Software Bill of Materials (SBOM)

Eine Software Bill of Materials (SBOM) funktioniert wie die Stückliste in der Fertigung: Sie zählt auf, woraus ein Produkt zusammengesetzt ist. Bei Software sind das Bibliotheken, Frameworks, Laufzeitumgebungen und Module, die ein Hersteller nicht selbst geschrieben, sondern übernommen hat. Zu jeder Komponente gehören Name, Version, Lieferant, eine eindeutige Kennung und die Beziehung zu anderen Komponenten. Weil moderne Anwendungen zum großen Teil aus solchen Bausteinen bestehen, die wiederum eigene Abhängigkeiten mitbringen, entsteht ein Baum, den ohne Verzeichnis niemand überblickt.

Entscheidend ist die Form. Eine SBOM wird maschinenlesbar geführt, damit Werkzeuge sie automatisch auswerten können, etwa gegen Datenbanken bekannter Schwachstellen. Durchgesetzt haben sich zwei offene Formate: SPDX, seit 2021 als internationale Norm ISO/IEC 5962 veröffentlicht, und CycloneDX, das Ecma International als Standard ECMA-424 führt. Den Begriff geprägt hat in seiner heutigen Bedeutung die US-Behörde NTIA, die im Juli 2021 im Auftrag der Executive Order 14028 Mindestelemente einer SBOM festlegte und sie als formale Aufzeichnung der Komponenten und ihrer Lieferkettenbeziehungen beschreibt.

Warum die Stückliste zur Pflicht wird

In der EU macht der Cyber Resilience Act, Verordnung (EU) 2024/2847, die SBOM zur Herstellerpflicht. Anhang I Teil II verlangt, Schwachstellen und Komponenten zu identifizieren und zu dokumentieren, unter anderem durch eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt. Die Verordnung gilt im Wesentlichen ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen nach Artikel 14 gelten bereits seit dem 11. September 2026: Eine Frühwarnung ist innerhalb von 24 Stunden fällig, eine ausführlichere Meldung innerhalb von 72 Stunden.

Veröffentlichen muss ein Hersteller seine SBOM nicht. Sie gehört zur technischen Dokumentation und ist einer Marktüberwachungsbehörde auf begründetes Verlangen vorzulegen. Gibt ein Hersteller sie freiwillig an Kunden weiter, muss er angeben, wo sie abrufbar ist. Für Unternehmen, die Software einkaufen, folgt daraus: Die Stückliste existiert künftig bei jedem Hersteller, der Produkte mit digitalen Elementen in der EU anbietet. Ob und in welcher Tiefe sie beim Kunden ankommt, ist Verhandlungssache.

Für die Führung zählt vor allem der Zeitfaktor. Wird in einer verbreiteten Bibliothek eine kritische Lücke bekannt, lautet die erste Frage: Sind wir betroffen, und wo? Mit aktuellen Stücklisten lässt sich das in Minuten beantworten. Ohne sie beginnt eine Suche, die Tage dauern kann, während Angreifer bereits nach verwundbaren Systemen suchen. Das berührt auch die Sorgfaltspflichten, die NIS-2 der Geschäftsleitung beim Risikomanagement in der Lieferkette auferlegt.

Wie eine SBOM in der Praxis entsteht

Eine brauchbare SBOM wird nicht von Hand geschrieben, sondern beim Bau der Software automatisch erzeugt und mit jeder neuen Version aktualisiert. Eine einmalig abgelegte Liste veraltet mit dem nächsten Update. In Deutschland hat das BSI mit der Technischen Richtlinie TR-03183, Teil 2, formale und technische Anforderungen an SBOMs beschrieben, die sich an den Pflichten des Cyber Resilience Act orientieren.

Ein denkbares Szenario: Ein Maschinenbauer betreibt eine zugekaufte Software zur Fertigungssteuerung. In einer weit verbreiteten Open-Source-Komponente wird eine schwere Lücke bekannt. Der Hersteller der Steuerungssoftware liefert seit dem letzten Vertrag zu jeder Version eine SBOM mit. Die IT gleicht sie mit der veröffentlichten Schwachstelle ab und stellt fest, dass die betroffene Komponente in einer nicht verwundbaren Version enthalten ist. Die Geschäftsleitung erhält noch am selben Vormittag eine belastbare Antwort, statt tagelang auf eine Stellungnahme des Herstellers zu warten.

Die SBOM allein sagt allerdings nicht, ob eine enthaltene Schwachstelle tatsächlich ausnutzbar ist. Viele Lücken betreffen Funktionen, die ein Produkt gar nicht verwendet. Dafür gibt es ergänzende Angaben zur Ausnutzbarkeit, die Hersteller zusätzlich zur Stückliste bereitstellen können.

Worauf es in Einkauf und Verträgen ankommt

• Format festlegen: Eine SBOM in einem offenen, maschinenlesbaren Format wie SPDX oder CycloneDX vereinbaren. Ein PDF oder eine Tabelle lässt sich nicht automatisch auswerten.
• Aktualität regeln: Vertraglich festhalten, dass zu jeder ausgelieferten Version eine aktuelle SBOM bereitsteht, nicht nur einmal bei Vertragsschluss.
• Tiefe klären: Der Cyber Resilience Act fordert mindestens die oberste Ebene der Abhängigkeiten. Für kritische Systeme lohnt es sich, auch tiefere Ebenen zu verlangen.
• Zuständigkeit intern benennen: Eine Stückliste nützt nur, wenn jemand sie auswertet. Festlegen, wer eingehende SBOMs verwaltet und regelmäßig gegen bekannte Schwachstellen prüft.
• Eigene Software einbeziehen: Wer selbst Software entwickelt oder Produkte mit Software verkauft, ist als Hersteller selbst pflichtig und sollte die Erzeugung früh in den Bauprozess einbinden.

Quellen

• EUR-Lex: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14, Art. 71, Anhang I Teil II, Anhang VII
• BSI: Technische Richtlinie TR-03183, Teil 2 – Software Bill of Materials
• NTIA: The Minimum Elements for a Software Bill of Materials, 12.07.2021

*** Keine Rechtsberatung. Dieser Eintrag ordnet rechtliche Rahmenbedingungen strategisch ein und ersetzt keine Rechtsberatung im Einzelfall.