Security Champions in der Softwareentwicklung

Ein Security Champion ist ein Mitglied des Entwicklungsteams, das als Bindeglied zwischen Informationssicherheit und Entwicklung fungiert – laut OWASP SAMM kann das ein Softwareentwickler, Tester oder Produktmanager sein. Zu den typischen Aufgaben zählen die Recherche, Verifikation und Priorisierung sicherheitsrelevanter Defekte, die Mitwirkung an Risiko-, Threat-Modeling- und Architektur-Assessments sowie regelmäßige sicherheitsbezogene Reviews im eigenen Team. Auch das NIST Secure Software Development Framework (SP 800-218, Version 1.1) nennt Security Champions in seinen Umsetzungsbeispielen – als zu definierende SDLC-Rolle (PO.2.1) und als bevorzugte Zielgruppe für Threat-Modeling-Schulungen (PW.1.1). Champions ersetzen kein zentrales AppSec-Team, sondern skalieren dessen Wirkung in die Breite.

Der OWASP Developer Guide rät von einer willkürlichen Ernennung ab: Die Rolle setzt echtes Interesse an Anwendungssicherheit voraus, weshalb sich motivierte Teammitglieder freiwillig melden sollten – das erste Prinzip des OWASP-Manifests lautet nicht zufällig „Be passionate about security“. Da Champions ihre eigentliche Rolle behalten, braucht die Zusatzaufgabe ein formal zugesichertes Zeitbudget; OWASP SAMM sieht ausdrücklich eine feste Stundenzahl pro Woche für Sicherheitsaktivitäten vor, ohne einen konkreten Wert vorzugeben. Bewährt haben sich ein Champion pro Entwicklungsteam und eine dedizierte Programmleitung („Captain“), die Vision, Onboarding und Koordination verantwortet. Ohne sichtbare Management-Unterstützung („Secure management support“) wird das Zeitbudget im Projektdruck erfahrungsgemäß als Erstes geopfert.

Champions wirken nachhaltig, wenn sie nicht isoliert arbeiten, sondern in einer Community of Practice: Die Prinzipien „Create a community“ und „Promote knowledge sharing“ des OWASP-Guides empfehlen regelmäßige Meet-ups, gemeinsame Kommunikationskanäle und interne Workshops über Teamgrenzen hinweg. Bei Anreizen gilt „Reward responsibility“: formale Anerkennung (etwa Auszeichnungen oder Badges), Budget für Trainings und Konferenzen, Karrierepfade sowie erweiterte Mandate wie die Mitwirkung in Sicherheitsgremien – nach Empfehlung des Guides abgestimmt auf die individuellen Motivationen der Champions. Entscheidend ist, dass die zusätzliche Verantwortung sichtbar honoriert wird; andernfalls erodiert die Motivation der Freiwilligen mit der Zeit.

Der OWASP Security Champions Guide (derzeit OWASP-Incubator-Projekt) ist ein offenes, herstellerneutrales Referenzwerk, das auf Interviews mit AppSec-Verantwortlichen, Programmkoordinatoren und Champions aus unterschiedlichen Branchen und Unternehmensgrößen basiert. Kern ist das Security Champions Manifesto mit zehn Prinzipien – von „Be passionate about security“ über „Start with a clear vision for your program”, „Nominate a dedicated captain” und „Trust your champions“ bis „Anticipate personnel changes“. Der Guide versteht sich ausdrücklich als Baukasten: Ein Modell, das für alle Organisationen passt, gibt es nicht; zu jedem Prinzip liefert er Erläuterungen und anpassbare Artefakte für das eigene Programm.

Im OWASP Software Assurance Maturity Model (SAMM, aktuelle Modellversion 2.2.0 vom Juli 2025) sind Security Champions im Stream „Organization and Culture“ der Praktik Education & Guidance (Geschäftsfunktion Governance) verankert. Reifegrad 1 verlangt, in jedem Entwicklungsteam einen Champion zu identifizieren und ihm ein festes Wochenstundenkontingent einzuräumen; Reifegrad 2 ergänzt ein Secure Software Center of Excellence aus Architekten und Senior-Entwicklern verschiedener Geschäftsbereiche; Reifegrad 3 etabliert organisationsweite Plattformen für den Wissensaustausch. Ein Champions-Programm lässt sich damit nicht nur aufbauen, sondern im Rahmen eines SAMM-Assessments auch objektiv verorten und schrittweise weiterentwickeln.

Der OWASP-Guide empfiehlt, die Programmvision mit messbaren Zielen zu hinterlegen, und nennt als Beispiele die für Sicherheit aufgewendeten Stunden je Champion, erreichte Trainingsziele, die Zahl der Champions-Meet-ups und die Verringerung des Sicherheitsrisikos; ergänzend bieten sich der Abdeckungsgrad der Teams und früh im Entwicklungsprozess gefundene Schwachstellen an. Die häufigsten Fehler sind spiegelbildlich zu den Prinzipien: Champions als Feigenblatt ohne Mandat, fehlendes oder nur informelles Zeitbudget, Ernennung per Dienstanweisung statt Freiwilligkeit, eine Community, die nach dem Kick-off einschläft, und fehlende Nachfolgeplanung bei Personalwechseln. SAFECode betont ausdrücklich, dass die bloße Benennung eines Champions ohne ein formalisiertes, vom Management getragenes Programm in der Regel auf Widerstand stößt oder ganz scheitert.