Zum Inhalt

SLSA vs. SBOM: Integrität und Transparenz in der Software Supply Chain

Im Zuge aktueller regulatorischer Anforderungen (wie dem Cyber Resilience Act, CRA) rückt die Absicherung der Software-Lieferkette massiv in den Fokus der Unternehmens-IT. Zwei Konzepte stehen dabei im Zentrum: SBOM (Software Bill of Materials) und SLSA (Supply-chain Levels for Software Artifacts).

Obwohl beide Frameworks das Ziel haben, Risiken in der Supply Chain zu minimieren, adressieren sie völlig unterschiedliche Angriffsvektoren. Um diesen Unterschied t greifbar zu machen, hilft der Vergleich mit der auditierten Systemgastronomie.

Die Metapher: Zutatenliste vs. Prozesszertifizierung

Bei der Herstellung eines Produkts (z. B. eines Burgers in der Systemgastronomie) müssen für den Verbraucherschutz zwei Fragen zweifelsfrei geklärt sein:

  1. Was ist im Endprodukt enthalten? (Zutaten, Allergene, Herkunft des Fleisches).
  2. Wie wurde das Produkt hergestellt? (Wurden Hygienestandards eingehalten? War die Küche manipulationssicher?)

Übertragen auf die Software-Entwicklung bedeutet dies:

  • Die SBOM ist die Zutatenliste. Sie dokumentiert transparent, welche Open-Source-Bibliotheken, Frameworks und Komponenten im finalen Software-Artefakt enthalten sind.
  • SLSA ist das Prozess- und Hygienezertifikat. Es liefert den Nachweis, dass die Infrastruktur (die "Küche") manipulationssicher war, das vorgegebene Verfahren strikt eingehalten wurde und das Endprodukt exakt aus den deklarierten Zutaten kompiliert wurde.

Eine SBOM allein schützt nicht davor, dass der Build-Server selbst kompromittiert wurde und Schadcode während des Kompilierens injiziert wird. Hier schließt SLSA die Lücke.

Fazit für das Risk Management

Für eine ganzheitliche Absicherung der Software Supply Chain sind beide Konzepte erforderlich. Die SBOM ermöglicht das reaktive Vulnerability Management (Sichtbarkeit von Schwachstellen in den Abhängigkeiten), während SLSA durch proaktive Härtung und kryptografische Nachweise sicherstellt, dass der Herstellungsprozess selbst nicht als Einfallstor für Supply-Chain-Angriffe missbraucht wird.