Ihre Software besteht zu einem erheblichen Teil aus Open-Source-Komponenten. Diese Komponenten bilden eine Lieferkette - und diese Lieferkette hat Risiken, die sich grundlegend von denen klassischer Zuliefererbeziehungen unterscheiden.
Bei einem klassischen Zulieferer haben Sie einen Vertrag, einen Ansprechpartner, vereinbarte Qualitätsstandards und Haftungsregelungen. Bei Open Source haben Sie nichts davon. Die Software wird von Einzelpersonen oder kleinen Gruppen bereitgestellt, oft ohne jede Verpflichtung gegenüber den Nutzern.
Das bedeutet: Sie nutzen Software, für die niemand Ihnen gegenüber verantwortlich ist - aber Sie sind gegenüber Ihren Kunden, Aufsichtsbehörden und Geschädigten voll verantwortlich.
1. Verwaisung Ein Projekt wird nicht mehr gepflegt. Der Maintainer hat aufgehört, ist ausgebrannt oder hat das Interesse verloren. Schwachstellen werden nicht mehr behoben. Updates kommen nicht mehr. Ihre Abhängigkeit bleibt bestehen.
2. Löschung Ein Maintainer löscht sein Projekt - aus Frustration, wegen eines Streits oder aus anderen Gründen. Ihre Build-Pipeline bricht. Schlimmer: Jemand anderes registriert denselben Paketnamen und schleust Schadcode ein.
3. Lizenzwechsel Ein Projekt wechselt seine Lizenz - von permissiv zu restriktiv oder zu proprietär. Plötzlich dürfen Sie die Software nicht mehr so verwenden wie bisher, oder es entstehen unerwartete Kosten.
4. Supply-Chain-Angriffe Ein Angreifer übernimmt ein Projekt - durch Social Engineering, durch Kauf des Namensraums oder durch Kompromittierung des Maintainer-Accounts. Der Schadcode wird über die normale Update-Infrastruktur verteilt. Ihre Systeme laden ihn automatisch herunter.
5. Maintainer-Überlastung Ein Maintainer ist nicht böswillig, aber überfordert. Sicherheitsmeldungen bleiben wochenlang unbearbeitet. Patches werden mit Verzögerung geprüft. Die Qualität sinkt. Das Projekt wird zum Risiko, obwohl es offiziell noch "aktiv" ist.
Die EU-Gesetzgebung behandelt Open-Source-Abhängigkeiten als Teil Ihrer Lieferkette:
Ihre Open-Source-Lieferkette ist kein abstraktes Konzept. Sie besteht aus konkreten Projekten, konkreten Maintainern und konkreten Risiken. Die Gesetze verlangen, dass Sie diese Risiken kennen, bewerten und managen. "Wir verwenden nur etablierte Projekte" reicht als Strategie nicht aus - denn auch etablierte Projekte verwaisen, und auch populäre Projekte werden angegriffen.
Sie möchten die Risiken in Ihrer Open-Source-Lieferkette verstehen? OTTRIA analysiert Ihre SBOM und zeigt Ihnen, wo Sie handeln müssen. Fordern Sie eine Erstanalyse an.