DevSecOps 2026: Sichere Software Supply Chain für den Mittelstand
Warum DevSecOps 2026 kein Kürthema mehr ist
Software entsteht heute selten vollständig im eigenen Haus. Eine typische Webanwendung besteht aus Frameworks, Open-Source-Paketen, Container-Images, Build-Tools, Cloud-Diensten, CI/CD-Pipelines und mehreren Lieferanten. Genau dort liegt das Risiko: Nicht nur der eigene Code entscheidet über Sicherheit, sondern die gesamte Software Supply Chain.
Der EU Cyber Resilience Act ist seit dem 10. Dezember 2024 in Kraft. Die Meldepflichten gelten ab 11. September 2026, die volle Anwendung ab 11. Dezember 2027. Wer Produkte mit digitalen Elementen herstellt, integriert oder vertreibt, sollte nicht erst 2027 mit Dokumentation, Schwachstellenmanagement und sicheren Build-Prozessen beginnen.
Der Verizon DBIR 2025 nennt Drittparteien bei 30 Prozent der untersuchten Breaches und einen Anstieg der Schwachstellenausnutzung um 34 Prozent. Sonatype berichtet im State of the Software Supply Chain 2026 von mehr als 454.600 neu identifizierten bösartigen Open-Source-Paketen im Jahr 2025.
Was der CRA praktisch verändert
Der CRA verschiebt Security von freiwilliger Qualitätsmaßnahme in Richtung Produktpflicht. Für aktiv ausgenutzte Schwachstellen verlangt Artikel 14 eine Frühwarnung innerhalb von 24 Stunden und eine weitere Meldung innerhalb von 72 Stunden. Ohne aktuelle Komponentenliste, klare Verantwortlichkeiten und schnelle CI/CD-Pipelines kann ein Unternehmen oft nicht rechtzeitig beurteilen, ob es betroffen ist.
Die Leitfrage lautet deshalb: Können wir innerhalb eines Tages beantworten, welche Produkte, Kunden und Umgebungen von einer kritischen Schwachstelle betroffen sind?
SBOM: Inventarliste statt PDF-Ablage
Eine Software Bill of Materials beschreibt Komponenten einer Software: direkte und transitive Abhängigkeiten, Versionen, Paketnamen, Checksummen und Beziehungen. Die CISA-SBOM-Seite beschreibt SBOMs als Transparenzwerkzeug für Lieferkettenrisiken. Das BSI stellt mit TR-03183 Orientierung zu Cyber-Resilienz, SBOMs und Vulnerability Reports bereit.
| Baustein | Mindestziel 2026 | Praktische Umsetzung |
|---|---|---|
| SBOM | Jede produktive Version ist nachvollziehbar | Automatisch pro Release erzeugen und archivieren |
| Dependency Scanning | Kritische CVEs werden früh erkannt | Scan in Pull Requests und Nightly Builds |
| Malware-Schutz | Bösartige Pakete werden blockiert | Registry-Policies, Lockfiles, Paket-Reputation |
| CI/CD-Härtung | Build-Systeme sind geschützt | Least Privilege, Secrets aus Vault, geschützte Branches |
| Meldeprozess | CRA-Fristen sind erfüllbar | 24h/72h-Runbook mit Verantwortlichen |
CI/CD selbst ist kritische Infrastruktur
Die Pipeline hat Zugriff auf Quellcode, Secrets, Container-Registries, Deployments und Produktionsumgebungen. Wird sie kompromittiert, kann ein Angreifer reguläre Builds und Deployments vortäuschen.
Mindestmaßnahmen: minimale Token-Rechte, kurzlebige Credentials, keine produktiven Secrets in Pull Requests aus Forks, geschützte Release-Branches, signierte Artefakte, geprüfte Container-Images und nachvollziehbare Deployments.
Der NIST Secure Software Development Framework SP 800-218 ist ein guter Rahmen: vorbereiten, schützen, sicher produzieren und auf Schwachstellen reagieren. Für den Mittelstand ist das wertvoll, weil es klare Routinen statt Tool-Sammlung beschreibt.
90-Tage-Plan
- Wichtigste Anwendungen, Repositories, Paketmanager und Deployment-Ziele erfassen.
- Dependency Scanning aktivieren und für ein Kernprodukt eine SBOM erzeugen.
- CI/CD-Rechte, Secrets, Branch Protection und Release-Prozess prüfen.
- Dauerhafte Tokens entfernen und Build-/Deployment-Rollen trennen.
- Eine aktiv ausgenutzte Schwachstelle simulieren: Sind Produkte und Kunden in 24 Stunden identifizierbar?
- Ergebnis in ein dauerhaftes Vulnerability-Response-Runbook überführen.
Fazit
Software Supply Chain Security wird 2026 vom Spezialthema zum Qualitätsmerkmal. Kunden, Versicherer, Auditoren und Regulatoren werden häufiger fragen: Welche Komponenten nutzen Sie? Wie schnell reagieren Sie auf Schwachstellen? Können Sie Releases nachweisen? Ist Ihre Pipeline geschützt?
Wenn Sie wissen möchten, wo Ihre Software-Landschaft heute steht, starten Sie mit unserem Digitalisierungs-Check.
Schlagwörter
