Warum Entwicklerteams Echtzeit-Überwachung für Software-Lieferketten brauchen

Betroffen waren Bibliotheken von Zapier, PostHog, Postman und AsyncAPI. Für viele Engineering-Teams stellte sich nach dem Vorfall weniger die Frage, was passiert war, als vielmehr, warum die kompromittierten Pakete teils mehr als 24 Stunden im Build-Prozess liefen, bevor jemand überhaupt erst reagierte.

796 npm-Pakete in 72 Stunden

Shai-Hulud 2.0 unterscheidet sich technisch von der ersten Welle, die im September 2025 unter anderem CrowdStrike-Pakete und Bibliotheken aus dem ctrl/tinycolor-Umfeld erfasst hatte. Die Schadlast lief diesmal nicht mehr im Postinstall-, sondern im Preinstall-Hook und damit vor sämtlichen Sicherheits- oder Testroutinen. Die Angreifer setzten zudem nicht auf Node.js, sondern auf die Bun-Runtime, was klassische Node-Monitoring-Tools unterläuft. 

Dabei wurden Zugangsdaten von mehr als 500 GitHub-Konten aus 150 Organisationen ergattert. Die direkte Folge für betroffene Teams waren rotierende Tokens, Audit-Logs für mehrere Wochen und ein Re-Build aller Releases, in denen kompromittierte Versionen mitliefen.

Was Sicherheits-Advisories für Entwicklerteams konkret leisten

Die Vorfälle der letzten Monate haben gezeigt, wie viel Reaktionszeit aus einer einzigen gut platzierten Veröffentlichung herauszuholen ist. Engineering-Teams, die laufend Software Supply Chain News mitlesen, hatten bei Shai-Hulud 2.0 die ersten Indikatoren oft schon am Morgen des 24. November vorliegen, also noch bevor die ersten internen Patch-Vorschläge zirkulierten. Behördliche Warnungen folgten mit Verzögerung. Die CISA hatte für die erste Welle bereits am 23. September 2025 eine Empfehlung veröffentlicht, in der sie unter anderem die sofortige Rotation aller Developer-Credentials und phishing-resistente MFA forderte.

Wert hat dieser Informationsfluss nur, wenn er an die Build-Pipeline angeschlossen ist. Eine Advisory, die im Slack-Channel der Security-Abteilung liegt, aber nicht in die Dependency-Prüfung des nächsten Releases einfliesst, kostet Stunden. Genau diese Verzögerung verlagern moderne Software-Composition-Analysis-Werkzeuge in die Sekunden-Skala, indem sie Vulnerability-Feeds direkt mit dem aktuellen Dependency-Tree korrelieren.

28 Angriffe pro Monat seit April 2025

Cyble registrierte seit April 2025 im Schnitt 28 dokumentierte Lieferketten-Angriffe pro Monat, gegenüber 13 in den 14 Monaten davor. Der bisherige Monats-Höchstwert datiert vom Oktober 2025 mit 41 Vorfällen. Auf der Verteidigerseite sieht es schwächer aus. Laut einer im Dezember 2025 veröffentlichten Analyse von CleanStart überwachen weniger als 50 Prozent der Unternehmen mehr als die Hälfte ihrer erweiterten Software-Lieferkette aktiv.

Drei Eintrittsvektoren prägen das Bild: Kompromittierte Dependencies stehen für 35 Prozent der Vorfälle, manipulierte CI/CD-Pipelines für 22 Prozent und vergiftete Container-Images für 20 Prozent. 
In Summe machen diese drei Pfade etwas mehr als drei Viertel der dokumentierten Angriffe aus. Klassische Runtime-Scans setzen zu spät an, weil der Schaden zu diesem Zeitpunkt bereits in produktiven Containern liegt. Wer Verwundbarkeiten erst zur Laufzeit identifiziert, hat in einem CI/CD-getriebenen Workflow bereits Dutzende Builds passieren lassen.

CRA-Stichtag September 2026 und das Schweizer Meldewesen

Der regulatorische Druck verschärft die Lage zusätzlich. Der EU-Cyber-Resilience-Act ist seit dem 10. Dezember 2024 in Kraft. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden an ENISA melden. 

Sobald ein Patch oder Workaround verfügbar ist, folgt ein entsprechender Zwischenbericht innerhalb von 14 Tagen. Ab dem 11. Dezember 2027 gilt zudem die SBOM-Pflicht für alle Produkte mit digitalen Elementen. Die maschinenlesbaren Formate SPDX und CycloneDX gelten dabei als faktischer Industriestandard. Verstösse können mit Strafen bis zu 15 Millionen Euro oder 2,5 Prozent des globalen Jahresumsatzes geahndet werden.

In der Schweiz gilt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, ebenfalls mit 24-Stunden-Frist gegenüber dem BACS. Schweizer Software-Anbieter mit EU-Geschäft hängen damit an zwei parallelen Reporting-Mechanismen. Im BACS-Halbjahresbericht 2025/I sind Lieferketten-Angriffe als zentrale Herausforderung für die Schweizer Bedrohungslage benannt.

Vom Postinstall-Hook zu Trusted Publishing

Plattform-Anbieter haben auf die Vorfälle reagiert. npm hat Trusted Publishing als Ersatz für langlebige API-Tokens etabliert und empfiehlt WebAuthn statt TOTP-basierter Zwei-Faktor-Authentisierung. Microsoft Defender for Cloud führte im Dezember 2025 ein agentenloses SBOM-Scanning ein, das Shai-Hulud-Pakete unabhängig vom Workload-Laufzeitstatus erkennt. SBOM-Formate wie CycloneDX und SPDX sind in den Build-Pipelines vieler grösserer Schweizer Anbieter inzwischen Standard. Auf Behördenseite hat das BACS gemeinsam mit der Planzer Transport AG einen Leitfragen-Katalog für Cyber-Supply-Chain-Risk-Management veröffentlicht, der sich auf Software-Beziehungen genauso anwenden lässt wie auf klassische IT-Beschaffung.

Echtzeit-Visibility bedeutet im praktischen Engineering-Alltag drei Dinge. Ein laufend aktualisiertes Dependency-Inventar, das auch transitive Pakete erfasst. Eine Reachability-Analyse, die zwischen formal anfälligen und tatsächlich ausnutzbaren Komponenten unterscheidet. Und ein Alert-Pfad, der nicht im Security-Backlog endet, sondern an einer benannten Engineering-Verantwortlichkeit. Bis zum CRA-Stichtag am 11. September 2026 bleiben den Engineering-Teams knapp vier Monate.

Eine weitere Variable hat sich 2025 etabliert. KI-gestützte Coding-Assistenten ziehen automatisch neue Open-Source-Abhängigkeiten in Projekte, ohne dass Entwickler die einzelnen Pakete bewusst prüfen. Bei Snyk hat das im August 2025 zur Einführung eines MCP-Scanners geführt, der die Funktionsketten von Model-Context-Protocol-Komponenten auf ausnutzbare Kombinationen prüft, sowie zu einer Erweiterung des AI-Bill-of-Materials-Konzepts auf die Toolchain selbst. Das Sichtbarkeitsproblem verschiebt sich damit weiter nach vorn in den Entwicklungsprozess.