Wie lässt sich die Suchmaschinenoptimierung (SEO) für japanische Suchmaschinen verbessern?

Container sind für viele Teams zur Standardeinheit für die Bereitstellung von Software geworden. Laut einem CNCF-Bericht setzen mittlerweile 91 % der Unternehmen Container in der Produktion ein. Wenn etwas so weit verbreitet ist, wirken die effektivsten Verbesserungen auf dem Papier oft unscheinbar: eine Reihe von Prüfungen, die man konsistent, am selben Ort und mit denselben Ergebnissen durchführen kann. In diesem Artikel erstellen wir ein einsteigerfreundliches Open-Source-Starterpaket für Containersicherheit, das sich mithilfe von Open-Source-Tools für Containersicherheit in normale CI/CD-Prozesse integrieren lässt: einen Image-Scan, eine SBOM und ein einfaches Policy-Gate.

Ich werde anhand von CNCF-Einführungsdaten erläutern, warum der SBOM-Teil auf den Mindestanforderungen der NTIA basiert, und unter Bezugnahme auf den DBIR von Verizon aufzeigen, warum Transparenz in der Lieferkette mittlerweile eine tägliche Notwendigkeit ist. Am Ende erhalten Sie eine übersichtliche Checkliste, die Sie ohne Plattformwechsel umsetzen können, sowie ein klareres Rahmenwerk, um zu entscheiden, worauf Sie Ihre Aufmerksamkeit richten sollten, wenn sich Bedenken hinsichtlich von Schwachstellen häufen.

Ihre Container haben Abhängigkeiten

Containersicherheit versagt selten aufgrund mangelnder Sorgfalt; sie versagt, weil es zu viele bewegliche Teile gibt, um den Überblick zu behalten. Die CNCF berichtete, dass die durchschnittliche Anzahl der von Unternehmen genutzten Container im Jahr 2024 bei 2.341 lag (gegenüber 1.140 im Jahr 2023) – was deutlich macht, dass Sie wiederholbare Gewohnheiten brauchen, keine heldenhaften Anstrengungen.

Deshalb gefällt mir das Konzept der „Security Receipts“.

Keine Bürokratie um der Bürokratie willen, sondern kleine Artefakte, die einem Image beiliegen und die Fragen des nächsten Verantwortlichen schnell beantworten.

Wenn Ihr Build konsistent drei Belege erzeugen kann, haben Sie die Messlatte bereits höher gelegt:

• Ein Image-Scan-Beleg zeigt Ihnen, welche bekannten Probleme derzeit bestehen (und gibt Ihnen einen Vergleichsmaßstab für morgen).
• Ein SBOM-Beleg zeigt dir in einem strukturierten und teilbaren Format, was du tatsächlich ausgeliefert hast.
• Ein Richtlinienbeleg dokumentiert, dass Ihre Pipeline eine Regel angewendet und die Freigabe entweder genehmigt oder blockiert hat.

Das hat einen nützlichen Nebeneffekt: Diese Belege verkürzen die Gespräche. Anstatt über subjektive Risikoeinschätzungen zu diskutieren, schauen Sie sich die gleichen Ergebnisse an und treffen gemeinsam eine Entscheidung.

Eine praktische Tatsache, die es zu berücksichtigen gilt: Schwachstellenlisten neigen dazu, mit der Zeit zu wachsen, selbst wenn Teams fleißig Patches installieren. Deshalb ist es wichtig, Störfaktoren zu reduzieren und sich auf umsetzbare Maßnahmen zu konzentrieren. Ein Starterpaket hilft einem kleinen Team dabei, dies zu erreichen.

CI/CD als Ihr Sicherheits-Autopilot

Wenn dies langfristig funktionieren soll, muss es sich in die bestehenden Arbeitsabläufe einfügen. Laut CNCF nutzen 60 % der Unternehmen CI/CD in der Produktion für die meisten oder alle Anwendungen – das bedeutet, dass die Pipeline bereits dort ist, wo Teams darauf vertrauen, dass die Arbeit vom „Fertig“-Status zum „Ausgeliefert“-Status gelangt.

Wir brauchen also kein komplexes Programm, um loszulegen. Wir brauchen drei Standardvorgaben, die Ihre Pipeline für jedes Container-Image ausführt, und einen Moment, in dem sie „Stopp“ sagen darf.

Hier ist ein einfacher Ablauf, der Ihnen dennoch echte Vorteile bietet:

• Erstellen Sie das Container-Image und versehen Sie es mit einem vorhersehbaren Tag (damit spätere Artefakte eindeutig dem richtigen Build zugeordnet werden können).
• Führen Sie einen Open-Source-Schwachstellen-Scan für dieses Image durch und speichern Sie die Ergebnisse als Build-Artefakt, das Sie später überprüfen können.
• Generieren Sie eine SBOM in einem maschinenlesbaren Format und speichern Sie diese zusammen mit dem Image (oder mit einem versionsspezifischen Verweis).
• Setzen Sie eine Richtlinienprüfung durch, die die Ergebnisse des Scans und der SBOM auswertet und anschließend ein eindeutiges „Bestanden“ oder „Nicht bestanden“ für die Bereitstellung zurückgibt.

Die einfachste erste Regel ist eine, die das richtige Verhalten vermittelt, ohne ständig Reibungspunkte zu schaffen. Ein guter Kandidat ist „Keine SBOM, kein Deployment“, da diese Regel objektiv ist und Transparenz als normalen Bestandteil des Release-Prozesses fördert.

Sobald sich dies etabliert hat, können Sie Ihre Richtlinie in kleinen Schritten verschärfen. Vielleicht fügen Sie einen Schwellenwert für Sicherheitslücken hinzu oder verlangen, dass die SBOM die Felder enthält, die für Ihr Unternehmen am wichtigsten sind. Teams versuchen oft, mit der perfekten Richtlinie zu beginnen, und enden schließlich mit einer Richtlinie, der niemand vertraut. Klein anzufangen senkt nicht die Standards; es macht es einfacher, sie aufrechtzuerhalten.

SBOMs machen die Sicherheit in der Lieferkette weniger undurchsichtig

Ein Großteil der Unsicherheit in der Lieferkette rührt daher, dass man nicht weiß, worauf man angewiesen ist oder wer sonst noch darauf angewiesen ist. Der DBIR 2025 von Verizon hebt hervor, dass 30 % der Sicherheitsverletzungen mit der Beteiligung von Drittanbietern in Verbindung standen. Verizon weist zudem darauf hin, dass der Erfassungszeitraum für Vorfälle im DBIR 2025 vom 1. November 2023 bis zum 31. Oktober 2024 reicht.

Hier kommen SBOMs ins Spiel. Die NTIA definiert eine SBOM als formelle Aufzeichnung, die die Details und Lieferkettenbeziehungen der bei der Softwareentwicklung verwendeten Komponenten enthält. Die NTIA legt zudem Mindestanforderungen in drei Kategorien fest: Datenfelder, Automatisierungsunterstützung sowie Praktiken/Prozesse. Diese Struktur sorgt dafür, dass die Arbeit mit SBOMs praxisorientiert bleibt und nicht rein theoretisch ist.

Im Hinblick auf die Automatisierungsunterstützung nennt die NTIA gängige SBOM-Formate, die zur Erstellung und Nutzung von SBOMs verwendet werden, darunter SPDX, CycloneDX und SWID-Tags. Das ist für die Containersicherheit wichtig, da Maschinen nicht durchsetzen können, was sie nicht lesen können. Wenn Ihre SBOM konsistent und maschinenlesbar ist, wird Ihr Richtlinien-Gate zuverlässig statt anfällig.

Die Erwartungen an SBOMs befinden sich noch in der Entwicklung. Die CISA hat ihre Empfehlungen für Mindestanforderungen an SBOM-Funktionen aktualisiert, darunter SBOM-Datenfelder, erwartete Vollständigkeit, die Identifizierung bekannter und unbekannter Abhängigkeiten sowie die Bedeutung der Aktualisierung veralteter Datensätze. Und denken Sie daran: Wenn Sie nicht schnell beantworten können, „Was ist in diesem Image enthalten?“, wie sicher können Sie dann sein, wenn an einem hektischen Tag die nächste Schwachstellenwarnung eintrifft?

Kleine Überprüfungen sorgen für großes Vertrauen

Der eigentliche Vorteil eines Open-Source-Starterpakets ist die Konsistenz, die Sie erklären können. Ein Image-Scan liefert Ihnen eine aktuelle Momentaufnahme, eine SBOM liefert Ihnen einen sauberen Bestandsnachweis, und ein einfaches Policy-Gate verwandelt beides in eine Entscheidung, die Ihre Pipeline durchsetzen kann.

Hier gibt es auch einen praktischen Aspekt. Die CNCF berichtete, dass im asiatisch-pazifischen Raum 84 % der Unternehmen cloud-native Techniken zumindest auf der Stufe „teilweise“ (teilweise, weitgehend oder fast vollständig) einsetzen – was daran erinnert, dass Teams in und um Vietnam mit denselben modernen Bausteinen arbeiten wie alle anderen auch.

Warten Sie also nicht auf eine Plattformumstellung, um bedeutende Fortschritte bei der Containersicherheit zu erzielen; beginnen Sie damit, Ihre Pipeline so einzurichten, dass sie für jedes Image diese drei Nachweise erstellt, und iterieren Sie dann weiter.