Verteidigungssoftware

Schlüsselkriterien sind relevante Verteidigungserfahrung, Sicherheitszertifikate (ISO 27001, AQAP 2110, FedRAMP), Freigabeverfügbarkeit, NATO-fähige Rechtspersönlichkeit, reale Einsätze (nicht nur Verträge) und die Fähigkeit, unter klassifizierten oder air-gapped Bedingungen zu liefern.

ISO 27001 demonstriert ein dokumentiertes Informationssicherheits-Managementsystem (ISMS), das den gesamten SDLC abdeckt — erforderlich für die meisten NATO-Beschaffungen, oft eine Voraussetzung für die Verarbeitung klassifizierter oder sensibler Kundendaten und eine Grundlage für AQAP-2110-Qualitätsanforderungen.

AQAP 2110 sind die NATO-Qualitätssicherungsanforderungen für Design, Entwicklung und Produktion. Für Software spezifizieren sie Prozesskontrollen, Konfigurationsmanagement, V&V-Anforderungen und Lieferantenpflichten — häufig in NATO-Beschaffungsverträgen verlangt.

Verteidigungs-SDLC erfordert formale V&V, kontrollierte Umgebungen, dokumentiertes Änderungsmanagement, Lieferkettensicherheit (SBOM, Abhängigkeitsherkunft), Sicherheitsfreigaben für Entwickler, klassifiziertes Hosting für Teile des Codes und Assurance gegen spezifische Rahmenwerke wie NIST 800-53 oder AQAP 2110.

DevSecOps in der Verteidigung integriert Sicherheitskontrollen — SAST, DAST, SBOM-Generierung, Abhängigkeitsscanning, Infrastruktursicherheitsprüfungen — direkt in die CI/CD-Pipeline. Jeder Build produziert Nachweisartefakte: Scan-Berichte, Testergebnisse und Compliance-Aufzeichnungen, die sich zu einem auditierbaren Nachweispfad für die Systemakkreditierung ansammeln. Das Ziel ist, Sicherheit kontinuierlich zu machen statt als letzte Kontrollinstanz.

Eine SBOM ist ein maschinenlesbares Inventar jeder Komponente — Open-Source-Bibliotheken, Drittanbieter-Pakete und deren Versionen — in einer Softwarelieferung. Verteidigungsbeschaffungsprogramme fordern SBOMs zunehmend, damit Schwachstellenmanagement-Teams die Exposition bei einem neuen CVE bewerten können, ohne den Code manuell zu prüfen. SBOM-Anforderungen sind bereits in US-DoD- und NATO-RFP-Spezifikationen eingebettet.

Code-Review-Disziplin in klassifizierter Entwicklung geht über Standard-Pull-Requests hinaus: Reviewer müssen die entsprechende Freigabe besitzen; Review-Ergebnisse werden dokumentiert und mit dem Konfigurationsmanagementdatensatz verknüpft; kryptografische Signierung von Commits gewährleistet Nichtabstreitbarkeit; Code-Review-Nachweise werden als Teil des Akkreditierungsnachweispakets aufbewahrt.

Verteidigungssoftware verwendet eine Mischung aus Leistungs-, Sicherheits- und Legacy-Integrationsanforderungen. C++ und Rust für leistungskritische Komponenten (Signalverarbeitung, Echtzeit-Fusion). Python für KI/ML-Pipelines. TypeScript und React für C2-Dashboard-Frontends. Java bleibt in Legacy-NATO-Middleware verbreitet. Go wird zunehmend in Cloud-nativen Microservices eingesetzt.

Viele Verteidigungsprogramme beinhalten klassifizierte Anforderungen, Datenumgebungen und Systemarchitekturen, die nicht mit Personal ohne entsprechende Sicherheitsfreigabe geteilt werden können. Auch bei nicht klassifizierter Entwicklung müssen Mitarbeiter, die an Systemen für später klassifizierte Daten arbeiten, Hintergrundüberprüfungen bestehen, um Akkreditierungsanforderungen zu erfüllen.

Corvus Intelligence entwickelt maßgeschneiderte Verteidigungssoftware in neun Dienstleistungsbereichen: C2-Dashboards, SIGINT-Plattformen, Gefechtsfeld-Datenfusionssysteme, Verteidigungs-Edge-KI, taktische mobile Apps, Verteidigungslogistiksoftware, militärische Cybersicherheitsplattformen, sichere GovCloud-Infrastruktur und militärische Trainingssimulatoren. Das Unternehmen hält ISO 9001:2015-, ISO 27001:2022- und ISO 45001:2018-Zertifizierungen.