Angesichts wachsender geopolitischer Spannungen rücken das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Sicherheit von Softwarelieferketten stärker in den Fokus. Mit einem gemeinsamen Strategiepapier legen sie erstmals konkrete Schritte zur automatisierten Absicherung dieser Ketten für die öffentliche Verwaltung vor.
Da moderne Software auf unzähligen Komponenten basiert, bergen Ausfälle oder Schwachstellen einzelner Elemente erhebliche Risiken. Bisherige Prüfverfahren stoßen bei dieser Komplexität an Grenzen. ZenDiS und BSI schlagen daher einen neuen Ansatz vor: Fachwissen soll gebündelt, standardisierte Prüfverfahren etabliert und Sicherheitsanalysen gemeinschaftlich durchgeführt werden.
Zentrales Instrument soll die Plattform openCode sein. Sie soll verbindliche Sicherheitsstandards setzen, Abhängigkeiten offenlegen und Herkunftsnachweise für kritische Komponenten ermöglichen. Die Transparenz von Open Source erlaubt dabei eine weitgehende Automatisierung bisher manueller Prüfprozesse – ein Schritt zu mehr Skalierbarkeit.
Mit einem neuen Badge-Programm möchte ZenDiS zeigen, wie sich Qualitätsmerkmale wie Wartung oder Nachnutzung automatisiert aus dem Code ableiten lassen. Ziel ist es, reaktive Sicherheitsansätze durch kontinuierliche, präventive Prüfungen abzulösen. Bei Vorfällen könnten betroffene Artefakte schnell identifiziert und Echtzeitlagebilder erstellt werden.
BSI-Präsidentin Claudia Plattner hob die Bedeutung sicherer Lieferketten für die Digitalisierung hervor. Sie ermögliche es, Abhängigkeiten transparent zu machen und Cyber-Sicherheit skalierbar umzusetzen – vorausgesetzt, alle relevanten Akteure arbeiteten zusammen. Auch Leonhard Kugler, Leiter der Open-Source-Plattform bei ZenDiS betonte, dass eine souveräne digitale Infrastruktur ein zentraler Baustein staatlicher Handlungsfähigkeit sei.
Das Strategiepapier kann hier abgerufen werden.
