Sichere Softwarelieferketten als Bestandteil der nationalen Sicherheitsarchitektur
Von der Einzelfallprüfung zur sicheren Softwarelieferkette
Software besteht aus zahlreichen Komponenten und Abhängigkeiten, deren Herkunft, Zusammensetzung und Sicherheitsstatus häufig nur schwer nachvollziehbar sind. Angriffe auf einzelne Bestandteile können sich entlang der gesamten Lieferkette ausbreiten und zahlreiche Systeme gleichzeitig betreffen.
Klassische Sicherheitsprüfungen bleiben wichtig, stoßen angesichts dieser Komplexität jedoch an ihre Grenzen. Erforderlich sind ergänzende Verfahren, die Sicherheitsanforderungen bereits in den Entwicklungs- und Bereitstellungsprozess integrieren.
Hier setzt openCode an: Standardisierte, maschinenlesbare Sicherheitsinformationen und automatisierte Prüfverfahren schaffen Transparenz entlang der Softwarelieferkette. So können Risiken frühzeitig erkannt, Bewertungen organisationsübergreifend genutzt und Sicherheitsmaßnahmen gezielter umgesetzt werden.
Drei Bausteine für sichere Softwarelieferketten
Das Strategiepapier beschreibt drei aufeinander aufbauende Bausteine, mit denen openCode die Sicherheit und Nachvollziehbarkeit von Softwarelieferketten stärkt.
Das openCode-Badgeprogramm: Softwarequalität transparent bewerten
Das Badgeprogramm macht Qualitäts- und Sicherheitsmerkmale von Open-Source-Projekten anhand definierter Kriterien sichtbar. Automatisierte Prüfungen bewerten unter anderem Sicherheit, Wartung, Lizenzierung und Nachnutzbarkeit. Die Ergebnisse werden in abgestuften Badges dargestellt und maschinenlesbar bereitgestellt. Dadurch entstehen vergleichbare Bewertungsgrundlagen, die Verwaltungen bei der Auswahl und Nachnutzung von Software unterstützen. Mehr über das Badgeprogramm erfahren
container.gov.de: Geprüfte und gehärtete Container-Images bereitstellen
Mit container.gov.de ist eine souveräne Distributionsinfrastruktur für geprüfte und gehärtete Container-Images entstanden. Im Rahmen der Secure Government Container Initiative (SGCI) werden gemeinsame Standards für die Erstellung, Härtung und Bewertung von Container-Images entwickelt. Standardisierte Sicherheitsinformationen wie Software Bills of Materials (SBOM) und Vulnerability Exploitability Exchange (VEX) ermöglichen es, enthaltene Komponenten und bekannte Schwachstellen nachvollziehbar zu bewerten. So schafft container.gov.de eine vertrauenswürdige Bezugsquelle für Softwarekomponenten und reduziert Abhängigkeiten von extern kontrollierten Distributionswegen. Mehr über container.gov.de erfahren
Quality Gate: Die gesamte Softwarelieferkette absichern
Perspektivisch sollen das Badgeprogramm und container.gov.de durch ein übergreifendes Quality Gate im Rahmen des Secure Software Development Lifecycle (sSDLC) miteinander verbunden werden. Dafür sieht das Konzept drei zentrale Elemente vor: eine gemeinsame Build-Infrastruktur, eine gemeinsame Distributionsinfrastruktur und verbindliche, automatisiert überprüfbare Qualitätsstandards. Ziel ist eine durchgängige Absicherung der Softwarelieferkette. Von der Herkunft einzelner Komponenten über den Build-Prozess bis zur Bereitstellung geprüfter Software.
Sicherheit durch Transparenz und gemeinsame Standards
Das Zusammenspiel von Badgeprogramm, container.gov.de und dem perspektivischen Quality Gate zeigt, wie Sicherheit zu einem festen Bestandteil digitaler Infrastruktur werden kann. Statt ausschließlich auf einzelne Sicherheitsvorfälle zu reagieren, schafft dieser Ansatz die Voraussetzungen für kontinuierliche Risikobewertungen, organisationsübergreifende Transparenz und ein umfassenderes Lagebild über Softwarelieferketten.
Damit leistet openCode einen Beitrag zur digitalen Souveränität und stärkt die Fähigkeit der öffentlichen Verwaltung, ihre digitalen Infrastrukturen selbstbestimmt und sicher zu gestalten.
Das Papier ist im Rahmen des 21. Deutschen IT-Sicherheitskongresses 2026 des BSI entstanden und ebenfalls Teil des publizierten Tagungsbandes.
Das Papier wurde von Leonhard Kugler, Geschäftsführer des ZenDiS, und Julian Schauder, Development Lead des ZenDiS, verfasst. Es entstand im Rahmen des 21. Deutschen IT-Sicherheitskongresses 2026 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und ist ebenfalls Teil des veröffentlichten Tagungsbandes.
Die Publikation erläutert die technischen und strategischen Grundlagen des Ansatzes und zeigt, wie automatisierte Sicherheitsbewertungen, souveräne Distributionswege und gemeinsame Qualitätsstandards zu einer sicheren Softwarelieferkette beitragen können.
