Neue Regeln der Software-Lieferkettensicherheit: Sichtbarkeit, Wachsamkeit, Validierung

Dieses digitale Ökosystem ist reich an Software und an einer großen Anzahl an Software-Bibliotheken, die in Drittanbieterprodukten eingebettet sind. Skalierung und Geschwindigkeit kann jedoch manchmal der Feind der Cyberresilienz sein. Dies gilt insbesondere dann, wenn Organisationen nicht ausreichend prüfen, ob die Technologien von Drittanbietern hinreichend gegen Cyberbedrohungen und andere digitale Risiken abgesichert sind.

Software ist ein großartiger „Enabler“, birgt aber zugleich Risiken, da sie häufig mit Frameworks und Bibliotheken gebaut wird, die weder bekannt noch gut gepflegt sind. Unter Anbetracht, dass Unternehmen durchschnittlich 106 SaaS-Anwendungen in ihren IT-Umgebungen einsetzen, wird ein Aspekt besonders deutlich: Die Sicherheit der Software-Lieferkette ist ein ernst zu nehmendes Thema. In diesem Zusammenhang wundert es wenig, dass die Hälfte (51 Prozent) der Teilnehmenden der aktuellen Supply Chain Risk Survey Software-Schwachstellen in Anbieterprodukten als die am meisten beeinträchtigende Cybersecurity-Bedrohung für die Lieferkette ihrer Organisation einstufte – hinter Datenpannen (64 Prozent) und Malware bzw. Ransomware (52 Prozent).

Eine sich ständig wandelnde Angriffsfläche, die Cloud-Dienste, Microservices, APIs, SaaS-Plattformen, Drittanbieterdienste und inzwischen auch KI-Agenten umfasst, hat sich weit über das hinaus ausgedehnt, was einst als bekannter Perimeter galt. Folglich stellen sich heute die Fragen: Wie sicher ist das eigene erweiterte digitale Ökosystem? Wenn diese Frage das Herz schneller schlagen lässt, dann sollten diese Unternehmen einen genaueren Blick auf drei zentrale Überlegungen zur Bewältigung der Software-Lieferkettensicherheit werfen.

1. Sichtbarkeit: Ermitteln, was tatsächlich in der mehrschichtigen Lieferkette steckt.

Da die Software-Lieferkette Teil eines riesigen, untereinander vernetzten digitalen Ökosystems ist, haben Organisationen wahrscheinlich keine vollständige Sicht darauf, was und wer die Drittanbieter sind. Jüngste, prominent diskutierte Vorfälle haben gezeigt, wie fragil Lieferketten sein können. Um Geschäftskontinuität zu gewährleisten, müssen Organisationen ihre Partner einer gründlichen Prüfung unterziehen, bevor sie ihnen weitreichendes Vertrauen schenken. Diese beginnt beim Wissen, wer Teil des vernetzten digitalen Ökosystems ist und zwar bevor mit dem Risikomanagement begonnen werden kann.

Risiken entlang einer Lieferkette zu verstehen ist konzeptionell einfach, in der Praxis jedoch schwierig. Sicherheitsparameter und -anforderungen klar in Lieferantenverträgen festzuhalten ist zwar ein guter Ausgangspunkt, reicht aber nicht aus, da Vertragsabschlüsse in der Regel einmalige zeitgebundene Aktivitäten sind und durch Monitoring ergänzt werden sollten. Organisationen müssen für eine bessere Verwaltung in der Lage sein, Assets zu sehen und zu messen. Schließlich kann man nicht schützen, was man nicht sieht und viele Unternehmen verfügen noch immer nicht über ein vollständiges, akkurates Asset-Inventar. Im Umkehrschluss bedeutet das, dass ihre Schwachstellenexposition unvollständig ist. Wenn sie nicht wissen, welche Systeme, Anwendungen, Geräte und Bibliotheken sich in ihrer Umgebung befinden, gleicht das Schwachstellenmanagement einer Vermutung, Schlussfolgerung und Spekulation.

Es ist entscheidend zu verstehen, was Lieferanten jenseits der direkten Lieferanten tun und wen Sie in der Kette beliefern. Software stellt in der Regel die größten Blindstellen im Asset-Management dar, nicht zuletzt durch mangelnde Transparenz bei Software-Builds und Abhängigkeiten, Schatten-IT, Schatten-KI und nicht verwaltete Endgeräte.

Die Exposition einer Organisation hängt direkt mit der Sicherheitslage jedes Lieferanten zusammen, auf den sie sich verlässt. Angreifer wissen das und zielen zunehmend auf Partner in der erweiterten Lieferkette ab. Organisationen können ihre eigene Umgebung noch so perfekt absichern und dennoch durch das Versäumnis anderer verwundbar sein. Werkzeuge, die Risiken entlang der Lieferkette profilieren, quantifizieren und bewerten können, sind daher unverzichtbar – ebenso wie Werkzeuge, die ungewöhnliche Aktivitäten überwachen.

2. Wachsamkeit: Priorisieren der Sicherheit von KI-Integrationen entlang der Software-Lieferkette.

Bedrohungen können überall in der Lieferkette lauern. Aber es gibt einen Neuling: KI. Die Software-Lieferkette hat sich um die spezifischen Risiken des KI-Ökosystems erweitert, etwa die Abhängigkeit von externen Foundation-Modellen und hochgradig vernetzten Agenten. Diese zunehmende Integration von KI macht die vielschichtige Software-Lieferkette zu einem noch größeren Problem. Cybersecurity-Fachkräfte, die an der aktuellen Cybersecurity Workforce Study teilnahmen, berichteten von einem beunruhigenden sicherheitsrelevanten KI-Ereignis, das ihre Organisation im Vorjahr erlebt hatte, darunter Data Poisoning (von 11 Prozent genannt).

Beim Data Poisoning schleusen böse Akteure absichtlich manipulierte, irreführende oder bösartige Daten in den Trainingsdatensatz eines Machine-Learning-Modells ein. Schon eine kleine Menge vergifteter Daten kann das Verhalten des Modells verändern. Die folgen sind Fehlklassifizierungen, gemindere Genauigkeit oder bösartige Ergebnisse. Plötzlich ist der scheinbar hilfreiche Chatbot, der in CRM, CMS oder anderer zweckgebundener Unternehmenssoftware eingebettet ist, vielleicht doch nicht so freundlich, wie er scheint.

Tatsächlich haben Organisationen kaum oder keine Kontrolle über die Software, die ihre Lieferanten verwenden. Das macht es deutlich schwieriger sicherzustellen, dass Schwachstellen vor einer breiten Einführung identifiziert sowie nach der Bereitstellung unterstützt und gepatcht werden. Kontrolle hingegen entsteht über die Prüfung der Lieferanten. Daher sind die Menschen in Sicherheitsteams und die Prozesse, denen sie folgen, wichtiger denn je. Technologie beschleunigt sowohl die guten als auch die bösartigen Akteure. Ein echter Vorteil entsteht folglich durch qualifizierte Fachkräfte, die verstehen, wie KI das Risikoprofil und die Angriffsfläche verändert und die die richtigen Kontrollmechanismen zum Ausgleich etablieren können.

Cybersecurity-Fachkräfte, die auf Software-Lieferkettensicherheit spezialisiert sind, können das Risiko von Model Poisoning bzw. Model Steering, Prompt Injection und Model Inversion quantifizieren und die inhärente Voreingenommenheit vortrainierter Open-Source-Modelle bewerten und so die Integrität von Software und Diensten vor Upstream-Schwachstellen schützen. Ein derart ganzheitlicher Ansatz stellt sicher, dass jede Komponente, von Drittanbieter-Bibliotheken bis hin zu den Trainingsdaten selbst, den Sicherheits- und Ethikstandards der Organisation entspricht.

Darüber hinaus ist die Überprüfung und Evaluierung von Lieferantenvereinbarungen eine wichtige Aufgabe für Cybersecurity-Teams und Stakeholder. Man sollte diese als notwendigen Stresstest betrachten, der Schwachstellen und veränderte Anforderungen identifiziert und adressiert. Ein guter Vertrag mit klaren Ergebnissen und Erwartungen ist Teil einer Cybersecurity-Defensivstrategie, ebenso wie die Mitarbeiter, die Verteidigungstechnologien und die laufende Überwachung von Systemen und Diensten.

3. Validierung: Nutzung von Kompetenzrahmenwerken und Verhaltenskodizes für die Software-Lieferkettensicherheit.

Keine Organisation muss sich der wachsenden Bedrohung für die Software-Lieferkettensicherheit allein stellen. Bestehende Leitlinien dienen als Orientierung. Diese Kodizes unterstützt nicht nur Softwareanbieter dabei, sichere Praktiken im Software-Lebenszyklus zu etablieren; sie helfen auch die Wahrscheinlichkeit und die Auswirkungen von Angriffen auf die Software-Lieferkette zu mindern.

Neben der Befolgung solcher Kodizes und anderer Leitfäden können Organisationen auf Kompetenzrahmenwerke und herstellerneutrale Zertifizierungen zurückgreifen. Damit können sie validieren, dass ihre Cybersecurity-Fachkräfte die erforderlichen Kompetenzen für den Aufbau und die Stärkung der Lieferkettensicherheit und -resilienz haben. Kompetenzentwicklung in den Disziplinen Governance, Risiko und Compliance (GRC), sicherer Softwareentwicklung und KI-Kompetenzen befähigt Cybersecurity- und Risikofachkräfte besser, fundierte Entscheidungen zur Sicherheit und zum Risikomanagement der Software-Lieferkette zu treffen.

Von der Komplexität zu besserer Sicherheit

Lieferketten sind komplex, lang und mehrdimensional. Organisationen sollten sich intensiv darauf konzentrieren, die Resilienz von Softwarelieferanten auf die Probe zu stellen und die Exposition kontinuierlich zu bewerten. Dieser Ansatz geht weit über die reine Beschaffung von Software hinaus. Vielmehr adressiert er die viel schädlichere Ebene in der Makro-Lieferkette inklusive eingebetteter Software und integrierter KI-Werkzeuge, die Lieferanten und Sublieferanten verwenden.

Die Frage lautet nicht, ob die digitale Lieferkette vor einer Unterbrechung stehen wird. Die Frage lautet, ob Sie über die Sichtbarkeit, Wachsamkeit und Validierung verfügen, um zu operieren, wenn es dazu kommt. Resilienz bedeutet in hohem Maße auch Software-Lieferkettensicherheit.