gesponsert Zero Trust, Code Signing und PKI werden immer wichtiger Lieferkettenangriffe werden zur Großbedrohung

Gesponsert von

GMO GlobalSign Ltd.

Wer die aktuellen Nachrichten zur Cybersicherheit verfolgt, kennt das wachsende Problem von Angriffen auf die Lieferkette. Dabei missbrauchen Cyberkriminelle vertrauenswürdige Anbieter, Updates oder Abhängigkeiten. Laut aktuellen Branchenstudien haben sich solche Angriffe bei Drittanbietern bzw. Lieferketten seit 2024 verdoppelt.

Beispiele hierfür sind die verheerenden Angriffe auf Einzelhändler in Großbritannien im April und Mai 2025, außerdem der Angriff auf Salesforce, der aufgrund eines Dominoeffekts viele Organisationen beeinträchtigt hat, sowie die Wurm-Kampagnen Shai-Hulud und Shai-Hulud 2.0 npm. Diese Vorfälle rückten ein sehr ernstes Problem in den Fokus: ungesicherten Code.

In vielen Fällen lag das Problem nicht nur in unsigniertem Code, sondern vielmehr in unkontrollierten oder uneinheitlichen Codesignaturprozessen, die über verschiedene Teams und Produktionsprozesse hinweg in der gesamten Software-Lieferkette auftreten. Ohne strenge Kontrollen der Codesignatur können bösartige Updates und kompromittierte Abhängigkeiten sich als vertrauenswürdige Software ausgeben und Angreifern direkten Zugang zu ansonsten sicheren Umgebungen ermöglichen.

In ihrem Trendbericht vom Februar zeigte Group-IB außerdem, dass Cyberkriminelle zunehmend Angriffe auf die Lieferkette nutzen. In ihrer Story über diesen Bericht hebt Industry Reporting hervor, dass diese Art von Angriffen Sicherheitslücken, den Diebstahl von Zugangsdaten und Ransomware miteinander verbindet. Das betrifft die genannten Angriffe wie Shai-Hulud ebenso wie den Vorfall mit Drift/Salesloft/Salesforce OAuth im vergangenen Herbst. Einen weiteren Sicherheitsvorfall gab es bei Oracle, der durch eine ältere Sicherheitslücke verursacht wurde und sechs Millionen Nutzer betraf.

Alles zusammen führt zu verheerenden Folgen

Die Forschungsergebnisse von Group-IB zeigen, dass Cyberkriminelle Angriffe auf die Lieferkette umfassend ausnutzen und sie fast in eine „Operation im industriellen Maßstab“ verwandeln – den „perfect storm“ mit verheerenden Folgen.

In diesen Fällen werden kompromittierte Open-Source-Pakete ausgenutzt, um Schadsoftware zu verbreiten und Anmeldeinformationen zu stehlen. Und mithilfe von Techniken wie Phishing und durch den Missbrauch des OAuth-Protokolls werden Identitäten gestohlen, da die Betroffenen unwissentlich Kontoinformationen preisgeben. So erhalten die Angreifer Zugriff auf SaaS- und CI/CD-Umgebungen. Cyberkriminelle nutzen auch Informationen aus früheren Datenpannen, um sich als vertrauenswürdige Benutzer auszugeben – dadurch können sie dann noch tiefer in die Systeme der Unternehmen eindringen. Sobald Angreifer in CI/CD-Pipelines eingedrungen sind, können sie Build-Artefakte und Updates manipulieren. Das gilt insbesondere dann, wenn Code Signing-Schlüssel schlecht geschützt sind oder die Signierung nicht konsequent durchgesetzt wird. Dadurch können bösartige Komponenten als „vertrauenswürdige“ Software weiterverbreitet werden und der Angriff geht weit über den ursprünglichen Kompromittierungsort hinaus. Zusammengenommen bilden diese Phasen einen sich selbst verstärkenden Kreislauf des Missbrauchs der Lieferkette. Das versetzt die Cyberkriminellen in die Lage, Lösegeld zu fordern.

Group-IB prognostiziert außerdem, dass Cyberkriminelle ihre Angriffe dank KI-gestützter Tools schneller als je zuvor durchführen werden. Mithilfe solcher Tools erfolgt die Suche nach Sicherheitslücken künftig blitzschnell.

Wie können Unternehmen Angreifer der Lieferkette abschrecken?

Zu den wichtigsten Maßnahmen zur Verstärkung der Sicherheit Ihrer Lieferkette gehört die Implementierung einer Zero-Trust-Architektur. Laut dem ThreatLabz 2025 VPN Risk Report von Zscaler werden bis Ende dieses Jahres bis zu 81 Prozent der Unternehmen Zero Trust nutzen. Zero Trust ist auch das, was CISA empfiehlt, „um das Risiko für die Cyber- und physische Infrastruktur zu reduzieren“, da es „die Transparenz verbessert und es Organisationen ermöglicht, Bedrohungen effektiver zu erkennen und zu verstehen. Zudem erleichtert Zero Trust die Orchestrierung und Automatisierung und ermöglicht so eine schnelle und koordinierte Reaktion auf Bedrohungen“. Daher ist es nur logisch, die gleichen Zero-Trust-Prinzipien auch auf die Softwaresignierung anzuwenden – also jeden Build als nicht vertrauenswürdig zu behandeln, bis er durch einen kontrollierten Prozess verifiziert und signiert wurde.

Letztlich müssen Unternehmen über Zero Trust hinaus auch die von ihnen entwickelte und vertriebene Software absichern. Dazu gehört Folgendes:

• Abhärtung der CI/CD-Pipelines,

• Schutz von Signaturschlüsseln durch Hardware-Sicherheitsmodule (HSMs),

• Durchsetzung moderner Code Signing-Verfahren, die in die Entwicklungspipelines integriert sind, unter Verwendung von Code Signing-Zertifikaten, um die Softwareintegrität von der Entwicklung bis zur Bereitstellung zu gewährleisten.

Für einen tieferen Einblick in die Entwicklung dieser Herausforderungen, einschließlich neuer regulatorischer Anforderungen und realer Angriffsszenarien, wurde kürzlich von GlobalSign und SignPath ein Webinar veranstaltet: Secure Code Signing im Wandel: Compliance, HSM-Pflicht und PQC-Readiness. Es untersucht wichtige Entwicklungen wie CRA, DORA und NIS2. Zudem zeigt es praktische Ansätze, mit denen Unternehmen sichere, konforme und zukunftsfähige Codesignierungsprozesse aufbauen können.

Insgesamt ist es besonders wichtig, dass Schlüsselakteure in der Softwareentwicklung, beispielsweise DevSecOps, die entscheidende Rolle der Public-Key-Infrastruktur berücksichtigen. PKI ist dabei die Grundlage für Code Signing-Zertifikate. Sie ist von entscheidender Bedeutung, da sie Vertrauen schafft und die Integrität des Softwarecodes während des gesamten Entwicklungs- und Bereitstellungsprozesses gewährleistet. PKI-basierte Code Signing-Zertifikate ermöglichen die digitale Signierung von Quellcode, Artefakten und Container-Images. Zudem gewährleisten sie die Authentizität und verhindern Manipulationen. Außerdem muss das zertifikatsbasierte Vertrauen durch kontrollierte Signatur-Workflows ergänzt werden. Diese sind in CI/CD-Pipelines integriert, um durchzusetzen, wie, wann und von wem Code signiert werden darf.

Code Signing-Zertifikate spielen in diesem Prozess eine entscheidende Rolle, da sie es Unternehmen ermöglichen, den Ursprung und die Integrität ihrer Software zu überprüfen, damit nur vertrauenswürdiger Code verbreitet wird.

Erfahren Sie mehr darüber, wie das in der Praxis funktioniert: Lernen Sie GlobalSigns Code Signing-Zertifikate kennen.

PKI sichert außerdem durch Verschlüsselung und zertifikatsbasierte Authentifizierung die Kommunikation zwischen Systemen und Diensten. Dadurch verringert sich das Risiko eines unbefugten Zugriffs. Darüber hinaus trägt die Technologie durch die Überprüfung von Signaturen und die Durchsetzung vertrauenswürdiger Identitäten dazu bei, Angriffe auf die Lieferkette zu verhindern und die Einhaltung von Sicherheitsstandards zu unterstützen.

Lieferkettenangriffe sind längst keine isolierten Vorfälle mehr – stattdessen handelt es sich um koordinierte, mehrstufige Kampagnen, die das Vertrauen in Software-Ökosystemen ausnutzen. Für Organisationen in Regionen wie Deutschland, Österreich und der Schweiz ist dies nicht nur ein Sicherheitsrisiko, sondern auch eine Frage der Compliance, der Rechenschaftspflicht und der Aufrechterhaltung des Vertrauens in digitale Prozesse.

Regulatorische Vorgaben und Sicherheitsstandards verlangen von Unternehmen immer mehr, die Integrität und Rückverfolgbarkeit der von ihnen entwickelten und vertriebenen Software sicherzustellen. Das macht konsequente und durchsetzbare Verfahren zur Codesignierung zu einer entscheidenden Kontrollmaßnahme – und nicht nur zu einer bewährten Praxis.

Durch die Kombination von Zero-Trust-Prinzipien mit einer soliden PKI-Infrastruktur und ordnungsgemäß verwalteten Code Signing-Zertifikaten können Unternehmen ihr Risiko in der Lieferkette deutlich reduzieren. Noch wichtiger ist jedoch, dass sie die Kontrolle zurückgewinnen – und so sicherstellen, dass in ihren Umgebungen nur vertrauenswürdiger, verifizierter Code ausgeliefert wird. Denn wenn Vertrauen in jeder Phase der Lieferkette zu einem Muss wird, verlieren Angreifer einen ihrer effektivsten Zugangspunkte.

(ID:50891121)