In der Softwarelieferkette entstehen zunehmend neue Standards zur Transparenz und Sicherheit. Das Konzept der "Software Bill of Behavior" (SBOB) ist ein vielversprechender Ansatz, der das Laufzeitverhalten von Softwarekomponenten präskriptiv beschreibt. Ähnlich einer Packungsbeilage auf Medikamenten dokumentiert die SBOB, was Software beim Ausführen tun soll und welche Berechtigungen sie benötigt.
Die SBOB wird vom Softwarehersteller signiert und dient als verbindliche Absichtserklärung. Sie dokumentiert beispielsweise, auf welche Netzwerkressourcen die Software zugreift, welche Dateien sie liest oder schreibt, und welche Systemfunktionen sie nutzt. Dies ermöglicht es Nutzern und Sicherheitssystemen, tatsächliches Verhalten zu überwachen und mit deklarierten Intentionen abzugleichen.
Der Nutzen liegt auf der Hand: Wenn Software anders verhält als deklariert, entsteht eine Anomalie, die auf Sicherheitsprobleme, Malware oder versteckte Funktionalität hinweisen kann. Dies ist besonders wichtig für Unternehmensumgebungen, in denen Sicherheit kritisch ist.
Für IT-Dienstleister und ihre Kundinnen und Kunden könnte dies ein wichtiges Werkzeug zur Sicherheitsüberwachung werden. Container und Microservices, die zunehmend in modernen IT-Infrastrukturen zum Einsatz kommen, könnten von einer solchen Standardisierung besonders profitieren. Die Standards ermöglichen automatisierte Sicherheitsprüfungen und fördern eine transparentere, vertrauenswürdigere Softwarelieferkette. KMU sollten sich mit diesem Konzept vertraut machen, da es langfristig zu Best Practice in der Softwaresicherheit werden könnte.