SBOM verständlich erklärt: Warum die Zutatenliste Ihrer Dienstleister zählt

Jede Software besteht heute überwiegend aus fremden Bausteinen: Bibliotheken, Frameworks, Open-Source-Komponenten. Eine Software Bill of Materials — kurz SBOM — ist die Zutatenliste dieser Bausteine: ein strukturiertes Verzeichnis, welche Komponenten in welcher Version in einem Produkt stecken. Was in der Lebensmittelindustrie die Zutatenliste ist, ist die SBOM für Software: Man sieht, was drin ist, bevor man sich darauf verlässt.

Warum das Ihr Thema ist, nicht nur das Ihrer Dienstleister

Ihr Institut betreibt die Software Ihrer IKT-Dienstleister nicht selbst — aber es trägt das Risiko, wenn sie ausfällt oder angegriffen wird. Prominente Vorfälle der letzten Jahre folgten fast immer demselben Muster: Nicht der Dienstleister selbst wurde angegriffen, sondern eine verwundbare Komponente tief in seinem Software-Stapel. Ein Fragebogen erfasst dieses Risiko nicht — zum Zeitpunkt der Selbstauskunft war die Schwachstelle schlicht noch nicht bekannt.

Der entscheidende Filter: ausgenutzt statt nur bekannt

Jedes Jahr werden Zehntausende Schwachstellen (CVEs) veröffentlicht. Wer jede davon ernst nimmt, ertrinkt in Meldungen und stumpft ab — das bekannte Problem jedes Schwachstellen-Scanners. Relevant für die Risikobewertung ist eine viel kleinere Menge: Schwachstellen, die nachweislich aktiv ausgenutzt werden. Für diese führen Sicherheitsbehörden wie die amerikanische CISA eigene Kataloge (Known Exploited Vulnerabilities). Erst dieser Filter macht aus einem Datenstrom ein Signal: Wenn eine Komponente aus der SBOM eines Dienstleisters in einem solchen Katalog auftaucht, besteht Handlungsbedarf — jetzt, nicht zum Quartalsende.

Was Schwachstellenüberwachung konkret bedeutet

Der Ablauf ist unspektakulär und gerade deshalb wirksam: Die SBOM des Dienstleisters wird einmal erhoben und danach fortlaufend gegen die Kataloge ausgenutzter Schwachstellen abgeglichen. Kein Befund — keine Meldung. Taucht ein Treffer auf, entsteht ein konkreter, dokumentierbarer Vorgang: betroffene Komponente, betroffene Dienstleistung, Rückfrage an den Dienstleister, Frist, Ergebnis. Genau die Art von Nachweis, die eine Prüfung sehen will — und genau die anlassbezogene Anpassung der Risikobewertung, die DORA mit „laufender Überwachung" meint.

Was Sie von Dienstleistern verlangen können

SBOMs sind keine Exotik mehr: Standardformate wie SPDX und CycloneDX sind etabliert, und regulatorische Initiativen — vom US-Sektor bis zum europäischen Cyber Resilience Act — machen die Stückliste zunehmend zur Normalität. Ein professioneller Software-Dienstleister kann heute eine SBOM liefern. Ob er es tut, ist ein Datenpunkt für Ihre Risikobewertung.