Nicht jeder Systemausfall beginnt mit einem Hackerangriff. Manchmal genügt ein fehlerhaftes Update: CrowdStrike legte 2024 mit einer defekten Aktualisierung weltweit Windows-Systeme lahm, ganz ohne Cyberangriff. Auch der mehrstündige Ausfall von Google Cloud im Juni 2025 riss zahlreiche davon abhängige Dienste mit sich.
Damit stellt sich eine unbequeme Frage: Müssen wir uns nicht nur vor Angreifern schützen, sondern mindestens genauso sehr vor unseren eigenen Abhängigkeiten?
Moderne Codebases beginnen schließlich selten mit einer leeren Datei. Sie beginnen mit einer package.json, einer composer.json oder einer Maven pom.xml und kurz darauf besteht ein großer Teil des Projekts aus fremdem Code. Wir installieren komplette Bibliotheken für wenige Funktionen, vertrauen Package-Managern, CDNs, Cloud-Providern und teilweise winzigen Open-Source-Projekten, die von einzelnen Personen gepflegt werden.
Das funktioniert erstaunlich gut... bis es das nicht mehr tut.
Polyfill.io zeigte, wie aus einem etablierten Webdienst nach einem Eigentümerwechsel plötzlich ein Einfallstor für schädlichen JavaScript-Code werden konnte. Aktuelle Supply-Chain-Attacks auf das npm-Ökosystem gehen noch weiter: Selbstverbreitende Malware stiehlt Zugangsdaten, manipuliert weitere Pakete und nutzt damit genau die Lieferketten, auf denen unsere Builds und Deployments basieren.
Aber was ist die Alternative? Alles selbst entwickeln? Keine externen Libraries mehr verwenden? Auf Cloud-Dienste verzichten? Oder darauf hoffen, dass Anbieter niemals ausfallen, insolvent werden, ihre Preise ändern oder ein wichtiges Produkt einfach abschalten?
Auch das kann nicht die Lösung sein. Ohne Open Source, spezialisierte Anbieter und gemeinsam genutzte Infrastruktur wären viele technische Fortschritte kaum möglich. Gleichzeitig darf Bequemlichkeit nicht bedeuten, dass wir unsere Systeme vollständig der Kontrolle Dritter überlassen.
Das kann also der Weisheit letzter Schluss nicht sein. Deswegen wollen Savas und Torben einmal darüber diskutieren, ob und welche Auswege es aus diesem Dilemma geben kann.
Weiterführende Links:
