Bank of America hat laut einem Bericht von Golem rund 1.000 externe Ingenieure hinzugezogen, um Code-Patches abzuarbeiten – nach einem Einsatz, den die Publikation „Mythos" nennt.
Die Zahl ist die Geschichte. Ein Sanierungsaufwand dieser Größe deutet auf einen Rückstand hin, den eine normale Sicherheitsabteilung einer Bank allein nicht bewältigen kann – der klassische Folgeneffekt von Werkzeugen, die das Finden von Problemen drastisch verbilligen. Das Entdecken ist heute oft der schnelle Teil; Prüfen, Testen und Ausliefern der Korrektur in einer großen, regulierten Codebasis sind es nicht.
Die Substanz des Berichts liegt in den Details – Umfang des Auftrags, betroffene Systeme, Zeitplan – und die liest man am besten an der Quelle.
Verallgemeinern lässt sich: Unternehmen, die automatisierte Sicherheitsprüfungen aggressiv einsetzen, sollten die folgende Patch-Welle einplanen. Das heißt Kapazität für Review und Release-Engineering, nicht nur für Scans; eine Triage, die Befunde nach tatsächlicher Ausnutzbarkeit statt nach Rohzahl sortiert; und Governance für die Auftragnehmer, die einen Großteil der Arbeit leisten, denn externe Ingenieure mit Zugriff auf Produktionscode bringen eigene Lieferketten- und Zugriffsrisiken mit.
Für Banken kommt eine zusätzliche Einschränkung hinzu. Ihre Release-Zyklen unterliegen der Aufsicht, Mainframes und Systeme aus der COBOL-Ära reagieren unwillig auf schnelle Änderungen, und jede berührte Zeile muss nachvollziehbar sein.
