Man muss nicht weit schauen, um zu sehen, dass Software-Lieferketten werden angegriffen. Allein im vergangenen Jahr stiegen die Angriffe auf Open-Source-Repositories um über 150 % (laut Entrusts Bericht vom April 2025), wobei bösartige Pakete an Orte wie npm und PyPI gelangen und dort still und leise darauf warten, von Entwicklern in ihren Code integriert zu werden.
Gleichzeitig sind die Build-Systeme, auf die sich die Pipeline-Unternehmen verlassen, um Code in einsatzfähige Software umzuwandeln, für Angreifer zu einer leichten Beute geworden. Schwache Zugriffskontrollen, ungeschützte Anmeldeinformationen und nicht verifizierte Build-Artefakte haben CI/CD-Plattformen zu einem lohnenden Ziel gemacht.
Doch es geht nicht nur um die Tools. Drittanbieter und Open-Source-Abhängigkeiten liegen oft außerhalb der direkten Kontrolle des Sicherheitsteams und stellen somit einen blinden Fleck dar. Und da ein durchschnittliches Unternehmen auf über 600 SaaS-Apps und Tausende von Bibliotheken angewiesen ist, ist es nicht nur schwierig, sondern nahezu unmöglich, den Überblick über alle beweglichen Teile zu behalten.
Das Endergebnis? Ein perfekter Sturm aus Risiken, bei dem eine einzige unsignierte Binärdatei oder ein kompromittiertes Update zu umfassenden Sicherheitsverletzungen, Reputationsschäden oder Compliance-Verstößen führen kann. Der Druck auf Entwickler, Sicherheitsteams und Führungskräfte, die gesamte Software-Lieferkette zu schützen, war noch nie so hoch.
Warum traditionelle Abwehrmaßnahmen nicht mehr ausreichen?
Firewalls, Antivirenprogramme und sogar Schwachstellenscanner haben ihre Berechtigung, aber sie wurden nicht dafür entwickelt, mit dem Chaos fertig zu werden, zu dem die moderne Softwareentwicklung geworden ist.
Nehmen wir zum Beispiel SBOMs (Software Bills of Materials). Auf dem Papier klingt das nach einer großartigen Idee: Jede Komponente auflisten, jede Abhängigkeit verfolgen. In der Praxis? Sicherheitsteams werden heute mit Tausenden von Einträgen aus Hunderten von Apps überflutet, von denen die meisten wöchentlich, wenn nicht sogar täglich aktualisiert werden. Wenn eine neue Sicherheitslücke auftaucht (denken Sie an Log4j oder XZ Utils), versuchen Sie herauszufinden, ob Sie betroffen sind und wo Sie möglicherweise nach der Nadel im Heuhaufen suchen.
Dann gibt es noch ungeprüfte Pakete. Entwickler agieren schnell und ziehen Dutzende von Open-Source-Bibliotheken ein. Aber wie viele dieser Pakete werden tatsächlich geprüft? Wie oft werden die Signaturen überprüft? Wenn Sie beim Pullen oder Erstellen keine Richtlinien durchsetzen, kann sich Schadcode ohne großen Widerstand einschleichen.
Und vergessen wir nicht die Build-Systeme selbst. CI/CD-Tools sind oft die unbeaufsichtigten Arbeitspferde der Softwarebereitstellung, die Updates bereitstellen, Binärdateien (manchmal) signieren und Releases verpacken. Aber wenn niemand überwacht, wer Zugriff hat, welche Schlüssel verwendet werden oder was tatsächlich erstellt wird, ist das ein großes Problem. Die Kompromittierung einer Build-Pipeline kann genauso effektiv (und deutlich leiser) sein als ein Angriff auf einen Produktionsserver.
All dies stellt CISOs vor eine schwierige Situation. Sie benötigen Echtzeit-Gewährleistung für die Sicherheit des Codes, der signiert, ausgeliefert oder bereitgestellt wird. Doch angesichts der vielen Lücken – von Abhängigkeitsketten bis hin zu Entwicklungstools – gibt es selten eine klare Antwort. Herkömmliche Abwehrmaßnahmen sind für diese Komplexität nicht ausgelegt. Genau hier kommen maßgeschneiderte Lösungen wie unser CodeSign Secure ins Spiel.
Build-Systeme sind die neue Grenze der Sicherheitsverletzungen
Früher konzentrierten sich Angreifer hauptsächlich darauf, Anmeldeinformationen zu stehlen oder Produktionsserver anzugreifen. Heute? Sie greifen direkt Ihre Build-Systeme an, den Ort, an dem Ihre Software tatsächlich erstellt wird.
Warum? Weil es eine Abkürzung ist. Wenn jemand Zugriff auf Ihre CI / CD-Pipeline, sie müssen nicht jeden Entwickler verfolgen oder versuchen, den Quellcode im Upstream zu vergiften. Sie warten einfach, bis alles ordentlich für die Veröffentlichung verpackt ist, schleusen etwas Malware oder eine Hintertür ein und lassen Sie es an die Kunden ausliefern.
Erschwerend kommt hinzu, dass diesen Systemen großes Vertrauen entgegengebracht wird, obwohl sie überraschend wenig überwacht werden. Viele Organisationen verlassen sich immer noch auf gemeinsame Geheimnisse oder Klartext-Token in Build-Skripten. Signaturschlüssel können auf lokalen Entwicklungsmaschinen oder in ungesicherten Containern gespeichert sein. In manchen Fällen gibt es überhaupt keine Signatur, sodass niemand weiß, ob eine Binärdatei authentisch oder manipuliert ist.
Das ist ein wichtiger Grund für Angriffe wie SolarWinds und 3CX schlugen so hart zu. Sobald die Angreifer in den Build-Prozess eingestiegen waren, mussten sie nichts Auffälliges tun. Sie blieben einfach ruhig in der Pipeline und überließen der Automatisierung den Rest.
Hier ist die Code-Signierung unverzichtbar. Sie ist nicht nur eine Formalität, sondern ein digitaler Beleg dafür, dass Ihre Software aus der richtigen Quelle stammt, unverändert ist und vertrauenswürdig ist. Der Haken dabei ist jedoch: Die Signierung funktioniert nur, wenn sie tatsächlich in Ihren Build- und Release-Prozess integriert, sicher durchgeführt und kontrolliert verwaltet wird.
Und genau das ist der Sinn von Tools wie unserem CodeSign Secure um Struktur, Automatisierung und Verantwortlichkeit in das zu bringen, was oft der Wilde Westen moderner Build-Systeme ist.
Warum ist Code Signing nicht verhandelbar?
Mal ehrlich: Wenn Sie Ihrem eigenen Code nicht vertrauen, warum sollte es dann jemand anderes tun?
Wenn Software die Entwicklungs-, Test- und Release-Phase durchläuft, sind viele beteiligt: Entwickler, Automatisierungstools, Plug-ins, Skripte, Open-Source-Bibliotheken und vielleicht sogar einige externe Auftragnehmer. Irgendwo in dieser Kette kann etwas schiefgehen. Code wird manipuliert. Ein Build-System wird geknackt. Eine schädliche Abhängigkeit schleicht sich ein.
Genau das geschah bei spektakulären Sicherheitsverletzungen wie dem von SolarWinds, wo Angreifer Malware in ein signiertes Update einschmuggelten. Oder beim GitHub-Zertifikatdiebstahl, bei dem Angreifer gültige Signaturzertifikate erbeuteten, um Malware zu verbreiten, die völlig legitim aussah. Dabei handelte es sich nicht um auffällige Zero-Day-Angriffe; es ging darum, das Vertrauen an der Quelle zu brechen.
Codesignatur So beheben Sie das Problem. Wenn Sie es richtig machen, ist es, als würden Sie Ihre Software mit einem manipulationssicheren Stempel versiegeln. Es beweist drei Dinge:
- Wer hat es erstellt (Authentizität)
- Dass es seit der Unterzeichnung nicht geändert wurde (Integrität)
- Dass es sicher zu laufen ist (Vertrauenswürdigkeit)
Es bietet Ihnen außerdem eine digitale Spur, sodass Sie, wenn etwas schiefgeht, die Ursache bis zum genauen Build, dem Unterzeichner und dem Zeitpunkt zurückverfolgen können.
Aber hier ist der Punkt: Die Unterschrift ist kein Kontrollkästchen. Sie funktioniert nur, wenn:
- Sie verwenden einen sicheren Schlüsselspeicher (kein Dumping von Schlüsseln in Build-Skripten)
- Signaturen werden erzwungen und überprüft
- Sie haben Einblick und Kontrolle darüber, wer was, wann und wo unterschreibt
Hier kommt unsere Plattform zum Einsatz, CodeSign Secure, kommt ins Spiel. Es macht die Code-Signierung zu einem Teil der Pipeline, nicht zu einem nachträglichen Einfall. Es verarbeitet Schlüssel sicher, verfolgt jede Signatur und gibt Ihnen die Kontrolle über Signaturrichtlinien, ohne die Prozesse zu verlangsamen.
Letztendlich beginnt Vertrauen nicht bei der Bereitstellung, sondern bereits mit der ersten Codezeile.
So schützt CodeSign Secure Ihre Software-Lieferkette
Hier kommt unser CodeSign Secure ins Spiel. Es wurde entwickelt, um Ihnen Vertrauen in das zu geben, was Sie erstellen, signieren und versenden, ohne Ihr Team auszubremsen.
Im Kern hilft Ihnen unsere Plattform dabei, Ihren Code-Signaturprozess so zu sperren, dass nur der richtige Code signiert wird und nur von den richtigen Personen oder Systemen. Keine zufälligen Entwickler, die Releases von privaten Rechnern pushen. Keine offengelegten Schlüssel in GitHub Actions. Kein Rätselraten, wer was signiert hat.
So hilft es:
- Sicheres Signieren mit HSM oder Cloud HSM: Ihre privaten Signaturschlüssel bleiben sicher entweder in einem FIPS-zertifiziertes HSM oder einen vertrauenswürdigen Cloud-KMS-Anbieter. Unsere Plattform stellt sicher, dass diese Schlüssel den Tresor nie verlassen. Keine Klartextschlüssel mehr im Build-Protokoll.
- CI/CD-Integration: Unsere Plattform lässt sich nahtlos in Ihre bestehenden CI/CD-Pipelines integrieren, egal ob Sie Jenkins, GitHub Actions, GitLab, Azure DevOps, Bamboo oder eine individuelle Lösung verwenden. Sie automatisiert den Signierungsprozess direkt nach dem Build, sodass keine zusätzlichen Schritte, keine Engpässe und keine Gefahr mehr besteht, dass jemand das Signieren vergisst.
- Integrierte SBOM-Korrelation: Unsere Plattform signiert nicht nur Binärdateien, sondern integriert auch SBOM-Daten. Dadurch lässt sich jedes signierte Artefakt bis zu den darin enthaltenen Komponenten zurückverfolgen. Wenn eine neue CVE-Schwachstelle auftritt, müssen Sie nicht erst mühsam herausfinden, ob Sie betroffen sind; Sie wissen es bereits.
- Durchsetzbare Unterzeichnungsrichtlinien: Möchten Sie sicherstellen, dass nur Release-Manager Produktionscode signieren können? Oder dürfen Test-Builds nicht mit Produktionsschlüsseln signiert werden? Unsere Plattform unterstützt die detaillierte Durchsetzung von Richtlinien, sodass Sie stets die Kontrolle behalten. Sie können Genehmigungen festlegen, rollenbasierten Zugriff erzwingen und sogar Builds blockieren, die den Regeln nicht entsprechen.
- Zukunftssicher mit Post-Quanten-Algorithmen: Besorgt über Quantenbedrohungen? Unsere Plattform unterstützt Sie. Sie unterstützt post-quantensichere Algorithmen wie ML-KEM, ML-DSA und BMS, sodass Ihre Signaturen auch nach der Einführung des Quantencomputings noch lange gültig bleiben.
Egal, ob Sie interne Builds, öffentliche Releases oder Open-Source-Projekte sichern, unsere Plattform bietet Ihnen die Tools, um sicher zu signieren, präzise zu verfolgen und schnell zu reagieren, wenn etwas schiefgeht.
Zunehmender Regulierungs- und Kundendruck
Es geht nicht mehr nur um gute Sicherheit, sondern darum, sie auch zu beweisen.
Regierungen und Regulierungsbehörden ziehen die Daumenschrauben an. In den USA löste die Executive Order 14028 eine Reihe von Anforderungen zur Sicherheit der Software-Lieferkette aus. In Europa gibt es DORA und NIS2 legt die Messlatte für Drittparteirisiken höher. Und vergessen Sie nicht PCI DSS 4.0, das nun stärkere Kontrollen hinsichtlich der Softwareintegrität und digitaler Signaturen erwartet.
Dies sind nicht nur Vorschläge, sondern Fristen mit echten Konsequenzen. Wenn Ihre Software nicht ordnungsgemäß signiert ist oder Sie nicht nachweisen können, woher sie stammt, verstoßen Sie plötzlich gegen die Vorschriften und sind möglicherweise geschäftsunfähig.
Und es sind nicht nur die Prüfer. Auch die Kunden stellen anspruchsvollere Fragen. Sie wollen wissen, ob Ihre Software manipulationssicher ist, ob Ihre Schlüssel sicher sind und wie schnell Sie auf neue Bedrohungen reagieren können. „Wir verwenden HTTPS“ oder „Wir haben ein Antivirenprogramm“ reicht nicht mehr aus.
Hier kommt unsere Plattform perfekt ins Spiel. Sie hilft Ihnen:
- Erzwingen Sie die Signatur in Ihrem SDLC
- Sichere Schlüssel in HSMs oder Cloud KMS
- Verfolgen und Nachweisen der Softwareherkunft
- Zuordnen signierter Artefakte zu SBOMs
- Erstellen Sie prüfungsfreundliche Protokolle und Berichte
Wenn also das Compliance-Team an die Tür klopft oder ein Kunde Beweise verlangt, geraten Sie nicht in Panik. Sie haben die Antworten parat.
Fazit
Sie können jeden Server patchen, jeden Mitarbeiter schulen und jeden Endpunkt sperren, aber wenn Ihre Software-Lieferkette nicht dicht ist, werden Angreifer einen Weg hinein finden.
Unsere Plattform, CodeSign Secure, hilft Ihnen, dieses Problem zu beheben. Sie erhalten die Kontrolle darüber zurück, was signiert wird, wer es signiert und wie es nachverfolgt wird, ohne dass Ihre Builds verlangsamt werden oder Ihr Team zusätzliche Arbeit bekommt.
Egal, ob Sie ein schnell wachsendes Startup oder ein großes Unternehmen sind, das mit mehreren Teams und Pipelines jongliert, unsere Plattform bietet Ihnen die Tools, um:
- Unterschreiben Sie alles, was wichtig ist
- Bewahren Sie Signaturschlüssel außerhalb der Reichweite auf
- Code-Authentizität sofort nachweisen
- Reagieren Sie schnell, wenn etwas schief geht
Wenn Sie es ernst meinen mit dem Schutz Ihrer Software vom Build bis zur Veröffentlichung und Ihren Kunden und Prüfern zeigen möchten, dass Sie es ernst meinen, ist es an der Zeit, unser CodeSign Secure in Aktion zu sehen.
