BSI und ZenDiS präsentieren Sicherheitskonzept Softwarelieferketten in der Verwaltung sichern – der Plan

Anbieter zum Thema

Zentrum für Digitale Souveränität der öffentlichen Verwaltung (ZenDiS) GmbH

Bundesamt für Sicherheit i.d.Informationstechnik

publicplan GmbH

Liferay GmbH

mgm technology partners GmbH

ZenDiS und BSI haben ein Konzept zur Sicherung von Softwarelieferketten vorgelegt. Es geht um nicht weniger als einen Paradigmenwechsel – von der Reaktion zur Prävention. Zentraler Baustein der neuen Sicherheitsarchitektur ist die Plattform openCode.

Digitale Dienste in der Verwaltung sind längst systemrelevant, die Absicherung der zugrunde liegenden Infrastruktur ist daher als zentraler Bestandteil der Daseinsvorsorge zu sehen. Aufgrund der Bedrohungslage und der geopolitischen Spannungen braucht es eine Neuausrichtung der digitalen Sicherheitsarchitektur – so schildern das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDis) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem neuen gemeinsamen Strategiepapier die derzeitige Lage.

Zentral bei dieser Absicherung sei die Kontrolle über Softwarelieferketten, denn Software greife in der Regel auf hunderte von Einzelkomponenten, Tools und Bibliotheken zurück. Allerdings stoßen einzelne Organisationen und manuelle, reaktive Ansätze dabei an ihre Grenzen: „Eine vollständige Prüfung solcher Softwarelieferketten ist angesichts ihrer Komplexität für einzelne Anbieter einer Software kaum realisierbar, egal ob es um Open Source oder proprietäre Software geht“, heißt es in dem Konzeptpapier.

Prävention vor Reaktion

ZenDiS und BSI stellen einen neuen, präventiven Ansatz vor. Dabei gehen sie insbesondere auf die Container-Image-Lieferketten im Cloudbereich ein, bei denen sie eine Abhängigkeit von einigen wenigen privatwirtschaftlichen Anbietern und damit verbundene systemische Risiken konstatieren. Als Beispiel wird DockerHub genannt, als im Open-Source-Bereich dominante Registry für Container-Images. Neben den ineffizienten manuellen Prüfprozessen gehören auch Intransparenz und fehlende Lagebilder zu den aufgeführten Risiken.

Demgegenüber schaffe die Plattform openCode „erstmals einen Ort, der nicht nur die Prüfaufwände reduziert und die Softwarelieferkettensorgfalt zentral unterstützt, sondern auch die Beschaffenheit von Softwarekomponenten bewertbar machen kann.“

Wie das funktionieren kann, hat das ZenDiS mit seinem Badge-Programm gezeigt: Dabei werden die Software-Repositories automatisiert nach festgelegten Kriterien durchsucht und bewertet. Die Ergebnisse werden in Form von Badges angezeigt – Qualitätssiegeln in den einzelnen Bereichen Sicherheit, Wartung und Nachnutzbarkeit. Das Badge-Programm sei Teil eines breiteren Ansatzes, der Zugang zu Metadaten und Quellcode ermögliche. Somit könnten im Sicherheitsfall betroffene Systeme direkt identifiziert werden.

Konkret schlagen die beiden Organisationen vier Umsetzungsschritte vor:

• Eine hochsichere Entwicklungsumgebung und Build-Infrastruktur mit automatisierten Prüfverfahren – zusätzlich zu den standardisierten und skalierbaren Sicherheitsprüfungen biete sich damit auch ein transparenter Einblick in die Software-Entstehungsprozesse, und Entwickler erhielten sofortiges Feedback zu Sicherheitsrisiken.

• Eine souveräne Container-Registry mit einheitlichen Standards als dezentrales Verzeichnis – um Unabhängigkeit von externen Anbietern in Krisensituationen wie auch Compliance mit europäischen Regulierungen sicherzustellen;

• eine resiliente Verteil-Infrastruktur mit dezentraler Bereitstellungslösung sowie

• gemeinsame Prüfstandards – mit dem BSI abgestimmte Qualitätskriterien für „zuverlässige Container-Images“ und Softwarekomponenten, einheitliche Grundlagen für automatisierte Prüfverfahren sowie „transparente und nachvollziehbare Einschätzungen für alle Beteiligten“.

Der zeitliche Ablauf wird in einem Umsetzungsplan festgehalten. 2025 stehen der Ausbau des Badge-Programms, der Aufbau einer ersten Container-Registry und der Entwicklung der Qualitätskriterien auf dem Programm.

Sichere Softwarelieferketten machten Abhängigkeiten deutlich und damit beherrschbar, resümiert BSI- Präsidentin Claudia Plattner, zudem werde ein Angebot geschaffen, das „uns dringend benötigte Skalierbarkeit ermöglicht, um Cybersicherheit wirkungsvoll umzusetzen". Entscheidend sei das Zusammenspiel vieler Akteure.

„Mit openCode setzen wir einen wesentlichen Baustein, um die Sicherheit unserer Softwarelieferketten zu stärken und so die digitale Handlungsfähigkeit des Staates auch in einer komplexen geopolitischen Landschaft zu bewahren", so Leonhard Kugler, Leiter Open-Source-Plattform beim ZenDiS.

Budget, Agenda, Produkte

„Bei Fachverfahren drängt sich Open Source geradezu auf“

Peter Ganten im Interview

Der gute Ruf von Open Source

Update: Harsche Kritik der GI

BSI und Google wollen sichere Cloud-Lösungen entwickeln

(ID:50386823)