Sicherheitslücken führen jährlich zu Millionenschäden. Neben der Industrie sind auch die öffentliche Verwaltung, kritische Infrastrukturen wie Krankenhäuser, und zahlreiche Privatpersonen betroffen. Regelmäßige Berichte über Hacker-Angriffe und Datenlecks sind längst zur Normalität unserer vernetzten digitalen Welt geworden. Angreifer nutzen heute meist Schwachstellen und Fehler im Design und in der Implementierung der Anwendungslogik aus. Standardmaßnahmen wie Firewalls und Virenscanner sind nicht ausreichend, um gezielte Angriffe auf Lücken in Software zu verhindern, wie großflächige Ransomware-Angriffe zeigten.

Als Ursache dieser Lücken ist der Forschung eine breite Palette von Schwachstellenklassen bekannt, darunter fehlende oder falsche Authentifizierung, Probleme bei der Eingabensanitisierung, Fehlkonfiguration sensibler APIs wie krypto­grafische Funktionen, unsichere Backend-Kommunikation, unklare oder unsachgemäße Vertrauensmodelle zwischen Komponenten und viele andere.

Softwaresicherheit, genauer: das schnelle Erkennen und Beheben solcher Schwachstellen, ist essenziell, um einen angemessenen Schutz der Privatsphäre und Cybersicherheit zu gewährleisten.

Aufgrund der Komplexität und Größe moderner Softwaresysteme ist die manuelle Überprüfung ihres Codes schon lange nicht mehr sinnvoll und wird zunehmend unrealistischer. Systeme bestehen heutzutage aus einer Vielzahl einzelner heterogener Komponenten, die über verschiedene Schnittstellen mit­ei­nan­der interagieren, wobei selbst die einzelnen Komponenten hunderttausende oder sogar Millionen von Codezeilen haben können. Hinzu kommt, dass insbesondere Backoffice-Software in Unternehmen meist über Jahrzehnte mit unterschiedlichen Teams und Verantwortlichkeiten entwickelt, gewartet und angepasst wird. Diesen Produkten fehlt daher oft eine einheitliche, konsistente und leicht erkennbare Struktur. Bei einer Erweiterung des Systems wird daher oft auf einer bestehenden Codebasis aufgebaut, ohne die ursprünglichen Designentscheidungen oder Gründe zu kennen und ohne direkten Zugang zu den ursprünglichen Entwicklern zu haben. Trotzdem müssen neueste Tech­no­logien integriert und aktuelle Anforderungen erfüllt werden.

Der ATHENE-Forschungsbereich AVSV treibt den Stand der Technik bei der automatischen Erkennung von Sicherheitslücken voran. Ziel ist dabei, Code-Analyse-Tools und -Techniken bereitzustellen, die präzise und skalierbar sind und die Schwachstellentypen identifizieren, die von aktuellen Scannern übersehen werden.

ATHENE definiert folgende Herausforderungen für einen idealen Code-Scanner: