Die Absicherung der Software-Lieferkette rückt angesichts einer veränderten Bedrohungslage zunehmend in den Fokus der betrieblichen IT-Sicherheit. Nach aktuellen Daten der europäischen Cybersicherheitsbehörde ENISA waren im Jahr 2023 bereits 62 Prozent der Unternehmen von mindestens einer Kompromittierung durch Dritte betroffen. Der Sicherheitsdienstleister Check Point betont in diesem Zusammenhang die Notwendigkeit neuer Abwehrstrategien, um Organisationen wirksam vor derartigen Supply-Chain-Attacken zu schützen.
Technologische Ansätze für autonomes Risikomanagement
Um den komplexen Bedrohungen zu begegnen, empfehlen Experten eine Kombination aus bewährten Sicherheitsprinzipien und modernen Technologien. Hierzu zählen das Prinzip der geringsten Berechtigungen (Least-Privilege), eine konsequente Netzwerksegmentierung sowie die Integration von Sicherheit in den Entwicklungsprozess (DevSecOps). Eine zentrale Rolle spiele künftig die sogenannte Agentic AI, die ein weitgehend autonomes Risikomanagement ermögliche und automatisierte Bedrohungsprävention in Echtzeit umsetze.
Auch Software-Plattformen reagieren auf die Risiken innerhalb der Entwicklungsumgebungen. GitHub führte eine automatisierte Genehmigungsfunktion für potenziell bösartige Workflows in öffentlichen Repositories ein. Diese Funktion hält verdächtige Abläufe an und verlangt eine manuelle Freigabe durch autorisierte Mitarbeiter. Die Absicherung ist standardmäßig aktiviert und erfordert keine zusätzliche Konfiguration durch die Nutzer.
Risikofaktor KI-generierter Code
Die zunehmende Nutzung künstlicher Intelligenz bei der Softwareerstellung schafft jedoch neue Angriffsflächen. Laut einem Bericht von Checkmarx bestehen inzwischen 49 Prozent des Produktivcodes aus KI-generierten Inhalten. Branchenanalysten von Tenable weisen darauf hin, dass durch KI erzeugter Code das Sicherheitsrisiko um das Zehnfache erhöhen kann. Um diese Lücke zu schließen, führt Tenable Anwendungsrisiken mit Exposure-Daten zusammen, was eine durchgehende Sichtbarkeit vom Code bis zur Laufzeit ermöglichen soll.
Die zunehmende Integration von KI in Unternehmensprozesse bringt nicht nur Effizienz, sondern auch neue rechtliche Pflichten mit sich. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle Anforderungen und Fristen des EU AI Act. EU AI Act in 5 Schritten verstehen
Checkmarx stellte mit einer neuen Hybrid-Lösung einen Ansatz vor, der klassische Scan-Engines mit KI-Modellen von Anthropic kombiniert. Das System erreiche einen sogenannten F1-Score von 0,741, was laut Unternehmensangaben viermal höher als der Branchendurchschnitt sei. Die Lösung nutzt Amazon Bedrock, wobei sichergestellt werde, dass der Quellcode die Cloud-Umgebung des Kunden nicht verlässt.
Erweiterte Sichtbarkeit und Marktplätze für Integrationen
Für eine systemübergreifende Analyse von Angriffspfaden hat SpecterOps seine Lösung BloodHound Enterprise um native Unterstützung für Cloud-Infrastrukturen von AWS und Microsoft Entra Agent ID erweitert. Eine neue Schnittstelle für KI-Agenten, basierend auf dem Model Context Protocol, soll dabei helfen, komplexe Abhängigkeiten präventiv sichtbar zu machen.
Parallel dazu entstehen neue Ökosysteme für Sicherheitslösungen. Veracode startete einen Marktplatz für Integrationen, bei dem die Analyse-Tools vorab geprüft werden. Erster Partner ist DryRun Security, dessen KI-native Technologie monatlich über 500.000 Code-Reviews unterstützt. Im Bereich der industriellen Steuerungssysteme meldete Cybeats Technologies einen kommerziellen Auftrag eines japanischen Anbieters, der die SBOM-Plattform (Software Bill of Materials) zur Einhaltung von Compliance-Vorgaben in der Lieferkette nutzt.
Regulatorischer Druck durch den Cyber Resilience Act
Flankiert wird die technologische Aufrüstung durch strengere gesetzliche Vorgaben. Die EU-Kommission veröffentlichte Leitlinien zum Cyber Resilience Act (CRA). Demnach gelten ab dem 11. September 2026 strikte Meldepflichten für aktiv ausgenutzte Schwachstellen; der allgemeine Stichtag für die Umsetzung der Verordnung ist für Dezember 2027 angesetzt.
Neben dem Cyber Resilience Act müssen Unternehmen auch die neuen Regeln für KI-Systeme kennen, um rechtliche Risiken zu minimieren. Erfahren Sie in diesem kostenlosen Report, welche Systeme als Hochrisiko eingestuft werden und was Verantwortliche jetzt konkret tun müssen. Kostenlosen Umsetzungsleitfaden zum AI Act sichern
Der Geschäftsführer eines Sicherheitsunternehmens betonte in diesem Kontext die wachsende Sorgfaltspflicht gegenüber Drittanbietern. Aktuelle Umfragen belegen den Handlungsbedarf in der Industrie: Rund 25 Prozent der deutschen Unternehmen sehen in der unzureichenden Kontrolle über Zugriffe von Drittanbietern eine wesentliche Schwachstelle ihrer IT-Infrastruktur.
