SBOMs im Jahr 2026: Alle erstellen sie, aber niemand nutzt sie

Blog

Neuigkeiten

Verfasst von

Jens Gellynck

Veröffentlicht am:

10. Juni 2026

Die ENISA hat soeben ihren Bericht SBOM State of Play 2026“ veröffentlicht, der auf einer Umfrage unter 334 Organisationen basiert (65 % mit Sitz in der EU, 80 % direkt vom Cyber Resilience Act CRA) betroffen). Er liefert die bislang klarste Momentaufnahme darüber, wo die Branche in Bezug auf die Transparenz der Software-Lieferkette steht, und das Bild ist differenzierter als die Aussage „alle sind mit an Bord“.

Das ist mir besonders aufgefallen.

Die CRA übernimmt die Hauptarbeit

Es überrascht nicht, dass die CRA der wichtigste Treiber für SBOM ist. 43 % der Unternehmen geben an, dass die CRA ihre SBOM erheblich beschleunigt hat, während weitere 29 % einen moderaten Einfluss melden. 78 % haben bereits mit SBOM begonnen, und 79 % gehen davon aus, dass sie den erforderlichen Reifegrad erreichen werden, bis die CRA im Dezember 2027 vollständig in Kraft tritt.

Das bedeutet, dass etwa jede fünfte Organisation davon ausgeht, die Frist nicht einhalten zu können, und 12 % können nicht einmal einen Zeitrahmen abschätzen.

Das Erstellen von SBOMs und deren Verwendung sind zwei verschiedene Dinge

Die meisten Unternehmen erstellen mittlerweile SBOMs. 39 % generieren sie zum Zeitpunkt der Erstellung, und 74 % haben die Generierung pro Release zumindest teilweise automatisiert. Die Nutzung hinkt jedoch hinterher:

44 % geben an, dass zwischen der Erstellung von SBOMs und deren tatsächlicher Nutzung eine moderate Lücke besteht , und 23 % berichten von einer erheblichen Lücke. Nur 7 % haben diese Lücke geschlossen.
20 % der Befragten wissen nicht, ob oder wie SBOMs in ihrem Unternehmen überhaupt genutzt werden.
Die ENISA kommt zu dem Schluss, dass SBOMs „vor allem zu compliance “ und weniger zur aktiven Sicherheit eingesetzt werden.

Eine SBOM ungelesen in einem Artefakt-Register SBOM , ist nichts weiter als Papierkram. SBOMs bieten nur dann einen Mehrwert, wenn sie in das Schwachstellen- und Lizenzmanagement einfließen. Genau hier haben Teams Schwierigkeiten. 58 % bezeichnen den Abgleich von Schwachstellen (CPE/PURL-Zuordnung, Fehlalarme) als große Herausforderung, und 60 % nennen Probleme mit der Datenqualität wie unvollständige Komponenten und Identifikatoren.

Die Lieferanten senden keine SBOMs

Die meisten Unternehmen erhalten keine SBOMs von ihren Lieferanten, da die meisten Lieferanten diese nicht übermitteln.

39 % der Unternehmen erhalten niemals SBOMs für die von ihnen gekaufte kommerzielle Software. Weitere 39 % erhalten sie nur selten. Nur 2 % erhalten sie immer.
Nur 10 % haben verbindliche SBOM in ihren Lieferantenverträgen (obwohl 55 % daran arbeiten).
45 % geben an, dass weniger als ein Viertel ihrer Lieferanten ihre SBOM erfüllt.
Vollständigkeit (27 %), Genauigkeit der Identifikatoren (17 %) und Verweise auf Sicherheitslücken (12 %) sind die größten Qualitätslücken.

Die Detailtiefe verschärft das Qualitätsproblem. 36 % der Unternehmen benötigen SBOMs, die alle primären Komponenten und direkten Abhängigkeiten abdecken, doch nur 29 % erhalten solche. Bei SBOMs mit vollständiger Detailtiefe beträgt die Lücke 24 % Bedarf gegenüber 14 % tatsächlicher Bereitstellung. Und 45 % wissen nicht einmal, welche Detailtiefe sie erhalten.

Da sich die meisten Sicherheitslücken in der Praxis in transitiven Abhängigkeiten verbergen, schränkt dies den Sicherheitsnutzen jedes SBOM direkt ein.

Was die Daten außerdem zeigen

Der Bericht bringt einige weitere Erkenntnisse ans Licht, die zeigen, dass die Branche das Problem zwar erkennt, aber Schwierigkeiten hat, entsprechende Maßnahmen umzusetzen.

Was steht dem im Weg?

Die Besorgnis übertrifft die Investitionen. Über 90 % der Unternehmen machen sich Sorgen um die Sicherheit ihrer Lieferkette, doch nur 34 % stellen dafür nennenswerte Ressourcen bereit. Ein Qualifikationsdefizit verschärft das Problem zusätzlich: 57 % nennen einen Mangel an Fachkräften oder Personal als Hindernis.
Die Vollständigkeit ist das größte Hindernis. 62 % geben an, dass es ziemlich schwierig oder extrem schwierig ist, ein hohes Maß an SBOM zu erreichen.
Der Formatkrieg ist noch nicht vorbei. CycloneDX liegt mit 44 % vor SPDX (29 %), doch 28 % nutzen nach wie vor proprietäre oder nicht standardisierte Formate. Dies stellt ein direktes compliance dar, da die CRA ein gängiges, maschinenlesbares Format vorschreibt und die BSI-Richtlinie in Deutschland ausdrücklich CycloneDX 1.6+ oder SPDX 3.0.1+ erwartet.

Wer liegt vorne und wie geht es weiter?

Kleine Unternehmen liegen still und leise vorn. 23–25 % der Kleinst- und Kleinunternehmen geben an, über SBOM ausgereifte, automatisierte SBOM zu verfügen, gegenüber nur 4–6 % der mittleren und großen Unternehmen. Unterdessen betrachten 36 % der Großunternehmen SBOMs als „zwingende Belastung“.
Der Markt wünscht sich eine Referenzimplementierung mit vorgefertigten Pipelines (26 %), Tool-Benchmarks und einen Einkaufsführer (22 %), Konformitätstests (18 %) sowie ein Profil, das definiert, wie eine „ausreichend gute“ SBOM (31 %).

Was das in der Praxis bedeutet

Die Daten der ENISA deuten darauf hin, dass die Nutzung die entscheidende Herausforderung des Jahres 2026 sein wird. Das bedeutet automatisierte Generierung bei jedem Build, kontinuierliche Aktualisierungen während der gesamten Produktlebensdauer, Schwachstellen-Workflows, die tatsächlich mit SBOM verknüpft sind, sowie Transparenz darüber, was Ihre Lieferanten an Sie liefern. Genau hier zeigt die Umfrage die größten Lücken auf, und genau hier wird die CRA den größten Druck ausüben.

Wie Aikido dir dabei Aikido

Hier kommt Aikido ins Spiel: Wir sorgen dafür, dass die Transparenz in der Lieferkette über die compliance hinausgeht und in Ihre Schwachstellen- und Lizenzierungs-Workflows integriert wird.

SBOM mit einem Klick im richtigen Format

Mit nur einem Klick Aikido SBOMs für Ihre Repositorys in den Formaten CycloneDX und SPDX – den beiden Formaten, auf die die Leitlinien der CRA und des BSI verweisen. Damit werden die 28 % der Unternehmen abgedeckt, die nach wie vor proprietäre Formate verwenden, sowie die Verpflichtung zur Bereitstellung „mindestens der wesentlichen Inhalte in maschinenlesbarem Format“. Die Exportdateien können Sie bei Anfragen von Marktüberwachungsbehörden direkt in Ihre technische Dokumentation einfügen.

SBOM , einschließlich selbst gemeldeter SBOMs

Wenn Sie Ihre eigene SBOM erstellen, deckt diese SBOM den von Ihnen geschriebenen Code ab. Aikido können Sie Aikido SBOMs importieren, die Sie von Anbietern und Lieferanten erhalten (selbst gemeldete SBOMs), sodass Komponenten von Drittanbietern in dieselbe Schwachstellenüberwachung einbezogen werden wie Ihre eigenen Abhängigkeiten. Angesichts der Tatsache, dass 39 % der Unternehmen niemals SBOMs von Lieferanten erhalten und die meisten, die dies tun, nicht darauf reagieren können, schließt ein Ort, an dem Lieferanten-SBOMs zu überwachten Beständen werden und kontinuierlich mit bekannten Schwachstellen abgeglichen werden, die von der ENISA beschriebene Verwendungslücke.

Aikido Protection: Transparenz dort, wo SBOMs nicht ausreichen

SBOMs beschreiben, was in Ihren Produkten enthalten ist. Zu Ihrer Angriffsfläche gehören jedoch auch die Rechner, auf denen diese Software erstellt und geschrieben wird. Durch den Einsatz von Aikido Protection auf Build-Servern und Entwicklerrechnern wird dieser Ansatz der Bestandserfassung und Schwachstellenerkennung auf Ihre Entwicklungsumgebung ausgeweitet. Dabei wird erfasst, welche Tools, Laufzeitumgebungen und Pakete installiert sind, welche veraltet oder anfällig sind und ob die Umgebung, in der Ihre „vertrauenswürdigen“ Builds erstellt werden, selbst vertrauenswürdig ist. Da Lieferkettenangriffe eher Lieferkettenangriffe CI-Pipelines und Entwickler-Workstations als Lieferkettenangriffe den Code selbst Lieferkettenangriffe , schließt dies eine Lücke, die Ihnen keine SBOM jemals aufzeigen SBOM .

Zusammen geben Ihnen diese drei Funktionen Aufschluss darüber, was Sie ausliefern, was Sie verbrauchen und in welchem Umfeld all dies hergestellt wird. Sie laufen kontinuierlich, ohne dass ein weiteres Dashboard hinzukommt, das Ihr Team ignoriert. Das ist Lieferkettensicherheit, die über die compliance hinausgeht.

Zuletzt aktualisiert am:

10. Juni 2026

Textlink

Nachrichten abonnieren

4.7/5

Falschpositive Ergebnisse leid? 
Probieren Sie Aikido, wie 100.000 andere.

Jetzt starten

Erhalten Sie eine personalisierte Führung

Von über 100.000 Teams vertraut

Jetzt buchen

Scannen Sie Ihre App nach IDORs und realen Angriffspfaden

Von über 100.000 Teams vertraut

Scan starten

Erfahren Sie, wie KI-Penetrationstests Ihre App testen

Von über 100.000 Teams vertraut

Testen starten

Jetzt starten

Warum EDR und Proxy Sie nicht vor Malware in der Lieferkette schützen

EDR-Lösungen und Proxys wurden nicht für Malware in der Lieferkette entwickelt. Wenn schädlicher Code über „npm install“ eingeschleust wird, sieht das wie normales Verhalten aus. Hier erfahren Sie, warum das von Bedeutung ist.

Schwachstellen

Aikido Device Protection

1. Juni 2026

„•“

Neuigkeiten

Mach Platz, Mythos. Hier kommt … so ziemlich jedes andere Modell mit einem guten Gurtzeug

Mythos hat echte Vorteile bei der Erstellung von Exploit-Ketten. Bei AppSec meisten AppSec ist jedoch das Umfeld des Modells wichtiger als die Wahl des Modells selbst.

27. Mai 2026

„•“

Neuigkeiten

Aikido vs. Xbow: 58 % mehr Schwachstellen in unabhängigem Benchmark gefunden

Aikido vs. Xbow in einem unabhängigen Benchmark von Doyensec verglichen. Aikido fand 58 % mehr Schwachstellen zum gleichen Preis. Siehe Einrichtungszeit, False-Positive-Raten & vollständige Ergebnisse

AI Penetration Testing

Selbstsichernde Software

Sicherheit jetzt implementieren

Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.

Jetzt scannen

Ohne Kreditkarte

Demo buchen

Keine Kreditkarte erforderlich | Scan-Ergebnisse in 32 Sek.