Drei Jahre nach dem Log4Shell-Schock zeigt sich: Viele Unternehmen haben die Warnung gehört – doch wirklich vorbereitet sind die wenigsten. Was eine der folgenreichsten Schwachstellen der IT-Geschichte über den Zustand moderner Softwarelieferketten verrät.
Log4Shell als Maßstab: Wie gut sind Unternehmen auf die nächste kritische Schwachstelle vorbereitet?
Die Entdeckung der Log4Shell-Schwachstelle im Dezember 2021 legte schonungslos offen, wie abhängig globale IT-Infrastrukturen von schlecht dokumentierten Open-Source-Komponenten sind. Drei Jahre später stellt sich die Frage, ob Unternehmen die richtigen Lehren gezogen haben – oder ob die nächste vergleichbare Krise ähnliche Reaktionsketten auslösen würde.
Was Log4Shell so folgenreich machte
Die Schwachstelle in der weit verbreiteten Java-Logging-Bibliothek Apache Log4j betraf schätzungsweise Hunderte Millionen Systeme weltweit. Das eigentliche Problem war dabei weniger die Schwachstelle selbst als vielmehr die Tatsache, dass zahlreiche Unternehmen schlicht nicht wussten, wo und in welcher Version sie Log4j im eigenen Softwareportfolio einsetzen.
Viele IT-Abteilungen verbrachten Tage damit, betroffene Systeme überhaupt zu identifizieren – wertvolle Zeit, in der Angreifer bereits aktiv Exploits einsetzten.
Das Kernproblem: Transitive Abhängigkeiten in modernen Softwarelieferketten sind für die meisten Unternehmen nach wie vor kaum überschaubar. Eine Anwendung mag Log4j nicht direkt einbinden, nutzt aber eine Drittbibliothek, die es tut – und diese Ebenen lassen sich ohne systematisches Dependency-Management kaum vollständig kartieren.
Software Bill of Materials: Notwendigkeit, keine Kür
Eine der zentralen Konsequenzen aus Log4Shell ist die zunehmende Forderung nach einer Software Bill of Materials (SBOM). Ähnlich einem Zutatenverzeichnis listet eine SBOM alle Komponenten einer Softwareanwendung inklusive Versionsnummern und Abhängigkeiten auf.
- In den USA hat die Regierung per Dekret SBOM-Anforderungen für Software-Lieferanten des Bundes festgeschrieben.
- In der EU setzt der Cyber Resilience Act (CRA) vergleichbare Impulse für Hersteller vernetzter Produkte.
Dennoch ist der praktische Einsatz von SBOMs in vielen Unternehmen noch rudimentär. Werkzeuge wie Syft, CycloneDX oder SPDX-basierte Formate existieren, werden aber häufig nicht in bestehende CI/CD-Pipelines integriert oder regelmäßig aktualisiert.
Eine einmalig erstellte SBOM, die nicht mit jeder Softwareänderung gepflegt wird, hat im Ernstfall nur begrenzten Wert.
Patch-Geschwindigkeit und Incident Response
Log4Shell zeigte auch, dass Patch-Prozesse in vielen Organisationen zu langsam sind. Während die erste Notfall-Patchversion innerhalb von Stunden nach Bekanntwerden verfügbar war, dauerte es in zahlreichen Unternehmen Wochen, bis kritische Systeme tatsächlich aktualisiert wurden – bedingt durch fehlende Automatisierung, komplexe Genehmigungsprozesse oder schlicht mangelnde Priorisierung.
Moderne Vulnerability-Management-Plattformen können heute durch kontinuierliches Scanning und automatisierte Priorisierung nach Kritikalität und Erreichbarkeit helfen, die Reaktionszeit erheblich zu verkürzen. Dabei gilt:
CVSS-Scores allein reichen als Entscheidungsgrundlage nicht aus – der tatsächliche Kontext, etwa ob eine betroffene Komponente überhaupt aus dem Internet erreichbar ist, ist ebenso entscheidend.
Einordnung für deutsche Unternehmen
Für deutsche Unternehmen ergibt sich aus Log4Shell und seinen Nachwirkungen ein klarer Handlungsrahmen. Die NIS2-Richtlinie, seit Oktober 2024 in deutsches Recht umzusetzen, verpflichtet betroffene Organisationen zu nachweisbarem Risikomanagement in der Lieferkette – wozu explizit auch Softwarekomponenten zählen.
Unternehmen, die noch keine systematische SBOM-Strategie verfolgen, keine automatisierten Schwachstellen-Scans betreiben oder Incident-Response-Pläne nicht regelmäßig testen, riskieren nicht nur operative Schäden bei der nächsten Krise, sondern auch regulatorische Konsequenzen.
Die Frage ist nicht ob, sondern wann die nächste Log4Shell-ähnliche Schwachstelle auftaucht – die Vorbereitung darauf sollte bereits heute abgeschlossen sein.
