SBOM und Lizenzrisiko: warum generierter Code Ihre Abhängigkeitsliste verändert
Eine Softwarestückliste war lange eine Fleißaufgabe für Ausschreibungen. Sie ist zu einer laufenden Kontrolle geworden, und der Anlass ist banal: Generierter Code schlägt Bibliotheken vor, und Vorschläge werden angenommen, ohne dass jemand eine Auswahlentscheidung trifft.
Generierter Code bringt Abhängigkeiten mit, für die niemand eine Auswahlentscheidung getroffen hat. Die drei häufigsten Risiken sind Lizenzunverträglichkeit, verwaiste Pakete ohne Pflege und Namensverwechslungen. In die Pipeline gehören vier blockierfähige Prüfungen: maschinenlesbare Stückliste je Build, Lizenzabgleich gegen erlaubte und ausgeschlossene Lizenzen, Meldung bei ungepflegten Paketen und Abgleich gegen bekannte Schwachstellen.
Was sich mit generiertem Code ändert
Früher war das Hinzufügen einer Abhängigkeit ein bewusster Akt: Jemand suchte, verglich, entschied. Heute steht sie im Vorschlag, funktioniert, und wandert mit. Die Folge ist nicht nur eine längere Liste, sondern eine Liste mit Einträgen, für die niemand die Auswahlbegründung kennt — und Begründungen sind genau das, was ein Auditor sehen will.
Die drei Risiken, in der Reihenfolge ihrer Wahrscheinlichkeit
Erstens Lizenzunverträglichkeit: eine Bibliothek unter einer Copyleft-Lizenz in einem Produkt, das ausgeliefert wird. Zweitens verwaiste Pakete: seit Jahren nicht gepflegt, keine Sicherheitsaktualisierungen, keine Ansprechperson. Drittens Namensverwechslungen: Pakete, deren Name einem bekannten ähnelt — ein bekannter Angriffsweg, und Vorschläge aus Modellen sind dagegen nicht immun.
Was in die Pipeline gehört
Eine Stückliste bei jedem Build, maschinenlesbar. Eine Prüfung neuer Abhängigkeiten gegen eine Lizenzliste mit erlaubten, zu prüfenden und ausgeschlossenen Lizenzen. Eine Meldung, wenn ein Paket seit einer definierten Zeit nicht gepflegt wurde. Und eine Abgleichprüfung gegen bekannte Schwachstellen. Alle vier Prüfungen sind Standard, günstig und blockierfähig — und keine davon setzt voraus, dass jemand Zeilen liest.
Warum die Stückliste bei Kunden ankommt, bevor die Regulierung greift
Die Nachfrage nach einer Softwarestückliste kommt heute meist nicht vom Gesetzgeber, sondern von Großkunden, die ihre eigene Lieferkette absichern müssen. Wer die Liste auf Knopfdruck erzeugen kann, beantwortet einen Fragebogen in Minuten statt in Wochen — und das ist ein Vertriebsargument, kein Compliance-Aufwand.
Der Umgang mit dem Bestand
Wie bei Architekturregeln: Ausgangsliste erstellen, neue Verstöße blockieren, Bestand nach Risiko abarbeiten. Der erste Durchlauf ist unangenehm — in einer gewachsenen Codebasis stehen dort regelmäßig Pakete, von denen niemand wusste, dass sie enthalten sind. Genau deshalb lohnt er sich.
Häufige Fragen
Was ist eine SBOM genau?
Eine maschinenlesbare Liste aller Bestandteile einer Software mitsamt Versionen und Lizenzen, üblicherweise im Format CycloneDX oder SPDX. Sie wird beim Build erzeugt, nicht von Hand gepflegt — eine handgepflegte Liste ist am Tag nach der Erstellung veraltet.
Reicht ein Schwachstellen-Scanner nicht aus?
Er deckt eine der vier Prüfungen ab. Lizenzverträglichkeit, Pflegezustand und Namensverwechslungen sind andere Fragen und brauchen eigene Regeln. Ein Paket kann frei von bekannten Schwachstellen und trotzdem ein Problem sein.
Wie geht man mit Copyleft-Lizenzen um?
Über eine Liste mit drei Kategorien: erlaubt, im Einzelfall zu prüfen, ausgeschlossen. Entscheidend ist nicht die Lizenz allein, sondern die Art der Nutzung — verlinkt, eingebettet, ausgeliefert oder nur im Build verwendet. Die Kategorisierung ist eine juristische Entscheidung, ihre Durchsetzung eine technische.
Muss man die Stückliste an Kunden herausgeben?
Nicht ungefragt, aber die Fähigkeit dazu ist inzwischen ein Standardpunkt in Lieferantenfragebögen. Wer sie auf Knopfdruck erzeugt, spart Wochen im Vertriebsprozess — deshalb lohnt sich die Einführung auch ohne regulatorischen Druck.
Rechnen Sie Ihre Review-Lücke aus.
Vierzehn Fragen, fünf Minuten. Ihre Zahlen, kein Login.
AI Engineering Review ansehen →
