{"id":10927,"date":"2026-10-14T12:29:03","date_gmt":"2026-10-14T10:29:03","guid":{"rendered":"https:\/\/erminas.com\/?p=10927"},"modified":"2026-10-14T14:30:23","modified_gmt":"2026-10-14T12:30:23","slug":"sbom-in-der-praxis-5-erkenntnisse-aus-unserem-ihk-vortrag","status":"publish","type":"post","link":"https:\/\/erminas.com\/de\/blog\/sbom-in-der-praxis-5-erkenntnisse-aus-unserem-ihk-vortrag\/","title":{"rendered":"SBOM in der Praxis: 5 Erkenntnisse aus unserem IHK Vortrag"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/p>

Wie l\u00e4sst sich eine SBOM in der Praxis nutzen? Dieser Frage widmen sich unsere beiden Experten und Referenten Ruben Brick und Yvette Teiken im Vortrag \u201eCRA \u2013 SBOM \u2013 Wie Software-St\u00fccklisten wirklich in Entwicklung und Betrieb ankommen\u201c. Sie verbinden die technischen Grundlagen von SBOMs mit Fragen zum Umgang mit Schwachstellen in Entwicklung und Betrieb.<\/p>

Die Live-Demo macht die Arbeitsschritte konkret: F\u00fcr eine .NET-Anwendung wird eine CycloneDX-SBOM erzeugt und als JSON-Datei ge\u00f6ffnet. Anschlie\u00dfend zeigt Dependency-Track die enthaltenen Komponenten und zugeordnete Sicherheitsbefunde. Damit wird nachvollziehbar, wie aus den strukturierten Daten Informationen f\u00fcr die weitere Untersuchung entstehen.<\/p>

Der R\u00fcckblick kn\u00fcpft an zwei bestehende Beitr\u00e4ge an: \u201eCybersicherheit ist nicht nur etwas f\u00fcr Tech-Giganten \u2013 KMU m\u00fcssen jetzt handeln\u201c<\/a> behandelt Verantwortung und Strukturen im Unternehmen. \u201eCVD: So gehen Sie professionell mit Sicherheitsl\u00fccken um\u201c<\/a> erl\u00e4utert den koordinierten Umgang mit externen Meldungen. Der Vortrag erg\u00e4nzt diese Perspektiven um die praktische Arbeit mit SBOMs.<\/p>

Aus diesem Zusammenspiel ergeben sich f\u00fcnf Erkenntnisse f\u00fcr Teams, die SBOMs in Entwicklung und Betrieb einsetzen m\u00f6chten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

1. Eine SBOM erfasst auch transitive Abh\u00e4ngigkeiten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die erste Erkenntnis betrifft den Softwarebestand selbst. Eine Anwendung besteht aus mehr als den unmittelbar eingebundenen Paketen. Auch diese Pakete h\u00e4ngen von weiteren Komponenten ab. Der Vortrag veranschaulicht solche transitiven Abh\u00e4ngigkeiten mit einem mehrstufigen Abh\u00e4ngigkeitsbaum.<\/p>

Eine SBOM macht diese Zusammensetzung nachvollziehbar. F\u00fcr ein Entwicklungsteam entsteht dadurch eine gemeinsame Informationsgrundlage: Welche Komponenten sind enthalten, in welchen Versionen und mit welchen Beziehungen? Diese Transparenz unterst\u00fctzt die Untersuchung von Sicherheitsmeldungen ebenso wie Incident Response und Lizenzpr\u00fcfung.<\/p>

Das ist besonders relevant, wenn eine Meldung eine Bibliothek betrifft, die niemand bewusst als direkte Abh\u00e4ngigkeit eingebaut hat. Entscheidend ist dann der tats\u00e4chliche Bestand des untersuchten Softwarestands. Die SBOM hilft, diesen Bestand gezielt zu pr\u00fcfen, statt ihn erst im Vorfall m\u00fchsam zu rekonstruieren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

2. SBOMs geh\u00f6ren in den Entwicklungsprozess<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Live-Demo zeigt einen greifbaren Einstieg: cdxgen erzeugt eine CycloneDX-Datei f\u00fcr das .NET-Projekt, erkennt 16 Komponenten und meldet eine erfolgreiche Validierung. Das Ergebnis ist sichtbar und kann anschlie\u00dfend weiterverarbeitet werden.<\/p>

F\u00fcr den dauerhaften Einsatz reicht ein einmaliger lokaler Aufruf jedoch nicht aus. Mit jeder relevanten \u00c4nderung kann sich die Zusammensetzung der Software ver\u00e4ndern. Die im Vortrag vorgestellte CI\/CD-Folie verbindet deshalb die Anwendung, Azure DevOps und Dependency-Track zu einem durchg\u00e4ngigen Vorgehensmodell.<\/p>

Die praktische Konsequenz: Erzeugung, Pr\u00fcfung und Zuordnung der SBOM sollten regelm\u00e4\u00dfig und reproduzierbar erfolgen. Besonders f\u00fcr ausgelieferte Releases muss erkennbar bleiben, welche SBOM zu welcher Version geh\u00f6rt. So k\u00f6nnen auch \u00e4ltere Produktst\u00e4nde untersucht werden, wenn sp\u00e4ter neue Sicherheitsinformationen auftauchen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

3. Standards und Tools machen SBOM-Daten praktisch nutzbar<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die erzeugte SBOM liegt in der Demo als JSON-Datei vor. Sie enth\u00e4lt strukturierte Angaben zu Komponenten, Versionen und Abh\u00e4ngigkeiten. Diese Angaben lassen sich zwar manuell lesen, bei umfangreichen Projekten ist das Nachvollziehen der Zusammenh\u00e4nge jedoch m\u00fchsam und zeitaufwendig.<\/p>

Hier greifen Standards und Werkzeuge ineinander. SPDX und CycloneDX legen fest, wie SBOM-Informationen strukturiert beschrieben werden. Ein Analysewerkzeug kann ein unterst\u00fctztes Format einlesen und die Daten gezielt aufbereiten. In der Demo wird daf\u00fcr eine CycloneDX-SBOM mit Dependency-Track ausgewertet. Die Komponenten erscheinen dort mit ihren Versionen in einer \u00fcbersichtlichen Oberfl\u00e4che.<\/p>

Der praktische Vorteil liegt darin, den Softwarebestand schneller durchsuchen und Zusammenh\u00e4nge untersuchen zu k\u00f6nnen. Voraussetzung bleiben korrekte Daten: Namen, Versionen und Kennungen wie PURL oder CPE unterst\u00fctzen die Zuordnung der Komponenten. Eine \u00fcbersichtliche Darstellung kann fehlende oder falsche Angaben in der SBOM nicht ausgleichen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

4. SBOMs unterst\u00fctzen die Analyse konkreter Schwachstellen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In der Live-Demo wird das .NET-Beispielprojekt in Dependency-Track ge\u00f6ffnet. Dort sind die erfassten Komponenten mit ihren Versionen, Hinweise auf veraltete Pakete und zugeordnete Schwachstellen sichtbar. Anschlie\u00dfend wird ein als \u201eCritical\u201c eingestufter Befund f\u00fcr NuGet.Packaging 6.8.0 ge\u00f6ffnet. Die Detailansicht zeigt die Beschreibung der Schwachstelle und den CVSS-Vektor.<\/p>

Damit wird die Rolle einer SBOM im Schwachstellenmanagement anschaulich. Ein Inventar l\u00e4sst sich mit Sicherheitsinformationen zusammenf\u00fchren und unterst\u00fctzt die Frage, welche Bestandteile n\u00e4her untersucht werden m\u00fcssen. Eine allgemeine Meldung erh\u00e4lt so einen Bezug zum eigenen Projekt.<\/p>

Der Befund ist dennoch keine fertige Entscheidung. Die Schwere einer Schwachstelle und ihre konkrete Auswirkung im eigenen Produkt m\u00fcssen gemeinsam betrachtet werden. Analysewerkzeuge liefern Hinweise; Entwicklung und Security m\u00fcssen daraus eine nachvollziehbare Bewertung ableiten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

5. SBOM-Daten m\u00fcssen mit dem Produktbetrieb verbunden werden<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Abschlussfolie ordnet die weitere Arbeit in vier Fragenfelder ein: Betroffenheit, Patchstatus, Threat Model und Kommunikation. Damit wird die Grenze der technischen Demo deutlich: Ein Komponentenfund allein beantwortet noch nicht, welche Kundeninstallation betroffen ist oder ob eine korrigierte Version bereits dort l\u00e4uft.<\/p>

F\u00fcr die Umsetzung m\u00fcssen daher Release-Informationen, eingesetzte Produktst\u00e4nde und die Bewertung des Befunds zusammengef\u00fchrt werden. Die SBOM tr\u00e4gt das Inventar bei. Der operative Rahmen f\u00fcr Patchstatus und Kundenkommunikation wird im verlinkten KMU-Beitrag vertieft; die Abstimmung bei externen Meldungen im CVD-Beitrag.<\/p>

Die f\u00fcnfte Erkenntnis liegt in dieser Verbindung: Gute Daten m\u00fcssen die zust\u00e4ndigen Stellen erreichen und in konkrete Entscheidungen einflie\u00dfen. Die gezeigten Werkzeuge liefern daf\u00fcr einen technischen Ausgangspunkt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

SBOM in der Praxis: vom Softwarebestand zur Entscheidung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

<\/p>

Der Vortrag macht sichtbar, wie die einzelnen Schritte zusammenwirken: cdxgen erzeugt die SBOM, Dependency-Track ordnet den enthaltenen Komponenten Sicherheitsbefunde zu, und die anschlie\u00dfende Bewertung ber\u00fccksichtigt den Einsatz im konkreten Produkt. Jeder Schritt baut auf den Informationen des vorherigen auf.<\/p>

F\u00fcr Entwicklungsteams liegt der Nutzen darin, Sicherheitsfragen anhand eines nachvollziehbaren Softwarebestands untersuchen zu k\u00f6nnen. Welche Abh\u00e4ngigkeit bringt ein betroffenes Paket mit? Welche Produktversion enth\u00e4lt es? Und welche Voraussetzungen des Advisorys treffen auf die eigene Anwendung zu? Eine gepflegte SBOM schafft die Datengrundlage f\u00fcr diese Untersuchung und hilft, Entscheidungen gegen\u00fcber Betrieb und Kunden zu begr\u00fcnden.<\/p>

Die vollst\u00e4ndige Aufzeichnung<\/a> zeigt, wie unsere Experten Ruben Brick und Yvette Teiken diese Themen anhand der .NET-Live-Demo veranschaulichen. In den kommenden Blogbeitr\u00e4gen vertiefen wir die einzelnen Schritte: die Erstellung einer SBOM, ihre Integration in den Entwicklungsprozess und ihre Nutzung im Vulnerability Management.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

SBOM in der Praxis: Ruben Brick und Yvette Teiken zeigen, wie Sie SBOMs erstellen, in die Entwicklung integrieren und f\u00fcr Sicherheitsanalysen nutzen.<\/p>\n","protected":false},"author":8,"featured_media":11506,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"SBOM in der Praxis: 5 Erkenntnisse aus unserem IHK Vortrag","_seopress_titles_desc":"SBOM in der Praxis: Ruben Brick und Yvette Teiken zeigen, wie Sie SBOMs erstellen, in die Entwicklung integrieren und f\u00fcr Sicherheitsanalysen nutzen.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"SBOM Vortrag,Software-St\u00fcckliste,Software Supply Chain,Schwachstellenmanagement,SBOM in Entwicklung und Betrieb,SBOM in der Praxis","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"iawp_total_views":4,"footnotes":""},"categories":[148,1,221],"tags":[],"class_list":["post-10927","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-resilience","category-erminas","category-it-sicherheit"],"_links":{"self":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/10927","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/comments?post=10927"}],"version-history":[{"count":11,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/10927\/revisions"}],"predecessor-version":[{"id":11576,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/10927\/revisions\/11576"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/media\/11506"}],"wp:attachment":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/media?parent=10927"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/categories?post=10927"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/tags?post=10927"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}