Warum Security-Review am Ende nie funktioniert — und wie wir Secrets, Scopes und Dependency-Updates in den Alltag gezogen haben. Sicherheit ist keine Phase im Release-Prozess, sondern eine Eigenschaft der täglichen Arbeit.
Was bei uns den Unterschied gemacht hat: Secrets werden gar nicht mehr in Repositories gesucht, sondern zur Entwicklungszeit verhindert. Pre-Commit-Hooks blockieren API-Keys, die versehentlich committed werden. Dependency-Updates laufen als tägliche automatische PRs, nicht als Quartals-Projekt. Scans in der CI-Pipeline laufen bei jedem Push, nicht vor dem Release.
Der kulturelle Wandel war größer als der technische: Security-Findings werden nicht mehr als Schuldfrage behandelt, sondern als Bug-Ticket wie jedes andere. Wer einen Fehler meldet, wird nicht kommentarlos zur Verantwortung gezogen. Das Ergebnis: Findings werden gemeldet statt versteckt, und die Median-Zeit von Meldung bis Fix ist von 21 auf 3 Tage gesunken.