Auf einen Blick
- Aikido SAST und SCA, die über die GitHub-Integration in allen Repositories ausgeführt werden
- Das IntelliJ-Plugin gibt Entwickelnden Feedback beim Schreiben von Code
- Die Jira-Integration wandelt Funde in Behebungstickets um, die Entwickelnde bearbeiten
- Aikido AI Pentest für das neue Kundenportal in 1 Stunde und 40 Minuten abgeschlossen
- Ein Fund mit hohem Schweregrad vor der Veröffentlichung des Portals behoben
- Der Pentest wurde im White-Box-Modus ausgeführt, da Aikido bereits Zugriff auf das Repository hatte
- Evaluierung im Vergleich zu Veracode, Checkmarx und Snyk
Herausforderung
Die First National Bank of America ist eine familiengeführte, bundesweit lizenzierte Bank mit Hauptsitz in East Lansing, Michigan. FNBA vergibt im ganzen Land Kredite an Kreditnehmende, die nicht den Standardkriterien für Hypotheken entsprechen, und bis vor Kurzem blieb fast alles, was die Entwickelnden der Bank bauten, innerhalb der Bank.
Mit dem Wachstum der Bank stiegen auch die Erwartungen der Aufsichtsbehörden, und die FNBA machte sich daran, den Entwicklungsprozess, der bisher die Codequalität und die Java-Prüfung umfasste, um eine Sicherheitsprüfung zu erweitern. Eric Tucker, Leiter der Softwareentwicklung, wollte zudem bekannte Lücken in den älteren hauseigenen Anwendungen schließen, die auf einem datenbankintensiven Java-Framework aus den frühen 2000er Jahren basieren.
Dann kam das Kundenportal. Matt Keeler, Identity and Access Management Engineer, hatte jahrelang externe und interne Netzwerk-Pentests bei FNBA durchgeführt, aber der Anwendungscode der Bank war vor diesem Projekt durch andere Kontrollen geschützt geblieben. Das Portal änderte dies, und als bundesstaatlich reguliertes Finanzinstitut musste FNBA die Anwendung vor der Veröffentlichung einem Pentest unterziehen.
Lösung
Das Entwicklungsteam machte den ersten Schritt. Eric und seine Kolleginnen und Kollegen führten die Evaluierung durch, und wie schnell Aikido eine Verbindung zu den bestehenden Systemen von FNBA herstellte, spielte eine entscheidende Rolle bei der Entscheidung.
"Die GitHub-Integration war wirklich unkompliziert. Es war für uns sehr einfach und schnell eingerichtet auf all unseren Repos."
Eric Tucker
Aikido statische Codeanalyse und Open-Source-Abhängigkeiten werden nun in allen Repositories der FNBA gemeldet, und Erics Team bearbeitet diese regelmäßig. Das IntelliJ-Plugin gibt Entwicklern während des Programmierens Feedback, die Ergebnisse werden in Pull-Anfragen auf GitHub angezeigt, und Benachrichtigungen weisen auf neue kritische Probleme hin, sobald diese auftreten. Durch die Jira-Integration werden diese Ergebnisse in Tickets umgewandelt, die jeder Entwickler übernehmen kann.
"Wir weisen ihnen Versions-Updates oder Änderungen bei SQL-Injections zu, während wir versuchen, die Schwachstellen in unseren internen Anwendungen zu reduzieren. Alle Entwickelnden mit einem GitHub-Login können sich anmelden, eine Schwachstelle auswählen und sie beheben, das Ticket erstellen und es danach durch unseren SDLC laufen lassen. Ab diesem Punkt ist es sehr einfach."
Eric Tucker
Als das Portal bereit war, übernahm die Sicherheitsabteilung. Matt führte im März 2026 einen Aikido AI Pentest durch. Dieser war nach 1 Stunde und 40 Minuten abgeschlossen und lieferte offene Probleme, jeweils mit einem Schweregrad und einer geschätzten Behebungszeit versehen. Dies ermöglichte es Matt, Prioritäten zu setzen und die Behebung direkt an die Entwickelnden zu übergeben. Der Pentest ergab einen Fund mit hohem Schweregrad, den FNBA vor der Veröffentlichung des Portals behob.
Warum sich die First National Bank of America für Aikido entschieden hat
FNBA evaluierte vier oder fünf Produkte und nannte dabei unter anderem Veracode, Checkmarx und Snyk. Mitten im Prozess wies das Team auf eine Erkennungslücke hin, die im eigenen Codebase geschlossen werden musste. Aikido entwickelte und lieferte die Funktion, während FNBA noch die anderen Evaluierungen durchging, was die Entscheidung besiegelte.
Die Entscheidung für den Pentest fiel später und ergab sich aus der ersten. Aikido war bereits für die Codesicherheit mit den Repositories von FNBA verbunden, sodass ein Pentest den Code besser analysieren konnte, anstatt die Anwendung von außen anzugreifen.
"Dieser White-Box-Pentest hatte eine größere Wirkung, da er den Kontext aller Repositories kannte und korrelieren konnte, wie sich Dinge in der Realität auswirken würden."
Matt Keeler
FNBA stand zudem unter Zeitdruck und benötigte schnell und zuverlässig einen Pentest.
"Wir hatten eine knappe Frist und konnten einfach einen Pentest starten, was fantastisch war. Wir konnten innerhalb eines Tages, nachdem wir uns für den Einsatz von Aikido entschieden hatten, einen Pentest durchführen."
Matt Keeler
Was die Entscheidung beeinflusste:
- GitHub-Integration, die jedes Repository im Handumdrehen abdeckt
- Von FNBA gewünschte Erkennung, die mitten in der Evaluierungsphase entwickelt und bereitgestellt wurde
- IntelliJ-Plugin für direktes Feedback für Entwickelnde
- Jira-Integration, die sich nahtlos in den bestehenden SDLC einfügt
- Repository-Kontext, der den Pentest standardmäßig zu einem White-Box-Test machte
- Ein Pentest, den das Team innerhalb eines Tages nach der Entscheidung starten konnte
Ergebnisse
Dank der schnellen Durchführung des Pentests ging das Portal online, nachdem das gefundene Problem mit hohem Schweregrad bereits behoben war. Nach Matts eigener Einschätzung hätte das Team das Ziel zwar auch so erreicht, aber eben Wochen oder ein bis zwei Monate später.
Was die Entwicklung angeht, ist das Ergebnis eine Bilanz, die Eric internen und externen Prüfern vorlegen kann.
"Wir beheben gefundene Probleme kontinuierlich, erhalten regelmäßig Berichte über neue Schwachstellen sowie Abhängigkeitsprobleme und korrigieren diese umgehend."
Eric Tucker
Auch die Einrichtungszeit spielte eine Rolle: Eric bewertet die Einrichtung und Integration von Aikido als unkompliziert im Vergleich zu dem Aufwand, den andere Produkte sein Team gekostet hatten, bevor sie überhaupt mit der Evaluierung beginnen konnten.
Fazit
"Die Möglichkeit, sofort einen Pentest zu starten, und das zu diesem Preis, hat uns einen unglaublichen Mehrwert geboten."
Matt Keeler
