# Sichere Software entwickeln. Gemeinsam prüfen.

> Zweitägiges Secure-Development-Training für maximal 25 Teilnehmende. Sicher entwerfen, entwickeln und prüfen. Keine Zertifizierungsgarantie.

Zwei Tage angeleitetes Training für Entwicklerinnen und Entwickler, Reviewer und technische Teamleitungen. Safematix verbindet Threat Modeling, sichere Implementierung und Überprüfung anhand passender Beispiele – statt Sicherheitsregeln nur zu präsentieren. Maximal 25 Teilnehmende pro Gruppe; Agenda und Preis auf Anfrage.

## Zweitägiges Training in kleiner Gruppe.

- **Dauer:** 2 Tage trainergeführtes Training und angeleitete Praxis.
- **Gruppengrösse:** Maximal 25 Teilnehmende pro Gruppe.
- **Durchführung:** Remote oder vor Ort nach Vereinbarung, mit auf Team und Technologie zugeschnittenen Inhalten.
- **Preis:** Pro Gruppe nach der Agenda-Klärung, da der Vorbereitungsaufwand unterschiedlich ausfällt.

## Wenn Ihr Team gemeinsame Grundlagen fürs Entwickeln und Prüfen braucht.

Ausgangspunkt sind die Entwicklungssituationen Ihres Teams. Das Training verbindet Erklärungen mit angeleiteter Praxis; die Teilnahme an einer Präsentation allein wird nicht als Kompetenznachweis dargestellt.

### Reviews hängen stark von einzelnen Personen ab

Verschiedene Entwickler stellen unterschiedliche Sicherheitsfragen oder bewerten denselben Befund anders. Angeleitete Review-Übungen unterstützen gemeinsame Fragen, Beispiele und Prüfschritte. Diese kann Ihr Team anschliessend in den eigenen Review-Prozess übernehmen und dort an die konkreten Anforderungen anpassen.

### Ähnliche Sicherheitsbefunde tauchen wiederholt auf

Authentisierung, Zugriffsprüfungen, Eingabeverarbeitung oder der Umgang mit Geheimnissen können wiederkehrende Themen sein. Safematix untersucht anhand vereinbarter Beispiele die Ursache, vergleicht mögliche Korrekturen und lässt nachvollziehbar prüfen, ob eine Änderung das zugrunde liegende Problem adressiert.

### Ein neuer Stack oder eine Integration verändert die Risiken

Neue APIs, Dienste und externe Integrationen schaffen ungewohnte Datenflüsse und Vertrauensgrenzen. Das Training kann darauf ausgerichtet werden, diese Beziehungen gemeinsam zu modellieren, Missbrauchsszenarien zu erkennen und daraus konkrete Fragen für Design und Code Review abzuleiten.

### Sie benötigen Lernnachweise oder Zertifizierungsvorbereitung

Ein internes Programm oder Zertifizierungsverfahren kann dokumentierte Lernaktivitäten verlangen. Safematix kann Agenda und Unterlagen an Ihren benannten Anforderungen ausrichten. Teilnahme, Übungsnachweise und eine extern anerkannte Zertifizierung bleiben dabei klar getrennt; eine Anerkennung wird nicht zugesichert.

## Schwachstellen verstehen. Kontrollen anwenden. Änderungen prüfen.

Die endgültige Agenda priorisiert die Themen für Ihr Team. Zwei Tage ermöglichen strukturierte Praxis anhand vereinbarter Beispiele, aber keine vollständige Ausbildung für jede Sprache, jedes Framework oder jede Sicherheitsrolle.

### Threat Modeling und sicheres Design

Safematix führt das Team anhand eines geeigneten Beispiels durch Datenflüsse, Vertrauensgrenzen und Missbrauchsszenarien. Die Teilnehmenden verbinden mögliche Angriffspfade mit Designentscheidungen und halten fest, welche Annahmen und Sicherheitsfragen den geplanten Aufbau begleiten müssen.

### Sichere Implementierungsentscheidungen

Safematix betrachtet unter anderem Eingabevalidierung, Ausgabekodierung, Authentisierung, Autorisierung, Geheimnisverwaltung und Abhängigkeiten. Beispiele erläutern, warum eine Kontrolle an eine bestimmte Stelle gehört und weshalb eine zunächst plausibel wirkende Implementierung trotzdem eine Schwachstelle enthalten kann.

### Code Review und Tests

Angeleitete Reviews verbinden Beobachtungen im Code mit Sicherheitsauswirkungen und praktischen Prüfungen. Soweit für die Agenda relevant, bespricht Safematix Befunde statischer oder dynamischer Analysewerkzeuge. Eine Werkzeugmeldung, eine bestätigte Schwachstelle und ein nachweislich wirksamer Fix werden dabei unterschieden.

### Nachweise und wiederholbare Teampraxis

Safematix unterstützt die Teilnehmenden dabei, Prüfgegenstand, Änderungsgrund und Überprüfung nachvollziehbar festzuhalten. Checklisten und Übungsnotizen dienen der internen Weiterarbeit und Zertifizierungsvorbereitung. Eine abgeschlossene Übung wird dabei nicht als unabhängiger Nachweis einer beruflichen Qualifikation ausgegeben.

## Unterlagen, mit denen Ihr Team weiterarbeiten kann.

Das Angebot bestätigt die ausgewählten Beispiele und Materialien. Übungsergebnisse beziehen sich auf die Trainingsumgebung; sie sind kein Penetrationstestbericht über Ihre Produktion und keine Zertifizierung Ihrer Anwendungen.

### Abgestimmte Zweitagesagenda

Die dokumentierte Agenda verbindet Rollen, Technologie und Lernziele mit den ausgewählten Modulen und Übungen. Sie macht die Prioritäten vor der Durchführung sichtbar und zeigt, welche Themen innerhalb der zwei Trainingstage nicht behandelt werden.

### Übungsbeispiele und Referenzmaterial

Vereinbarte Design- oder Codebeispiele veranschaulichen Schwachstellen, passende Kontrollen und mögliche Korrekturen. Erläuternde Unterlagen ermöglichen eine spätere Wiederholung, ohne dass Sie dafür bereits mit der ersten Anfrage sensiblen Produktivcode oder vertrauliche Entwicklungsunterlagen übermitteln müssen.

### Review- und Testcheckliste

Praktische Fragen zu den behandelten Themen verbinden Designannahmen, Implementierungsprüfungen und Verifikation. Ihr Team kann sie an den eigenen Entwicklungsprozess anpassen. Die Checkliste wird nicht als allgemeingültiger Nachweis dargestellt, dass eine Anwendung sicher ist.

### Übungsbefunde und Prüfnotizen

Notizen aus den vereinbarten Übungen halten Beobachtungen, vorgeschlagene Änderungen und durchgeführte Prüfungen fest. Sie helfen den Teilnehmenden, ihre Überlegungen zu erklären und abgeschlossene Aufgaben von offenen Fragen zu unterscheiden. Eine vollständige Bewertung der Produktionsumgebung wird damit nicht behauptet.

### Teilnahmebestätigung und Aktionsplan

Eine Teilnahmebestätigung kann zusammen mit vereinbarten Schritten für weitere Praxis und interne Zuständigkeiten bereitgestellt werden. Sie bestätigt die Teilnahme, keine akkreditierte Qualifikation. Der Aktionsplan zeigt, welche Themen das Team nach dem Training weiter anwenden und überprüfen sollte.

## Engineering und Forschung hinter dem Trainingsangebot.

Das Angebot baut auf Robert Ressls technischem Hintergrund auf. Die Beispiele betreffen Engineering, Offensive Security und öffentliche Arbeiten – sie behaupten weder dokumentierte Lehrmandate noch eine Akkreditierung des Kurses.

### Offensive Security und Forschung auf Codeebene

Zu Roberts öffentlichen Arbeiten gehört die Offenlegung einer kritischen Schwachstelle in WordPress Core. Seine öffentlich verifizierten Zertifizierungen sind OSWE, OSEP und OSCP. Das bietet konkrete technische Grundlagen für die Auseinandersetzung mit Angriffspfaden, Implementierungsfehlern und den Grenzen vorgeschlagener Korrekturen.

### Systeme und produktionsnahes Engineering

Sein öffentlicher CV umfasst über 20 Jahre Systemerfahrung, darunter Linux, DevOps, Cloud-Architektur und Security Consulting. Dieser Hintergrund verbindet Entscheidungen auf Anwendungsebene mit Deployment, Identitäten, Netzwerken und Betriebsverantwortung, statt sichere Implementierung als isolierte Tätigkeit zu behandeln.

### Öffentliches KI-Security-Engineering

Roberts veröffentlichte Arbeiten umfassen MCP-Security-Werkzeuge, Modellartefakte und Inferenzplattform-Engineering. Sie liefern einsehbare Beispiele zu Vertrauensgrenzen, Kontrollmechanismen und Bewertungsgrenzen. Das sind technische Nachweise, aber keine Aussage darüber, dass ein Trainingskurs von einer externen Stelle genehmigt wurde.

## Zwei Trainingstage mit Vorbereitung und klarer Übergabe.

Die Auftragsklärung erfolgt vor der Durchführung. Lernen, praktische Reviews und Abschluss finden innerhalb der zwei Trainingstage statt; die vier Schritte bedeuten nicht vier Trainingstage.

### Vor dem Training: Prioritäten vereinbaren

Safematix klärt Rollen, Technologie und die Situationen, die das Training behandeln soll. Safematix wählt Beispiele und Lernziele aus, prüft bereitgestellte Zertifizierungsanforderungen und bestätigt die Zweitagesagenda sowie praktische Voraussetzungen schriftlich.

**Ergebnisse:**
- Team- und Technologieübersicht
- Vereinbarte Zweitagesagenda
- Vorbereitungs- und Zugriffsliste

**Ihr Beitrag:** Nennen Sie Rollen, gewünschte Ergebnisse und externe Anforderungen und bestätigen Sie eine Gruppe mit höchstens 25 Personen.

### Tag 1: Verstehen und modellieren

Angeleitete Erklärungen werden mit Design- und Threat-Modeling-Übungen verbunden. Safematix unterstützt die Teilnehmenden dabei, Datenwege nachzuvollziehen, Vertrauensgrenzen zu erkennen und Missbrauch zu diskutieren. Sicherheitsanforderungen erhalten so eine nachvollziehbare Grundlage vor der Implementierungsentscheidung.

**Ergebnisse:**
- Beispielhaftes Bedrohungsmodell
- Designannahmen und Kontrollentscheidungen
- Erste Review-Fragen

**Ihr Beitrag:** Arbeiten Sie aktiv mit und erläutern Sie relevante Rahmenbedingungen anhand nicht sensibler Beispiele.

### Tag 2: Prüfen, ändern und verifizieren

Die Teilnehmenden bearbeiten die vereinbarten Coding-, Review- oder Testaufgaben mit Anleitung. Aus Befunden entstehen mögliche Korrekturen, die anhand der Sicherheitsanforderungen des Beispiels überprüft werden. Eine geänderte Implementierung gilt damit nicht automatisch als verifiziertes Ergebnis.

**Ergebnisse:**
- Review-Notizen zu den Übungen
- Vorgeschlagene Korrekturen
- Prüf- und Verifikationsnotizen

**Ihr Beitrag:** Bearbeiten Sie die vereinbarten Übungen, stellen Sie Fragen und dokumentieren Sie die Überlegungen hinter Ihren Änderungen.

### Abschluss an Tag 2: Festigen und weiterarbeiten

Safematix schliesst mit einem praktischen Review der Arbeiten und offenen Fragen ab. Safematix hält weitere Übungsmöglichkeiten, Zuständigkeiten und Unterlagen für interne Reviews oder Zertifizierungsvorbereitung fest, ohne ein externes Prüfungsergebnis zu behaupten.

**Ergebnisse:**
- Teilnahmebestätigung auf Wunsch
- Aktionsplan für das Team
- Nachweischeckliste

**Ihr Beitrag:** Bewahren Sie die Unterlagen auf, benennen Sie Verantwortliche für die Weiterarbeit und bestimmen Sie die interne Bewertung von Kompetenz und Nachweisen.

## Zwei Tage. Eine definierte Gruppe. Ein abgestimmtes Angebot.

Der Preis wird pro Gruppe nach der Agenda-Klärung festgelegt, da der Vorbereitungsaufwand unterschiedlich ausfällt. Das Format umfasst zwei Tage für maximal 25 Teilnehmende, remote oder vor Ort nach Vereinbarung. Safematix bestätigt Agenda, Verantwortlichkeiten und Preis schriftlich. Das Training ist keine akkreditierte Zertifizierung und garantiert weder eine Zertifizierung noch die Anerkennung durch eine Zertifizierungsstelle.

Alle Paketpreise und Tagessätze verstehen sich exkl. allfälliger MwSt. sowie vorab genehmigter Reise- und Drittkosten, sofern nicht ausdrücklich im Auftragsformular enthalten. Fixpreispakete gelten im genannten Umfang. Scope, Autorisierung und Starttermin werden vor Arbeitsbeginn schriftlich vereinbart. Die Zuordnung zu regulatorischen Anforderungen erfolgt technisch und ist keine Rechtsberatung. Einsparungen und Compliance werden nicht zugesichert.

## Fragen zur Planung des Trainings.

### Ist dies eine akkreditierte Zertifizierung oder ein garantierter Weg dorthin?

Nein. Das Training ist keine akkreditierte Zertifizierung und garantiert weder ein Prüfungsergebnis noch die Anerkennung durch eine Zertifizierungsstelle. Safematix kann die Agenda an Ihren benannten Anforderungen ausrichten und eine Teilnahmebestätigung bereitstellen. Ob die Unterlagen für Ihr Verfahren genügen, entscheidet die zuständige Stelle; Teilnahme belegt nicht automatisch Kompetenz.

### Wie lange dauert das Training, und wie viele Personen können teilnehmen?

Die Durchführung dauert zwei Tage; eine Gruppe umfasst maximal 25 Teilnehmende. Wenn Sie mehr Personen einplanen, muss die Aufteilung in weitere Gruppen separat vereinbart werden. Das Angebot bestätigt Gruppengrösse, Agenda und organisatorische Voraussetzungen vor der Buchung. Die Grenze gilt auch für eine Remote-Durchführung.

### Für wen ist das Training gedacht?

Es richtet sich an Entwicklerinnen und Entwickler, Reviewer und technische Teamleitungen, die Sicherheitsfragen auf ihre Arbeit anwenden müssen. Safematix klärt Vorwissen und Beispiele während der Auftragsklärung. Zwei Tage können nicht alle Rollen und Technologien gleichermassen abdecken; die Agenda priorisiert deshalb die für Ihre Gruppe relevanten Situationen.

### Lässt sich unser Stack oder eigener Code verwenden?

Beispiele und Schwerpunkte können an den vereinbarten Stack angepasst werden. Für die erste Abstimmung genügt eine nicht sensible Übersicht; senden Sie keinen Produktivcode und keine Geheimnisse über die Erstanfrage. Eine geschützte Übung mit Kundencode benötigt eine separate Vereinbarung zum Umgang damit. Sie ist nicht automatisch ein produktives Security Assessment.

### Was nimmt das Team aus dem Training mit?

Zu den vereinbarten Unterlagen können Agenda, Beispiele, Review-Fragen, Übungsnotizen und ein Aktionsplan für weitere Praxis gehören. Eine Teilnahmebestätigung kann bereitgestellt werden. Diese Ergebnisse helfen, Überlegungen und Prüfschritte erneut aufzugreifen. Sie garantieren keinen künftig schwachstellenfreien Code und ersetzen weder laufende Reviews noch die Verantwortung des Teams.

### Was kostet das Training, und ist es remote möglich?

Der Preis wird auf Anfrage pro Gruppe festgelegt; Leistungsumfang und Agenda werden vor dem Start schriftlich bestätigt. Die Durchführung ist remote oder vor Ort nach Vereinbarung möglich. Das Angebot benennt die vereinbarte Vorbereitung und praktische Voraussetzungen. So beurteilen Sie Format und Preis gemeinsam, statt aus Beratungs-Tagessätzen einen Trainingspreis abzuleiten.

## Zwei fokussierte Tage für Ihr Team planen.

Nennen Sie Safematix die vorgesehenen Teilnehmenden, Ihren Stack und die Entwicklungsfragen oder Nachweisanforderungen, die Sie bearbeiten möchten. Safematix definiert eine Zweitagesagenda für höchstens 25 Personen und bestätigt das Angebot schriftlich. Bitte senden Sie keinen sensiblen Code und keine Zugangsdaten. Ich antworte persönlich, in der Regel innerhalb eines Arbeitstages (Mo–Fr, MEZ).

[Trainingsvorschlag anfragen](https://safematix.com/de/?service=secure-development-training#contact)