IT-Sicherheit

Angriff über die Software-Lieferkette: Was der Shai-Hulud-Wurm für KMU bedeutet

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit
Die meisten Cyberangriffe kommen durch die Vordertür: eine Phishing-Mail, ein schwaches Passwort, eine offene Lücke. Es gibt aber einen Weg, der viel unauffälliger ist und immer häufiger genutzt wird: die Software-Lieferkette. Dabei greifen die Täter nicht Ihr Unternehmen direkt an, sondern eine Software-Komponente, die Sie oder Ihr Dienstleister ganz selbstverständlich verwenden. Der Schadcode reist dann als Teil eines Updates mit, das eigentlich vertrauenswürdig sein sollte.

Wie ernst dieses Problem ist, zeigt eine Angriffswelle namens Shai-Hulud, die 2025 begann und sich 2026 fortsetzte. Auch wenn der Name technisch klingt, geht das Thema jedes Unternehmen an, das eine Website, einen Onlineshop oder eine App betreibt.

Was ist eine Software-Lieferkette überhaupt?

Nahezu jede moderne Software wird aus Bausteinen zusammengesetzt. Programmierer schreiben nicht alles selbst, sondern greifen auf fertige, frei verfügbare Komponenten zurück, sogenannte Pakete. Diese liegen in großen öffentlichen Sammlungen, etwa npm für JavaScript oder PyPI für Python. Eine einzige Website kann so indirekt von hunderten solcher Bausteine abhängen.

Das ist normal und sinnvoll, denn es spart Zeit und Geld. Es entsteht aber ein Vertrauensproblem: Wer garantiert, dass jeder dieser Bausteine sauber ist? Genau hier setzen Supply-Chain-Angriffe an.

Der Fall Shai-Hulud: ein Wurm, der sich selbst weiterträgt

Bei Shai-Hulud gelang es Angreifern, populäre Pakete in npm und PyPI zu manipulieren. Der eingeschleuste Schadcode aktiviert sich bereits bei der Installation und durchsucht das System nach Zugangsdaten und Schlüsseln, insbesondere in automatisierten Entwicklungs- und Bauumgebungen. Die erbeuteten Geheimnisse werden ausgeleitet, und der Wurm nutzt sie, um weitere Pakete zu infizieren und sich so selbst weiterzuverbreiten.

Sicherheitsforscher dokumentierten mehrere Angriffswellen. Laut den Analysen von Microsoft, GitGuardian und Palo Alto Unit 42 waren über hundert Pakete betroffen, in einzelnen Wellen sogar beide großen Paketquellen gleichzeitig. Die potenzielle Reichweite lag laut den Berichten in der Größenordnung von mehreren hundert Millionen Downloads pro Woche. Zu den Betroffenen zählten laut den Untersuchungen auch Banken, große Technologiefirmen und Behörden. Besonders unangenehm: Nachdem die Täter den Quellcode des Wurms öffentlich machten, entstanden schnell Nachahmer-Varianten.

Warum das auch kleine Unternehmen betrifft

Man könnte meinen, das sei ein Problem großer Softwarehäuser. Tatsächlich betrifft es jeden, der auf Software angewiesen ist, und das ist heute praktisch jedes Unternehmen. Drei Punkte sind entscheidend:

  • Ihre Website erbt die Bausteine ihrer Entwickler. Wenn Ihr Onlineshop oder Ihre App auf betroffenen Komponenten aufbaut, kann der Schadcode auch bei Ihnen landen.
  • Zugangsdaten sind das eigentliche Ziel. Viele Supply-Chain-Angriffe zielen nicht auf Zerstörung, sondern auf Diebstahl von Passwörtern, Schlüsseln und Tokens. Diese öffnen dann still und leise weitere Türen.
  • Vertrauen ersetzt keine Prüfung. Ein Update, das gestern noch sauber war, kann heute kompromittiert sein. Blindes Vertrauen in externe Bausteine ist keine Sicherheitsstrategie.

So schützen sich Unternehmen vor Lieferketten-Angriffen

Die gute Nachricht: Man kann sich vor dieser Bedrohung schützen, ohne auf externe Bausteine ganz zu verzichten. Wichtig sind vor allem drei Ebenen.

Auf der Ebene der Zugangsdaten: Passwörter, Schlüssel und Tokens gehören niemals ungeschützt in Programmcode, Textdateien oder E-Mails, sondern in einen zentralen, verschlüsselten Speicher. Werden Geheimnisse doch einmal gestohlen, müssen sie schnell und geregelt ausgetauscht werden können. Genau das verhindert, dass ein einzelner Diebstahl zum Flächenbrand wird.

Auf der Ebene der Bausteine: Ein Unternehmen sollte wissen, welche Komponenten in seiner Software stecken, und auffällige oder plötzlich veränderte Pakete kritisch prüfen, bevor sie eingespielt werden. Neue Versionen werden nicht sofort blind übernommen, sondern kontrolliert.

Auf der Ebene der Überwachung: Ein laufendes Sicherheitsmonitoring bemerkt, wenn sich ein System plötzlich ungewöhnlich verhält, etwa unerwartete Netzverbindungen aufbaut. So fällt auch ein Angriff auf, der über die Lieferkette hereinkam.

Wie TwoPixels das umsetzt

Wenn wir für Kunden Websites, Shops oder Anwendungen betreuen, kümmern wir uns genau um diese Punkte. Zugangsdaten und Schlüssel liegen bei uns in einem verschlüsselten, zentralen Secret-Management, das einen kontrollierten Austausch erlaubt. Über unser automatisiertes Patch-Management halten wir Systeme aktuell, und unser rund um die Uhr laufendes Sicherheitsmonitoring auf Wazuh-Basis schlägt Alarm, wenn sich ein System auffällig verhält. Ergänzt wird das durch unsere Security-Audits, die auch die eingesetzten Komponenten in den Blick nehmen.

Häufige Fragen

Wir programmieren nichts selbst, sind wir trotzdem betroffen?
Ja, indirekt. Sobald Sie eine Website, einen Shop oder eine App nutzen, hängen Sie an einer Software-Lieferkette. Entscheidend ist, dass Ihr Dienstleister diese Kette im Blick hat.

Woran erkennt man einen Supply-Chain-Angriff?
Oft an ungewöhnlichem Verhalten: Systeme bauen unerwartete Verbindungen auf, Zugangsdaten tauchen an fremden Orten auf, oder es kommt zu verdächtigen Anmeldungen. Ohne Überwachung bleibt so etwas leicht unbemerkt.

Sollten wir deshalb auf externe Software-Bausteine verzichten?
Nein, das wäre weder praktikabel noch nötig. Sinnvoll ist ein bewusster Umgang: wissen, was man einsetzt, Aktualisierungen kontrolliert einspielen und Zugangsdaten schützen.

Was ist der wichtigste Einzelschritt?
Zugangsdaten aus dem Code herausholen und in einen verschlüsselten Speicher verlagern. Damit entziehen Sie dem häufigsten Ziel solcher Angriffe die Grundlage.

Fazit und nächster Schritt

Angriffe über die Software-Lieferkette sind unauffällig, aber wirkungsvoll, und sie treffen längst nicht nur Konzerne. Wer seine Zugangsdaten schützt, seine Bausteine kennt und seine Systeme überwacht, macht sich als Ziel deutlich unattraktiver.

Sie möchten wissen, wie sicher die Software hinter Ihrer Website oder Ihrem Shop ist? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

Weiterführende Leistungen & Ratgeber

KI-Cyberangriffe: Fall GTG-1002 KI-Phishing & Deepfakes Prompt Injection & KI-Agenten IT-Sicherheits-Fahrplan 2026 NIS2 & IT-Sicherheit

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Wir prüfen Ihre Systeme und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.

Kostenlos beraten lassen