Cyberangriffe Software-Lieferkette: 7 Maßnahmen für besseren Schutz

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH

d.velop AG

xSuite Group GmbH

Softeq Development GmbH

Sowohl in der Produktion als auch in der Softwareentwicklung sind Lieferketten das Herzstück eines reibungslosen Ablaufs. Während physische Lieferketten strenge Kontrollen erfordern, muss auch die Software-Lieferkette sorgfältig gesichert werden – besonders aufgrund der zunehmenden Komplexität der Softwarekomponenten.

Von der Entwicklung bis zur Auslieferung der Software muss der Schutz einzelner Elemente und der gesamten Pipeline gewährleistet werden. Die folgende Checkliste enthält sieben Maßnahmen, um Risiken frühzeitig zu erkennen, zu priorisieren und Angriffe auf die Software-Lieferkette zu verhindern.

1. Infrastructure as Code auf Fehlkonfigurationen prüfen

IaC-Templates wie Terraform, CloudFormation, Azure Resource Manager (ARM), oder Kubernetes können unsichere Voreinstellungen enthalten, die ein leichtes Ziel für Angriffe darstellen. Um Sicherheitslücken zu vermeiden, müssen Unternehmen IaC-Best-Practices implementieren, Fehlkonfigurationen frühzeitig beheben und sensible Daten schützen. Durch regelmäßiges Scannen und die Einhaltung von Sicherheitsrichtlinien können Schwachstellen in der Software-Lieferkette frühzeitig erkannt, Angriffsflächen reduziert und der Zugriff auf Cloud-Umgebungen besser kontrolliert werden.

2. Open-Source-Pakete auf Schwachstellen scannen

Moderne Anwendungen bestehen bis zu 96 Prozent aus Open-Source-Komponenten, von denen viele bekannte Schwachstellen aufweisen. Um diese im Blick zu behalten, können Sicherheitsverantwortliche auf Datenbanken wie die Common Vulnerabilities and Exposures (CVE) zurückgreifen. Diese enthalten umfassende Informationen zu bekannten Sicherheitslücken. Um Anwendungen effektiv abzusichern, sollten sie regelmäßig Codebibliotheken scannen, betroffene Pakete aktualisieren und Patches anhand von Risikobewertungen wie CVSS priorisieren.

3. Software-Lieferkette: Container-Images im Entwicklungszyklus prüfen

Container bieten Flexibilität, bergen jedoch auch Sicherheitsrisiken. Deshalb ist es wichtig, Images in jeder Entwicklungsphase zu scannen – von der Erstellung einer CI/CD-Pipeline bis zum produktiven Betrieb. Zusätzlich sollten Sicherheitsexperten unbekannte Images in Sandboxes testen, um mögliche Malware zu erkennen. Grundsätzlich dürfen nur vertrauenswürdige Quellen verwendet werden, um Image-Poisoning-Angriffe zu vermeiden.

4. Sicherheitspraktiken für Versionskontrollsysteme einhalten

Die Sicherheit der Lieferkette hängt maßgeblich vom System ab, das sie verwaltet – bei Cloud-nativen Anwendungen meist ein Versionskontrollsystem (VCS). Ohne passende Zugriffssteuerungen und Branch-Protections kann ein falsch konfiguriertes VCS ein Einfallstor für Angriffe werden. Daher sind Maßnahmen wie die Aktivierung von Zwei-Faktor-Authentifizierung (2FA), Single-Sign-On (SSO), IP-Beschränkungen, der Schutz von Branches vor gefälschten Commits und verpflichtende Code-Reviews unerlässlich.

5. Software-Lieferkette: CI/CD-Pipelines sicher konfigurieren

CI/CD-Pipelines sind das Rückgrat der Codebereitstellung in Cloud-nativen Organisationen und erfordern besondere Sicherheitsvorkehrungen. Ungeprüfte Änderungen in den Abläufen können dazu führen, dass Zugangsdaten offengelegt werden oder der Code manipuliert wird. Unternehmen können diese Risiken effektiv minimieren, wenn sie Pipeline-Konfigurationen scannen, unsichere Befehle vermeiden, nur eingeschränkten Zugriff auf sensible Umgebungen erlauben und Test- und Deployment-Berechtigungen voneinander trennen.

6. Vertrauliche Daten sicher speichern und verwalten

Neben der Identifizierung von Schwachstellen in der Software-Lieferkette ist es wichtig, die versehentliche Offenlegung von Zugangsdaten, Tokens oder Schlüsseln zu vermeiden, da sie unbefugten Zugriff auf kritische Systeme ermöglichen. Unternehmen sollten spezialisierte Tresore wie HashiCorp Vault oder Azure Key Vault einsetzen, um vertrauliche Informationen sicher zu speichern. Darüber hinaus sollten Zugangsschlüssel regelmäßig geändert und ein Plan zur Deaktivierung, zum Widerruf und zur Erstellung neuer Anmeldeinformationen implementiert werden. Zusätzlich sollten Unternehmen prüfen, ob sie Zugangsschlüssel durch alternative Authentifizierungslösungen wie OpenID Connect vermeiden können.

7. Software-Lieferkette: End-to-End-Sichtbarkeit schaffen

Die Sicherheit der einzelnen Komponenten der Lieferkette erfordert auch ein Verständnis dafür, wie sie miteinander verbunden sind und potenziell angegriffen werden können. Mithilfe einer Software Bill of Materials (SBOM) und umfassender Code-to-Cloud-Transparenz können Sicherheitsteams Schwachstellen gezielt priorisieren und im Ernstfall schnell die richtigen Maßnahmen ergreifen, um Schäden zu begrenzen.

Marc Meckel, Manager Domain Consulting bei Palo Alto Networks, kommentiert: „Die Sicherheit der Software-Lieferkette hängt davon ab, Schwachstellen frühzeitig zu identifizieren und alle Ebenen zu schützen – von der Infrastruktur über den Code bis hin zu den Pipelines. Besonders kritisch ist dabei die kontinuierliche Überwachung und Anpassung der Sicherheitsmaßnahmen. Wer heute seine Supply Chain absichert, muss morgen bereits die nächsten Bedrohungen antizipieren. Unternehmen sollten daher nicht nur in Technologien, sondern auch in die Schulung ihrer Entwicklungsteams investieren, um eine nachhaltige Sicherheitskultur zu etablieren. Die größte Herausforderung liegt dabei oft nicht in der Implementierung einzelner Sicherheitsmaßnahmen, sondern in deren nahtloser Integration in bestehende Entwicklungsprozesse.“

Sicherheitstrends für 2025

Cybersicherheit: So wichtig wird eine Strategie für Quantenresistenz