SBOM — Software-Stückliste

Eine SBOM ist ein maschinenlesbares Verzeichnis aller Komponenten, aus denen sich eine Software zusammensetzt — gewissermaßen die Zutatenliste eines Programms, inklusive aller eingebundenen Bibliotheken. Sie ist die Grundlage, um bei einer neuen Schwachstelle sofort zu wissen, ob und wo man betroffen ist. In der EU wird sie durch den Cyber Resilience Act zur Pflicht.

Historie & Fakten. Moderne Software besteht zum Großteil aus fremden Bausteinen (Open-Source-Bibliotheken, Frameworks). Spätestens der Log4Shell-Vorfall 2021 führte schmerzhaft vor Augen, dass viele Organisationen nicht wussten, wo eine verwundbare Komponente überall steckte. Die SBOM beantwortet genau diese Frage. In der EU schafft der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) eine konkrete Pflicht: Hersteller von Produkten mit digitalen Elementen müssen eine maschinenlesbare SBOM erstellen und für das Schwachstellenmanagement nutzen. Wichtig: Die SBOM muss nicht veröffentlicht werden (so ausdrücklich das BSI). Zeitlich gilt: Der CRA trat am 10.12.2024 in Kraft; die Meldepflichten greifen ab 11.09.2026, die vollständige Anwendung — inklusive SBOM-Pflicht, CE-Kennzeichnung und Konformitätsbewertung — ab 11.12.2027. Faktisch wird die SBOM jedoch schon ab September 2026 gebraucht, weil man ohne sie aktiv ausgenutzte Schwachstellen kaum fristgerecht melden kann. Ausblick & Empfehlung. Die SBOM entwickelt sich von der Kür zur Pflicht — und ist zugleich schlicht gute Praxis. Empfehlenswert sind etablierte, maschinenlesbare Formate (CycloneDX, SPDX), die automatisierte Erzeugung in der CI/CD-Pipeline und die Verknüpfung mit Schwachstellen- und Exploit-Daten (siehe KEV, EPSS) sowie mit VEX, das angibt, ob eine Schwachstelle im Produkt tatsächlich ausnutzbar ist. So wird aus einer Liste ein wirksames Werkzeug, das im Ernstfall Stunden statt Wochen kostet. Für Anbieter und Betreiber gleichermaßen ist die SBOM ein zentraler Baustein der Lieferkettensicherheit.

Auch interessant