Was war die ursprüngliche Motivation hinter der Gründung von Reware Labs?
Die ursprüngliche Motivation für die Gründung von Reware Labs entstand aus einem Muster, das ich Jahr für Jahr immer deutlicher beobachten konnte: Sicherheitsvorfälle in Software und die Zahl gemeldeter Schwachstellen wachsen exponentiell. Gleichzeitig macht KI die Softwareentwicklung schneller und zugänglicher. Das ist einerseits äußerst spannend, bedeutet aber auch, dass künftig deutlich mehr Software entwickelt wird und damit potenziell auch erheblich mehr Sicherheitsprobleme entstehen. Für mich stellte sich daher die Frage: Wenn KI die Softwareentwicklung beschleunigt, wie können wir ein Sicherheitssystem entwickeln, das mit diesem Tempo Schritt hält?
Während meiner Promotion beschäftigte ich mich in meiner Forschung mit KI für Quellcode. Ich habe diese Modelle intensiv untersucht und weiterentwickelt und dabei sowohl ihr enormes Potenzial als auch ihre Grenzen kennengelernt. Mir wurde klar, dass KI nicht nur dazu genutzt werden kann, Code zu generieren, sondern auch Sicherheitsprobleme zu verstehen, Schwachstellen zu erkennen und bei deren Behebung zu unterstützen. Genau daraus entstand die Idee für Reware Labs: spezialisierte KI einzusetzen, um Sicherheitsrisiken in Software zu reduzieren und sichere Softwareentwicklung für deutlich mehr Entwicklerinnen, Entwickler und Teams zugänglich zu machen.
Viele Unternehmen setzen bereits auf statische und dynamische Sicherheitstools. Wo stoßen diese Werkzeuge deiner Ansicht nach heute an ihre Grenzen?
Statische und dynamische Analysetools eignen sich gut, um bekannte Schwachstellenmuster, typische Fehlkonfigurationen und bestimmte Laufzeitprobleme zu erkennen. Sie haben jedoch eine grundlegende Einschränkung: In der Regel verstehen sie den Kontext der Software, die sie analysieren, nicht.
Eine bestimmte Funktionalität kann beispielsweise in einem Blogsystem völlig unproblematisch sein, in einer Banking-Anwendung jedoch ein erhebliches Sicherheitsrisiko darstellen. An ihre Grenzen stoßen diese Werkzeuge vor allem dann, wenn Schwachstellen von Geschäftslogik, Workflows, Benutzerrollen oder dem Zusammenspiel verschiedener Dienste abhängen.
Ein statischer Code-Analysator kann einen Codeabschnitt isoliert betrachtet als sicher einstufen, während ein dynamischer Analysator den relevanten Ausführungspfad während der Tests möglicherweise nie erreicht. Die eigentliche Schwachstelle wird jedoch oft erst sichtbar, wenn man das Verhalten der gesamten Anwendung versteht.
Die größte Einschränkung besteht daher heute im fehlenden Systemverständnis. Hinzu kommt, dass insbesondere statische Analysewerkzeuge eine große Anzahl an Fehlalarmen erzeugen können, die Sicherheitsteams mit sogenannten False Positives überfluten.
Du beschreibst deinen Ansatz als „kontextbewusste“ Schwachstellenerkennung. Was bedeutet das konkret. Und warum ist Kontext in der Cybersicherheit so wichtig?
Mit „kontextbewusster“ Schwachstellenerkennung meine ich, über isolierte Code-Muster hinauszublicken und Software als Gesamtsystem zu verstehen – einschließlich ihrer Geschäftslogik, Benutzerrollen, Datenflüsse, Workflows, Abhängigkeiten und Sicherheitsrichtlinien.
Das ist entscheidend, weil viele schwerwiegende Schwachstellen erst in diesem größeren Zusammenhang sichtbar werden. Dazu gehören beispielsweise das Umgehen von Workflows, verkettete Autorisierungsprobleme oder Privilegieneskalationen.
Der Kontext hilft dabei, Fehlalarme zu reduzieren und vor allem Verhaltensweisen zu identifizieren, die für eine konkrete Anwendung tatsächlich ein Sicherheitsrisiko darstellen. Er ermöglicht es zu verstehen, was eine Software eigentlich leisten soll und an welchen Stellen dieses beabsichtigte Verhalten von Angreifern missbraucht werden könnte.
KI-generierter Code wird immer häufiger eingesetzt. Entstehen dadurch völlig neue Arten von Sicherheitslücken?
Ich glaube nicht, dass KI-generierter Code grundsätzlich völlig neue Klassen von Schwachstellen hervorbringt. Er verändert jedoch die Größenordnung und Geschwindigkeit des Problems.
Viele Sicherheitslücken bleiben dieselben wie bisher, etwa unsichere Authentifizierung, Injection-Schwachstellen, unzureichende Zugriffskontrollen oder der unsichere Einsatz von APIs. Der Unterschied besteht darin, dass KI solche Muster wesentlich schneller erzeugen und über zahlreiche Projekte hinweg verbreiten kann – teilweise auf subtile Weise, die Entwicklerinnen und Entwickler nicht unmittelbar erkennen.
Das eigentliche Risiko liegt daher weniger in neuen Schwachstellenklassen als vielmehr in der Verstärkung bereits bekannter Probleme und in der Erzeugung von Code, der auf den ersten Blick korrekt erscheint, tatsächlich jedoch versteckte Sicherheitslücken enthält.
Dein System kombiniert KI-Modelle, Programmanalyse und Wissensdatenbanken. Wie arbeiten diese Komponenten in der Praxis zusammen?
Vereinfacht gesagt bildet das KI-Modell die eigentliche Denk- und Schlussfolgerungsebene. Für Sicherheitsaufgaben kann es jedoch nicht zuverlässig isoliert arbeiten. Es benötigt Kontext über den Quellcode, die Systemarchitektur, Datenflüsse, Abhängigkeiten sowie bekannte Sicherheitsmuster.
Die Programmanalyse liefert strukturierte Informationen darüber, wie sich eine Software tatsächlich verhält. Die Wissensdatenbank ergänzt dieses Wissen um sicherheitsrelevante Erkenntnisse sowie anwendungsspezifischen Kontext.
Wir trainieren das KI-Modell darauf, diese Werkzeuge gezielt einzusetzen und ähnlich wie ein Security Engineer zu denken: das System zu verstehen, nachzuvollziehen, wie eine Schwachstelle tatsächlich entstehen kann, und ihre tatsächlichen Auswirkungen innerhalb der jeweiligen Anwendung realistisch zu bewerten.
Die Idee autonomer KI-Agenten klingt besonders spannend. Wie selbstständig können diese Agenten Sicherheitsanalysen bereits durchführen?
Diese Agenten gehen heute bereits deutlich über eine reine Erkennung von Schwachstellen hinaus. Sie können potenzielle Sicherheitsprobleme untersuchen, Belege zusammentragen, Risiken verständlich erklären und konkrete Lösungsvorschläge machen.
Unser Ziel ist es, Agenten zu entwickeln, die Schwachstellen zunehmend eigenständig finden und beheben können, während Entwicklerinnen, Entwickler und Sicherheitsteams insbesondere bei kritischen Entscheidungen jederzeit die Kontrolle behalten.
Mit der Zeit sollen die Agenten immer mehr wiederkehrende Sicherheitsaufgaben automatisiert übernehmen, sodass sich Expertinnen und Experten auf komplexe Fälle konzentrieren können.
Welche Rolle wird menschliche Expertise künftig noch spielen, wenn KI Schwachstellen automatisch erkennen und beheben kann?
Menschliche Expertise wird unverzichtbar bleiben. KI kann Sicherheitsteams jedoch deutlich effizienter machen.
Im Zeitalter der KI werden sowohl die Menge an Quellcode als auch die Zahl der Sicherheitsmeldungen stark zunehmen. Deshalb benötigen Teams Unterstützung bei der Priorisierung von Risiken und bei schnelleren Überprüfungen.
Unser System kann Risiken hervorheben, ihre Auswirkungen verständlich erklären und konkrete Lösungsvorschläge liefern. Dadurch reduziert sich der Zeitaufwand für Analysen erheblich. Menschen können sich anschließend auf die wirklich wichtigen Entscheidungen konzentrieren – etwa auf die Bewertung geschäftlicher Auswirkungen und auf komplexe Sonderfälle, in denen menschliches Urteilsvermögen weiterhin unverzichtbar ist.
Welche Branchen oder Anwendungsbereiche profitieren besonders von deiner Technologie?
Zu den ersten Anwendern zählen aus unserer Sicht Teams, die Software entwickeln, bei der Sicherheit und Vertrauen von zentraler Bedeutung sind – etwa im Finanzwesen, im Gesundheitssektor, bei Enterprise-SaaS-Anwendungen, in Behörden oder im Bereich kritischer Infrastrukturen.
Darüber hinaus kann grundsätzlich jedes Unternehmen profitieren, das komplexe Anwendungen entwickelt, mit sensiblen Daten arbeitet oder umfangreiche APIs und differenzierte Benutzerrollen verwaltet.
Welche Rolle spielte die Unterstützung durch das CISPA Helmholtz-Zentrum für Informationssicherheit auf deinem Weg – insbesondere bei der Überführung von Forschung in marktreife Sicherheitslösungen?
Das CISPA war für mich von großer Bedeutung, weil ich dort sowohl die notwendige wissenschaftliche Tiefe als auch das passende Umfeld gefunden habe, um diese Idee zu entwickeln.
Ich hatte die Möglichkeit, an Spitzenforschung im Bereich Künstliche Intelligenz und Softwaresicherheit mitzuwirken. Gleichzeitig fördert CISPA eine unternehmerische Kultur, die Forschende dazu ermutigt, über den praktischen Nutzen ihrer Arbeit nachzudenken.
Diese Kombination hat maßgeblich dazu beigetragen, Reware Labs von einer wissenschaftlichen Erkenntnis zu einer Produktvision weiterzuentwickeln, die reale Herausforderungen lösen kann.
Abschließend: Wie sieht deine Vision für sichere Softwareentwicklung in fünf Jahren aus?
Meine Vision ist, dass sichere Softwareentwicklung wesentlich kontinuierlicher und für deutlich mehr Menschen zugänglich wird.
Wenn KI die Softwareentwicklung demokratisiert, muss Sicherheit ebenfalls zu einem festen Bestandteil des Entwicklungsprozesses werden – und zwar für alle, die Software entwickeln, nicht nur für spezialisierte Sicherheitsteams.
In fünf Jahren werden KI-Agenten Entwicklerinnen und Entwickler von Beginn an begleiten: Sie verstehen die Anwendung, erkennen Risiken frühzeitig, erläutern deren Auswirkungen und helfen dabei, Schwachstellen zu beheben, bevor Software überhaupt in den produktiven Einsatz gelangt.
Das Ziel ist, sichere Softwareentwicklung zu einer selbstverständlichen täglichen Praxis zu machen, ohne Entwicklungsteams auszubremsen.
Mehr Informationen über Reware Labs: rewarelabs.com
