SBOM erklärt: Software-Stückliste und neue Pflichten
Kurz gesagt
Eine SBOM (Software Bill of Materials) ist eine maschinenlesbare Liste aller Komponenten einer Software, inklusive Versionen und Lizenzen. Übliche Formate sind CycloneDX und SPDX. Der EU Cyber Resilience Act verlangt von Herstellern digitaler Produkte eine SBOM; NIS2 fordert Sicherheit in der Lieferkette.
01
Was in einer SBOM steht
Name, Version und Herkunft jeder Bibliothek, Abhängigkeiten untereinander, Lizenzen und eine Prüfsumme. Damit lässt sich bei einer neuen Schwachstelle in Minuten klären, welche Anwendungen betroffen sind.
02
CRA und NIS2
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen schrittweise zu Schwachstellenmanagement und SBOM. NIS2 verlangt von betroffenen Unternehmen, Risiken ihrer Lieferkette zu steuern. Prüfen Sie im Einzelfall rechtlich, ob und ab wann Sie betroffen sind.
03
So erzeugen Sie SBOMs automatisch
SBOMs entstehen am besten in der Build-Pipeline, werden zusammen mit dem Artefakt signiert und laufend gegen Schwachstellendatenbanken geprüft. MAKONIS richtet das im Rahmen von Supply-Chain-Security ein.
04
Vollständigkeit und Artefaktbezug prüfen
Eine formal gültige SBOM kann trotzdem Komponenten übersehen. Ein Scan des Quellcode-Repositories erfasst beispielsweise nicht zwangsläufig alle Betriebssystempakete im ausgelieferten Container oder zur Laufzeit nachgeladene Erweiterungen.
Ordnen Sie jede SBOM deshalb einem unveränderlichen Artefakt über dessen Digest zu und dokumentieren Sie die Scan-Grenzen. Kennzeichnen Sie unbekannte Versionen und fehlende Lizenzangaben als offene Datenqualitätsprobleme statt als unauffällige Ergebnisse.
- 1Ermitteln Sie Abhängigkeiten aus Build-Metadaten und Lockdateien.
- 2Scannen Sie zusätzlich das fertige Paket oder Container-Image.
- 3Prüfen Sie Formatgültigkeit, Komponentenkennungen und Abhängigkeitsbeziehungen.
- 4Vergleichen Sie die Ergebnisse und untersuchen Sie fehlende oder widersprüchliche Komponenten.
- 5Speichern Sie SBOM, Werkzeugversion und Scan-Konfiguration zusammen mit dem Artefakt-Digest.
05
Werkzeuge nach Aufgabe kombinieren
Erzeugung, Bestandsverwaltung und Schwachstellenbewertung sind unterschiedliche Aufgaben. Wählen Sie Werkzeuge anhand ihrer unterstützten Ökosysteme und testen Sie den Datenaustausch mit Ihren tatsächlichen Artefakten.
| Aufgabe | Open-Source-Beispiele | Worauf achten? |
|---|---|---|
| SBOM erzeugen | Syft, cdxgen | Abdeckung der verwendeten Sprachen und Paketarten |
| Schwachstellen zuordnen | Grype, Trivy | Aktualität der Datenquellen und Qualität der Zuordnung |
| Bestände überwachen | Dependency-Track | Importfähigkeit und Zuordnung zu Produktversionen |
06
Beispiel: Einen neuen Schwachstellenhinweis bewerten
Beispiel: Für eine Bibliothek erscheint ein neuer Sicherheitshinweis, und die Bestandsverwaltung meldet mehrere betroffene Produktversionen. Das zuständige Team prüft zunächst, welche Artefakte tatsächlich ausgeliefert wurden und ob die verwundbare Funktion dort vorhanden und erreichbar ist.
Dokumentieren Sie die Bewertung mit Belegen, Zuständigkeit und Prüftermin; ein maschinenlesbares VEX-Dokument kann den Betroffenheitsstatus ergänzend vermitteln. VEX ersetzt weder die SBOM noch eine Behebung und muss bei geänderter Konfiguration oder neuen Erkenntnissen überprüft werden.
Häufige Fragen
Beide sind etabliert. CycloneDX ist stärker auf Sicherheit ausgerichtet, SPDX auf Lizenzen. Wichtig ist, dass Ihre Werkzeuge das Format lesen.
Innovation aus München.Weltweit tätig.
Sprechen Sie mit uns über Ihre Cloud-, DevOps- und AI-Vorhaben — unverbindlich und direkt mit unseren Engineers.