Schulung · GitHub Copilot · Security & DevSecOps

GitHub Copilot für Security- und DevSecOps-Teams

GitHub Copilot professionell nutzen: Completion, Chat, Agent Mode, Coding Agent für Issues und PRs, Code Review und Enterprise-Policies.

Dauer
2 Tage (14 Std.)
Format
Online oder vor Ort
Sprache
Deutsch oder Englisch
Teilnehmende
offene Termine oder exklusiv für Ihr Team
Abschluss
Teilnahmebescheinigung

Überblick

In diesem Kurs verbinden wir GitHub Copilot mit den typischen Abläufen im Bereich Security & DevSecOps. Die Teilnehmenden arbeiten an realistischen Szenarien und nehmen sofort einsetzbare Prompts, Workflows und Checklisten mit.

GitHub Copilot hat sich von der reinen Code-Vervollständigung zu einer umfassenden KI-Plattform entwickelt, die den gesamten Entwicklungsprozess begleitet. Im Editor unterstützen Sie Inline-Vorschläge, Next Edit Suggestions und Copilot Chat; im Agent Mode bearbeitet Copilot Aufgaben über mehrere Dateien hinweg und führt Befehle aus. Auf GitHub selbst übernimmt der Coding Agent zugewiesene Issues und liefert Pull Requests. In diesem zweitägigen Training lernen Sie, diese Bausteine gezielt einzusetzen und in Ihren bestehenden Entwicklungsprozess sauber zu integrieren.

Neben der Praxis im Editor geht es um Steuerung und Qualität: Mit Custom Instructions und Prompt-Dateien geben Sie Copilot Projektwissen mit, über MCP binden Sie zusätzliche Werkzeuge an, und mit Copilot Code Review ergänzen Sie den menschlichen Review-Prozess. Für Verantwortliche in Teams und Organisationen behandeln wir Richtlinien auf Organisations- und Enterprise-Ebene, Content Exclusions, Modellfreigaben und Auswertungen der Nutzung. So schaffen Sie die Grundlage für einen sicheren, nachvollziehbaren und wirksamen Einsatz von Copilot im gesamten Unternehmen.

KI-Coding-Assistenten und Agenten verändern die Anwendungssicherheit von zwei Seiten: Sie beschleunigen Threat Modeling, Code-Reviews und das Schreiben von Detection-Regeln, erzeugen aber gleichzeitig neuen Code in einem Tempo, dem klassische Security-Gates kaum folgen. Security- und DevSecOps-Teams nutzen KI daher, um SAST-Funde zu triagieren, Fixes für Schwachstellen vorzuschlagen, CI/CD-Pipelines mit Prüfschritten zu härten und Infrastructure-as-Code auf Fehlkonfigurationen zu untersuchen. Entscheidend ist ein kontrollierter Rahmen: Agenten mit minimalen Rechten, keine Secrets im Prompt-Kontext, nachvollziehbare Änderungen per Pull Request und menschliche Freigabe für sicherheitskritische Entscheidungen. Im Kurs lernen Sie, KI als Verstärker Ihres Security-Programms einzusetzen und zugleich die neuen Risiken durch generierten Code, Prompt Injection und unsichere Tool-Anbindungen zu beherrschen.

Das Training findet live statt – wahlweise online im virtuellen Klassenraum oder vor Ort in unseren Trainingsräumen in München, Salzburg, Berlin, Augsburg, Hannover, Bremen, Stuttgart und Kaiserslautern. Auf Wunsch kommen wir auch exklusiv für Ihr Team zusammen.

Für wen ist das Training?

  • Application-Security-Engineers und Security Champions in Entwicklungsteams
  • DevSecOps- und Platform-Engineers, die CI/CD-Pipelines verantworten
  • Penetrationstester:innen und Red-Team-Mitglieder
  • SOC-Analyst:innen und Detection Engineers
  • Entwickler:innen mit Verantwortung für sichere Software-Lieferketten

Typische Herausforderungen, die wir adressieren

  • Flut an SAST-, DAST- und SCA-Funden mit hohem Anteil an False Positives
  • Security-Reviews werden zum Engpass, weil Entwicklungsteams mit KI deutlich mehr Code liefern
  • Fehlkonfigurationen in Terraform, Kubernetes-Manifests und Cloud-Policies bleiben unentdeckt
  • Neue Angriffsflächen durch LLM-Integrationen, Prompt Injection und Agenten mit weitreichenden Rechten

Das können Sie nach dem Training

  • Sie nutzen Completion, Chat und Agent Mode von Copilot zielgerichtet für Ihre täglichen Entwicklungsaufgaben.
  • Sie hinterlegen Projektwissen in Custom Instructions und Prompt-Dateien und verbessern damit die Ergebnisqualität.
  • Sie delegieren geeignete Issues an den Coding Agent und prüfen dessen Pull Requests sachgerecht.
  • Sie integrieren Copilot Code Review sinnvoll in Ihren bestehenden Review-Prozess.
  • Sie setzen KI-Agenten für Triage, Review und Fix-Erstellung ein, ohne die Kontrolle über sicherheitskritische Änderungen abzugeben.
  • Sie integrieren KI-gestützte Prüfschritte in CI/CD-Pipelines und verknüpfen sie mit bestehenden SAST-, SCA- und IaC-Scannern.
  • Sie bewerten und mitigieren die spezifischen Risiken von KI-generiertem Code, Prompt Injection und Agenten-Tool-Zugriffen.

Inhalte & Ablauf

Tag 1

Modul 1 Copilot im Editor: Completion und Chat
  • Inline-Vorschläge und Next Edit Suggestions effizient annehmen, ablehnen und steuern
  • Copilot Chat für Erklärungen, Fehlersuche und Testgenerierung nutzen
  • Kontext gezielt über Dateien, Auswahl, Workspace und Chat-Variablen setzen
  • Modellauswahl und Unterschiede zwischen IDEs wie VS Code, Visual Studio und JetBrains
Modul 2 Agent Mode und Erweiterungen
  • Mehrstufige Aufgaben im Agent Mode planen und kontrolliert ausführen lassen
  • Terminalbefehle, Testläufe und Fehlerrückmeldungen in den Agenten-Loop einbinden
  • MCP-Server für zusätzliche Werkzeuge und Datenquellen anbinden
  • Änderungen prüfen, teilweise übernehmen oder zurücksetzen
Modul 3 Projektwissen mit Custom Instructions
  • Repository-weite Instructions für Architektur, Stil und Tests formulieren
  • Pfadspezifische Instructions und wiederverwendbare Prompt-Dateien anlegen
  • Persönliche und organisationsweite Vorgaben sinnvoll kombinieren
  • Instructions anhand der Ergebnisqualität laufend verbessern
Modul 4 Coding Agent und Code Review auf GitHub
  • Issues so formulieren, dass der Coding Agent sie zuverlässig umsetzen kann
  • Pull Requests des Agenten prüfen, kommentieren und iterieren lassen
  • Copilot Code Review als ergänzende Prüfinstanz im PR-Prozess einsetzen
  • Entwicklungsumgebung des Agenten über Setup-Schritte und Actions konfigurieren

Tag 2

Modul 5 Administration, Policies und Sicherheit
  • Lizenzzuweisung und Richtlinien auf Organisations- und Enterprise-Ebene
  • Content Exclusions, Modellfreigaben und Filter für öffentlichen Code
  • Audit-Logs und Nutzungsmetriken für Steuerung und Einführung auswerten
  • Sicherheitsrisiken, Secrets und Verantwortlichkeiten für KI-generierten Code klären
Modul 6 Praxislabor: Security & DevSecOps
  • Threat Modeling beschleunigen
  • SAST-Funde triagieren
  • Secure Code Review
  • IaC und Container härten
  • Detection Engineering
  • Supply Chain absichern
Modul 7 Datenschutz, Qualität & Transfer in den Alltag
  • Quellcode, Schwachstelleninformationen und Logs sind hochsensibel: Sie lernen, welche Daten an KI-Dienste übergeben werden dürfen, wie Secrets aus dem Kontext ferngehalten werden und wie KI-Einsatz zu den Anforderungen aus NIS2, Cyber Resilience Act, DSGVO und EU AI Act passt.
  • Spielregeln für den sicheren KI-Einsatz im Team
  • Ergebnisse prüfen: Fakten, Quellen, Tests und Vier-Augen-Prinzip
  • Persönlicher Umsetzungsplan für die nächsten 30 Tage
  • Offene Fragen, Ausblick und Ressourcen zum Weiterlernen

Praxisszenarien aus Ihrem Bereich

Threat Modeling beschleunigen

Aus Architekturbeschreibungen und Datenflussdiagrammen STRIDE-basierte Bedrohungsanalysen ableiten, Vertrauensgrenzen identifizieren und konkrete Gegenmaßnahmen als prüfbare Anforderungen für das Backlog formulieren lassen. Bei Architekturänderungen wird das Modell gezielt aktualisiert statt neu erstellt.

SAST-Funde triagieren

Statische Analyseergebnisse mit dem tatsächlichen Code-Kontext abgleichen, Erreichbarkeit und Ausnutzbarkeit bewerten, False Positives begründet markieren und für echte Schwachstellen minimal-invasive Fixes als Pull Request vorbereiten.

Secure Code Review

Pull Requests gezielt auf Injection, fehlerhafte Autorisierung, unsichere Deserialisierung und Kryptografie-Fehler prüfen lassen, mit Verweis auf OWASP-Kategorien und nachvollziehbarer Begründung für jedes Finding. Hinweise erscheinen direkt als Review-Kommentare.

IaC und Container härten

Terraform-Module, Helm-Charts und Dockerfiles auf überprivilegierte Rollen, offene Ports, fehlende Verschlüsselung und unsichere Base-Images analysieren und gehärtete Varianten mit Policy-as-Code-Regeln erzeugen. Abweichungen werden bereits im Pull Request sichtbar.

Detection Engineering

Sigma-Regeln, YARA-Signaturen und SIEM-Abfragen aus Bedrohungsbeschreibungen entwerfen, mit Testdaten validieren und Dokumentation zu Angriffstechniken nach MITRE ATT&CK automatisch ergänzen. So entstehen getestete Regeln deutlich schneller und konsistenter als bei manueller Erstellung.

Supply Chain absichern

SBOMs auswerten, verwundbare Abhängigkeiten priorisieren, Update-Pfade inklusive Breaking Changes analysieren und Pipeline-Schritte für Signierung, Provenance und Dependency-Pinning automatisiert ergänzen. Update-Pull-Requests enthalten eine verständliche Zusammenfassung der Risiken und notwendigen Code-Anpassungen.

Mögliche Praxisprojekte im Kurs

Finding-Triage-Bot

Ein Skript, das SARIF-Dateien aus der Pipeline einliest, Funde dedupliziert, mit Code-Kontext anreichert und priorisierte Tickets mit Fix-Vorschlag erzeugt. Doppelte Meldungen verschwinden dabei zuverlässig.

Secret-Scanner-Hook

Ein Pre-Commit-Hook mit eigenen Erkennungsmustern für interne Token-Formate, Allowlist-Verwaltung und verständlichen Hinweisen, wie geleakte Secrets rotiert werden. Er läuft lokal und in der CI.

Threat-Model-Generator

Eine kleine Web-App, die aus einer Systembeschreibung ein strukturiertes Bedrohungsmodell mit Datenflüssen, Risiken und Maßnahmen als exportierbares Dokument erstellt. Die Vorlagen orientieren sich an STRIDE.

Voraussetzungen

Sie entwickeln regelmäßig Software, arbeiten mit Git und GitHub (Issues, Pull Requests) und nutzen eine moderne IDE. Sie verfügen über Erfahrung in der Softwareentwicklung oder im Betrieb sowie über Grundkenntnisse in Anwendungssicherheit, etwa zu OWASP Top 10 und CI/CD-Pipelines.

Technische Voraussetzungen

Eigener Laptop mit VS Code oder einer JetBrains-IDE, installierter Copilot-Erweiterung und einem GitHub-Konto mit aktiver Copilot-Lizenz; für den Coding Agent wird ein passender Plan benötigt.

Datenschutz & Compliance

Quellcode, Schwachstelleninformationen und Logs sind hochsensibel: Sie lernen, welche Daten an KI-Dienste übergeben werden dürfen, wie Secrets aus dem Kontext ferngehalten werden und wie KI-Einsatz zu den Anforderungen aus NIS2, Cyber Resilience Act, DSGVO und EU AI Act passt.

Terminvorschläge

Alle Termine sind Vorschläge – Ihr Wunschtermin ist jederzeit möglich.

  • Mo, 23. November 2026 – Di, 24. November 2026 Online Anfragen
  • Mo, 30. November 2026 – Di, 1. Dezember 2026 Augsburg Anfragen
  • Mo, 14. Dezember 2026 – Di, 15. Dezember 2026 Online Anfragen
  • Do, 14. Januar 2027 – Fr, 15. Januar 2027 Online Anfragen
  • Do, 28. Januar 2027 – Fr, 29. Januar 2027 Kaiserslautern Anfragen
  • Do, 4. Februar 2027 – Fr, 5. Februar 2027 Online Anfragen

Häufige Fragen

Was ist der Unterschied zwischen Agent Mode und Coding Agent?

Der Agent Mode läuft in Ihrer IDE: Sie arbeiten interaktiv mit Copilot, sehen jeden Schritt und geben Befehle frei. Der Coding Agent arbeitet dagegen eigenständig auf GitHub, sobald Sie ihm ein Issue zuweisen, nutzt eine eigene Ausführungsumgebung und legt einen Pull Request an, den Sie anschließend wie den Beitrag eines Teammitglieds prüfen.

Wie stellen wir sicher, dass Copilot unsere Unternehmensrichtlinien einhält?

Auf Organisations- und Enterprise-Ebene lassen sich Funktionen, Modelle und Erweiterungen gezielt freigeben oder sperren. Content Exclusions halten sensible Dateien aus dem Kontext heraus, und Audit-Logs machen die Nutzung nachvollziehbar. Im Kurs zeigen wir, wie Sie diese Hebel mit Datenschutz, Informationssicherheit und internen Coding-Standards zusammenbringen.

Lohnt sich der Kurs, wenn wir Copilot schon länger nutzen?

Ja, gerade dann. Viele Teams nutzen nur die Vervollständigung und lassen Chat, Agent Mode, Custom Instructions und den Coding Agent weitgehend ungenutzt. Der Kurs zeigt, wie Sie diese Funktionen strukturiert einsetzen, Ergebnisse durch Projektwissen verbessern und typische Fehlerquellen vermeiden. Erfahrene Nutzer profitieren besonders von den Abschnitten zu Review und Governance.

Ist KI-generierter Code ein Sicherheitsrisiko?

KI-Assistenten reproduzieren mitunter unsichere Muster, veraltete Bibliotheken oder erfundene Paketnamen. Das Risiko ist beherrschbar, wenn generierter Code dieselben Prüfungen durchläuft wie handgeschriebener: Code-Review, SAST, Dependency-Scanning und Tests. Im Kurs etablieren Sie genau diese Leitplanken und nutzen KI zugleich selbst, um Schwachstellen schneller zu finden und zu beheben.

Darf ein KI-Agent Sicherheitsfixes selbstständig einspielen?

Wir empfehlen ein abgestuftes Modell: Der Agent analysiert, schlägt Fixes vor und erstellt Pull Requests, die Freigabe bleibt bei Menschen. Für risikoarme Routineaufgaben wie Dependency-Updates mit grünen Tests kann eine höhere Automatisierung sinnvoll sein. Sie lernen, Berechtigungen, Sandboxing und Audit-Trails so zu gestalten, dass die Entscheidung nachvollziehbar bleibt.

Was kostet die Schulung „GitHub Copilot für Security- und DevSecOps-Teams“?

Die Schulung kostet pauschal 949 € zzgl. gesetzl. MwSt. pro Teilnehmer:in – unabhängig davon, ob sie online oder vor Ort stattfindet. Enthalten sind 2 Trainingstag(e) mit Live-Trainer:in, Kursunterlagen, Übungsumgebung und Teilnahmebescheinigung.

Kann ich einen eigenen Wunschtermin angeben?

Ja. Unsere Terminvorschläge sind eine Orientierung. Im Anfrageformular können Sie jederzeit einen Wunschtermin oder Zeitraum im Freitext angeben – wir prüfen die Verfügbarkeit und bestätigen innerhalb eines Werktags.

Findet der Kurs online oder vor Ort statt?

Beides ist möglich: live online im virtuellen Klassenraum oder vor Ort in München, Salzburg, Berlin, Augsburg, Hannover, Bremen, Stuttgart oder Kaiserslautern. Auf Wunsch führen wir das Training auch exklusiv für Ihr Team durch.

Weitere Kurse für Security- und DevSecOps-Teams

Weitere Kurse zu GitHub Copilot

Alle 32 Kurse zu GitHub Copilot

GitHub Copilot · MünchenGitHub Copilot · SalzburgGitHub Copilot · BerlinGitHub Copilot · AugsburgGitHub Copilot · HannoverGitHub Copilot · BremenGitHub Copilot · StuttgartGitHub Copilot · KaiserslauternGitHub Copilot · Online