Lieferkette & Abhängigkeiten on .kais blog

Quellcode-Gläubigkeit

Wed, 09 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

Code-Review, SAST, Dependency-Scan: Die gesamte Prüfarbeit richtet sich auf den Quelltext. Nach Compiler, Build-Image und Pipeline-Plugins frage ich meist vergeblich. Sie gelten als Werkzeug, nicht als Angriffsfläche.

🎯 Was soll eigentlich erreicht werden?

Ausgeliefert werden soll nur, was geprüft wurde. Der Quelltext ist dafür der naheliegende Ort: lesbar, versioniert, nachvollziehbar.

⚠️ Warum funktioniert das nicht?

Ken Thompson hat 1983 in seinem Turing-Award-Vortrag „Reflections on Trusting Trust“ vorgeführt, warum das nicht reicht. Er präparierte einen C-Compiler: Beim Übersetzen des Login-Programms baute dieser eine Hintertür ein. Und beim Übersetzen seiner selbst gab er genau diese Fähigkeit an die nächste Compiler-Fassung weiter. Danach ließ sich der Compiler-Quelltext säubern: Die Hintertür lebte im Binary weiter – sichtbar war sie in keiner einzigen Zeile. Ausgeliefert wird nicht, was man liest, sondern was das Werkzeug daraus macht.

Die SLA-Lücke

Wed, 05 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

Gefangen in der Cloud

Mon, 20 Jul 2026 07:35:00 +0200

🌍 Das vertraute Bild

Ich vergleiche den Bezug einer Cloud gern mit dem Einzug in eine möblierte Wohnung. Alles ist da, sofort nutzbar, keine eigene Anschaffung nötig. Man unterschreibt und lebt am selben Tag. Der Komfort ist echt – und er ist der Anfang der Bindung.

🔬 Die erste Parallele

Die Möbel gehören dem Vermieter. Man richtet sich ein, verlegt Leitungen, baut Regale nach Maß – alles passt exakt in diese eine Wohnung. Übertragen heißt das: proprietäre Dienste, spezifische APIs, verwaltete Datenbanken. Je tiefer man sich einrichtet, desto mehr Arbeit steckt in einer Umgebung, die man nicht besitzt.

Die Drittanbieter-Blindheit

Wed, 24 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Das Lieferantenmanagement läuft: Fragebögen verschickt, Zertifikate geprüft, Risikoklassen vergeben. Dann frage ich, welche Geschäftsprozesse der Ausfall eines einzigen Anbieters trifft. Die Antwort beginnt mit Schweigen und endet in Excel-Archäologie.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 und NIS2 verlangen, Risiken aus Lieferantenbeziehungen zu steuern. Das eigentliche Ziel ist Resilienz: vorher wissen, was reißt, wenn ein Glied der Kette bricht.

Das Phantom in der Pipeline

Mon, 04 May 2026 07:35:00 +0200

🟡 Der erste Riss

Es beginnt unscheinbar. Eine Entwicklerin fragt ein Sprachmodell nach einer Lösung für ein Authentifizierungsproblem. Das Modell antwortet mit sauberem, kommentiertem Code – und einem Import, der passend klingt. Das Paket dahinter existiert nicht. Der Name ist plausibel, die Syntax stimmt, die Funktion ist beschrieben. Wer prüft schon, ob ein Import wirklich registriert ist?

Das nennt sich Slopsquatting: Sprachmodelle halluzinieren Paketnamen. Keine Schreibfehler, keine Tippfehler – sondern Namen, die aus realen Komponenten zusammengesetzt werden, die so aber nicht existieren.

Das SBOM-Feigenblatt

Fri, 27 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zwei Versäumnisse, oft gleichzeitig: Ein SBOM wird einmalig erzeugt – nicht für jeden Build. Welche Komponentenversionen im letzten Release stecken? Unbekannt. Und selbst wo SBOMs existieren, werden sie nicht beobachtet. Ein neuer CVE für eine enthaltene Komponente bleibt unsichtbar – bis jemand zufällig nachschaut.

🎯 Was soll eigentlich erreicht werden?

Zwei Dinge: wissen, was deployed ist – und wissen, ob das noch sicher ist. Der SBOM beantwortet die erste Frage: Er dokumentiert Komponentenversionen eines Builds. Die zweite beantwortet er nur, wenn er kontinuierlich gegen Schwachstellendatenbanken geprüft wird.

CRA – die stille Revolution ab September 2026

Mon, 09 Mar 2026 07:35:00 +0100

🌍 Ein Déjà-vu aus den Achtzigern

Die EG-Produkthaftungsrichtlinie von 1985 war leise und folgenreich. Hersteller physischer Güter hafteten seitdem für Schäden ihrer Produkte. Wer Produkte baute, musste Sicherheit einplanen – nicht nachliefern. Die Autoindustrie nennt das heute selbstverständlich. Die Softwarewelt hat vier Jahrzehnte gebraucht, um denselben Gedanken zu Ende zu denken.

🔬 Dieselbe Logik, digital

Am 11. September 2026 beginnt Phase 1 des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Eine SBOM – eine maschinenlesbare Stückliste aller verbauten Softwarekomponenten – wird Pflicht. Hersteller stellen Sicherheitsupdates fünf Jahre lang kostenlos bereit. Die Sprache ist vertraut: Stückliste, Rückrufpflicht, Gewährleistungszeitraum. Nur das Produkt ist digital.

Die Lieferkette als blinder Fleck

Mon, 02 Mar 2026 07:35:00 +0100

🤝 Das starke Argument

Lieferantensicherheit ist Sache des Lieferanten. Er hat die Expertise, die Systeme, die Prozesse. Er unterzeichnet den Vertrag, er haftet. Was geht mich an, was hinter seiner Firewall passiert?

⚖️ Was daran stimmt

Die vertragliche Haftung ist real. Und wer mit einem seriösen Dienstleister arbeitet, bekommt tatsächlich Expertise, die intern nicht vorhanden wäre. Das Argument ist nicht falsch.

🔍 Wo es brüchig wird

SolarWinds 2020: Angreifende kompromittierten den Build-Server des Herstellers. 18.000 Organisationen installierten daraufhin freiwillig ein manipuliertes Update – signiert, legitim, vertrauenswürdig. XZ Utils 2024: Monatelang arbeiteten sich Angreifende in das Vertrauen einer Open-Source-Community vor, um eine Hintertür in eine systemkritische Bibliothek einzuschleusen. In beiden Fällen war das Ziel nicht der Lieferant. Es war die Organisation dahinter.