Je grösser die Firma ...

[phpBuddy]

... , je mehr in den Webauftritt investiert wird, je sensibler die Daten sind, desto dilettantischer die technische Umsetzung??

Wenn man sich mal einige der Meldungen, der letzten 8-10 Tage, auf heise Security anschaut, kann man nur noch mit dem Kopf schütteln. Jeder der gerade so über das Level eines (Programmier) Anfängers hinaus ist, sollte in der Lage sein solche megapeinlichen Anfängerfehler zu vermeiden, die solche Lücken erst ermöglichen. Das trifft ganz besonders auf die ersten beiden Links zu.

Medion
Postbank (Das ist IMO eigentlich die Peinlichkeit des Jahres!)
Typo3

Ich frage mich wirklich, nach welchen Kriterien diese Läden Entwickler aussuchen, die letztendlich so einen Sch*** verzapfen und ob diese Menschen nach bekannt werden der Lücken eigentlich sofort gefeuert und verklagt werden?

[Stefan]

Das stimmt schon, aber neu ist das nicht. Man liest allzu oft, dass man lediglich den GET-Parameter verändern musste, um Daten anderer Benutzer / Käufer / Wasauchimmer einsehen zu können.

Natürlich ist das peinlich. Aber ich denke, das geschieht meist aus Bequemlichkeit, denn welcher Kunde kann schon die Sicherheitsfeatures des in Auftrag gegebenen Systems prüfen?

[Masotoshi]

Natürlich ist das peinlich. Aber ich denke, das geschieht meist aus Bequemlichkeit, denn welcher Kunde kann schon die Sicherheitsfeatures des in Auftrag gegebenen Systems prüfen?

Für solche Fälle gibt es in jedem größeren Unternehmen eine Abteilung namens "Qualitätssicherung". Dort werden spezielle Tests durchgeführt die nach einem bestimmten Muster vorgegeben sind und so alle Eventualitäten abdecken.

Eigentlich muß die Postbank auch eine solche Institution haben, alles andere wäre höchst unverantwortlich.

[SvenWeb]

Die einzelnen Managementprozesse nach EITIL können aber noch so ausführlich sein, wenn sie nicht oder nur unzureichend gemacht werden.
Zeitnot ist das größte Problem bei IT-Projekten, welche sich auch im Bereich QM bemerkbar macht. Insofern ist das Disaster auch nicht sonderlich überraschend. Getestet wird letztlich am Kunden, macht M$ ja auch.

Gruß
Sven