SBOM on .kais bloghttps://blog.0x2e6b6169.de/tags/sbom/Recent content in SBOM on .kais blogHugode-deFri, 27 Mar 2026 07:35:00 +0100Das SBOM-Feigenblatthttps://blog.0x2e6b6169.de/posts/2026-03-27-sbom-feigenblatt/Fri, 27 Mar 2026 07:35:00 +0100https://blog.0x2e6b6169.de/posts/2026-03-27-sbom-feigenblatt/<h2 id="-was-beobachte-ich">🔍 Was beobachte ich?</h2> <p>Zwei Versäumnisse, oft gleichzeitig: Ein SBOM wird einmalig erzeugt – nicht für jeden Build. Welche Komponentenversionen im letzten Release stecken? Unbekannt. Und selbst wo SBOMs existieren, werden sie nicht beobachtet. Ein neuer CVE für eine enthaltene Komponente bleibt unsichtbar – bis jemand zufällig nachschaut.</p> <h2 id="-was-soll-eigentlich-erreicht-werden">🎯 Was soll eigentlich erreicht werden?</h2> <p>Zwei Dinge: wissen, was deployed ist – und wissen, ob das noch sicher ist. Der SBOM beantwortet die erste Frage: Er dokumentiert Komponentenversionen eines Builds. Die zweite beantwortet er nur, wenn er kontinuierlich gegen Schwachstellendatenbanken geprüft wird.</p>CRA – die stille Revolution ab September 2026https://blog.0x2e6b6169.de/posts/2026-03-09-cra-stille-revolution/Mon, 09 Mar 2026 07:35:00 +0100https://blog.0x2e6b6169.de/posts/2026-03-09-cra-stille-revolution/<h2 id="-ein-déjà-vu-aus-den-achtzigern">🌍 Ein Déjà-vu aus den Achtzigern</h2> <p>Die EG-Produkthaftungsrichtlinie von 1985 war leise und folgenreich. Hersteller physischer Güter hafteten seitdem für Schäden ihrer Produkte. Wer Produkte baute, musste Sicherheit einplanen – nicht nachliefern. Die Autoindustrie nennt das heute selbstverständlich. Die Softwarewelt hat vier Jahrzehnte gebraucht, um denselben Gedanken zu Ende zu denken.</p> <h2 id="-dieselbe-logik-digital">🔬 Dieselbe Logik, digital</h2> <p>Am 11. September 2026 beginnt Phase 1 des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Eine SBOM – eine maschinenlesbare Stückliste aller verbauten Softwarekomponenten – wird Pflicht. Hersteller stellen Sicherheitsupdates fünf Jahre lang kostenlos bereit. Die Sprache ist vertraut: Stückliste, Rückrufpflicht, Gewährleistungszeitraum. Nur das Produkt ist digital.</p>