwicklungsteams: 50-200 Entwickler in 5-20 Teams
Ergebnis:
  → Security-Team ist Bottleneck
  → Code Reviews dauern wochenlang
  → Entwickler umgehen Sicherheitsprozesse (zu langsam)
  → Security wird als "Nein-Sager" wahrgenommen
  → Vulnerabilities werden erst kurz vor Release entdeckt

Mit Security Champions (1 pro Team):
  → 10 Teams × 1 Champion = 10 multiplizierter Effekt
  → Erste Sicherheitsprüfung im Team selbst
  → Security-Team für komplexe Fragen, nicht für basics
  → Sicherheit als Teil der Teamkultur, nicht externe Kontrolle
  → "Shift Left": Vulnerabilities in Design-Phase statt im Pentest

Security Champion Programm aufbauen

Programm-Struktur:

Phase 1: Auswahl und Rekrutierung
  Ideale Security Champions:
  → Intrinsisches Interesse an Sicherheit (KEINE Verpflichtung!)
  → Hohes Ansehen im eigenen Team (Influencer-Wirkung)
  → Technisches Verständnis (nicht ausschließlich Coder)
  → Bereitschaft für ~10-20% Zeitinvestment pro Woche

  Rekrutierung-Wege:
  → Interne Ausschreibung + freiwillige Anmeldung
  → Nominierung durch Team Leads (aber nur Freiwillige!)
  → Identifikation durch bereits gezeigte Security-Affinität
  → Incentives: Weiterbildungsbudget, Konferenz-Tickets, Zertifizierungen

Phase 2: Ausbildung (Foundation)

  Month 1: OWASP Top 10 Vertiefung
  → Hands-on Workshop (WebGoat, DVWA, Juice Shop)
  → "Break the App" Übungen in sicherer Umgebung
  → Champions sehen Exploits aus Angreifer-Perspektive

  Month 2: Secure Coding für den eigenen Stack
  → Java: OWASP Java Cheat Sheet Series
  → Python: Bandit + sichere Django/FastAPI Patterns
  → JavaScript/TypeScript: OWASP Node.js Cheat Sheet
  → Infrastructure as Code: Checkov, tfsec

  Month 3: Threat Modeling
  → STRIDE-Methode praktisch anwenden
  → Eigene Team-Architekturen analysieren
  → Threat Model erstellen für reales Team-Projekt

  Ongoing (monatlich):
  → Security Champion Community of Practice (1h/Monat)
  → Neue CVEs besprechen die das Team betreffen
  → CTF-Challenges für Team-Building
  → Externe Konferenzen (OWASP AppSec Days, BSides)

Phase 3: Aufgaben im Team

  Wöchentlich:
  □ Code Reviews auf Sicherheits-Issues prüfen
    → SAST-Tool-Results interpretieren (Semgrep, SonarQube)
    → Falsch-Positive von echten Findings trennen
  □ Sicherheitsfragen im Team beantworten (erster Ansprechpartner)
  □ Dependencies auf neue CVEs monitoren (Dependabot)

  Projektbeginn:
  □ Threat Modeling für neue Features moderieren
  □ Security Requirements in User Stories aufnehmen
  □ Architecture Review mit Security-Fokus

  Release:
  □ Pre-Release Security Checklist abarbeiten
  □ Bekannte Risiken in Release Notes dokumentieren
  □ Koordination mit zentralem Security-Team für Pentest

  Incident Response:
  □ Erste Sicherheitseinschätzung bei Incidents
  □ Root Cause Analysis auf Sicherheits-Code-Ebene

Phase 4: Governance und Metriken

  Metriken für das Champion-Programm:
  → Vulnerability Discovery Rate: Mehr Findings frühzeitig?
  → Mean Time to Remediate Critical Vulns: sinkend?
  → Security Debt: Tech-Debt durch Security-Themen?
  → SAST Coverage: % der Codebase mit aktivem Scanning
  → Champion-Retention: Bleiben Champions im Programm?

  Engagement-Metriken:
  → Community-Meeting-Teilnahme
  → Beiträge in Security-Slack-Channel
  → Eingereichte Security-Improvements

Tools und Ressourcen für Champions

OWASP-Ressourcen (kostenlos):

OWASP Cheat Sheet Series:
  → cheatsheets.owasp.org
  → 100+ Spick-Zettel für spezifische Sicherheitsthemen
  → SQL Injection Prevention, XSS Prevention, Authentication...
  → Champions: Bookmarks für häufig gebrauchte Sheets

OWASP Testing Guide (OTG):
  → Vollständige Methodik für Sicherheitstests
  → Champions nutzen für Review-Checklisten

OWASP WebGoat / Juice Shop:
  → Bewusst unsichere Apps zum Üben
  → WebGoat: Java, interaktive Lektionen
  → Juice Shop: Node.js, moderner Stack, CTF-Mode

SANS/OWASP SAMM (Software Assurance Maturity Model):
  → Reifegradmodell für Application Security
  → Self-Assessment: wo steht das Team heute?
  → Roadmap: was als nächstes verbessern?

---

Technische Tools für Champions:

SAST-Interpretation:
  Semgrep:     Anpassbare Rules, niedrige FP-Rate
  Horusec:     Multi-Language, Container-nativ
  CodeQL:      GitHub-nativ, komplexe Datenfluss-Analyse
  Champion-Aufgabe: Rules kalibrieren, FP als False Positive markieren

Dependency Scanning:
  Dependabot:  GitHub-nativ, auto-PRs
  Renovate:    Mehr Kontrolle über Update-Strategie
  OWASP DC:   Offline-fähig, Java-Fokus
  Champion-Aufgabe: Kritische Updates priorisieren und pushen

Threat Modeling:
  OWASP Threat Dragon: Diagramm-Tool, kostenlos
  Microsoft TMT:       Windows-Tool, STRIDE-fokussiert
  Drawio + Templates:  Flexibel, Team-kollaborativ

Erfolgreiche Programme in der Praxis

Security Champion Programme bei Großunternehmen:

Spotify Security Champions:
  → 100+ Champions weltweit, 3.000+ Entwickler
  → "Security Guild" Struktur (Autonomy + Alignment)
  → Champions schreiben eigene Sicherheitsrichtlinien für ihre Teams
  → "Trust, but verify": Zentral-Security für Stichproben + komplexe Reviews

Mozilla Security Champions:
  → Freiwilliges Programm seit 2013
  → Champions bekommen früher Zugang zu Security-Informationen
  → Privilegierter Zugang zu Mozilla Security-Community

SAP Security Champions (DACH-Kontext):
  → Globales Programm mit regionalen Hubs
  → Monatliche Training-Sessions (Threat Intel, neue CVEs)
  → Internal CTF-Meisterschaften
  → Champions werden für externe Konferenzen gesponsert

Lessons Learned:
  ✓ Freiwilligkeit ist nicht optional - Zwangschampions sind keine Champions
  ✓ Anerkennung > Geld: Konferenz-Tickets, Experten-Status, Entscheidungsmacht
  ✓ Community vor Schulung: Champions helfen sich gegenseitig
  ✓ Nicht überfordern: 10-15% Zeitanteil maximal, Teamziele bleiben Priorität
  ✓ Executive Support: Manager müssen Zeit für Champion-Aktivitäten geben
  ✗ Fehler: Champions als einzige Sicherheitsverantwortliche behandeln
  ✗ Fehler: Kein Budget für Weiterbildung
  ✗ Fehler: Champions ohne klare Rollenerwartungen