SBOMs gegen Lieferketten-Angriffe: Forscherin sieht das Problem nicht in den Daten, sondern in deren Auslegung

Datta bringt ihre Diagnose auf eine knappe Formel: „Die Sicherheit der Software-Lieferkette leidet nicht an einem Mangel an Daten, sondern an einem Mangel an Entscheidungsklarheit." Die Informationen lägen vor – in SBOMs, in VEX-Erklärungen, in Schwachstellen-Erkenntnissen und in Offenlegungen Dritter. Dennoch blieben Sicherheits- und Compliance-Entscheidungen inkonsistent, schwer zu begründen und oft reaktiv. „Das Problem ist nicht die Sichtbarkeit. Es ist die Interpretation."

Ein praktisches Hindernis sieht sie in der uneinheitlichen Ausgabe und Zustellung neuer SBOMs. Zwar müssen Softwareanbieter für jeden neuen Build – Updates, Patches, neue Versionen – eine neue SBOM erzeugen, doch sie sind nicht durchgängig verpflichtet, diese auch an alle Kunden auszuliefern. Manche tun es, andere nicht. Fragt ein Kunde aktualisierte SBOMs nicht aktiv an, bemerkt er womöglich gar nicht, dass sich die Stückliste verändert hat. Globale Vorgaben werden zwar strenger, unterscheiden sich aber weiterhin je nach Standort und Branche.

Auch die Qualität der VEX-Erklärungen schwankt. „VEX hat sich schwergetan, Fuß zu fassen", so Datta, „nicht allein wegen Werkzeugbeschränkungen, sondern weil Organisationen kein Vertrauen darin haben, Aussagen zur Ausnutzbarkeit zu treffen und zu verteidigen." Diese Zurückhaltung sei oft ebenso sehr von Haftungsbedenken getrieben wie von technischer Unsicherheit. Das Ergebnis: Sicherheitsteams stützten sich auf Schweregrad-Bewertungen ohne Kontext, Entwicklungsteams fehlten klare und einheitliche Entscheidungskriterien, und Rechtsabteilungen arbeiteten mit unverbundenen Offenlegungsdaten.

Aus Dattas Sicht reicht es nicht, diese Daten zu besitzen – entscheidend sei, sie deuten zu können. „Das eigentliche Problem ist das Fehlen einer Governance-Schicht, die Veränderungen in SBOMs über die Zeit hinweg interpretieren kann." Gefragt sei kein weiteres Werkzeug und keine größere Datenmenge, sondern ein einheitlicher Ansatz zur Entscheidungsintelligenz. Diesen beschreibt sie als governance-gestützte Intelligenzschicht, die SBOMs als Signale über den Lebenszyklus versteht statt als bloße Bestandslisten, VEX als kontextuelle Eingabe statt als absolute Wahrheit nutzt, Offenlegungen Dritter in die Risikobewertung einbezieht und Entscheidungen erzeugt, die erklär- und verteidigbar sind.

Das Ziel sei nicht Automatisierung allein, sondern konsistente, prüfbare Entscheidungen über den gesamten Lebenszyklus. Die Dringlichkeit wächst: Laut Datta haben die neuesten KI-Modelle in den Händen von Angreifern die Zeitspanne von der Entdeckung einer Schwachstelle bis zu ihrer Ausnutzung auf wenige Stunden oder weniger verkürzt. Bei diesem Tempo werde das Vertrauen der Verteidiger auf veraltete Dokumentation selbst zum Sicherheitsrisiko.

Gleichzeitig steige der regulatorische Druck durch SBOM-Vorgaben, Anforderungen an sichere Entwicklung und Transparenzpflichten in der Lieferkette. Die entscheidende Frage formuliert Datta so: „Können Organisationen erklären, warum eine Entscheidung getroffen wurde, und sie später verteidigen?" Ohne ein einheitliches Entscheidungsmodell laute die Antwort häufig: „Nein."