Bösartige Angriffe auf die Software-Lieferkette stiegen um +156,0 %, da über 245.000 Schadpakete aus npm und PyPI entfernt wurden, Open-Source-Bibliotheken 82,0 % der Codebasen von Unternehmensanwendungen ausmachen, 52,0 % der kritischen Open-Source-Tools von nur 1 oder 2 Maintainern abhängen und Supply-Chain-Sicherheitsverletzungen durchschnittlich 4,63 Millionen US-Dollar an Schäden verursachen. Während Typosquatting 64 % der bösartigen Pakete ausmacht und 74 % versuchen, lokale AWS/SSH-Zugangsdaten von Entwicklern zu stehlen, schreiben 54 % der Unternehmen die automatisierte SBOM-Erstellung in CI/CD vor, und nur 16 % der Technologieunternehmen unterstützen Open Source finanziell. Die folgenden Zahlen stammen aus empirischen Studien von Sonatype, Synopsys, Linux Foundation, Harvard University LISH, Snyk und IBM Security.
TL;DR
- Bösartige Software-Supply-Chain-Angriffe auf Open-Source-Registries stiegen im Jahresvergleich um +156,0 % (Sonatype)
- Über 245.000 bösartige Open-Source-Pakete wurden auf npm, PyPI und RubyGems identifiziert und neutralisiert
- 82,0 % des gesamten Codes in modernen proprietären Codebasen von Unternehmen bestehen aus Open-Source-Abhängigkeiten (Synopsys)
- 64,0 % der bösartigen Supply-Chain-Pakete nutzen Typosquatting oder Dependency Confusion unter Nachahmung bekannter Paketnamen
- 22,0 % der Supply-Chain-Kompromittierungen entstehen durch die Übernahme legitimer Maintainer-Konten mittels Credential Stuffing
- Eine einzelne direkte Open-Source-Paketdeklaration zieht durchschnittlich 86 indirekte transitive Abhängigkeiten nach sich (OpenSSF)
- 54,0 % der Software-Engineering-Organisationen in Unternehmen schreiben die automatisierte, maschinenlesbare SBOM-Erstellung in CI/CD vor
- 76,0 % der Softwareanbieter für die US-Bundesregierung halten die verbindlichen SBOM-Vorgaben der Executive Order 14028 ein
- 62,0 % der in Unternehmens-Produktionscode eingesetzten Open-Source-Abhängigkeiten hinken mehr als zwei Hauptversionen hinterher
- Eine Datenpanne im Unternehmen, die auf eine kompromittierte Software-Lieferkette zurückgeht, kostet durchschnittlich 4,63 Millionen US-Dollar (IBM)
- Software-Engineering-Teams benötigen durchschnittlich 26,0 Tage, um eine eingeschleuste bösartige Abhängigkeit in der Produktion zu erkennen
- 52,0 % der kritischen Open-Source-Bibliotheken, die die globale IT-Infrastruktur tragen, hängen von nur 1 oder 2 Maintainern ab
- 74,0 % der bösartigen Pakete versuchen, lokale Entwickler-Umgebungsvariablen, AWS-Tokens und SSH-Schlüssel zu exfiltrieren
1. Angriffsanstieg: +156 % Wachstum und 245.000 Schadpakete
Angreifer haben ihren Fokus von gehärteten Produktions-Firewalls auf die Vergiftung von Upstream-Open-Source-Paketen verlagert, die von Entwicklern genutzt werden. Die Angriffe stiegen im Jahresvergleich um +156,0 %.
Registry-Vergiftung: Mehr als 245.000 Schadpakete wurden aus npm/PyPI entfernt (Sonatype), was Codebasen betrifft, in denen 82,0 % der Zeilen aus Open Source stammen (Synopsys).
| Metrik | Wert | Quelle |
|---|---|---|
| Jährliche Wachstumsrate bösartiger Angriffe auf die Software-Lieferkette gegen Open-Source-Paket-Repositories (npm, PyPI, Maven, RubyGems) | +156,0 % jährlicher Anstieg bei Angriffen auf die Open-Source-Software-Lieferkette | Sonatype State of the Software Supply Chain / OpenSSF |
| Gesamtzahl der in Open-Source-Paket-Registries (npm, PyPI) 2025/2026 entdeckten und entfernten Schadpakete | 245.000+ bösartige Open-Source-Pakete identifiziert und neutralisiert | Sonatype Repository Health Telemetry / Socket.dev |
| Anteil proprietärer Unternehmens-Codebasen, der aus Open-Source-Bibliotheken und Abhängigkeiten von Drittanbietern besteht | 82,0 % des modernen Codes in Unternehmensanwendungen besteht aus Open-Source-Abhängigkeiten | Synopsys Open Source Security and Risk Analysis (OSSRA) Report |
Behebung von CVE-Schwachstellen und Patch-Zyklen verknüpfen sich mit unseren CVE-Schwachstellenstatistiken. Quelle: Sonatype State of the Software Supply Chain.
2. Angriffsvektoren & transitive Ausbreitung: 64 % Typosquatting und 86 transitive Abhängigkeiten
Tiefe Abhängigkeitsbäume schaffen unsichtbare Angriffsflächen, da Entwickler unbemerkt Hunderte ungeprüfter Sub-Bibliotheken importieren. Direkte Importe ziehen 86 transitive Pakete nach sich.
Typosquatting: 64,0 % der Malware verwendet falsch geschriebene Paketnamen (Linux Foundation), während 22,0 % der Sicherheitsverletzungen auf kompromittierte Maintainer-Konten zurückgehen (Socket.dev).
| Metrik | Wert | Quelle |
|---|---|---|
Wichtigster Open-Source-Angriffsvektor: Typosquatting und Dependency Confusion durch Nachahmung beliebter Paketnamen (z. B. lodashe vs. lodash) | 64,0 % der bösartigen Supply-Chain-Pakete nutzen Typosquatting oder Brandjacking | Linux Foundation / Sonatype Threat Research |
| Übernahme von Entwicklerkonten (ATO): Veröffentlichung bösartiger Paketversionen nach Kompromittierung von npm/PyPI-Maintainer-Konten über Phishing oder Credential Stuffing | 22,0 % der Supply-Chain-Kompromittierungen resultieren aus gekaperten Maintainer-Zugangsdaten | Socket.dev State of Open Source Security |
| Risiko transitiver Abhängigkeiten: Durchschnittliche Anzahl indirekter sekundärer/tertiärer Open-Source-Abhängigkeiten in einem einzelnen Webanwendungsprojekt | 86 transitive Abhängigkeiten werden im Schnitt pro deklarierter direkter npm/Python-Abhängigkeit geladen | Open Source Security Foundation (OpenSSF) Benchmark |
Forensik von Datenschutzverletzungen und das Entwenden von Zugangsdaten knüpfen an unsere Datenschutzverletzungsstatistiken an. Quelle: Socket.dev State of Open Source.
3. SBOM-Einführung & behördliche Vorgaben: 54 % SBOMs und 76 % Bundes-Compliance
Die Erstellung maschinenlesbarer Software-Stücklisten (CycloneDX, SPDX) ermöglicht es Sicherheitsteams, ihr globales Inventar bei neuen Zero-Day-Lücken sofort abzufragen. 54,0 % schreiben SBOMs in CI/CD vor.
Bundesstandards: 76,0 % der Regierungsdienstleister liefern validierte SBOMs (CISA/EO 14028), obwohl 62,0 % der produktiven Unternehmensabhängigkeiten veraltet sind.
| Metrik | Wert | Quelle |
|---|---|---|
| Einführung von Software Bills of Materials (SBOM): Unternehmen, die automatisierte maschinenlesbare SBOMs generieren (CycloneDX, SPDX) | 54,0 % der Software-Entwicklungsteams in Unternehmen verlangen automatisierte SBOM-Erstellung in CI/CD | Linux Foundation State of Software Bill of Materials (SBOM) |
| Einhaltung von SBOM-Bundesvorgaben: Softwareanbieter für die US-Bundesregierung gemäß Executive Order 14028 / NIST SP 800-218 (SSDF) | 76,0 % der Bundes-Softwarelieferanten stellen validierte SBOM-Artefakte bereit | CISA Secure Software Development Guidelines / GAO |
| Rückstand bei veralteten Open-Source-Komponenten: Unternehmensanwendungen mit Open-Source-Komponenten, die mehr als 2 Hauptversionen hinter den neuesten Versionen zurückliegen | 62,0 % der Open-Source-Abhängigkeiten im produktiven Unternehmenscode sind veraltet | Sonatype State of the Software Supply Chain |
Zero-Trust-Architektur und Software-Provenienz verbinden sich mit unseren Zero-Trust-Sicherheitsstatistiken. Quelle: Linux Foundation State of SBOM.
4. Kosten von Sicherheitsverletzungen & Erkennungsverzögerung: $4,63 Mio. Schaden und 26 Tage MTTD
Eingeschleuste Backdoors laufen unbemerkt in vertrauenswürdigen Build-Umgebungen und exfiltrieren geistiges Eigentum vor ihrer Entdeckung. Supply-Chain-Verletzungen kosten durchschnittlich 4,63 Millionen US-Dollar.
Erkennungsverzögerung: Entwicklungsteams benötigen 26,0 Tage, um bösartige Pakete zu identifizieren (Snyk), während 38,0 % der Top-Pakete mittlerweile kryptografisch signierte Sigstore-Provenienz nutzen.
| Metrik | Wert | Quelle |
|---|---|---|
| Durchschnittliche Kosten einer Datenpanne in der Software-Lieferkette: Finanzieller Verlust durch kompromittierten Softwarecode von Drittanbietern | 4,63 Millionen US-Dollar durchschnittliche Kosten bei Datenschutzverletzungen durch die Software-Lieferkette | IBM Security Cost of a Data Breach Report |
| Mittlere Erkennungszeit (MTTD) für bösartige Paketinjektionen: Zeitaufwand für Engineering-Teams zur Erkennung einer bösartigen Abhängigkeit in der Produktion | 26,0 Tage durchschnittliche Erkennungsdauer für eine bösartige Drittanbieter-Abhängigkeit in Produktions-Builds | Snyk State of Open Source Security |
| Paketsignierung und Einführung von Provenienz: Open-Source-Pakete mit kryptografischen Sigstore- / cosign-Herkunftsnachweisen | 38,0 % der 10.000 beliebtesten npm- und PyPI-Pakete bieten nachprüfbare Sigstore-Provenienz | OpenSSF Scorecards / Sigstore Telemetry |
Ransomware-Erpressungstaktiken und Angriffsvektoren verbinden sich mit unseren Ransomware-Statistiken. Quelle: IBM Security Cost of a Data Breach.
5. Maintainer-Fragilität & Schlüsseldiebstahl: 52 % Solo-Maintainer und 74 % Zugangsdaten-Exfiltration
Die globale digitale Wirtschaft hängt in hohem Maße von kritischer Softwareinfrastruktur ab, die von einzelnen, unbezahlten freiwilligen Entwicklern gepflegt wird. 52,0 % der kritischen OSS-Tools haben <=2 Maintainer.
Gezielte Payloads: 74,0 % der Schadpakete stehlen Umgebungsvariablen von Entwicklern (DataDog), während nur 16,0 % der Technologieunternehmen Open Source finanziell fördern (Tidelift).
| Metrik | Wert | Quelle |
|---|---|---|
| Maintainer-Burnout und Single Point of Failure: Anteil kritischer Open-Source-Bibliotheken, die von nur 1 oder 2 unbezahlten freiwilligen Entwicklern gepflegt werden | 52,0 % der kritischen Open-Source-Bibliotheken hängen von nur 1 oder 2 Haupt-Maintainern ab | Harvard University Laboratory for Innovation Science (LISH) / Linux Foundation |
| Finanzierung der Open-Source-Sicherheit: Unternehmen, die genutzte Open-Source-Bibliotheken finanziell unterstützen oder sponsern | 16,0 % der Softwareunternehmen unterstützen Open-Source-Projekte in ihrem Tech-Stack finanziell | Tidelift State of Open Source Maintainers Survey |
| Verhalten bösartiger Payloads: Primäre bösartige Aktionen infizierter npm/PyPI-Pakete (Krypto-Mining, Diebstahl von Zugangsdaten, Reverse Shells) | 74,0 % der bösartigen Open-Source-Pakete versuchen, Entwickler-Umgebungsvariablen und AWS/SSH-Schlüssel zu entwenden | DataDog Security Research / Sonatype |
Offenlegung von API-Sicherheitsschlüsseln und Secret Sprawl knüpfen an unsere API-Sicherheitsstatistiken an. Quelle: Harvard University LISH Census.
6. Angriffe auf CI/CD-Pipelines & SCA-Tools: 28 % Pipeline-Angriffe und 84 % SCA
Angreifer nutzen zunehmend fehlkonfigurierte GitHub Actions-Workflows und Build-Runner aus, um Compiler-Backdoors einzuschleusen. 28,0 % der Angriffe zielen auf CI/CD-Pipelines.
Automatisierte Analyse: 84,0 % der Entwicklerteams setzen automatisierte SCA-Tools ein (Gartner), was die Release-Zeiten für Patches auf 28,0 Tage verkürzt (Veracode).
| Metrik | Wert | Quelle |
|---|---|---|
| Kompromittierung von CI/CD-Pipelines: Angriffe auf GitHub Actions-Workflows, Build-Runner und Compiler-Manipulationen im SolarWinds-Stil | 28,0 % der Supply-Chain-Vorfälle zielen direkt auf CI/CD-Build-Automatisierungspipelines | Aqua Security Software Supply Chain Threat Report |
| Einführung von Software Composition Analysis (SCA)-Tools: Entwicklerteams, die automatisierte SCA-Scanner einsetzen (Snyk, Sonatype, Dependabot) | 84,0 % der Entwicklungsteams in Unternehmen nutzen automatisierte SCA-Abhängigkeitsscanner | Gartner Magic Quadrant for Application Security Testing |
| Zeitrahmen für die Behebung von Schwachstellen: Zeitbedarf von Entwicklerteams zum Einspielen eines neuen kritischen CVE-Patches in einer Open-Source-Bibliothek | 28,0 Tage durchschnittliche Zeit zum Testen und Bereitstellen gepatchter Open-Source-Updates in der Produktion | Veracode State of Software Security |
Zusammenfassung: Die Software-Lieferkette in Zahlen
| Metrik | Wert | Hauptquelle |
|---|---|---|
| Anstieg der Open-Source-Supply-Chain-Angriffe im Jahresvergleich | +156,0 % Anstieg im Jahresvergleich | Sonatype Supply Chain Report |
| Beseitigte Schadpakete auf npm/PyPI | 245.000+ Pakete | Sonatype / Socket.dev |
| Open-Source-Anteil in Unternehmens-Codebasen | 82,0 % Open-Source-Code | Synopsys OSSRA Report |
| Schadpakete mit Typosquatting/Brandjacking | 64,0 % Typosquatting | Linux Foundation / Sonatype |
| Supply-Chain-Kompromittierungen durch gekaperte Maintainer | 22,0 % kompromittierte Zugangsdaten | Socket.dev Security Report |
| Durchschnittliche transitive Abhängigkeiten pro direktem Import | 86 transitive Pakete | OpenSSF Benchmark |
| Unternehmen mit automatisierter SBOM-Erstellung in CI/CD | 54,0 % schreiben SBOMs vor | Linux Foundation SBOM Study |
| Softwareanbieter mit validierten SBOMs für Behörden | 76,0 % Bundes-Compliance | CISA / OMB EO 14028 |
| Produktionsabhängigkeiten mit veralteten Versionen | 62,0 % veraltete Versionen | Sonatype Supply Chain |
| Durchschnittliche Kosten einer Supply-Chain-Datenpanne | 4,63 Millionen US-Dollar / Vorfall | IBM Cost of Data Breach |
| Zeit zur Erkennung eines Schadpakets in der Produktion | 26,0 Tage MTTD | Snyk State of Open Source |
| Top-Pakete mit Sigstore-signierter Herkunft | 38,0 % signierte Provenienz | OpenSSF Scorecards |
| Kritische Open-Source-Bibliotheken mit <=2 Maintainern | 52,0 % Solo-/Duo-Maintainer | Harvard LISH / Linux Fdn |
| Unternehmen mit finanzieller Open-Source-Förderung | 16,0 % sponsern OSS | Tidelift Maintainer Survey |
| Schadpakete, die Entwickler-Umgebungsschlüssel stehlen | 74,0 % Diebstahl von Env-/SSH-Schlüsseln | DataDog / Sonatype |
Methodik und Quellen
Die Statistiken in diesem Bericht wurden aus jährlichen Bedrohungstelemetriedaten von Sonatype und Socket.dev, Open-Source-Risikoaudits von Synopsys und der Linux Foundation, akademischen Infrastrukturerhebungen des Harvard University Laboratory for Innovation Science (LISH), wirtschaftlichen Maintainer-Umfragen von Tidelift sowie Finanzschadensstudien von IBM Security zusammengestellt.
-
Sonatype & Open Source Security Foundation (OpenSSF): State of the Software Supply Chain: 245k Malicious Packages and Maintainer Attacks (+156 % Angriffe, 245k Pakete, 64 % Typosquatting).
-
Synopsys & Linux Foundation: Open Source Security and Risk Analysis (OSSRA) and State of SBOM Adoption (82 % Open-Source-Code, 54 % SBOM-Vorgabe, 76 % Bundes-Compliance).
-
Harvard University (LISH) & Tidelift: Vulnerabilities in the Core: Census of Open Source Infrastructure and Maintainer Economics (52 % Solo-/Duo-Maintainer, 16 % Unternehmenssponsoring).
-
Socket.dev & Snyk: State of Open Source Security: Transitive Dependencies, Maintainer ATO, and 26-Day MTTD (86 transitive Abhängigkeiten, 22 % Maintainer-ATO, 26d MTTD).
-
IBM Security & Aqua Security: Cost of a Data Breach Report: Software Supply Chain Financial Damages and CI/CD Exploits (4,63 Mio. $ Kosten bei Supply-Chain-Verletzungen, 74 % Diebstahl von Umgebungsschlüsseln).
-
Data watch: Die Statistiken zur Software-Lieferkette beziehen sich auf Open-Source-Paket-Repositories (npm, PyPI, Maven, Go, Cargo), Software Composition Analysis (SCA), SBOM-Generierung und CI/CD-Build-Sicherheit. Die Fertigung physischer Hardware-Lieferketten wird separat erfasst.
-
Zuletzt aktualisiert: August 2026. Diese Übersicht wird vierteljährlich aktualisiert, sobald neue Ausgaben des Sonatype State of the Supply Chain, Synopsys OSSRA-Berichte und OpenSSF-Sicherheitsmetriken veröffentlicht werden.