Sicherheit der Software-Lieferkette

Eine umfassende dreibändige Buchreihe zur Sicherheit der Software-Lieferkette, die Bedrohungen, Abwehrmaßnahmen und Governance abdeckt. Dieses Open-Source-Manuskript bietet Sicherheitsexperten, Entwicklern und Führungskräften in Organisationen praktische Leitlinien zur Absicherung moderner Softwareentwicklungspraktiken.

Die Buchreihe

Buch 1: Die Software-Lieferkette verstehen

Bietet die Grundlage für das Verständnis der Sicherheit der Lieferkette: wie moderne Software entwickelt wird, die Bedrohungslandschaft, historische Angriffe und detaillierte Angriffsmuster.

• Teil I – Grundlagen (Kapitel 1–4): Wie Software heute entwickelt wird, Überblick über Bedrohungen der Lieferkette, historische Angriffe und ökosystemspezifische Risiken
• Teil II – Angriffsmuster (Kapitel 5–10): Bösartige Pakete, Dependency Confusion, Typosquatting, Angriffe auf Build-Systeme, Insider-Bedrohungen und Social Engineering

Buch 2: Schutz der Software-Lieferkette

Übersetzt Bedrohungswissen in praktische Abwehrmaßnahmen über den gesamten Entwicklungslebenszyklus – von der Auswahl von Abhängigkeiten bis zur Produktionsbereitstellung.

• Teil III – Risikobewertung und Tests (Kapitel 11–15): Risikomessung, SBOMs, Abhängigkeitsmanagement, Sicherheitstests und Red Teaming
• Teil IV – Abwehr und Reaktion (Kapitel 16–20): Sicherung von Entwicklungsumgebungen, CI/CD-Pipelines, Verteilungskanälen, Incident Response und Krisenkommunikation
• Teil V – Abwehr operationalisieren (Kapitel 21–22): Aufbau von Sicherheitsprogrammen und Plattform-Engineering-Ansätze

Buch 3: Governance der Software-Lieferkette

Behandelt die menschlichen, politischen und strategischen Dimensionen der Lieferkettensicherheit: organisatorisches Engagement, regulatorische Compliance, wirtschaftliche Anreize und branchenübergreifende Zusammenarbeit.

• Teil V – Menschen und Organisationen (Kapitel 23–25): Schulung und Sicherheitskultur, Perspektiven von Open-Source-Maintainern und Lieferantenrisikomanagement
• Teil VI – Regulierung und Recht (Kapitel 26–29): Regulierungslandschaft (EO 14028, EU CRA), Compliance-Frameworks, rechtliche Aspekte und Brancheninitiativen
• Teil VII – Kontext und Zukunft (Kapitel 30–33): Ökonomie der Lieferkettensicherheit, geopolitische Überlegungen, Lehren aus anderen Branchen und zukünftige Richtungen

Repository-Struktur

contents/
├── book1/                 # Kapitel 1–10
│   └── chapter-XX/        # Jedes Kapitelverzeichnis enthält:
│       ├── README.md      #   Kapitelübersicht
│       ├── ch-X.Y.md      #   Abschnittsdateien
│       └── img/           #   Kapitelbilder
├── book2/                 # Kapitel 11–22
├── book3/                 # Kapitel 23–33
├── appendices/            # Anhänge A–H
└── frontmatter/           # Autoreninformationen, rechtliche Hinweise, Vorlagen

scripts/
├── build-all.sh           # Alle drei Bücher erstellen
├── cover-generator.py     # Buchcover generieren
├── custom_template.latex  # Vorlage für PDF-Erstellung
└── verify_urls.py         # URL-Überprüfungsprogramm

PDFs erstellen

Voraussetzungen

• Pandoc (Dokumentenkonverter)
• XeLaTeX (PDF-Erstellung)
• ImageMagick (Bildkonvertierung)
• Python 3.x (für Cover-Generierung)

Build-Befehle

Alle drei Bücher erstellen:

./scripts/build-all.sh

Einzelne Bücher erstellen:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

Die Ausgabe-PDFs werden im Verzeichnis scripts/ erzeugt.

Anhänge

Beitrag leisten

Beiträge sind willkommen. Beachten Sie beim Beitragen:

• Achten Sie auf technische Genauigkeit bei Sicherheitsthemen.
• Zitieren Sie Quellen für Faktenbehauptungen und Statistiken.
• Nutzen Sie KI gerne zur Erstellung von Inhalten, aber lesen und verstehen Sie diese, bevor Sie einen Pull-Request senden.
• Verwenden Sie konsistente Terminologie (siehe Anhang A: Glossar).
• Folgen Sie der vorhandenen Kapitel-/Abschnittsstruktur (Format ch-X.Y.md).
• Halten Sie Praxisbeispiele konkret mit überprüfbaren Details (Namen, Daten, Auswirkungen).

Das Repository enthält automatisierte Linting-Tools für Markdown-Qualität und Zensical-Kompatibilität. Ausführliche Richtlinien finden Sie in CONTRIBUTING.md und Inhaltsstandards in CLAUDE.md.

Lizenz

Dieses Werk ist unter der MIT-Lizenz lizenziert. Sie dürfen das Werk kopieren, modifizieren, verbreiten und nutzen, auch für kommerzielle Zwecke, unter Angabe der Urheberschaft.