{"id":27382,"date":"2025-02-27T12:07:43","date_gmt":"2025-02-27T11:07:43","guid":{"rendered":"https:\/\/blog.mi.hdm-stuttgart.de\/?p=27382"},"modified":"2025-02-27T12:08:28","modified_gmt":"2025-02-27T11:08:28","slug":"tools-zur-automatischen-erstellung-von-software-bill-of-materials-sbom","status":"publish","type":"post","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2025\/02\/27\/tools-zur-automatischen-erstellung-von-software-bill-of-materials-sbom\/","title":{"rendered":"Tools zur automatischen Erstellung von Software Bill of Materials (SBOM)"},"content":{"rendered":"\n<p>Anmerkung: Dieser Blogpost wurde f\u00fcr das Modul Enterprise IT (113601a) verfasst.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>1. Einleitung<\/strong><\/h2>\n\n\n\n<p>Die fortschreitende Digitalisierung und die zunehmende Vernetzung von Softwaresystemen haben Cybersicherheit zu einem zentralen Thema f\u00fcr Unternehmen, Beh\u00f6rden und Endnutzer gemacht. Transparenz \u00fcber die eingesetzten Softwarekomponenten ist dabei essenziell, um Sicherheitsl\u00fccken zu identifizieren und regulatorische Anforderungen zu erf\u00fcllen.&nbsp;<\/p>\n\n\n\n<p>Ein bew\u00e4hrtes Konzept zur Verbesserung dieser Transparenz ist die Software Bill of Materials (SBOM).<\/p>\n\n\n\n<p>Eine SBOM ist eine detaillierte Auflistung aller in einer Software enthaltenen Komponenten, einschlie\u00dflich Open Source und propriet\u00e4rer Bibliotheken. Diese Liste hilft Unternehmen, Sicherheitsrisiken fr\u00fchzeitig zu erkennen und geeignete Ma\u00dfnahmen zur Behebung von Schwachstellen zu ergreifen. Die manuelle Erstellung einer SBOM ist jedoch zeitaufw\u00e4ndig und fehleranf\u00e4llig, weshalb automatisierte Tools zunehmend an Bedeutung gewinnen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>2. Bedeutung der SBOM f\u00fcr Cybersicherheit<\/strong><\/h2>\n\n\n\n<p>Eine SBOM bietet einen vollst\u00e4ndigen \u00dcberblick \u00fcber alle Softwarekomponenten und erleichtert die schnelle Identifizierung und Behebung von Sicherheitsl\u00fccken. Besonders Schwachstellen in Drittanbieter-Bibliotheken lassen sich dadurch effizient verwalten und patchen.<\/p>\n\n\n\n<p>Durch die transparente Dokumentation der verwendeten Komponenten und deren Herkunft erm\u00f6glichen SBOMs eine schnelle Reaktion auf Sicherheitsvorf\u00e4lle und sorgen f\u00fcr eine hohe Nachvollziehbarkeit.<\/p>\n\n\n\n<p>Dies wird insbesondere durch zunehmende regulatorische Anforderungen, wie sie in der EU und den USA bestehen, verst\u00e4rkt. Unternehmen sind verpflichtet, ihre Softwarekomponenten genau zu dokumentieren, und SBOMs bieten eine effektive L\u00f6sung, um diese Anforderungen zu erf\u00fcllen. <a href=\"#1\" title=\"[1]\">[1]<\/a><a href=\"#2\" title=\"[2]\">[2]<\/a><a href=\"#3\" title=\"[3]\">[3]<\/a><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>2.1 Fallbeispiel: Log4j-Sicherheitsl\u00fccke (CVE-2021-44228)<\/strong><\/h3>\n\n\n\n<p>Ein bekanntes Beispiel f\u00fcr die Bedeutung von SBOMs ist die Log4j-Sicherheitsl\u00fccke, die Ende 2021 entdeckt wurde. Die Schwachstelle erm\u00f6glichte es Angreifern, aus der Ferne beliebigen Code auf verwundbaren Systemen auszuf\u00fchren (Remote Code Execution, RCE). Da Log4j in vielen Anwendungen und IT-Systemen integriert war, standen Unternehmen vor der Herausforderung, schnell herauszufinden, ob sie betroffen waren.<\/p>\n\n\n\n<p>Unternehmen, die eine SBOM f\u00fchrten, konnten automatisiert \u00fcberpr\u00fcfen, ob Log4j in ihren Softwarekomponenten enthalten war. Dies erm\u00f6glichte ihnen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Eine schnelle Identifikation der betroffenen Systeme und sofortige Einleitung von Sicherheitsma\u00dfnahmen.<\/li>\n\n\n\n<li>Gezielte Patches und Updates, um Angriffe zu verhindern.<\/li>\n\n\n\n<li>Transparenz gegen\u00fcber Kunden und Partnern, indem sie nachweisen konnten, dass ihre Software sicher ist oder bereits aktualisiert wurde.<\/li>\n<\/ul>\n\n\n\n<p>Unternehmen ohne eine SBOM hatten hingegen Schwierigkeiten, ihre Abh\u00e4ngigkeiten vollst\u00e4ndig zu analysieren, wodurch wertvolle Zeit verloren ging und das Risiko von Angriffen erh\u00f6ht wurde. Dieses Beispiel verdeutlicht, wie SBOMs helfen k\u00f6nnen, Sicherheitsrisiken proaktiv zu minimieren und die Reaktionszeit auf Cyberbedrohungen erheblich zu verk\u00fcrzen. <a href=\"#4\" title=\"[4]\">[4]<\/a><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>3. Standards f\u00fcr SBOMs<\/strong><\/h2>\n\n\n\n<p>F\u00fcr die Erstellung und den Austausch von SBOMs haben sich verschiedene Standards etabliert, die eine einheitliche Darstellung von Software-Komponenten und deren Beziehungen erm\u00f6glichen. Zu den prominentesten z\u00e4hlen:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>3.1 CycloneDX:&nbsp;<\/strong><\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Zweck:<\/strong> CycloneDX ist eine Spezifikation f\u00fcr SBOMs, die speziell auf die Bed\u00fcrfnisse der Sicherheits- und Compliance-Industrie ausgerichtet ist. Sie wurde entwickelt, um eine effiziente und einfach zu verwendende Methode zur Erstellung und Verwaltung von SBOMs zu bieten. <a href=\"#5\" title=\"[5]\">[5]<\/a><\/li>\n\n\n\n<li><strong>Ursprung:<\/strong> CycloneDX wurde von der Software- und Sicherheitsindustrie ins Leben gerufen und hat einen starken Fokus auf Sicherheitsaspekte, insbesondere auf die Identifikation von Schwachstellen (z. B. CVEs) in Softwarekomponenten. <a href=\"#5\" title=\"[5]\">[5]<\/a><\/li>\n\n\n\n<li><strong>Formate:<\/strong> JSON, XML oder Protobuf-Format. Das JSON-Format ist besonders verbreitet. <a href=\"#5\" title=\"[5]\">[5]<\/a><\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>3.2 Software Package Data Exchange (SPDX):<\/strong><\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>&nbsp;Zweck<\/strong>: SPDX ist eine Spezifikation, die darauf abzielt, Softwarelizenzen und -komponenten zu dokumentieren. Sie wird h\u00e4ufig in der Open-Source-Community verwendet, um die Lizenzierung von Software und deren Abh\u00e4ngigkeiten zu verwalten. <a href=\"#6\" title=\"[6]\">[6]<\/a><a href=\"#7\" title=\"[7]\">[7]<\/a><\/li>\n\n\n\n<li><strong>Ursprung:<\/strong> SPDX wurde urspr\u00fcnglich von der Linux Foundation entwickelt und zielt darauf ab, die Lizenz-Compliance in der Softwareindustrie zu vereinfachen. <a href=\"#6\" title=\"[6]\">[6]<\/a><a href=\"#7\" title=\"[7]\">[7]<\/a><\/li>\n\n\n\n<li><strong>Formate:<\/strong> JSON, XML, YAML, RDF, XLS und tag:value (Flat-Text-Format). <a href=\"#6\" title=\"[6]\">[6]<\/a><a href=\"#7\" title=\"[7]\">[7]<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>4. Regulatorische Anforderungen&nbsp;<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>EU Cyber Resilience Act (CRA)<\/strong>: Der CRA betont die Bedeutung von SBOMs, indem er die Hersteller verpflichtet, detaillierte Informationen \u00fcber die verwendeten Softwarekomponenten bereitzustellen. <a href=\"#1\" title=\"[1]\">[1]<\/a><\/li>\n\n\n\n<li><strong>NIST-Richtlinien (USA)<\/strong>: Das National Institute of Standards and Technology (NIST) definiert in Executive Order 14028 Anforderungen an Software-Lieferketten und betont die Notwendigkeit maschinenlesbarer SBOMs zur Erh\u00f6hung der Cybersicherheit. <a href=\"#2\" title=\"[2]\">[2]<\/a><\/li>\n\n\n\n<li><strong>FDA-Anforderungen f\u00fcr Medizinger\u00e4te (USA)<\/strong>: Die US-amerikanische Food and Drug Administration (FDA) fordert von Herstellern medizinischer Software die Bereitstellung einer SBOM, um Sicherheitsrisiken zu minimieren. <a href=\"#3\" title=\"[3]\">[3]<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>5. Herausforderungen bei der Erstellung und Implementierung von SBOMs<\/strong><\/h2>\n\n\n\n<p>Trotz der zunehmenden Verbreitung von SBOMs gibt es einige Herausforderungen bei der Implementierung:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Dynamische Abh\u00e4ngigkeiten<\/strong>: In modernen Anwendungen \u00e4ndern sich Softwarekomponenten h\u00e4ufig, was eine kontinuierliche Aktualisierung der SBOMs erfordert.<\/li>\n\n\n\n<li><strong>Vertraulichkeit und Datenschutz: <\/strong>In bestimmten F\u00e4llen kann die Ver\u00f6ffentlichung eines vollst\u00e4ndigen SBOM sensible Informationen \u00fcber die verwendeten Softwarekomponenten oder deren Lizenzmodelle preisgeben. Unternehmen sollten sicherstellen, dass sensible Daten nicht versehentlich durch ein SBOM offengelegt werden.<\/li>\n\n\n\n<li><strong>Komplexit\u00e4t der Softwarelandschaft:<\/strong> Moderne Softwareprojekte enthalten oft Tausende von Abh\u00e4ngigkeiten, einschlie\u00dflich direkter und indirekter Bibliotheken. Die vollst\u00e4ndige und genaue Erfassung all dieser Komponenten kann eine gro\u00dfe Herausforderung darstellen, insbesondere wenn die Software aus verschiedenen Quellen und \u00d6kosystemen stammt.<\/li>\n\n\n\n<li><strong>Akzeptanz in der Industrie: <\/strong>Viele Unternehmen haben die Bedeutung und den Nutzen von SBOMs f\u00fcr die Sicherheit noch nicht vollst\u00e4ndig erkannt. Ein Gro\u00dfteil der Unternehmen hat entweder keine SBOMs oder nur unvollst\u00e4ndige SBOMs implementiert, was darauf hindeutet, dass das Bewusstsein und die Bereitschaft fehlen, die notwendigen Schritte f\u00fcr eine vollst\u00e4ndige Implementierung zu unternehmen. <a href=\"#8\" title=\"[8]\">[8]<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>6. Tools zur automatisierten Erstellung von SBOMs<\/strong><\/h2>\n\n\n\n<p>Angesichts der Komplexit\u00e4t moderner Softwareprojekte ist die manuelle Erstellung einer SBOM keine gute Option. Daher gibt es zahlreiche Tools, die diesen Prozess automatisieren.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>6.1 Open-Source-Tools<\/strong><\/h3>\n\n\n\n<p>Open-Source-Tools zur automatisierten SBOM-Generierung sind f\u00fcr die Gew\u00e4hrleistung von Transparenz und Sicherheit in Software-Lieferketten unerl\u00e4sslich. Diese Werkzeuge analysieren Code, Bin\u00e4rdateien und Container, identifizieren Abh\u00e4ngigkeiten und exportieren die Ergebnisse in standardisierte Formate wie SPDX oder CycloneDX. Im Folgenden werden einige der bekanntesten Open-Source-Tools zur Generierung von SBOM vorgestellt.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">6.1.1 Syft<\/h4>\n\n\n\n<p>Syft ist wahrscheinlich das am weitesten verbreite Tool zur Erstellung von SBOMs. Es ist ein Kommandozeilenwerkzeug, das SBOMs aus Container-Images und Dateisystemen generiert. Syft unterst\u00fctzt g\u00e4ngige Container-Formate wie OCI, Docker und Singularity und erkennt automatisch die verwendete Linux-Distribution.<\/p>\n\n\n\n<p>Unterst\u00fctzte Standards: SPDX und CycloneDX <a href=\"#9\" title=\"[9]\">[9]<\/a><\/p>\n\n\n\n<h4 class=\"wp-block-heading\">6.1.2 sbom-tool<\/h4>\n\n\n\n<p>Das sbom-tool wurde von Microsoft entwickelt. Dieses Toll wurde f\u00fcr hohe Skalierbarkeit und Unternehmenstauglichkeit entwickelt. Es verwendet Microsofts eigene Komponentenerkennungsbibliothek, die verschiedene Paketmanager wie NuGet, Go, npm, pip und Cargo unterst\u00fctzt. Das SBOM-Tool erzeugt SBOMs im SPDX-Format zur Build-Zeit.<\/p>\n\n\n\n<p>Unterst\u00fctzte Standards: SPDX <a href=\"#10\" title=\"[10]\">[10]<\/a><\/p>\n\n\n\n<h4 class=\"wp-block-heading\">6.1.3 Trivy<\/h4>\n\n\n\n<p>Trivy ist ein weiteres beliebtes Tool zur Erstellung von SBOMs, das in der Sicherheits- und Software-Management-Community weit verbreitet ist. Trivy ist bekannt f\u00fcr seine F\u00e4higkeit, Container-Images, Dateisysteme und Git-Repositories auf Schwachstellen und unsichere Komponenten zu scannen. Zus\u00e4tzlich bietet es auch&nbsp; Schwachstellenanalyse an. Das Tool ist einfach zu bedienen und wird in vielen CI\/CD-Pipelines integriert, um eine kontinuierliche Sicherheits\u00fcberpr\u00fcfung w\u00e4hrend des Build-Prozesses zu gew\u00e4hrleisten.<\/p>\n\n\n\n<p>Unterst\u00fctzte Standards: SPDX und CycloneDX <a href=\"#11\" title=\"[11]&nbsp;\">[11]<\/a><\/p>\n\n\n\n<h4 class=\"wp-block-heading\">6.1.4 cdxgen<\/h4>\n\n\n\n<p>Der CycloneDX Generator (cdxgen) ist das offizielle OWASP SBOM Tool. Er unterst\u00fctzt eine Vielzahl von Programmiersprachen, darunter g\u00e4ngige Sprachen wie C\/C++, JavaScript, Java, Python, aber auch weniger bekannte Sprachen wie Haskell. Es wird mit einer CLI geliefert, die lokal oder als Teil einer CI\/CD-Pipeline scannen kann, und einem API-Server, der einen \/bom-Endpunkt bereitstellt, um die SBOM bei Bedarf zu \u00fcberpr\u00fcfen.&nbsp;<\/p>\n\n\n\n<p>Unterst\u00fctzte Standards: CycloneDX <a href=\"#12\" title=\"[12]\">[12]<\/a><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>6.2 Erweiterung der SBOM-Analyse durch Tool-Kombinationen<\/strong><\/h3>\n\n\n\n<p>In der Praxis werden SBOM-Generierungstools h\u00e4ufig miteinander kombiniert, um eine umfassendere Analyse und eine bessere Sicherheitsabdeckung zu gew\u00e4hrleisten. W\u00e4hrend einige Tools prim\u00e4r auf die Identifikation von Softwarekomponenten spezialisiert sind, bieten andere erweiterte Sicherheitsfunktionen oder spezifische Integrationen f\u00fcr bestimmte Entwicklungsumgebungen.<\/p>\n\n\n\n<p>Ein Beispiel hierf\u00fcr ist die Kombination von Syft zur Erkennung von Softwarekomponenten mit OWASP Dependency-Check, das zus\u00e4tzlich bekannte Sicherheitsl\u00fccken in den erkannten Abh\u00e4ngigkeiten identifiziert.&nbsp;<\/p>\n\n\n\n<p>Diese Kombinationen erm\u00f6glichen es Unternehmen, ihre SBOM-Strategie individuell anzupassen und die Vorteile verschiedener Tools optimal zu nutzen, um eine sichere und transparente Software-Lieferkette zu gew\u00e4hrleisten. <a href=\"#13\" title=\"[13]\">[13]<\/a><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>7. Zukunftsausblick<\/strong><\/h2>\n\n\n\n<p>Die Bedeutung von SBOMs wird in den kommenden Jahren weiter zunehmen, da sie zunehmend mit regulatorischen Anforderungen und der Bek\u00e4mpfung wachsender Sicherheitsrisiken verkn\u00fcpft werden. Zuk\u00fcnftige Entwicklungen k\u00f6nnten die verst\u00e4rkte Integration von SBOMs in Sicherheitsplattformen sowie die Nutzung von KI-gest\u00fctzten Analysetools umfassen. Dies w\u00fcrde eine schnellere Identifizierung und Behebung von Sicherheitsl\u00fccken erm\u00f6glichen und damit die Sicherheit von Softwaresystemen deutlich verbessern.<\/p>\n\n\n\n<p>Eine wichtige Rolle spielt auch der Cyber Resilience Act (CRA), der im Dezember 2024 mit \u00dcbergangsfristen bis zur vollst\u00e4ndigen Umsetzung am 11. Dezember 2027 in Kraft getreten ist. Dieses Gesetz wird die Anforderungen an die Sicherheit von Softwareprodukten weiter versch\u00e4rfen und die Rolle von SBOMs bei der Einhaltung von Cybersicherheitsstandards weiter st\u00e4rken. <a href=\"#1\" title=\"[1]\">[1]<\/a><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>8. Fazit<\/strong><\/h2>\n\n\n\n<p>Die SBOM ist ein wesentlicher Bestandteil zur Verbesserung der Cybersicherheit und zur Einhaltung regulatorischer Anforderungen. Sie bietet Transparenz \u00fcber Softwarekomponenten und hilft, Sicherheitsl\u00fccken schnell zu identifizieren und zu beheben. Automatisierte Tools wie Syft, Trivy und CycloneDX erleichtern die Erstellung von SBOMs und integrieren sie in DevSecOps-Workflows. Insgesamt werden SBOMs in Zukunft eine noch zentralere Rolle spielen, um den steigenden Anforderungen an Sicherheit und Transparenz in der Softwareentwicklung gerecht zu werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Literaturverzeichnis<\/strong><\/h2>\n\n\n\n<ol class=\"wp-block-list has-medium-font-size\">\n<li id=\"1\" style=\"margin-top:0;margin-bottom:0\">Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) (o. J.): Technische Richtlinie TR-03183. URL: <a href=\"https:\/\/www.bsi.bund.de\/dok\/TR-03183 \">https:\/\/www.bsi.bund.de\/dok\/TR-03183<\/a> (abgerufen am 24. Februar 2025)<\/li>\n\n\n\n<li id=\"2\" style=\"margin-top:var(--wp--preset--spacing--30);margin-bottom:var(--wp--preset--spacing--30)\">National Institute of Standards and Technology (NIST) (2024): Executive Order 14028: Improving the Nation&#8217;s Cybersecurity. URL: <a href=\"https:\/\/www.nist.gov\/itl\/executive-order-14028-improving-nations-cybersecurity\/software-security-supply-chains-software-1\">https:\/\/www.nist.gov\/itl\/executive-order-14028-improving-nations-cybersecurity\/software-security-supply-chains-software-1<\/a> (abgerufen am 24. Februar 2025)<\/li>\n\n\n\n<li id=\"3\">Federal Food and Drug Administration (FDA) (2023): FDA Requirements for Medical Device Software. URL: <a href=\"https:\/\/www.fda.gov\/media\/119933\/download\">https:\/\/www.fda.gov\/media\/119933\/download<\/a> (abgerufen am 24. Februar 2025)<\/li>\n\n\n\n<li id=\"4\" style=\"margin-top:var(--wp--preset--spacing--30);margin-right:0;margin-bottom:var(--wp--preset--spacing--30);margin-left:0\">Universit\u00e4t Stuttgart (2022): Kritische Schwachstellen in Log4j (CVE-2021-44228, CVE-2021-4104, CVE-2021-45046 und CVE-2021-45105). URL: <a href=\"https:\/\/cert.uni-stuttgart.de\/blog\/2021-12-13-log4j \">https:\/\/cert.uni-stuttgart.de\/blog\/2021-12-13-log4j<\/a> (abgerufen am 25. Februar 2025)<\/li>\n\n\n\n<li id=\"5\">CycloneDX (o. J.): CycloneDX SBOM Specification 1.6. URL: <a href=\"https:\/\/cyclonedx.org\/docs\/1.6\/json\/\">https:\/\/cyclonedx.org\/docs\/1.6\/json\/<\/a> (abgerufen am 25. Februar 2025)<\/li>\n\n\n\n<li id=\"6\" style=\"margin-top:var(--wp--preset--spacing--30);margin-bottom:var(--wp--preset--spacing--30)\">International Organization for Standardization (ISO) (2021): ISO\/IEC 5230:2021 &#8211; Software Package Data Exchange (SPDX). URL: <a href=\"https:\/\/www.iso.org\/standard\/81870.html\">https:\/\/www.iso.org\/standard\/81870.html<\/a> (abgerufen am 25. Februar 2025)<\/li>\n\n\n\n<li id=\"7\">Software Package Data Exchange (SPDX) (o. J.): SPDX Specification v3.0.1. URL: <a href=\"https:\/\/spdx.github.io\/spdx-spec\/v3.0.1\/\">https:\/\/spdx.github.io\/spdx-spec\/v3.0.1\/<\/a> (abgerufen am 25. Februar 2025)<\/li>\n\n\n\n<li id=\"8\" style=\"margin-top:var(--wp--preset--spacing--30);margin-bottom:var(--wp--preset--spacing--30)\">OneKey (2025): OT &amp; IoT Cybersecurity Report 2024. URL: <a href=\"https:\/\/www.onekey.com\/resource\/ot-iot-cybersecurity-report-2024\">https:\/\/www.onekey.com\/resource\/ot-iot-cybersecurity-report-2024<\/a> (abgerufen am 26. Februar 2025)<\/li>\n\n\n\n<li id=\"9\">Anchore (2024): Syft Documentation. URL: <a href=\"https:\/\/github.com\/anchore\/syft\/wiki\">https:\/\/github.com\/anchore\/syft\/wiki<\/a> (abgerufen am 26. Februar 2025)<\/li>\n\n\n\n<li id=\"10\" style=\"margin-top:var(--wp--preset--spacing--30);margin-bottom:var(--wp--preset--spacing--30)\">Microsoft (o. J.): SBOM Tool. URL: <a href=\"https:\/\/github.com\/microsoft\/sbom-tool\">https:\/\/github.com\/microsoft\/sbom-tool<\/a> (abgerufen am 26. Februar 2025)<\/li>\n\n\n\n<li id=\"11\">Aqua Security (o. J.): Trivy &#8211; Vulnerability Scanner. URL: <a href=\"https:\/\/trivy.dev\/latest\/docs\">https:\/\/trivy.dev\/latest\/docs<\/a> (abgerufen am 26. Februar 2025)<\/li>\n\n\n\n<li id=\"12\" style=\"margin-top:var(--wp--preset--spacing--30);margin-bottom:var(--wp--preset--spacing--30)\">CycloneDX (o. J.): CDXGen &#8211; CycloneDX Generator. URL: <a href=\"https:\/\/cyclonedx.github.io\/cdxgen\/#\">https:\/\/cyclonedx.github.io\/cdxgen\/#<\/a>\/ (abgerufen am 26. Februar 2025)<\/li>\n\n\n\n<li id=\"13\">OWASP Dependency-Track (o. J.): Dependency-Track Platform. URL: <a href=\"https:\/\/dependencytrack.org\/\">https:\/\/dependencytrack.org\/<\/a> (abgerufen am 26. Februar 2025)<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"<p>Anmerkung: Dieser Blogpost wurde f\u00fcr das Modul Enterprise IT (113601a) verfasst. 1. Einleitung Die fortschreitende Digitalisierung und die zunehmende Vernetzung von Softwaresystemen haben Cybersicherheit zu einem zentralen Thema f\u00fcr Unternehmen, Beh\u00f6rden und Endnutzer gemacht. Transparenz \u00fcber die eingesetzten Softwarekomponenten ist dabei essenziell, um Sicherheitsl\u00fccken zu identifizieren und regulatorische Anforderungen zu erf\u00fcllen.&nbsp; Ein bew\u00e4hrtes Konzept zur [&hellip;]<\/p>\n","protected":false},"author":1251,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_jetpack_memberships_contains_paid_content":false,"footnotes":""},"categories":[1],"tags":[1031,1088],"ppma_author":[1086],"class_list":["post-27382","post","type-post","status-publish","format-standard","hentry","category-allgemein","tag-enterprise-it","tag-sbom"],"aioseo_notices":[],"jetpack_featured_media_url":"","jetpack-related-posts":[{"id":27883,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2025\/07\/25\/tools-zur-automatischen-erstellung-von-software-bill-of-materials-sbom-2\/","url_meta":{"origin":27382,"position":0},"title":"Tools zur automatischen Erstellung von Software Bill of Materials (SBOM)","author":"Luca-Max Baur","date":"25. July 2025","format":false,"excerpt":"Anmerkung:\u00a0Dieser Blogpost wurde w\u00e4hrend dem Sommersemester 2025 f\u00fcr das Modul Enterprise IT (113601a) verfasst. \u201eI cant fix what I cant see\u201cOhne Kenntnisse \u00fcber die benutzten Komponenten und Libraries agieren Softwareentwickler wie im Blindflug bez\u00fcglich ihrer Software-Sicherheit. Bekannte Supply Chain Angriffe wie SolarWinds oder die Log4shell L\u00fccke haben genau dies gezeigt.\u2026","rel":"","context":"In &quot;Allgemein&quot;","block_context":{"text":"Allgemein","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/allgemein\/"},"img":{"alt_text":"","src":"","width":0,"height":0},"classes":[]},{"id":27870,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2025\/07\/25\/tools-zur-automatischen-erstellung-von-sboms\/","url_meta":{"origin":27382,"position":1},"title":"Tools zur automatischen Erstellung von SBOMs","author":"Pauline Wolf","date":"25. July 2025","format":false,"excerpt":"Transparenz und Sicherheit durch automatisierte Software-St\u00fccklisten Anmerkung:\u00a0Dieser Blogpost wurde w\u00e4hrend dem Sommersemester 2025 f\u00fcr das Modul Enterprise IT (113601a) verfasst. 1. Einleitung Moderne Software besteht l\u00e4ngst nicht mehr nur aus eigenem Quellcode. In nahezu jedem Projekt werden gro\u00dfe Mengen externer Bibliotheken, Frameworks und Open-Source-Komponenten genutzt. Wie auch bei physischen Lieferketten\u2026","rel":"","context":"In &quot;DevOps&quot;","block_context":{"text":"DevOps","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/scalable-systems\/devops\/"},"img":{"alt_text":"","src":"","width":0,"height":0},"classes":[]},{"id":28011,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2025\/09\/11\/cloud-native-security-scanner\/","url_meta":{"origin":27382,"position":2},"title":"Cloud-native Security Scanner","author":"Tim Ruff","date":"11. September 2025","format":false,"excerpt":"Dieses Projekt wurde im Rahmen der Vorlesung \u201eSoftware Development for Cloud Computing\u201c umgesetzt. Ausgangslage und Projektidee Unser bisheriger Fokus im Studium lag haupts\u00e4chlich auf Themen der IT-Security und Machine Learning, weshalb wir beide bis auf die grundlegenden Vorlesungen zum Thema Software Entwicklung kaum Erfahrungen in diesem Bereich gesammelt haben. Aus\u2026","rel":"","context":"In &quot;Allgemein&quot;","block_context":{"text":"Allgemein","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/allgemein\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/09\/image.jpeg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/09\/image.jpeg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/09\/image.jpeg?resize=525%2C300&ssl=1 1.5x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/09\/image.jpeg?resize=700%2C400&ssl=1 2x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/09\/image.jpeg?resize=1050%2C600&ssl=1 3x"},"classes":[]},{"id":28288,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2026\/02\/08\/open-source-ai-how-open-are-they-really\/","url_meta":{"origin":27382,"position":3},"title":"Open-Source AI: How open are they really?","author":"Vadim Dolgopolov","date":"8. February 2026","format":false,"excerpt":"Dieser Blogpost wurde f\u00fcr das Modul Enterprise IT (113601a) verfasst Abstract Die Demokratisierung der K\u00fcnstlichen Intelligenz ist so aktuell wie noch nie. Um sich von \"Black Box\"-Anbietern wie OpenAI unabh\u00e4ngig zu machen, setzen immer mehr Unternehmen auf vermeintlich offene Modelle wie LLaMA oder Mistral. Doch Vorsicht: Wo \"Open Source\" draufsteht,\u2026","rel":"","context":"In &quot;Allgemein&quot;","block_context":{"text":"Allgemein","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/allgemein\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/02\/open-diagram_3_small.png?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/02\/open-diagram_3_small.png?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/02\/open-diagram_3_small.png?resize=525%2C300&ssl=1 1.5x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/02\/open-diagram_3_small.png?resize=700%2C400&ssl=1 2x"},"classes":[]},{"id":26769,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2025\/02\/25\/agilitat-trifft-enterprise-architecture-management-wie-eam-dynamische-unternehmen-zukunftssicher-macht\/","url_meta":{"origin":27382,"position":4},"title":"Agilit\u00e4t trifft Enterprise Architecture Management: Wie EAM dynamische Unternehmen zukunftssicher macht","author":"Luca Breh","date":"25. February 2025","format":false,"excerpt":"Anmerkung:\u00a0Dieser Blogpost wurde f\u00fcr das Modul Enterprise IT (113601a) verfasst. 1. Einleitung: Agil oder robust -\u00a0 warum nicht beides? Die digitale Transformation fordert Unternehmen heraus, schneller auf Ver\u00e4nderungen zu reagieren und gleichzeitig langfristig tragf\u00e4hige IT-Landschaften zu gestalten. Agile Methoden haben sich etabliert, um Flexibilit\u00e4t, Geschwindigkeit und Kundenorientierung zu f\u00f6rdern. Im\u2026","rel":"","context":"In &quot;Allgemein&quot;","block_context":{"text":"Allgemein","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/allgemein\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=525%2C300&ssl=1 1.5x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=700%2C400&ssl=1 2x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=1050%2C600&ssl=1 3x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2025\/02\/agvseam.png?resize=1400%2C800&ssl=1 4x"},"classes":[]},{"id":28240,"url":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/2026\/01\/29\/open-source-ki-modelle-chancen-und-herausforderungen-fur-unternehmen-2\/","url_meta":{"origin":27382,"position":5},"title":"Open-Source-KI-Modelle \u2013 Chancen und Herausforderungen f\u00fcr Unternehmen","author":"Erzan Gashi","date":"29. January 2026","format":false,"excerpt":"Anmerkung:\u00a0Dieser Blogpost wurde f\u00fcr das Modul Enterprise IT (113601a) verfasst 1. Einleitung In heutiger Unternehmens-IT gewinnt Open-Source-K\u00fcnstliche Intelligenz (KI) immer mehr an Bedeutung. In einem Beitrag der Linux Foundation wird beschrieben, dass sich das Open-Source-Modell seit den 1980er-Jahren von einer Bewegung zu einem wichtigen Treiber technologischer Innovation entwickelt hat. Diese\u2026","rel":"","context":"In &quot;Allgemein&quot;","block_context":{"text":"Allgemein","link":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/category\/allgemein\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/01\/grafik.png?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/01\/grafik.png?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/blog.mi.hdm-stuttgart.de\/wp-content\/uploads\/2026\/01\/grafik.png?resize=525%2C300&ssl=1 1.5x"},"classes":[]}],"jetpack_sharing_enabled":true,"authors":[{"term_id":1086,"user_id":1251,"is_guest":0,"slug":"dorina_sobiecki","display_name":"Dorina Sobiecki","avatar_url":"https:\/\/secure.gravatar.com\/avatar\/3b557c7ce4fe53b6b3a11f02a637b97252771179b517c6c33cfc0cc1bca8e0bb?s=96&d=mm&r=g","0":null,"1":"","2":"","3":"","4":"","5":"","6":"","7":"","8":""}],"_links":{"self":[{"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/posts\/27382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/users\/1251"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/comments?post=27382"}],"version-history":[{"count":2,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/posts\/27382\/revisions"}],"predecessor-version":[{"id":27384,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/posts\/27382\/revisions\/27384"}],"wp:attachment":[{"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/media?parent=27382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/categories?post=27382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/tags?post=27382"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/blog.mi.hdm-stuttgart.de\/index.php\/wp-json\/wp\/v2\/ppma_author?post=27382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}