Bitte wählen Sie die Bereiche, die Sie exportieren möchten:
Schulung GH-500 GitHub Advanced Security
Schulungsformen
Offene Schulung
- 2 Tage
- 5 gesicherte Termine
- Köln / Online
- 1.440,00 p. P. zzgl. MwSt.
- Dritter Mitarbeitende kostenfrei
- Learning & Networking in einem. Garantierte Durchführung ab 1 Teilnehmenden.
Inhouse-/Firmenschulung
- 2 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
Individualschulung
- 2 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
Beschreibung
Noch deutlicher ist die zweite Verschiebung: Die alte Fassung prüfte Werkzeuge, die neue prüft Betrieb. Fast ein Fünftel liegt jetzt auf Priorisierung und Behebung im Großen - Regelsätze für Schweregrade, kampagnengestützte Behebung über viele Repositories, Massenbearbeitung, delegierte Ausnahmen, Eigentümerschaft von Meldungen. Wer CodeQL einrichten kann, aber nicht weiß, wie zweihundert offene Meldungen in eine Reihenfolge kommen, besteht sie nicht.
Dieses Seminar folgt den sechs Gebieten mit ihrer Gewichtung. Die Übungen des offiziellen Kurses führen durch das Einschalten der Suiten auf Repository-, Organisations- und Enterprise-Ebene, durch Push Protection mit eigenen Suchmustern, durch Abhängigkeitsgraph, Stücklistenexport und Dependency Review, durch die Einrichtung der Codeanalyse mit CodeQL und das Lesen von Datenflussbefunden sowie durch Regelsätze, Kampagnen und die Sicherheitsübersicht. Dazu kommt je Tag eine Praxis-Übung der GFU, in der das Ergebnis nachgewiesen wird - eine blockierte Übertragung, ein gescheiterter Pull Request, ein durchgesetztes Regelset.
Wer die Prüfung nicht ablegen möchte, erhält ein GFU-Zertifikat über die Teilnahme.
Suchen Sie nach einem besser passenden Sichere Software- & API-Entwicklung Kurs?
Schulungsziel
Wer das Seminar besucht hat, kann Secret Protection auf Repository- und Organisationsebene einschalten und mit einem Testzugangsdatum eine blockierte Übertragung auslösen; ein eigenes Suchmuster für ein firmentypisches Geheimnis schreiben und den Treffer nachweisen; eine Meldung über ihren Lebenszyklus bis zum dokumentierten Verwerfen bearbeiten und die Begründung festhalten; den Abhängigkeitsgraphen erzeugen, eine Software-Stückliste exportieren und Meldungen anhand ihrer EPSS-Bewertung in eine Behebungsreihenfolge bringen; Dependency Review so einrichten, dass ein Pull Request mit anfälliger Abhängigkeit daran scheitert; Code Security einschalten, einen Datenflussbefund lesen und einen automatischen Behebungsvorschlag übernehmen; ein Regelset mit Schweregradschwelle schreiben und dessen Durchsetzung an einem Repository zeigen; eine Sicherheitskampagne starten und deren Bearbeitungsstand über mehrere Repositories ausweisen; und die Prüfung GH-500 in ihrer Fassung von Juli 2026 ablegen.
Details
Inhalt
- Ziele und Erwartungen der Teilnehmenden
- Klärung individueller Lernziele und Erwartungen für ein praxisnahes und relevantes Seminar
- Tag 1
- 1. GitHub-Sicherheitssuiten, Funktionen und Umfeld (15-20 %)
- Aufbau und Navigation der Suiten; Code Security, Secret Protection und Lieferkettensicherheit gegeneinander abgegrenzt; Unterschiede zwischen öffentlichen Repositories und Enterprise-Umgebungen; Nutzen der Sicherheitsübersicht
- Sicherer Entwicklungslebenszyklus mit den Suiten; Zusammenspiel von Secret Protection und Code Security; Vorbeugung gegenüber Freigabetor als Strategie; Sicherheitskampagnen und ihr Beitrag zur Risikosenkung
- Meldungen erkennen, steuern, beantworten: Erkennungsmechanismen für Schwachstellen und Geheimnisse, Auswahl und Bearbeitung von Meldungen, Folgen des Ignorierens oder Verwerfens, Aufgabenteilung zwischen Entwicklung, Sicherheit und Administration
- Zugriff und Steuerung: Verwaltung des Meldungszugriffs, Rollen, delegierte Ausnahmen, Durchsetzung; Grundbegriffe der Lieferkettensicherheit über den Lebenszyklus hinweg
- 2. Secret Protection einrichten und nutzen (15-20 %) - vormals Secret Scanning
- Aktivierung auf Repository- und Organisationsebene, Einstellungen und verfügbare Funktionen, Unterschiede zwischen öffentlichen und privaten beziehungsweise Enterprise-Repositories
- Offenlegung an der Quelle verhindern: Push Protection; Gültigkeitsprüfungen und vorrangige Meldung bei hoher Zuverlässigkeit
- Lebenszyklus einer Meldung von der Entstehung über den Status bis zum Verwerfen; Behebungsschritte und die Folgen eines verworfenen Treffers
- Zugriff, Richtlinien, Anpassung: rollenbasierte und delegierte Ausnahmen, Empfänger und Ausschlüsse, eigene Suchmuster anlegen und pflegen
- 3. Lieferkettensicherheit einrichten und nutzen (15-20 %) - vormals Dependabot und Dependency Review
- Abhängigkeitsrisiken im Überblick: Werkzeuge und Schwachstellendatenbanken, Abhängigkeitsgraph erzeugen und lesen, Software-Stückliste mit Exportwegen und Formaten
- Meldungen priorisieren und beantworten: EPSS-Bewertung, Behebung über Kampagnen und Pull Requests, automatisches Verwerfen und dessen Konfiguration
- Abhängigkeiten während der Entwicklung sichern: Dependency Review als Prüfung vor dem Zusammenführen mit Lizenz- und Konformitätsprüfung; erweiterte Aktualisierungsregeln mit Gruppierung und Strategien; Berechtigungen, Benachrichtigungen und Webhooks
- Praxis-Übung 1: Jeder Teilnehmer schaltet Secret Protection samt Push Protection auf einem Übungsrepository ein und löst mit einem Testzugangsdatum eine blockierte Übertragung aus. Danach entsteht ein eigenes Suchmuster für ein firmentypisches Geheimnis, dessen Treffer nachgewiesen wird. Zum Abschluss werden der Abhängigkeitsgraph erzeugt, eine Stückliste exportiert und drei Meldungen anhand ihrer EPSS-Bewertung in eine Reihenfolge gebracht.
- Tag 2
- 4. Code Security einrichten und nutzen (10-15 %) - vormals Code Scanning mit CodeQL
- Verfahren und Werkzeuge: eigene und fremde Prüfwerkzeuge, Auswahl zwischen CodeQL und Fremdanalyse, Einlesen und Verwalten von SARIF-Dateien
- Einrichtung über GitHub Actions oder ein externes Bausystem; Arbeitsablaufvorlagen, Matrixläufe, Prüfhäufigkeit festlegen
- Ergebnisse auswerten und beheben: Datenflussbefunde lesen, Lebenszyklus einer Meldung, automatische Behebungsvorschläge, Schweregrad und Einordnung; Fehlersuche bei fehlgeschlagenen oder langsamen Läufen
- 5. Sicherheitsbetrieb: Priorisierung und Behebung (15-20 %)
- Begriffe und Rahmen: CVE, CWE und GitHub-Sicherheitshinweise; durchgängige Behebungsabläufe über Meldungen und Hinweise hinweg
- Arbeit im Großen steuern: Regelsätze für Schweregrad und Behebung festlegen und durchsetzen, kampagnengestützte Behebung, Massenbearbeitung von Meldungen, automatisches Verwerfen mit Dokumentation
- Erkennung anpassen: eigene CodeQL-Abfragesammlungen, sprachspezifische Analyse, Zuschnitt auf das Risikoprofil der Organisation
- Zusammenarbeit und Vorbeugung: Sicherheitsrollen, delegierte Ausnahmen, Eigentümerschaft von Meldungen, suiteübergreifende Regelsätze; Verlagerung nach vorn durch Push Protection, Abhängigkeitsprüfung und Analyse vor dem Zusammenführen
- 6. Verwaltung der Sicherheitssuiten (10-15 %)
- Ausrollen auf Enterprise-, Organisations- und Repository-Ebene; Unterschiede der Funktionsverfügbarkeit zwischen GitHub Enterprise Cloud und GitHub Enterprise Server
- Standardkonfigurationen und ihre Vererbung festlegen; Code Security, Secret Protection und Lieferkettensicherheit einzeln aktivieren
- Steuerung und Zugriff: Richtlinien und Regelsätze auf Enterprise- und Organisationsebene, Durchsetzungsgrenzen und Ausnahmeberechtigungen, Rollen von Administrator, Sicherheitsverantwortlichem und Entwickler, freigegebene CodeQL-Abläufe, Schnittstellen und Automatisierung für große Bestände
- Praxis-Übung 2: Code Security wird eingeschaltet, ein Datenflussbefund gelesen und ein automatischer Behebungsvorschlag übernommen. Danach wird Dependency Review so eingerichtet, dass ein vorbereiteter Pull Request mit einer anfälligen Abhängigkeit daran scheitert. Zum Abschluss entsteht ein Regelset mit einer Schweregradschwelle, dessen Durchsetzung an einem zweiten Repository gezeigt wird, und eine Sicherheitskampagne wird gestartet, deren Bearbeitungsstand über beide Repositories ausgewiesen wird.
Zielgruppe & Vorkenntnisse
- Entwickler und DevOps-Fachkräfte, die Sicherheitsmeldungen in ihren Repositories bearbeiten und beheben
- Sicherheitsverantwortliche, die Meldungen über viele Repositories hinweg priorisieren und Behebungskampagnen steuern
- Administratoren von GitHub-Organisationen und Enterprise-Konten, die die Suiten ausrollen und Richtlinien durchsetzen
- Mitarbeitende, die die Prüfung GH-500 ablegen sollen und den geänderten Stoff in zwei Tagen brauchen
Abgrenzung
Dieser Kurs ist prüfungsnah und folgt den sechs Gebieten der Prüfung GH-500 in ihrer Fassung von Juli 2026. Innerhalb der GH-Reihe steht S6179 mit GH-900T00 für den GitHub-Einstieg und der Copilot-Kurs GH-300 für die Zertifizierung zum Entwicklerwerkzeug. S5399 behandelt GitHub Actions als Automatisierungsplattform; die Absicherung von Arbeitsabläufen und der Umgang mit Geheimnissen in Actions gehören dorthin und nicht in diesen Kurs. S6848 behandelt die Organisationsebene von GitHub mit Teams, Berechtigungen und Lizenzmodellen. Allgemeine Anwendungssicherheit mit OWASP Top 10 und sicherer Programmierung ist nicht Gegenstand der Prüfung und steht in den Sicherheitskursen des Portfolios.
Ihre Schulung
In Präsenz | Online |
|---|---|
| Lernmethode | |
Ausgewogene Mischung aus Theorie und Praxis | Wie auch bei unseren Präsenz-Seminaren: Ausgewogene Mischung aus Theorie und praktischen Übungen. Trainer durchgehend präsent. |
| Unterlagen | |
Seminarunterlagen oder Fachbuch zum Seminar inklusive, das man nach Rücksprache mit dem Trainer individuell auswählen kann. | Seminarunterlagen oder Fachbuch inklusive (via DHL). Das Fachbuch wählt der Trainer passend zum Seminar aus - Ihren individuellen Buch-Wunsch berücksichtigen wir auf Nachfrage gerne. |
| Arbeitsplatz | |
| PC/VMs für jeden Teilnehmenden Hochwertige und performante Hardware Große, höhenverstellbare Bildschirme Zugang zu Ihrem Firmennetz erlaubt |
|
| Lernumgebung | |
Neu aufgesetzte Systeme für jeden Kurs in Abstimmung mit dem Seminarleiter. | |
| Arbeitsmaterialien | |
DIN A4 Block, Notizblock, Kugelschreiber, USB-Stick, Textmarker, Post-its | |
| Teilnahmezertifikat | |
Nach Abschluss des Seminars erhalten Sie das Teilnahmezertifikat inkl. Inhaltsverzeichnis per E-Mail als PDF. | |
| Digitales Badge | |
Mit dem Abschluss der Schulung erhalten Sie ein digitales Badge, das Ihre Teilnahme und Ihren Lernerfolg bescheinigt. | |
Organisation
In Präsenz | Online | |
|---|---|---|
| Teilnehmendenzahl | ||
min. 1, max. 8 Personen | ||
| Garantierte Durchführung | ||
Ab 1 Teilnehmenden* | ||
| Schulungszeiten | ||
| ||
| Ort der Schulung | ||
 GFU SchulungszentrumAm Grauen Stein 27 51105 Köln-Deutz oder online im Virtual Classroom oder europaweit bei Ihnen als Inhouse-Schulung Um ein optimales Raumklima zu gewährleisten, haben wir das Schulungszentrum mit 17 hochmodernen Trotec TAC V+ Luftreinigern ausgestattet. Diese innovative Filtertechnologie (H14 zertifiziert nach DIN EN1822) sorgt dafür, dass die Raumluft mehrfach pro Stunde umgewälzt wird und Schadstoffe zu 99.995% im HEPA-Filter abgeschieden und infektiöse Aerosole abgetötet werden. Zusätzlich sind alle Räume mit CO2-Ampeln ausgestattet, um jederzeit eine hervorragende Luftqualität sicherzustellen. | ||
| Räumlichkeiten | ||
Helle und modern ausgestattete Räume mit perfekter Infrastruktur | Bequem aus dem Homeoffice von überall | |
| Preisvorteil | ||
Dritter Mitarbeitende nimmt kostenfrei teil. Eventuell anfallende Prüfungskosten für den dritten Teilnehmenden werden zusätzlich berechnet - auch bei Seminaren inkl. Prüfungsgebühr. Hinweis: Um den Erfolg der Schulung zu gewährleisten, sollte auch der dritte Teilnehmende die erwarteten Vorkenntnisse mitbringen. | ||
| All-Inclusive | ||
Gebäck, Snacks und Getränke ganztägig, Mittagessen im eigenen Restaurant, täglich 6 Menüs, auch vegetarisch | Eine Auswahl unserer Frühstücks-Snacks und Nervennahrungs-Highlights senden wir Ihnen mit den Seminarunterlagen via DHL zu. | |
| Barrierefreiheit | ||
Das GFU-Schulungszentrum (Am Grauen Stein 27) ist barrierefrei | - | |
Buchen ohne Risiko
| Rechnungsstellung |
Erst nach dem erfolgreichen Seminar. Keine Vorkasse. |
| Stornierung |
Kostenfrei bis zum Vortag des Seminars |
| Vormerken statt buchen |
Sichern Sie sich unverbindlich Ihren Seminarplatz schon vor der Buchung - auch wenn Sie selbst nicht berechtigt sind zu buchen |
Kostenfreie Services
In Präsenz | Online |
|---|---|
|
|
Buchungsmöglichkeiten
Online oder in Präsenz teilnehmen
Sie können sowohl Online als auch in Präsenz am Seminar teilnehmen. Klicken Sie bei Ihrer Buchung oder Anfrage einfach die entsprechende Option an.
Gesicherte offene Termine
| Termin | Ort | Preis | ||
|---|---|---|---|---|
| 2027 | ||||
| 26.04.-27.04.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 28.06.-29.06.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 30.08.-31.08.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 01.11.-02.11.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 2028 | ||||
| 03.01.-04.01.2028 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
- Alle folgenden Schulungsformen können auch Online als Virtual Classroom durchgeführt werden.
- Eine Offene Schulung findet zu einem festgelegten Zeitpunkt im voll ausgestatteten Schulungszentrum oder Online/Remote statt. Sie treffen auf Teilnehmende anderer Unternehmen und profitieren vom direkten Wissensaustausch.
- Eine Inhouse-/Firmen-Schulung geht auf die individuellen Bedürfnisse Ihres Unternehmens ein. Sie erhalten eine kostenfreie Beratung von Ihrem Seminarleiter und können Inhalte und Dauer auf Ihren Schulungsbedarf anpassen. Inhouse-Schulungen können Europaweit durchgeführt werden.
- Bei einer Individual-Schulung erhalten Sie eine 1-zu-1 Betreuung und bestimmen Inhalt, Zeit und Lerntempo. Der Dozent passt sich Ihren Wünschen und Bedürfnissen an.
Sie können unsere Schulungen auch als Remote Schulung im Virtual Classroom anfragen.
In drei Schritten zum Online Seminar im Virtual Classroom:
- Seminar auswählen und auf "Buchen" klicken
- Wählen Sie bei "Wie möchten Sie teilnehmen?" einfach "Online" aus.
- Formular ausfüllen und über den Button "Jetzt buchen" absenden.
Unser Kundenservice meldet sich bei Ihnen mit der Buchungsbestätigung.
Unsere Online Schulungen finden im Virtual Classroom statt. Ein Virtual Classroom bündelt mehrere Werkzeuge, wie Audio-Konferenz, Text-Chat, Interaktives Whiteboard, oder Application Sharing.
Vorteile von Virtual Classroom:
- Sie erhalten 1 zu 1 die gleiche Lernumgebung, die Sie auch vor Ort bei uns vorfinden
- Die technische Vorbereitung wird von den GFU-Technikern vorgenommen
- Sie erhalten remote Zugriff auf Ihren persönlichen Schulungs-PC im GFU-Seminarraum
- Die Virtual Classroom Lösung lässt sich auch im Browser betreiben
- Die GFU-Technik leistet wie gewohnt Soforthilfe bei Problemen
- Die Schulungsunterlagen bekommen Sie via DHL zugeschickt
- Sie sparen Reisekosten und Zeit
- 26. Apr. - 27. Apr. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 28. Jun. - 29. Jun. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 30. Aug. - 31. Aug. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 01. Nov. - 02. Nov. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 03. Jan. - 04. Jan. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- Auch als Inhouse-Schulung, bundesweit mit Termin nach Wunsch und individuellen Inhalten
- Buchen ohne Risiko! Kostenfreie Stornierung bis zum Vortag des Seminars
Die Seminare der GFU finden in angenehmer Atmosphäre statt und sind perfekt organisiert. Profitieren Sie von dem Rundum-Service der GFU!
Machen Sie sich keinen Kopf um die Anreise! Unser Shuttle fährt Sie. Oder Sie parken einfach auf einem extra für Sie reservierten Parkplatz.
Hotelzimmer gesucht? Wir organisieren Ihnen eins. Ihr Vorteil: Sie sparen Zeit und Geld!
Stornierung bei offenen Seminaren kostenfrei bis einen Tag vor Schulungsbeginn.
Unsere Techniker sind immer zur Stelle, egal ob online oder vor Ort.