Glossarbegriff
SBOM
Auch: Software Bill of Materials
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
Zweck: Lieferketten-Transparenz. Bei einer neuen CVE (z.B. Log4Shell) muss in Minuten beantwortet werden können, welche Produkte betroffen sind. Ohne SBOM dauert das Wochen.
Formate: CycloneDX (OWASP, kompakt, weit verbreitet), SPDX (Linux Foundation, Standard für Open-Source-Lizenzen), SWID Tags (ISO/IEC 19770-2). Tools: Anchore Syft, CycloneDX CLI, Microsoft SBOM Tool.
In der Praxis
Verbunden: VEX (Vulnerability Exploitability eXchange) ergänzt SBOM um die Aussage, ob ein gefundener CVE tatsächlich ausnutzbar ist. SBOM + VEX zusammen sind das Minimum für einen ernsthaften Schwachstellen-Management-Prozess.
Verwandte Begriffe
CVE
Globaler Identifier für öffentlich bekannte Sicherheits-Schwachstellen in Software und Hardware. Format CVE-JJJJ-NNNN, betrieben vom MITRE-Corp im Auftrag der CISA. Mehr als 200.000 CVEs Stand 2025.
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
TPRM
Disziplin und Tool-Kategorie zur Steuerung von Risiken aus externen Anbietern (SaaS, Cloud, Outsourcing, Beratung). Pflicht-Disziplin unter DORA Art. 28-30 für Finanzunternehmen und unter NIS2 Art. 21 Buchstabe d für wesentliche/wichtige Einrichtungen.
SASE
Gartner-Architekturkategorie, die Netzwerk- (SD-WAN) und Security-Funktionen (SWG, CASB, ZTNA, FWaaS, RBI) in einer Cloud-Plattform zusammenfasst. Pendant aus SSE (Security Service Edge) ohne SD-WAN-Anteil.
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
Sovereign Cloud
Cloud-Angebot, in dem nicht nur Daten, sondern auch Operations, Personal, Schlüssel und Jurisdiktion innerhalb einer definierten Souveränitäts-Zone (typisch EU oder Mitgliedstaat) liegen. Die Tiefe der Sovereignty variiert pro Anbieter.
SSE
Subset von SASE ohne SD-WAN-Anteil. Bündelt SWG, CASB, ZTNA und (zunehmend) DLP/RBI in einer Cloud-Plattform. Gartner Magic Quadrant existiert eigenständig.