Zum Inhalt

Framework-Übersicht: SBOM (Software Bill of Materials)

Eine Software Bill of Materials (SBOM) ist ein vollständiges, maschinenlesbares Inventar aller Komponenten, Bibliotheken und Tools, die zur Erstellung eines Software-Artefakts verwendet werden. Sie fungiert als softwaretechnisches Äquivalent zur klassischen Stückliste aus der traditionellen Fertigungsindustrie und ist ein zentraler Baustein für die Transparenz der Software-Lieferkette.

Da moderne Anwendungen zu einem großen Teil aus Code von Drittanbietern und Open-Source-Quellen bestehen, ist diese Sichtbarkeit unerlässlich, um Risiken effektiv zu steuern. Ohne eine SBOM fehlt schlichtweg das Wissen darüber, welche Komponenten in einer Produktionsumgebung tatsächlich ausgeführt werden, wenn NPM mal wieder 900 Pakete installiert hat.

Kernvorteile und Anwendungsgebiete

Die Implementierung von SBOMs bietet weit mehr als nur eine einfache Auflistung von Softwarepaketen. Sie ist ein proaktives Werkzeug für verschiedene Stakeholder:

  • Beschleunigtes Schwachstellen-Management: Wenn eine neue Sicherheitslücke (Zero-Day) in einer Open-Source-Komponente entdeckt wird, lässt sich durch eine SBOM die Betroffenheit über alle Projekte hinweg automatisiert ermitteln.

  • Identifikation von Fehlkonfigurationen: Eine SBOM hilft dabei, veraltete Komponenten rasch zu identifizieren und erleichtert die nahtlose Integration in Vulnerability-Management-Systeme.

  • Lizenz-Compliance: Nicht nur Sicherheitsteams profitieren; Rechts- und Compliance-Abteilungen nutzen SBOMs, um die Lizenzbedingungen jeder Komponente zu verstehen und zu prüfen, ob diese mit den Unternehmensrichtlinien (z. B. bezüglich GPL-Lizenzen) vereinbar sind.

Etablierte Formate und Standards

Um Interoperabilität zwischen verschiedenen Tools, Teams und Organisationen zu gewährleisten, haben sich zwei primäre Standards für den Datenaustausch etabliert:

  • CycloneDX: Ein vom Ecma International anerkannter Standard (ECMA-424), der komplexe Beziehungen zwischen Softwarekomponenten nutzerfreundlich abbildet. CycloneDX erfasst detaillierte Abhängigkeitsbeziehungen und fokussiert sich auf die Automatisierung und Sicherheit in der Software-Lieferkette.

  • SPDX: Ein von der ISO anerkannter Standard (ISO/IEC 5962:2021) für den Austausch von SBOM-Daten, der extrem detaillierte Informationen über Softwarekomponenten und deren Lizenzierung bereitstellt.

Regulatorischer Druck und Compliance

SBOMs wandeln sich rasant von einer bloßen Empfehlung zu einer harten regulatorischen Anforderung.

  • EU Cyber Resilience Act (CRA): Diese Gesetzgebung macht SBOMs zu einer verbindlichen Vorgabe für Produkte mit digitalen Elementen, die auf dem europäischen Markt angeboten werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert in der Technischen Richtlinie BSI TR-03183 konkrete Cyber-Resilienz-Anforderungen, einschließlich der nativen Fähigkeit, standardisierte SBOMs im CycloneDX- oder SPDX-Format zu erzeugen.

  • US-Regularien: Angetrieben durch die Executive Order 14028 zur Verbesserung der Cybersicherheit, fordern auch US-Behörden und Frameworks zunehmend SBOMs von ihren Softwarelieferanten.

Beispiel: Das Overtime-Projekt

Eine SBOM, die nicht bei jeder Code-Änderung aktualisiert wird, ist bereits veraltet, wenn eine neue Sicherheitslücke auftritt. Daher ist es Best Practice, SBOMs direkt und automatisch in der CI/CD-Pipeline zu generieren.

Im fiktiven Overtime-Projekt ist dieses Konzept bereits tief in die Architektur integriert:

  • Vollautomatisierte Erstellung: Während des Build-Prozesses wird der Sicherheitsscanner Trivy eingesetzt, um bei jeder Ausführung nativ und vollautomatisch eine SBOM im CycloneDX-Format zu generieren.

  • Kontinuierliche Analyse: Trivy scannt nicht nur den Quellcode auf hartkodierte Geheimnisse und Lizenzprobleme, sondern gleicht das finale Container-Image auch direkt mit bekannten Schwachstellen (CVEs) ab. Kritische Funde führen zu einem sofortigen Abbruch der Pipeline (--exit-code 1), was als technisches Quality Gate fungiert.

  • Proaktive CRA-Bereitschaft: Obwohl die zentrale B2B-SaaS-Plattform Overtime aktuell nicht zwingend in den Geltungsbereich des EU Cyber Resilience Acts fällt, stellt diese automatisierte Pipeline-Architektur sicher, dass künftige auslieferbare Komponenten (z. B. On-Premise-Gateways oder Kunden-Clients) compliance-konform sind.

Overtime Mapping

(Hier folgt in Kürze eine Matrix, die relevante Beispiele des Overtime Projekts zu einzelen Themenseiten mappt)