Supply-Chain-Angriff
Angriff über die Software-Lieferkette — eine Hintertür in einer Bibliothek, ein kompromittierter Build-Server, ein gefälschtes Update — statt direkt gegen das Ziel. SolarWinds (2020) und xz-utils (2024) sind die bekanntesten Beispiele.
SolarWinds: Eine Hintertür wurde in einen Orion-Build geschmuggelt, 18.000 Organisationen erhielten das Update, und russische SVR-Akteure erlangten Zugriff auf US-Bundesbehörden. xz-utils 2024: „Jia Tan" schleuste nach zweijährigem Social Engineering des Maintainers eine getarnte Hintertür in eine SSH-nahe Bibliothek ein — entdeckt von einem Microsoft-Ingenieur, der zufällig ein Benchmark durchführte. Gegenmaßnahmen: SBOM, reproduzierbare Builds, Sigstore-Signaturen, Lockfile-Pinning, Dependency-Review vor jedem Upgrade. Vollständigen Schutz gibt es nicht — die Lieferkette gilt als der größte Angriffsvektor des kommenden Jahrzehnts.