Übersicht

KI-Coding-Assistenten wie GitHub Copilot, Claude Code und Cursor schreiben inzwischen einen erheblichen Teil des Produktivcodes. Dieser ist messbar unsicherer, als er wirkt: Veracode fand in seinem 2025 GenAI Code Security Report über 100 LLMs hinweg in 45 % der Coding-Aufgaben Sicherheitsschwachstellen (Java: über 70 %, XSS: 86 % Fehlerrate). Bereits 2022 zeigte die NYU-Studie „Asleep at the Keyboard?“, dass rund 40 % der von Copilot generierten Programme verwundbar waren. Eine Stanford-Studie belegt zudem, dass Entwickler:innen mit KI-Assistent unsichereren Code schreiben, ihn aber für sicherer halten als die Kontrollgruppe ohne KI. Gleichzeitig wird die KI-Toolchain selbst zur Angriffsfläche: Prompt Injection über Ticket-Texte und READMEs, bösartige angebundene Server, Agenten mit zu weitreichenden Rechten und halluzinierte Pakete. Laut einer USENIX-Security-Studie sind 19,7 % der von LLMs vorgeschlagenen Abhängigkeiten frei erfunden.

In diesem eintägigen, praxisorientierten Kurs lernen Sie, KI-Assistenten so einzusetzen, dass Geschwindigkeit und Sicherheit zusammenkommen. Sie erfahren, welche Schwachstellenmuster KI-Code typischerweise enthält, wie Sie Sicherheitsanforderungen schon vor dem ersten Prompt festlegen, wie Sie der KI einen Sicherheitsleitfaden mitgeben, der bei jeder Codegenerierung wirkt, wie Sie KI-Code effizient und adversarial reviewen und wie Sie Ihre Entwicklungsumgebung selbst gegen Angriffe härten. Zum Abschluss stehen automatische Leitplanken im Workflow und ein gemeinsamer Debrief. Ein großer Teil des Kurses besteht aus Labs an vorbereiteten Übungsumgebungen.

Agenda

Eckdaten

• 1 Tag, 09:00-17:00 Uhr, hoher Praxisanteil
• Zielgruppe: Entwickler:innen, Tech Leads, DevSecOps- und AppSec-Engineers
• Voraussetzungen: Programmiererfahrung; eigener Laptop mit lokal installiertem Docker, die Übungsumgebung wird gestellt

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kundenstimmen

Kostenloses Erstgespräch vereinbaren

Referenzen

• Veracode, 2025 GenAI Code Security Report (veracode.com)
• Pearce et al., „Asleep at the Keyboard?“, IEEE S&P 2022, arxiv.org/abs/2108.09293
• Perry et al., „Do Users Write More Insecure Code with AI Assistants?“, ACM CCS 2023, arxiv.org/abs/2211.03622
• Spracklen et al., „We Have a Package for You!“, USENIX Security 2025, arxiv.org/abs/2406.10279

Der Beitrag Secure AI Coding: Sicher entwickeln mit KI-Coding-Assistenten erschien zuerst auf PagelShield.

Moderne Entwicklung mit Cloud Native Produkten unterstützt den Entwicklungsprozess. Hier ist eine komplette unsortierte Liste meiner Angebote. Nicht das passende dabei? Sprechen Sie mich an!

Beispiel Inhalte

• Rate Limiting (1h)
• Resource Limiting (0.5h)
• Workshop Dynamic Application Security Testing (2h)
• Identity Providers, OAuth 2.0, OAuth 2.1, JWT, Storage of Tokens (2h)
• Security of Client Side Storage (1h)
• Workshop: Authorization with the Open Policy Agent (4h)
• Container Security (1 day)
• Introduction into Kubernetes Security (1h-2h)
• Introduction in Vulnerability and Patch Management for Applications (1h)
• Business Continuity Management for Developers (0.5h)
• Headers and API Headers (0.5h)
• Supply Chain and Mitigations (2h)
• Workshop: Hack your own applications (2-3 days)
• Abuse Tests for Developers (0.75h)
• Workshop: Secrets Handling with OWASP Wrong Secrets (1.5h)
• OWASP Top Ten (Injections, XSS, Sec. Misconfiguration, …)
• Workshop Threat Modeling (1 day)
• Distroless (0.5h)
• OWASP DefectDojo Hands On Training (1h)
• Malware Scanning for Developers (0.5h)

Alle Themen beinhalten Hands-On-Anteile.

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Secure Modern Development erschien zuerst auf PagelShield.

Nicht nur Entwickler und Administratoren benötigen eine regelmäßige Sensibilisierung zum Thema Sicherheit, sondern auch Agile Product Owner. Da Product Owner das Aufgaben im Projekt steuern, ist Verständnis für Sicherheit in der modernen Entwicklung und im IT-Betrieb besonders wichtig.

Agenda:

• Einführung und fachliche Bedrohungen
• Technische Bedrohungen
• Anforderungen aus der Informationssicherheit
• Agile Maßnahmen wie Application Security Testing, Bedrohungsmaßnahmen
• Faziit

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Product Owner Security Training erschien zuerst auf PagelShield.

Der Open Policy Agent (OPA) ist eine Open-Source und generische Engine über die einheitliche und Kontext-beachtende Richtlinien über den gesamten Technologie-Stack durchgesetzt werden können.

Während aus Sicherheits-Sicht der Einsatz einer zentralen Autorisierungs-Komponente zunächst sinnvoll erscheint, ist dies ein einer dezentralen Mikroservice-Landschaft in der Realität häufig schwer umzusetzen und führt zu mehr Nachteilen als Vorteilen.
Im Workshop wird der Open Policy Agent und seine Einsatz-Szenarien erläutert um darauf aufbauend in der Sprache „rego“ selbst Autorisierungs-Regeln für Mikroservices beziehungsweise Web-Anwendungen zu konzipieren.

Inhalte

• Einleitung und Auswirkungen fehlender Autorisierung
• Kontexte in Mirkoservices
• Arbeitsweise von OPA
• Einsatz-Szenarien wie Kubernetes Adminssion Controller und Autorisierung in Webanwendungen
• Hands-On Übungen

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Open Policy Agent erschien zuerst auf PagelShield.

Ca. 50% der Bedrohungen in einem System fallen auf Architektur und Design, entsprechend sollten Unternehmen an dieser Stelle proaktiv handeln.

Thread Modeling bezeichnet eine methodische Herangehensweise die anhand von Angriffsszenarien Bedrohungen im Systemdesign aufzeigt die zu Real-Life-Konsequenzen für das System bzw. Business führen.

Unter dem Druck digitaler Transformation ist die Versuchung für Geschäftsverantwortliche/Produktowner groß, fortlaufend fachliche Features zu liefern.

Security ist allerdings ebenfalls ein dauerhaft gefordertes Feature und Qualitätsziel, dass Kunden erwarten und verdienen.

Im Workshop wird der Teilnehmer anschaulich und nachvollziehbar mit einem Mix aus Theorie und praktischen Übungen anhand von Show Cases in die Herangehensweise nach der bewährten STRIDE-Methode eingeführt.

Der Workshop schließt ab indem die Teilnehmer kennenlernen wie man durch spielerische Elemente in Form eines Kartenspiels Threat Modeling auch für Mitarbeiter, die nicht so Security-affin sind, attraktiv gestalten kann.

Inhalt

• Kennenlernen Secure Design Prinzipien
• Teilnehmer eignen sich theoretisches Grundlagenwissen und darauf aufbauendes Methodenwissen an, um eine Risiko-Bewertung von (Web-)Systemen durchzuführen
• Threat Modeling als Methode um Designschwachstellen zu entdecken
• Bewusstsein schaffen für hohe Kosten und Aufwand zur Behebung von Design-Schwachstellen
• Kennenlernen von Gamification Elementen
• Tipps und Tricks für Anwendung von Threat Modeling in der Praxis

Zielgruppe

Entwickler, Architekten und DevOps Engineers, aber auch Produktverantwortliche und IT-Sicherheits-Architekten mit Grundverständnis von IT-Architekturen.

Methodology

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Agile Threat Modeling erschien zuerst auf PagelShield.

Übersicht

Anhand des DevSecOps Maturity Models (dsomm.timo-pagel.de), konzipiert durch den Referenten, werden unterschiedliche Dimensionen von Sicherheit in DevOps erläutert.

Die Vermittlung des Inhalts wird durch HandsOn Aufgaben unterstützt, welche ausschließlich anhand von OpenSource Werkzeugen erfolgt.

Inhalte

• Auffrischung DevOps
• Bedrohungen bei einer Build- und Deployment Pipeline
• Maßnahmen zur Härtung einer Build- und Deployment Pipeline
• Docker-Sicherheit inkl. Patch-Management
• Automation von dynamischen und statischen Sicherheits-Tests
• Logging und Monitoring in einer DevOps-Welt
• Optional: Continuous License Scanning

Als Orientierung dient das OWASP DevSecOps Maturity Model mit den Dimensionen

Build and Deployment

Culture

Information Gathering

Infrastructure Hardening

Test and Verification

Zielgruppe

Informations- und IT-Sicherheits-Verantwortliche und DevOps Engineers.

Ausschnitte von Werkzeugen:

• Docker
• Distroless
• OWASP ZAP
• OWASP Dependency Check
• Automation
• Jenkins
• Arachni
• nmap
• Distroless

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Security Awareness Training erschien zuerst auf PagelShield.

Übersicht

Ca. 50% der Bedrohungen in einem System fallen auf Architektur und Design, entsprechend sollten Unternehmen an dieser Stelle proaktiv handeln.

Threat Modeling bezeichnet eine methodische Herangehensweise die anhand von Angriffsszenarien Bedrohungen im Systemdesign aufzeigt die zu Real-Life-Konsequenzen für das System bzw. Business führen.

Unter dem Druck digitaler Transformation ist die Versuchung für Geschäftsverantwortliche/Produktowner groß, fortlaufend fachliche Features zu liefern.

Security ist allerdings ebenfalls ein dauerhaft gefordertes Feature und Qualitätsziel, dass Kunden erwarten und verdienen.

Im Workshop wird der Teilnehmer anschaulich und nachvollziehbar mit einem Mix aus Theorie und praktischen Übungen anhand von Show Cases in die Herangehensweise nach der bewährten STRIDE-Methode eingeführt.

Der Workshop schließt ab indem die Teilnehmer kennenlernen wie man durch spielerische Elemente in Form eines Kartenspiels Threat Modeling auch für Mitarbeiter, die nicht so Security-affin sind, attraktiv gestalten kann.

Inhalte

• Kennenlernen Secure Design Prinzipien
• Teilnehmer eignen sich theoretisches Grundlagenwissen und darauf aufbauendes Methodenwissen an, um eine Risiko-Bewertung von (Web-)Systemen durchzuführen
• Threat Modeling als Methode um Designschwachstellen zu entdecken
• Bewusstsein schaffen für hohe Kosten und Aufwand zur Behebung von Design-Schwachstellen
• Kennenlernen von Gamification Elementen
• Tipps und Tricks für Anwendung von Threat Modeling in der Praxis

Zielgruppe

Entwickler, Architekten und DevOps Engineers, aber auch Produktverantwortliche und IT-Sicherheits-Architekten mit Grundverständnis von IT-Architekturen.

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Threat Modeling erschien zuerst auf PagelShield.

Übersicht

WordPress ist das beliebteste Blog-System auf dem heutigen Markt. Angreifer wissen das auch, weshalb immer mehr automatisierte Angriffe gegen WordPress gefahren werden. In diesem Workshop wird Ihnen aufgezeigt, welche Angriffe existieren und welche Gegenmaßnahmen Sie treffen können.

Inhalte

• Kennenlernen der Konzepte von WordPress
• Kennenlernen von Angriffen und Gegenmaßnahmen beim Betrieb von WordPress
• Patch-Mangement von WordPress und Plugins
• Sichere Entwicklung von WordPress Plugins

Zielgruppe

Administratoren mit Kenntnissen in der Administration von WordPress und Basis-Kenntnissen in PHP sind in diesem Workshop sehr gut aufgehoben.

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag WordPress Security erschien zuerst auf PagelShield.

Übersicht

Anhand des DevSecOps Maturity Models (dsomm.timo-pagel.de), konzipiert durch den Referenten, werden unterschiedliche Dimensionen von Sicherheit in DevOps erläutert.

Die Vermittlung des Inhalts wird durch HandsOn Aufgaben unterstützt, welche ausschließlich anhand von OpenSource Werkzeugen erfolgt.

Inhalte

• Auffrischung DevOps
• Bedrohungen bei einer Build- und Deployment Pipeline
• Maßnahmen zur Härtung einer Build- und Deployment Pipeline
• Docker-Sicherheit inkl. Patch-Management
• Automation von dynamischen und statischen Sicherheits-Tests
• Logging und Monitoring in einer DevOps-Welt
• Optional: Continuous License Scanning

Als Orientierung dient das OWASP DevSecOps Maturity Model mit den Dimensionen

Build and Deployment

Culture

Information Gathering

Infrastructure Hardening

Test and Verification

Zielgruppe

Informations- und IT-Sicherheits-Verantwortliche und DevOps Engineers.

Ausschnitte von Werkzeugen:

• Docker
• Distroless
• OWASP ZAP
• OWASP Dependency Check
• Automation
• Jenkins
• Arachni
• nmap
• Distroless

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag Security Check erschien zuerst auf PagelShield.

Übersicht

Analyse vom aktuellem Stand der Sicherheits-Praktiken und
Aufbau eines Sicherheits-Programms in Iterationen

Eigenverantwortlich und effizient auf Bedrohungen reagieren

Als Orientierung dient das OWASP DevSecOps Maturity Model mit den Dimensionen

Build and Deployment

Culture

Information Gathering

Infrastructure Hardening

Test and Verification

Zielgruppe

Informations- und IT-Sicherheits-Verantwortliche und DevOps Engineers.

Ergebnisse

• Evaluierung vom Sicherheits-Stand der Squads
• Priorisierte Liste an nächsten Aktivitäten

Durch Interviews werden Herausforderungen bezüglich Sicherheit beziehungsweise der Sicherheits-Kultur identifiziert.

Methodik

Learning by doing is one of the most important paradigms. More about the training methodology here.

Trainer

Timo Pagel lässt sein Wissen aus über 20 Jahren im Betrieb und der Entwicklung in seine Trainings einfließen. Als DevSecOps-Berater berät er nicht nur auf der strategischen Ebene sondern legt auch „Hand an“.

Kostenloses Erstgespräch vereinbaren

Kontakt

• web@pagel.pro

Der Beitrag DevSecOps-Assessment erschien zuerst auf PagelShield.