Zahl der Compliance-Verstöße und Schwachstellen in Open Source Software steigt

12% mehr kritische Fälle im Jahresvergleich Zahl der Compliance-Verstöße und Schwachstellen in Open Source Software steigt

15.02.2022 Quelle: Pressemitteilung

Anbieter zum Thema

Die Auswertung des aktuellen „State of the Software Supply Chain Reports“ von Revenera hat einen drastischen Anstieg an qualitativen Mängeln und Compliance-Verstößen bei Verwendung von Open Source Software festgestellt. Analysiert wurden Daten aus über 100 Audits, um den Umfang an undokumentierter Open Source Software (OSS) in Unternehmen zu erfassen und potenzielle Compliance- und Sicherheits-Risiken zu identifizieren.

Der State of the Software Supply Chain Report 2022 hat im Vergleich zum Vorjahr einen drastischen Anstieg kritischer Fälle bei der Verwendung von Open Source Software festgestellt. Dabei handelt es sich überwiegend um Compliance-Verstöße oder Schwachstellen in der Security.(Bild: Revenera) — Der State of the Software Supply Chain Report 2022 hat im Vergleich zum Vorjahr einen drastischen Anstieg kritischer Fälle bei der Verwendung von Open Source Software festgestellt. Dabei handelt es sich überwiegend um Compliance-Verstöße oder Schwachstellen in der Security.
(Bild: Revenera)

Für die branchenübergreifende Studie wertete Revenera mehr als 2,6 Milliarden Codezeilen aus. Dabei entdeckten die Audit-Teams insgesamt 230.000 kritische Fälle. Durchschnittlich stießen die Analysten alle 11.500 Codezeilen auf einen Compliance-Verstoß, eine Sicherheitsschwachstelle oder Ähnliches. Pro Audit kommen so im Schnitt 2.200 kritische Fälle ans Licht. Im Vergleich zum Vorjahr (1.959) stieg die Zahl potentieller Risiken um 12%.

83% der in den Audits aufgedeckten Risiken war den Unternehmen im Vorfeld der Untersuchung nicht bekannt. Ein häufiger Grund für die Betriebsblindheit in Sachen OSS ist das Fehlen von Software Composition Analyse (SCA)-Tools, die Anwendungen auf Codeebene scannen und Compliance-Verstöße sowie Sicherheitslücken automatisch melden.

Die wichtigsten Ergebnisse im Überblick

Die Zahl der als kritischer Compliance-Risiken (Prioritätsstufe 1) eingestufter Vorfälle wuchs mit 9.500 um 6% (Vorjahr: 9.000). Einen deutlichen Sprung verzeichnete das Audit-Team von Revenera bei Vorfällen der Prioritätsstufe 2 (z. B. sekundäre Probleme mit kommerziellen Lizenzen) und Prioritätsstufe 3 (z. B. Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.) Hier nahm die Zahl jeweils um 50% bzw. 34% zu. Der Anstieg deutet auf eine zunehmende Verbreitung von OSS in Anwendungen und damit auf ein wachsendes Risiko für unterschiedlichste Branchen hin.

Die Zahl der Sicherheitslücken auf Codeebene hat sich im Vergleich zum Vorjahr mehr als verdreifacht. Die Revenera-Analysten identifizierten pro Audit durchschnittlich 282 Schwachstellen, ein Anstieg von 217% (Vorjahr: 89). Von den aufgedeckten Schwachstellen stellten 27% ein „hohes“ CVSS-Risiko dar (Common Vulnerability Scoring System) und damit eine unmittelbare Bedrohung für IT-Sicherheit und Cyberschutz.

Der Anteil von Binärdateien in einer typischen Anwendungscodebasis nahm um 7% weiter zu. Insgesamt stießen die Analysten auf insgesamt 343.000 Binaries, die aus unterschiedlichen Sammlungen von kompiliertem Quellcode stammen. Damit steigt auch die Komplexität des Software-Codes, da automatisch mehr Abhängigkeiten in die Codebasis gelangen.

Angesichts der wachsende Komplexität von Software-Code rechnet Revenera in den nächsten Jahren mit einer wachsenden Verbreitung von SCA-Lösungen und Prozessen in Unternehmen – zumal sich auch die regulatorischen Rahmenbedingungen entlang der Software Supply Chain zunehmend verschärfen.

Erst 2021 legte die USA mit einer Executive Order (EO) neue Cybersecurity-Anforderungen fest. Demnach müssen Software-Anbieter eine Software Bill of Materials (SBOM) bereitstellen und automatisierte Tools und Prozesse zur Überprüfung der Code-Integrität implementieren. Die EU-Kommission geht mit ihrer Open-Source-Software-Strategie 2020-2023 in eine ähnliche Richtung. Standardformate wie SPDX (Software Package Data Exchange), CycloneDX und SWID (SoftWare IDentification) sollen helfen, Informationen entlang der Lieferketten weiterzugeben und die Erstellung der SBOM zu vereinheitlichen.

„Schwachstellen wie Log4Shell haben klar gezeigt, dass die Software Supply Chain besser geschützt werden muss. Nur so sind wir für die Welle an Cyberangriffen in den nächsten Jahren gewappnet“, erklärt Alex Rybak, Director Product Management bei Revenera. „Der Umfang von Open-Source- und Drittanbieter-Komponenten wächst und wächst. Unternehmen brauchen hier branchenweite Standards und sollten sowohl in interne Compliance-Programme als auch in entsprechende SCA-Lösungen investieren, um auf Anfragen ihrer Kunden schnell zu reagieren und Risiken zuverlässig zu entschärfen.“

Der vollständige Report „Revenera 2022 State of the Software Supply Chain Report” steht nach erfolgter Registrierung bei Revenera kostenlos zum Download bereit.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel Communications Group GmbH & Co. KG, Max-Planckstr. 7-9, 97082 Würzburg einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

Der Einsatz von Open Source bietet zahlreiche Vorteile und ist für viele Entwickler, zumindest im Privaten, bereits zum Alltag geworden. Dennoch werden Lizenzrechte und Lizenzpflichten noch immer allzu häufig vernachlässigt. In Unternehmen sollten daher klare Spielregeln für den Umgang mit Open Source geben – auch und vor allem, wenn es um die Verwendung von Code(-Snippets) geht. (Bild: ©WrightStudio - stock.adobe.com)

Angesichts der zunehmenden Bedeutung von IoT, künstlicher Intelligenz und maschinellen Lernen müssen die heutigen Gerätehersteller die verfügbaren kommerziellen oder Open-Source-Betriebssysteme (OS) verstehen. Wir vergleichen drei Betriebssysteme und ihre jeweiligen Funktionen, um die optimale Lösung hinsichtlich Benutzerfreundlichkeit, Sicherheit, Standards und Compliance sowie die allgemeine Leistungsfähigkeit und Qualität während des Lebenszyklus des zu entwickelnden und herzustellenden Produkts zu ermitteln. (Siemens EDA)

Wie schaffe ich es, ein Embedded-Linux-System im fertigen Produkt zu implementieren und vermarkten und gleichzeitig alle Open Source Lizenzvereinbarungen einzuhalten? Welches technisches - und vor allem auch rechtliches - Grundwissen muss ich dafür besitzen? Hier setzt das Seminar "Erstellung eines Embedded-Systems unter Erfüllung der Lizenzpflichten" an. (gemeinfrei)

(ID:47999178)