Sicherheit von Software-Lieferketten Das bedeutet der CrowdStrike-Vorfall für die IT-Sicherheit

Open Source Software sowie Drittanbieter-Komponenten sind unverzichtbar für die Softwareentwicklung. Damit diese jedoch sicher bleibt, braucht es gute Lösungen und Security by Design.

Innerhalb weniger Minuten brachte ein CrowdStrike-Update Computer, auf denen die Software lief, zum Absturz und legte so weltweit Hunderte von kritischen Infrastrukturen lahm. Der Vorfall unterstreicht, wie fragil die digital vernetzte Welt wirklich ist und wie viel Schaden ein einziges, fehlerhaftes Stück weit verbreiteter Software anrichten kann. Was als Routine-Update begann, entwickelte sich zu einem globalen Ausfall von Systemen in den verschiedensten Branchen: Flüge wurden gestrichen, Krankenwagen umgeleitet, sogar Nachrichtensendungen fielen aus. Auch wenn es sich in diesem Fall um einen Fehler und keine böswillige Absicht handelte, zeigt der Vorfall deutlich die Risiken, denen wichtige Dienste und Infrastrukturen bei technischen Ausfällen ausgesetzt sind.

Über 8,5 Millionen Windows-Geräte betroffen

Vom Crowdstrike-Ausfall betroffen? Was jetzt zu tun ist!

Das fehlerhafte Update führte auf Windows-Systemen zu einer so genannten „Blue Screen of Death“-Schleife (BSOD), was die betroffenen Rechner unbrauchbar machte. Erschwerend kam hinzu, dass das Update laut der Post-Mortem-Analyse des Unternehmens automatisch und ohne vorherige Qualitätsprüfung installiert wurde, was zu einer massiven Verbreitung führte. Unternehmen weltweit waren mit massiven Störungen konfrontiert. Der Wiederherstellungsprozess war zeit- und arbeitsaufwändig und erforderte in vielen Fällen eine manuelle Reparatur der einzelnen Systeme.

Ein Weckruf für die IT-Sicherheit

Dieser Vorfall sollte als Weckruf für die gesamte Branche dienen. Wenn schon ein simpler unbeabsichtigter Softwarefehler derartige Auswirkungen haben kann, wie verheerend wäre dann ein vorsätzlicher Angriff, der sich auf genau dieselbe Weise verbreitet? Cyberkriminelle können gezielt Schwachstellen in Software schaffen oder ausnutzen, um Chaos zu verursachen. Aktuelle Beispiele für dieses gefährliche Muster gibt es zuhauf, beispielsweise der Angriff auf XZ Utils, bei dem sich Bedrohungsakteure zwei Jahre lang als Open-Source-Entwickler ausgaben, um eine Hintertür in fast alle Linux-basierten Server der Welt einzuschleusen.

Angriffe auf lebenswichtige Dienste, die in Krisenzeiten Notrufnummern oder Krankenhaussysteme versorgen, könnten katastrophale Folgen haben. Ein Angriff auf die Lieferkette einer weit verbreiteten Software könnte wie ein Dominostein unzählige kritische Systeme zum Einsturz bringen und damit Handlungsspielraum für kriminelle Akteure schaffen. Wir als Gesellschaft und als Industrie müssen uns der Tatsache stellen, dass die IT jetzt eine kritische Infrastruktur ist und Cyberangriffe dieser Art zur Normalität werden. Um solche Risiken zu vermindern, müssen wir dringend Maßnahmen ergreifen.

Herausforderungen vernetzter Software-Lieferkette

Die Software-Lieferkette eines durchschnittlichen Unternehmens umfasst oft hunderttausende Komponenten unterschiedlicher Anbieter. Das bedeutet: Jedes Unternehmen verfügt über hunderte von Software-Lieferanten und hunderte von Software-Anwendungen. Und jede Software-Anwendung besteht wiederum aus hunderten Komponenten. Schon eine einzige vorsätzliche, gut platzierte, Schwachstelle in einer dieser Komponenten kann Chaos verursachen. Allein die schiere Menge der Bestandteile erfordert automatisierte Prozesse. Doch wie der CrowdStrike-Vorfall zeigt, ist Automatisierung nur ein Teil der Gleichung.

Die exponentiell wachsende Abhängigkeit von komplexen Software-Ökosystemen macht es zwingend erforderlich, dass Unternehmen Mechanismen zur Risikobewertung und -minimierung etablieren. Für jeden Anbieter und jede Software, die sie an Bord holen. Auch Softwareentwickler müssen robuste Kontrollen und Prozesse einführen, um die Risiken der Nutzung oder Produktion fehlerhafter Updates zu minimieren.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Software sicher entwickeln

Der Einsatz von Open Source Software birgt grundsätzlich Risiken. Mehr als 90 Prozent des Codes stammen von Drittanbietern oder aus Open-Source-Projekten. Open-Source-Komponenten bieten zwar zahlreiche Vorteile, von Kosteneinsparungen bis hin zu schnellerer Innovation. Doch ihre weite Verbreitung macht es Kriminellen leichter, bekannte Schwachstellen auszunutzen.

Trotz der damit verbundenen Risiken ist der Einsatz von Open Source Software für Unternehmen nach wie vor äußerst sinnvoll. So wurde beispielsweise der Angriff auf XZ Utils nur aufgedeckt, weil der Quellcode überprüfbar war. Open Source trägt dazu bei, dass alle schneller von Innovationen profitieren können. So gäbe es beispielsweise Künstliche Intelligenz wie wir sie kennen nicht ohne offenen Quellcode, der in vielen Ländern gemeinsam genutzt wird. Open Source bildet die Grundlage für einen Großteil der weltweiten IT-Infrastruktur und ist für die explosionsartige Zunahme der Innovationen in der Softwarebranche in den vergangenen Jahrzehnten verantwortlich.

Open Source zu verwenden, bedeutet jedoch auch, dass Unternehmen alle technischen Schulden und alle Risiken eines einzelnen Projekts übernehmen. Darüber hinaus zeigen Forschungen, dass Unternehmen weltweit oftmals nicht in der Lage sind, zu unterscheiden, welche Komponenten „gut“ und welche „schlecht“ sind. Laut eines kürzlich veröffentlichten Sonatype-Berichts hätten 95 Prozent der Fälle, in denen Entwickler schädliche Komponenten heruntergeladen haben, vermieden werden können.

Gezielte Maßnahmen sind deshalb notwendig, um Sicherheit zu gewährleisten. Automatisierte Prozesse können Entwicklungsteams dabei helfen, Schwachstellen in Software frühzeitig zu erkennen und zu vermeiden. Mithilfe von Software-Composition-Analysis-Plattformen (SCA) lassen sich Softwarekomponenten automatisch auf kritische Schwachstellen untersuchen, die jeweiligen Versionen prüfen und gegebenenfalls entsprechende Warnmeldungen ausgeben. Diese können auch Entwickler und Sicherheitsteams alarmieren, wenn sie Spuren von bösartigem Code in den Softwarepaketen entdecken.

Das Softwaredesign selbst spielt ebenfalls eine wichtige Rolle. Komplexität ist der Feind der Sicherheit. Es sollte daher schon in der Designphase darauf geachtet werden, Standards festzulegen, um die Lieferkette so schlank wie möglich zu halten. Schließlich steigt die potenzielle Angriffsfläche mit der Anzahl der Komponenten. Sehr komplexe Software-Architekturen erhöhen das Risiko unbemerkter Schwachstellen und bieten Angreifenden ein Einfallstor. Ziel muss es also sein, Software zu entwickeln, die „secure by design“ ist. Das bedeutet, dass sich die Entwickler bereits in der Planungsphase Gedanken über die Software-Sicherheit machen.

Dass die verwendeten Komponenten und ihre potenziellen Risiken über den gesamten Lebenszyklus überwacht werden müssen, gerät dabei jedoch häufig in Vergessenheit. EU-Verordnungen wie die NIS2-Richtlinie oder der Cyber Resilience Act verlangen, dass jede Software mindestens fünf Jahre lang mit Sicherheitsupdates versehen sein muss, sonst droht eine Haftung der Geschäftsführung.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Transparenz durch Dokumentation

Software Bills of Material (SBOMs) bieten eine klare Übersicht über die einzelnen Bestandteile von Software. Für das Management der Software-Lieferkette gewinnen SBOMs damit immer mehr an Bedeutung. Sie dokumentieren alle wichtigen Informationen: die einzelnen Komponenten, deren Quellen, Versionen und bekannte Sicherheitsrisiken. Mit einem umfassenden Überblick über die gesamte Software-Lieferkette einer bestimmten Software lassen sich potenzielle Schwachstellen schneller erkennen und gezielt beheben. Dies führt nicht nur zu sichereren Softwareprodukten, sondern auch zu effizienteren Entwicklungs- und Sicherheitsprozessen. Damit SBOMs ihr volles Potenzial entfalten können, müssen Unternehmen jedoch sicherstellen, dass sie stets auf dem neuesten Stand sind. Automatisierte Lösungen sind hier entscheidend.

Mehr Sicherheit in der Supply Chain

TeleTrusT veröffentlicht Leitfaden zu „Software Bill of Materials“

Die gesamte Lieferkette absichern

Wie Open Source Software sind auch Komponenten und Software von Drittanbietern ein unverzichtbarer Bestandteil der Softwareentwicklung geworden. Ihr zunehmender Einsatz vergrößert allerdings die Angriffsfläche von Software und erschwert es, den Überblick zu behalten. Nun zeigen die Auswirkungen des schiefgelaufenen CrowdStrike-Updates: Selbst kleinste Änderungen in einer Software können verheerende Auswirkungen haben. Vor diesem Hintergrund wird ein umfassendes und konsequentes Management der Software-Lieferkette immer wichtiger. Die Branche sollte den CrowdStrike-Vorfall als Katalysator nutzen, um den Schutz digitaler Infrastruktur zu verstärken – sowohl gegen Fehler als auch gegen Angriffe von außen.

Um den Anschluss nicht zu verlieren, ist es für Unternehmen wichtig, Einblick und Kontrolle über sämtliche Aspekte ihres Software-Entwicklungszyklus zu behalten. Die Pflege von SBOMs sowie der automatische Abgleich mit Risikodatenbanken schaffen eine transparente Software und erhöhen so deren Sicherheit. Dies ermöglicht es, moderne Software zu entwickeln – ohne Kompromisse bei der Sicherheit.

Über den Autor: Ilkka Turunen ist Field CTO bei Sonatype.

(ID:50242854)