Security by Design (oft auch "Secure by Design") ist ein Architektur- und Entwicklungsprinzip, das Sicherheit von Beginn an als integralen Bestandteil von Anforderungen, Design, Implementierung und Betrieb behandelt — nicht als nachträgliche Schicht oder Audit-Schritt. Es verbindet sich mit verwandten Prinzipien wie "Privacy by Design" (Ann Cavoukian, 1990er-Jahre), "Secure by Default" (sichere Standardeinstellungen, ohne Konfigurationsaufwand) und "Defense in Depth" (mehrere unabhängige Schutzschichten).
Eingesetzt wird Security by Design in der gesamten Softwareentwicklung: Anforderungsanalyse mit Sicherheits-Use-Cases und Misuse-Cases, Architektur mit Threat Modeling, Implementierung mit Secure-Coding-Standards, Code-Review mit Security-Fokus, automatisierte SAST/DAST-Scans, sichere CI/CD-Pipelines, härtende Konfigurations-Defaults, sicheres Logging und Monitoring sowie Schulungsprogramme für Entwickler:innen. Frameworks wie ISO/IEC 27034, OWASP SAMM, BSIMM und das NIST Secure Software Development Framework (SSDF, SP 800-218) bieten strukturierte Reifegradmodelle.
Die "IBM Cost of a Data Breach"-Studien und die DORA-Forschung zeigen, dass Sicherheitsprobleme, die erst in Produktion oder nach einem Vorfall entdeckt werden, ein Vielfaches kosten — sowohl in der Behebung als auch im Schadensausmaß — verglichen mit Problemen, die in Design oder Implementierung adressiert werden. Security by Design verschiebt diese Kosten nach vorne und verbessert gleichzeitig die Resilienz des Systems gegen reale Bedrohungen.
Historisch ist der Begriff in der Sicherheitsforschung lange präsent — bereits Saltzer und Schroeders "The Protection of Information in Computer Systems" (1975) listet Designprinzipien wie Economy of Mechanism, Fail-Safe Defaults, Complete Mediation, Open Design, Separation of Privilege, Least Privilege, Least Common Mechanism und Psychological Acceptability auf. Microsoft hat den Begriff in der Industrie mit dem Security Development Lifecycle (SDL, ab 2004) maßgeblich popularisiert, nachdem Bill Gates 2002 mit dem "Trustworthy Computing"-Memo die Sicherheits-Priorität intern hoch gesetzt hatte. Im April 2023 haben CISA, NSA, FBI und mehrere internationale Cybersicherheitsbehörden gemeinsam das Papier "Shifting the Balance of Cybersecurity Risk" veröffentlicht, das "Secure by Design" als verbindlichen Standard für Software-Hersteller fordert.
Eingeführt und geprägt wurde der Begriff von Saltzer/Schroeder, Bill Gates, Steve Lipner (Microsoft SDL) und der Sicherheits-Forschungs-Community. Bill Gates "Trustworthy Computing"-Memo vom 15. Januar 2002 ist ein berühmtes Stück IT-Geschichte — als Reaktion auf eine Welle von Würmern (Code Red, Nimda, SQL Slammer) und das damalige öffentliche Bild von Microsoft als "unsicherer Plattform". Microsoft stoppte daraufhin die Windows-Server-Entwicklung für mehrere Wochen, schulte tausende Entwickler in Security und etablierte den SDL als verbindlichen Prozess.
Bei bluehands ist Security by Design ein zentrales Prinzip unserer Entwicklungsarbeit und sehen uns in der Verantwortung. So haben wir mehrere kritische System mitgestaltet, wie z.B. mit Seven2one die Transparenz-Plattform der EEX oder mit Solute den Sparberater mit mehr als 4,5 Millionen Installationen.