Von den Anforderungen zum Nachweis: Ein LLM-gestütztes Framework zur Bewertung der Sicherheitskonformität

Projektzusammenfassung

Regulierte Softwaresysteme müssen Sicherheits- und Datenschutzanforderungen erfüllen, doch dokumentationsbasierte Audits können die Compliance (Regeltreue) für sich kontinuierlich weiterentwickelnde Systeme nicht garantieren. Diese Arbeit stellt ein LLM-gestütztes Observability-Framework zur automatisierten Überprüfung der Compliance zur Laufzeit vor. Der Ansatz nutzt Large Language Models, um naturalsprachliche Anforderungen in maschineninterpretierbare Compliance-Modelle zu überführen, die anschließend automatisierten Sicherheitstests zugeordnet werden. Diese Tests sammeln und bewerten Laufzeitnachweise über mehrere Ebenen hinweg, einschließlich Netzwerkdiensten, TLS-Handshakes, X.509-Zertifikaten, HTTP-Kommunikation und API-Verhalten. Wenn die Testabdeckung unvollständig ist, schlägt das Framework proaktiv alternative Testansätze vor. Das Framework wird anhand der Anforderungen der deutschen Telematikinfrastruktur als Fallstudie und des OWASP Juice Shop als Zielsystem evaluiert. Die Ergebnisse zeigen, wie die Kombination aus LLM-gestützter Operationalisierung von Anforderungen und Laufzeit-Observability die Lücke zwischen normativen Anforderungen und dem tatsächlichen Systemverhalten schließt.

Lebenslauf von Duaa Adel Ali Elsof

Duaa Adel Ali Elsofi absolvierte einen Bachelorabschluss in Medizintechnik und anschließend einen Masterabschluss in Angewandter Physik an der Hochschule Koblenz. Derzeit ist sie Doktorandin am Institut für Softwaretechnik der Universität Koblenz unter der Betreuung von Prof. Dr. Jan Jürjens. Ihre Forschung innerhalb des Forschungskollegs Data2Health beschäftigt sich mit der Optimierung von Gesundheitsnetzwerken.

Darüber hinaus arbeitet sie als Themenverantwortliche bei der SRC Security Research & Consulting GmbH und beschäftigt sich dort mit der Sicherheits- und Compliance-Bewertung von Produkten im Gesundheitswesen, insbesondere im Umfeld der deutschen Telematikinfrastruktur und gematik-Spezifikationen.