Definition. Ein Supply-Chain-Angriff setzt in der Lieferkette der Software an. Statt die Anwendung selbst anzugreifen, kompromittiert er etwas, dem sie vertraut: ein Composer- oder npm-Paket, einen CI-Runner, ein Container-Image oder das Konto eines Maintainers. Der Schadcode kommt dann über den regulären Update-Weg ins System.

Warum relevant. Ein TYPO3-Projekt zieht Hunderte Abhängigkeiten, ein Kubernetes-Cluster Dutzende Images. Jede davon ist ein Einfallstor. Gegenmittel sind gepinnte Versionen mit Lockfile, eine Karenzzeit für neue Releases, Images per Digest, SBOM und Herkunftsnachweise nach SLSA. Dazu kommt eine Registry, die nur geprüfte Artefakte ausliefert.

Beispiel. Die Backdoor in xz-utils 2024 kam über einen Maintainer, der sich über Jahre Vertrauen aufgebaut hatte. Sie steckte in Release-Tarballs, nicht im sichtbaren Git-Quellcode. Im Oktober 2026 veröffentlichte ein Angreifer mit gestohlenen Tokens über die reguläre Pipeline von LiteLLM die Version 1.107.0, deren Wheels bei jedem Python-Start Zugangsdaten stahlen.

Verwandt. SBOM, SLSA, Herkunftsnachweis (Provenance), Karenzzeit, Lockfile, CVE, Wolfi OS