Software Supply Chain State of the Union 2025 Blinde Flecken in der Software-Lieferkette

Anbieter zum Thema

JFrog

Fsas Technologies GmbH

FAST LTA GmbH

Bösartige KI-Modelle, falsch bewertete und ungepatchte Schwachstellen und zehntausende geleakte Zugangsdaten: Der aktuelle JFrog-Report zeigt, warum Software-Lieferketten nach wie vor angreifbar sind.

Ungepatchte Sicherheitslücken, bösartige Softwarepakete, offengelegte, sensible Informationen sowie Fehlkonfigurationen und menschliche Fehler: Wie aus dem „Software Supply Chain State of the Union 2025“ hervorgeht, sind dies die zentralen Risiken, die die Software-Lieferketten von Unternehmen bedrohen. Für die Untersuchung hat das JFrog Security Research Team eigene Erkenntnisse mit Analysen bekannter Schwachstellen, Informationen von Kunden sowie Daten von Drittanbietern gebündelt.

JFrog Software Supply Chain State of the Union 2024

Risiken und Chancen für Software-Lieferketten in Deutschland

Sicherheitsscans sind zu oberflächlich

Wie die Analysten von JFrog herausfanden, habe die Plattform des Herstellers im vergangenen Jahr 25.229 offengelegte Secrets und Tokens in öffentlichen Repositories identifiziert, von denen 6.790 aktiv nutzbar gewesen seien. Dies sei ein Anstieg von 64 Prozent im Vergleich zu 2023. Dies könnte damit zusammenhängen, dass dem Report zufolge nur 43 Prozent der Unternehmen Sicherheitsscans sowohl auf Code- wie auch auf Binärebene durchführt. Im Jahr 2023 gaben dies noch 56 Prozent der Befragten an. Den Erfahrungen des Supply-Chain-Experten nach, sind viele Organisationen anfällig für Bedrohungen, die nur auf der Binärebene erkennbar sind, also in ausführbaren Dateien, Container-Images oder Bibliotheken, die aus dem Quellcode erzeugt wurden. Zum Beispiel könnten Secrets oder vom Compiler eingefügte Speicherbeschädigungen in Binärdateien Sicherheitsprobleme verursachen, die im Quellcode nicht vorhanden sind.

Third-Party Breach Report

Globaler Anteil an Lieferkettenangriffen steigt

Schwachstellen werden falsch eingestuft

Auch unentdeckte sowie bekannte, aber ungepatchte Sicherheitslücken sind nach wie vor ein erhebliches Risiko in Unternehmen. JFrog berichtet, dass im Jahr 2024 mehr als 33.000 neue CVEs gemeldet wurden. Dies sei ein Anstieg von 27 Prozent gegenüber dem Vorjahr. Gleichzeitig zeige die Analyse des Herstellers, dass nur zwölf Prozent der von Regierungsbehörden als kritisch eingestuften Schwachstellen, auch tatsächlich ausnutzbar waren und ein reales Risiko für Entwickler dargestellt hätten. Auch die falsche Einstufung könne zu Sicherheitsrisiken führen. „Wir haben ein klares Muster bei CVE-Bewertungsstellen identifiziert, die Bewertungen überhöhen und damit unnötige Alarmstimmung in der Branche erzeugen – was Entwickler unter Druck setzt, voreilig Maßnahmen zu ergreifen“, erklärt Shachar Menashe, Vice President Security Research bei JFrog. „Werden DevSecOps-Teams gezwungen, Schwachstellen zu beheben, die sich letztlich als harmlos erweisen, beeinträchtigt das nicht nur ihre täglichen Abläufe, sondern kann auch zu Entwickler-Burnout und folgenschweren Fehlern führen.“

SBOM, CI/CD-Pipeline & mehr

7 Maßnahmen für sichere Software-Lieferketten

KI und ML-Modelle als Risiko

JFrog nennt außerdem bösartige KI-Modelle als Risiko in der Software-Lieferkette. Hugging Face, eine zentrale Plattform für Machine Learning, verzeichnete eine 6,5-fache Zunahme bösartiger Modelle – viele davon führen beim Laden automatisch Schadcode aus, um etwa einen Remote-Zugriff zu ermöglichen​. Dies sei besonders brisant, da vortrainierte KI-Modelle zunehmend automatisiert in Softwareprodukte eingebunden werden und damit direkten Einfluss auf die Integrität von Anwendungen nehmen könnten.

Zudem würden 37 Prozent der Unternehmen ihre ML-Modelllisten noch manuell verwalten, was Unsicherheiten in Bezug auf Konsistenz und Sicherheit schaffe. JFrog fordert deshalb, ML-Modelle wie reguläre Softwarekomponenten zu behandeln – inklusive Sicherheitsprüfung, Freigabe und Überwachung.

AI Act in Kraft

KI-Tools dürfen nur mit „ausreichen­der“ KI-Kompetenz genutzt werden

(ID:50383275)