Compliance-Lexikon · CRA
Supply Chain Attack – Praxis
Supply Chain Attack wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Werden Software-Abhängigkeiten systematisch auf kompromittierte oder manipulierte Versionen überprüft, bevor sie in Produkte einfließen?
Häufige Fehler in der Praxis
- Abhängigkeiten werden ohne Prüfung automatisch auf die neueste Version aktualisiert
- Keine Überwachung auf ungewöhnliche Änderungen im Verhalten weit verbreiteter Bibliotheken
- Build-Umgebungen sind nicht ausreichend gegen Manipulation der Build-Pipeline selbst abgesichert
Praxis-Tipp
Supply-Chain-Angriffe zielen zunehmend nicht auf das eigene Produkt, sondern auf weit verbreitete Abhängigkeiten oder die Build-Pipeline selbst. Eine SBOM allein schützt nicht, sie muss mit aktiver Überwachung kombiniert werden.
Typische Angriffsvektoren in der Lieferkette
Zu den bekanntesten Mustern zählen die Übernahme verwaister Open-Source-Pakete durch Angreifer, Typosquatting bei Paketnamen, kompromittierte Build-Server und manipulierte Update-Mechanismen. Jeder dieser Vektoren erfordert unterschiedliche Schutzmaßnahmen, von signierten Commits bis zu isolierten Build-Umgebungen.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Nachweis automatisierter Abhängigkeitsprüfung, dokumentierter Prozess für den Umgang mit erkannten Auffälligkeiten. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Supply Chain Attack über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.