Summary

  • In GAO-26-107530 berichteten leitende Verantwortliche von 17 der 24 untersuchten Bundesbehörden über widersprüchliche OMB- und NIST-Vorgaben für das Sammeln und Speichern von Software-Stücklisten (SBOM). Die Zahl beschreibt gemeldete Beschaffungsprobleme, keine Vorfälle oder nachweislich unsicheren Produkte.
  • Das GAO stellt die frühere OMB-Richtlinie M-22-18, nach der Sammlung optional und die Liste eher ein statischer Nachweis war, der NIST-Praxis mit versionsbezogenen Komponentendaten für Schwachstellenanalysen gegenüber. OMB hob M-22-18 im Januar 2026 auf. M-26-05 lässt Behörden nun vertraglich eine aktuelle SBOM auf Anforderung verlangen.
  • Das GAO empfiehlt zusätzliche CISA-Anleitungen für Erzeugung, Empfang, Analyse und Nutzung der Daten in Einkauf, Entwicklung und Risikomanagement. Entscheidend ist eine nachvollziehbare Übergabe von aktuellen Komponenteninformationen an jemanden, der über eine Sicherheitsmaßnahme entscheidet.

Die Liste wird gekauft. Wer liest sie bei Alarm?

Eine SBOM verzeichnet die Bestandteile einer Softwareversion. Für den Einkauf kann sie ein Liefergegenstand sein: Der Produzent gibt ein Dokument ab, die Behörde legt es ab. Für den Betrieb ist sie eine Suchhilfe: Enthält die laufende Version eine Komponente, vor der ein neuer Hinweis warnt? Die zweite Frage benötigt ein bestimmtes Release oder eine aktuelle Laufzeitumgebung, auswertbare Daten und einen Verantwortlichen. Mit dem Eingangsstempel ist sie noch nicht beantwortet.

Das GAO veröffentlichte seine Cloud-Beschaffungsprüfung am 23. Juni 2026. Führende IT- und Einkaufsverantwortliche aus 24 Behörden wurden befragt. Bei 17 berichteten sie über Konflikte zwischen OMB- und NIST-Anweisungen zum Sammeln und Aufbewahren von SBOMs. Eine andere Frage derselben Prüfung ergab ebenfalls 17 Behörden mit Problemen der Cloud-Kostensteuerung. Die gleiche Zahl verbindet die Befunde nicht; sie misst zwei verschiedene Schwierigkeiten. Keine der Zahlen zählt Sicherheitsvorfälle.

Im vollständigen Bericht beschreibt das GAO die ältere Regelung an drei Nahtstellen. OMB M-22-18 machte die Sammlung optional, während NIST Produzenten dazu anhielt, Komponenten jeder Version zu erfassen und zu teilen. OMB legte den Aufbau von Sammelprozessen in die Hände der Behörden, NIST wies auf standardisierte Daten der Hersteller. OMB behandelte die Liste als Konformitätsnachweis, NIST als Material für Schwachstellensuche und Risikosteuerung. Für eine Behörde, die einen Vertrag schreibt, sind das unterschiedliche Arbeitsaufträge.

Fünf Behörden warnten, verschiedene Formulare und Verfahren würden Anbieter mit mehreren Bundesabnehmern belasten. Ebenfalls fünf Behörden beschrieben Probleme beim Erhalt der Daten vom Hersteller, zum Beispiel wenn ein Wiederverkäufer zwischen Behörde und Produzent steht. Die Gruppen können sich überschneiden; zehn getrennte Behörden lassen sich daraus nicht machen. Beide Beispiele zeigen eine unsaubere Übergabe: Wer erstellt die Liste in welchem Format, wer darf sie später anfordern und zu welcher Version gehört sie?

Die alte Weisung wurde aufgehoben

Mit M-26-05 vom 23. Januar 2026 hob OMB M-22-18 und das ergänzende M-23-16 auf. Die alte Weisung erklärt die Historie des GAO-Befunds, ist aber keine heutige Pflicht. Die neue stellt die Verantwortung für Software- und Hardwaresicherheit beim Behördenleiter klar, verlangt weiterhin vollständige Bestandsverzeichnisse und erlaubt vertragliche Regeln, nach denen ein Hersteller auf Anfrage eine aktuelle SBOM liefern muss. Für Cloud-Plattformen soll eine solche Klausel die produktive Laufzeitumgebung erfassen.

Das Wahlrecht verlangt eine bewusste Entscheidung. Eine Behörde kann je nach Risiko festlegen, wann sie Komponentendaten benötigt. Entscheidet sie sich dafür, muss der Vertrag den Zugang, die Lieferzeit und den Gegenstand der Liste festlegen. Die IT muss die Daten verarbeiten können. Nach Ansicht des GAO klärte die Januar-Richtlinie die Zuständigkeit, ließ aber praktische Beschaffungsprobleme bestehen. Eine optionale Liste, die zu spät oder in einem ungeeigneten Format eintrifft, hilft wenig bei der nächsten Schwachstellenmeldung.

Die NIST-Leitlinien zur Software-Lieferkette ordnen Komponentendaten der Sicherheitsarbeit zu. In einem gemeinsamen Grundsatzpapier vom September 2025 wirbt CISA dafür, SBOM-Daten zu erzeugen, zu empfangen und zu analysieren und sie in vorhandene Risiko- und Entwicklungsprozesse einzubinden. Das GAO hielt fest, dass konkrete Hinweise zur Verbindung mit behördlichen Werkzeugen und Abläufen noch fehlten. Ein Zielbild ist für den Einkäufer kein Übergabeprotokoll.

Die Brücke ist jetzt Aufgabe von CISA

Das GAO empfahl dem Department of Homeland Security, CISA mit zusätzlicher Umsetzungsanleitung zu beauftragen. Sie soll Erzeugung, Empfang und Auswertung von SBOM-Daten in Risikomanagement, Beschaffung und Entwicklung erklären, einschließlich geeigneter Werkzeuge. Das Ministerium stimmte zu und nannte in seiner Antwort den 30. September 2026 als geplanten Fertigstellungstermin. Der Termin ist eine Absichtserklärung; die öffentliche GAO-Empfehlung stand bei der Recherche zu diesem Beitrag weiter auf „Open“. Ein tatsächlich herausgegebenes Dokument und sein Einsatz in Behörden brauchen eigene Nachweise.

Die nötige Brücke besteht aus konkreten Verbindungen: ein Produzent kennzeichnet Version oder aktive Cloud-Umgebung, eine Vertragsklausel ermöglicht rechtzeitigen Zugriff auch beim Kauf über Dritte, ein maschinenlesbares Format speist die Schwachstellenprüfung, und ein benannter Betreiber trifft die Entscheidung bei geänderten Komponenten. OMB bestimmt den politischen Spielraum; NIST beschreibt technische Praxis; CISA soll die Anwendung über die Schreibtischgrenzen hinweg präzisieren.

Eine CISA-Anleitung mit solchen Schritten und Behördenverträge, die aktuelle Daten tatsächlich bis zur Sicherheitsentscheidung bringen, würden das Urteil verändern. Das GAO hat den Ausgangspunkt schon festgehalten: In 17 Behörden stießen zwei Vorstellungen derselben Liste aufeinander. Eine Stückliste wird erst dann zum Sicherheitsinstrument, wenn sie weiß, zu welcher laufenden Software sie gehört.

Sources