SDLC & Kubernetes Security — Selbst-Check

SDLC & Kubernetes Security — der Selbst-Check

64 gewichtete Kontrollen aus unserem Prüfkatalog (Reifegrad 0–4) für Secure SDLC, CI/CD, Container-Supply-Chain und Kubernetes — mit Referenzen auf NIS2/§30 BSIG, ISO/IEC 27001:2022, CIS Kubernetes Benchmark und BSI IT-Grundschutz. Läuft vollständig in Ihrem Browser: keine Übertragung, kein Konto. Stand als JSON sicherbar, Ergebnis als Bericht exportierbar.

Ihre Eingaben verbleiben lokal·ZERODOTFIVE Prüfkatalog v1.0

ChainDrop: vier Stunden, ein Maintainer-Konto, über 400 Pakete

Am 4. August 2026 um 9:35 UTC erschien keyv@6.0.0 — und mit dem Paket der Wurm »ChainDrop«. Binnen vier Stunden waren mehr als 400 npm-Pakete vergiftet, darunter Bibliotheken mit über 150 Millionen wöchentlichen Downloads. Der Einstieg: ein einziges kompromittiertes Maintainer-Konto. Ein preinstall-Skript lädt bei jeder Installation eine legitime JavaScript-Runtime nach, startet darüber den eigentlichen Schadcode und erntet, was eine Build-Umgebung hergibt — npm- und GitHub-Tokens, AWS-Zugangsdaten, Kubernetes- und Vault-Secrets. Mit den erbeuteten Tokens veröffentlicht sich der Wurm anschließend selbst weiter, gefälschte Provenance-Daten (Herkunftsnachweise) inklusive.

Das Ernüchternde daran: Konzeptionell ist nichts davon neu. Die Gegenmaßnahmen stehen seit Jahren in den einschlägigen Rahmenwerken — im BSI-IT-Grundschutz-Baustein APP.4.4 (»Kubernetes«) samt SYS.1.6 (»Containerisierung«) und in Artikel 21 der NIS2-Richtlinie (EU-Richtlinie 2022/2555, in Deutschland umgesetzt im BSIG), der die Sicherheit der Lieferkette und der Entwicklung ausdrücklich zur Pflicht macht. Konkret heißt das:

Install-Skripte führen fremden Code im Build aus → isolierte, ephemere Runner mit striktem Egress (Kontrolle C2 — BSI SYS.1.6).

Der Wurm liest Secrets direkt aus dem Runner-Prozess → kurzlebige OIDC-Föderation (OpenID Connect) statt statischer Langzeit-Tokens (C3 — NIS2 Art. 21 (2) j).

Vergiftete Versionen wandern ungeprüft in den Build → Dependency-Scanning mit Blockier-Policy und kuratierte Freigabe für Third-Party-Pakete (B4, D7 — NIS2 Art. 21 (2) d/e).

Gefälschte Provenance-Attestierungen → Verifiziert der Cluster Signaturen per Admission Controller (der Kontrollinstanz, die jedes Deployment vor dem Start prüft) und referenzieren Deployments Digests statt mutabler Tags, so erreichen manipulierte Images die Produktion gar nicht erst (D5, D6 — BSI APP.4.4).

Die vergifteten Versionen waren alle nur Stunden alt → Bezug ausschließlich über eine interne Proxy-Registry mit Karenzzeit für neue Versionen (D8 — NIS2 Art. 21 (2) d/e).

Und wenn es doch passiert → Meldeprozesse entlang der BSIG-Fristen: 24 h Frühwarnung, 72 h Meldung (I2 — §32 BSIG).

Wo steht Ihre eigene Lieferkette? Genau dafür ist der Selbst-Check unten da — ich empfehle, mit den Prüfbereichen C und D zu beginnen: Dort hat ChainDrop zugeschlagen.

Deckblatt

NIS2 / §30 BSIG · ISO/IEC 27001:2022 · CIS K8S · BSI APP.4.4 / SYS.1.6 · IT-SIKAT · NCCS

Scope / Umgebung Bearbeitet von Datum Version

Gesamtreife

– / 4

0beantwortet

0offen

0N. A.

0kritisch (≤1, Gewicht hoch)

Reifegrad-Skala

0 Nicht vorhanden — Kontrolle existiert nicht
1 Ad hoc — punktuell, personenabhängig, undokumentiert
2 Definiert — dokumentiert, aber nicht durchgängig gelebt
3 Umgesetzt & nachweisbar — flächendeckend, Evidenz liegt vor
4 Gesteuert & gemessen — KPIs, regelmäßige Wirksamkeitsprüfung

Reife je Prüfbereich

Top-Handlungsfelder (Risiko = (4 − Reife) × Gewicht)

Nächster Schritt

Sie sehen Ihre Handlungsfelder — wir machen daraus einen priorisierten Plan. 20 Minuten, unverbindlich: Wir ordnen Ihr Ergebnis ein und zeigen, was zuerst zählt. Vertiefung als AWS Well-Architected Review oder Plattform-Assessment.

Ergebnis besprechen — Erstgespräch Cloud-Leistungen ansehen

Dieses Werkzeug läuft vollständig lokal in Ihrem Browser: keine externen Requests, kein Backend, keine Telemetrie. Persistenz ausschließlich über JSON-Export/-Import. Die Framework-Referenzen dienen der Orientierung und sind keine Rechtsberatung; das Ergebnis ersetzt kein formales Audit.