{"id":11545,"date":"2026-11-03T14:48:20","date_gmt":"2026-11-03T13:48:20","guid":{"rendered":"https:\/\/erminas.com\/?p=11545"},"modified":"2026-10-14T14:54:47","modified_gmt":"2026-10-14T12:54:47","slug":"sbom-im-vulnerability-management-befunde-pruefen","status":"publish","type":"post","link":"https:\/\/erminas.com\/de\/blog\/sbom-im-vulnerability-management-befunde-pruefen\/","title":{"rendered":"SBOM im Vulnerability Management: Befunde pr\u00fcfen"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"11545\" class=\"elementor elementor-11545\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-8cdf7c3 e-flex e-con-boxed e-con e-parent\" data-id=\"8cdf7c3\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-9e99ca6 elementor-widget elementor-widget-text-editor\" data-id=\"9e99ca6\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>Eine Komponentenliste enth\u00e4lt Paketnamen und Versionen. Ein Analysewerkzeug verkn\u00fcpft diese Daten mit bekannten Sicherheitsmeldungen. Dazwischen liegt ein entscheidender Schritt: Stimmen die Identit\u00e4t der Komponente und die Zuordnung des Befunds? Wer eine SBOM im Vulnerability Management nutzt, braucht nachvollziehbare Antworten auf diese technischen Fragen.<\/p><p>Unsere Experten und Referenten Ruben Brick und Yvette Teiken veranschaulichen diese Arbeit im Vortrag anhand von Dependency-Track. Dieser Beitrag konzentriert sich auf die Arbeit mit dem Inventar und den Analyseergebnissen: Komponenten erkennen, Meldungen pr\u00fcfen, den Produktkontext erg\u00e4nzen und neue Informationen erneut bewerten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-604eab5 elementor-widget elementor-widget-heading\" data-id=\"604eab5\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">SBOM im Vulnerability Management: vom Inventar zum Befund\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-e40a22d elementor-widget elementor-widget-text-editor\" data-id=\"e40a22d\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>In der Demo sind die Komponenten des Beispielprojekts mit ihren Versionen sichtbar. Dependency-Track zeigt unter anderem veraltete Pakete und zugeordnete Schwachstellen. Anschlie\u00dfend wird ein als \u201eCritical\u201c eingestufter Fund f\u00fcr NuGet.Packaging 6.8.0 ge\u00f6ffnet. Die Ansicht enth\u00e4lt eine Advisory-Beschreibung und einen CVSS-Vektor.<\/p><p>Das ist ein konkreter Nutzen der SBOM: Eine Sicherheitsmeldung l\u00e4sst sich mit einer Komponente im Projekt verbinden. Die angezeigte Einstufung geh\u00f6rt zum damaligen Demo-Stand; daraus l\u00e4sst sich keine aktuelle Aussage \u00fcber ein anderes Produkt ableiten.<\/p><p>Auch die angezeigten Informationen beantworten unterschiedliche Fragen. Eine veraltete Version ist ein Hinweis auf einen neueren Paketstand. Ein zugeordneter Sicherheitsbefund verweist auf eine bekannte Schwachstelle. Beides sollte einzeln untersucht werden, statt jede Aktualisierung automatisch als Sicherheitsfix zu behandeln.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-172a41a elementor-widget elementor-widget-video\" data-id=\"172a41a\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;video_type&quot;:&quot;hosted&quot;,&quot;controls&quot;:&quot;yes&quot;}\" data-widget_type=\"video.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t<div class=\"e-hosted-video elementor-wrapper elementor-open-inline\">\n\t\t\t\t\t<video class=\"elementor-video\" src=\"https:\/\/erminas.com\/wp-content\/uploads\/2026\/10\/Highlight_3_Umgang.mp4\" controls=\"\" preload=\"metadata\" controlsList=\"nodownload\"><\/video>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-36fa650 elementor-widget elementor-widget-heading\" data-id=\"36fa650\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">Zuerst die Komponenten-Zuordnung pr\u00fcfen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-30adff1 elementor-widget elementor-widget-text-editor\" data-id=\"30adff1\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>F\u00fcr einen belastbaren Befund muss klar sein, welches Paket untersucht wurde. Ein Name allein kann uneindeutig sein. Pr\u00fcfen Sie deshalb Version, Paket\u00f6kosystem und vorhandene Kennungen wie die Package URL, kurz PURL. Vergleichen Sie diese Angaben mit dem Paket, das im betreffenden Build tats\u00e4chlich verwendet wird.<\/p><p>Anschlie\u00dfend folgt die Sicherheitsmeldung: Welcher Versionsbereich wird genannt? Welche Voraussetzungen beschreibt das Advisory? Passt die Zuordnung zur enthaltenen Komponente? Fehlende Angaben oder Widerspr\u00fcche sollten dokumentiert werden. Eine formal g\u00fcltige SBOM nimmt dem Team diese Pr\u00fcfung nicht ab.<\/p><p>Besonders hilfreich sind die Beziehungen zwischen Komponenten. Wenn ein betroffenes Paket nur indirekt eingebunden wird, zeigt der Abh\u00e4ngigkeitszusammenhang, \u00fcber welche direkte Abh\u00e4ngigkeit es in das Projekt gelangt. Daraus kann sich ergeben, an welcher Stelle eine Aktualisierung gepr\u00fcft werden muss.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-f6d8a60 elementor-widget elementor-widget-heading\" data-id=\"f6d8a60\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">Die Ausnutzbarkeit im Produktkontext untersuchen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-39f3777 elementor-widget elementor-widget-text-editor\" data-id=\"39f3777\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>Nach der Zuordnung geht es um die Nutzung im konkreten Produkt. Wird die betroffene Funktion aufgerufen? Kann ein Angreifer die erforderlichen Eingaben beeinflussen? Welche Konfiguration und Schutzma\u00dfnahmen sind relevant? Ein Schweregrad beschreibt die Schwachstelle; f\u00fcr die eigene Priorisierung braucht es zus\u00e4tzlich diesen Kontext.<\/p>\n\n<p>Solange entscheidende Informationen fehlen, bleibt die Bewertung offen. Eine Entwarnung sollte auf \u00fcberpr\u00fcfbaren Tatsachen beruhen und f\u00fcr den untersuchten Produktstand gelten. \u00c4ndert sich die Nutzung oder Konfiguration, kann eine erneute Untersuchung erforderlich werden.<\/p>\n\n<p>Als erg\u00e4nzendes Konzept kann VEX, die Vulnerability Exploitability eXchange, Aussagen zur Anwendbarkeit beziehungsweise Ausnutzbarkeit einer Schwachstelle im Produktkontext maschinenlesbar ausdr\u00fccken. Die <a href=\"https:\/\/cyclonedx.org\/capabilities\/vex\/\" target=\"_blank\" rel=\"noopener\">CycloneDX-Dokumentation zu VEX<\/a> erl\u00e4utert diese Erg\u00e4nzung zum Softwareinventar. Dieser Ansatz erg\u00e4nzt die im Vortrag gezeigte Komponenten- und Schwachstellenanalyse.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-ddc3718 elementor-widget elementor-widget-heading\" data-id=\"ddc3718\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">Einen technischen Befund reproduzierbar dokumentieren<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-5492228 elementor-widget elementor-widget-text-editor\" data-id=\"5492228\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>F\u00fcr die weitere Bearbeitung empfehlen wir, Produktversion, Build-Kennung und die verwendete SBOM gemeinsam zu referenzieren. Hinzu kommen die Komponentenkennung, die Advisory- oder CVE-Kennung, die verwendete Informationsquelle und das Datum der Bewertung. Dokumentieren Sie au\u00dferdem die untersuchten Voraussetzungen und die Begr\u00fcndung der Entscheidung.<\/p>\n\n<p>Damit kann eine andere Person nachvollziehen, worauf die Bewertung beruht. Auch eine sp\u00e4tere Pr\u00fcfung wird erleichtert: Hat sich die Komponente ge\u00e4ndert, das Advisory neue Informationen erhalten oder die Produktkonfiguration ver\u00e4ndert?<\/p>\n\n<p>Welche Rolle der Patchstatus und die Zuordnung zu Kundeninstallationen spielen, beschreibt unser Beitrag <a href=\"https:\/\/erminas.com\/de\/blog\/cybersicherheit-ist-nicht-nur-etwas-fur-tech-giganten-kmu-mussen-jetzt-handeln\/\" target=\"_blank\" rel=\"noopener\">\u201eCybersicherheit ist nicht nur etwas f\u00fcr Tech-Giganten \u2013 KMU m\u00fcssen jetzt handeln\u201c<\/a>. F\u00fcr diese Zuordnung ist neben der Release-SBOM eine \u00dcbersicht der tats\u00e4chlich eingesetzten Produktversionen erforderlich.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-41438ce elementor-widget elementor-widget-heading\" data-id=\"41438ce\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">Laufende Analyse und externe Meldungen zusammenf\u00fchren<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-4020085 elementor-widget elementor-widget-text-editor\" data-id=\"4020085\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>Auch bei einem unver\u00e4nderten Softwarebestand k\u00f6nnen neue Sicherheitsmeldungen erscheinen. Gespeicherte SBOMs sollten deshalb regelm\u00e4\u00dfig mit aktuellen Informationen abgeglichen werden. Ein einmaliger Scan beim Release beantwortet keine Fragen zu Schwachstellen, die erst sp\u00e4ter bekannt werden. Dependency-Track beschreibt diese fortlaufende Analyse in seiner <a href=\"https:\/\/docs.dependencytrack.org\/usage\/cicd\/\" target=\"_blank\" rel=\"noopener\">Dokumentation zur CI\/CD-Nutzung<\/a>.<\/p>\n\n<p>Parallel dazu k\u00f6nnen Hinweise von au\u00dfen eingehen. Wie solche Meldungen angenommen, mit der meldenden Person abgestimmt und gegebenenfalls koordiniert ver\u00f6ffentlicht werden, erl\u00e4utert unser Beitrag <a href=\"https:\/\/erminas.com\/de\/blog\/cvd-so-gehen-sie-professionell-mit-sicherheitsluecken-um\/\" target=\"_blank\" rel=\"noopener\">\u201eCVD: So gehen Sie professionell mit Sicherheitsl\u00fccken um\u201c<\/a>. Die SBOM kann diesen Ablauf bei der Komponenten- und Produktzuordnung unterst\u00fctzen. Die Abstimmung mit externen Entdeckern bleibt eine zus\u00e4tzliche Aufgabe.<\/p>\n\n<p>F\u00fcr den technischen Einstieg lohnt sich eine einfache Probe: W\u00e4hlen Sie einen konkreten Befund, pr\u00fcfen Sie seine Komponenten-Zuordnung und dokumentieren Sie die Voraussetzungen im eigenen Produkt. Danach l\u00e4sst sich der Ablauf auf weitere Befunde und Produktversionen \u00fcbertragen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-c831a5e elementor-widget elementor-widget-heading\" data-id=\"c831a5e\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h2 class=\"elementor-heading-title elementor-size-default\">Quellen und weiterf\u00fchrende Informationen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-0c155cc elementor-widget elementor-widget-text-editor\" data-id=\"0c155cc\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<ul>\n  <li><a href=\"https:\/\/www.youtube.com\/watch?v=cEdKo-h0JLU\" target=\"_blank\" rel=\"noopener\">Vortrag und Live-Demo<\/a>, insbesondere 36:00\u201337:57 und Abschlussfolie um Minute 41.<\/li>\n  <li><a href=\"https:\/\/dependencytrack.org\/\" target=\"_blank\" rel=\"noopener\">Dependency-Track: offizielle Projektseite<\/a>.<\/li>\n  <li><a href=\"https:\/\/cyclonedx.org\/capabilities\/vex\/\" target=\"_blank\" rel=\"noopener\">CycloneDX: Vulnerability Exploitability eXchange<\/a>.<\/li>\n<\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Eine Komponentenliste enth\u00e4lt Paketnamen und Versionen. Ein Analysewerkzeug verkn\u00fcpft diese Daten mit bekannten Sicherheitsmeldungen. Dazwischen liegt ein entscheidender Schritt: Stimmen die Identit\u00e4t der Komponente und die Zuordnung des Befunds? Wer eine SBOM im Vulnerability Management nutzt, braucht nachvollziehbare Antworten auf diese technischen Fragen. Unsere Experten und Referenten Ruben Brick und Yvette Teiken veranschaulichen diese Arbeit [&hellip;]<\/p>\n","protected":false},"author":8,"featured_media":11551,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"iawp_total_views":0,"footnotes":""},"categories":[148,1,221],"tags":[],"class_list":["post-11545","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-resilience","category-erminas","category-it-sicherheit"],"_links":{"self":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/11545","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/comments?post=11545"}],"version-history":[{"count":10,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/11545\/revisions"}],"predecessor-version":[{"id":11582,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/posts\/11545\/revisions\/11582"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/media\/11551"}],"wp:attachment":[{"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/media?parent=11545"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/categories?post=11545"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/erminas.com\/de\/wp-json\/wp\/v2\/tags?post=11545"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}