Engineering und Markt für Verteidigungssoftware

DevSecOps in der Verteidigung integriert Sicherheitskontrollen (SAST, SCA, SBOM, signierte Artefakte, Runtime-Policy) in die CI/CD-Pipeline, sodass jeder Build belegfähig für die ATO ist. Ziel ist der Übergang von jährlichen Akkreditierungsprüfungen zu kontinuierlicher Autorisierung, bei der jeder Merge die Artefakte erzeugt, die eine autorisierende Stelle benötigt.

Technische Schulden müssen mit derselben Strenge wie Risiken geführt werden: protokollieren, die Auswirkungen auf Missionsverfügbarkeit und Cyber-Posture bewerten und einen festen Prozentsatz jedes Sprints für Abbau einplanen. Programme, die Schulden dauerhaft aufschieben, zahlen sie in einer Krise zurück — der schlechteste Zeitpunkt für Refactoring.

Event-driven, API-first und offline-tolerant. CQRS- oder Outbox-Pattern erlauben Edge-Knoten den Disconnect-Betrieb und das Abgleichen bei Wiederherstellung der Verbindung. Das Domain-Model bleibt identisch über taktische und Enterprise-Ebenen — nur Transport (LoRa, SATCOM, Glasfaser) und Sync-Kadenz ändern sich.

Ein SBOM listet jede Komponente, Version und Lizenz in einem Binary, sodass Programm-Offices auf eine CVE wie Log4Shell in Stunden statt Wochen reagieren können. Die US-Executive Order 14028 und die NATO-Lieferketten-Vorgaben verlangen heute SBOMs (CycloneDX oder SPDX) für jede an die Regierung gelieferte Software.

Automatisiere die Nachweise: Jeder Pipeline-Lauf erzeugt Testergebnisse, Schwachstellenscans, SBOM und signierte Provenance, die der Akkreditierer benötigt. Die agile Kadenz bleibt erhalten, und das ATO-Paket wird auf Abruf regeneriert, statt am Ende einer Programmphase manuell zusammengestellt zu werden.