seen from Maldives
seen from United Kingdom
seen from Sweden
seen from Taiwan
seen from Latvia
seen from Malaysia
seen from United Kingdom
seen from China
seen from Canada
seen from Türkiye
seen from China
seen from Argentina
seen from China
seen from Germany
seen from United States
seen from United States
seen from Jordan
seen from United States
seen from United States
seen from Japan
Was ein Audit-fähiger Freigabeprozess in der Pipeline braucht
Jede Softwareorganisation hat einen Freigabeprozess. Irgendjemand entscheidet, dass ein Stand in Produktion geht. Die Frage im Audit lautet aber nicht, ob es diesen Prozess gibt. Sie lautet: Kannst du für ein beliebiges Release vom letzten Jahr zeigen, wer freigegeben hat, auf welcher Grundlage und ob die Regel technisch erzwungen war? Genau daran scheitern viele Teams, obwohl sie fachlich sauber…
Provenance und Attestation: woher ein Artefakt wirklich stammt
Ein fertiges Build-Artefakt sieht immer gleich aus: eine Datei, ein Container-Image, ein Paket. Was man ihm nicht ansieht, ist die Frage, die im Ernstfall zählt. Aus welchem Commit ist es entstanden, welche Pipeline hat es gebaut, mit welchen Abhängigkeiten. Provenance und Attestation beantworten genau das. Sie machen die Herkunft eines Artefakts nachvollziehbar und beweisbar, statt sie zu…
Least Privilege in der Pipeline: Rechte, die niemand braucht
Die meisten CI/CD-Pipelines laufen mit weit mehr Rechten, als sie für ihre Arbeit brauchen. Ein Job, der nur Tests ausführt, hat plötzlich Schreibzugriff auf das Repository, kann Releases anlegen und liest jedes Secret im Projekt. Niemand hat das so geplant. Es ist über die Zeit gewachsen, weil ein breiter Token einfacher war als ein passgenauer. Genau hier setzt Least Privilege an: Jeder Schritt…
Code Review als Sicherheitskontrolle, nicht als Formalakt
In vielen Teams ist das Code Review zur Pflichtübung geworden. Jemand klickt auf Approve, der Pull Request geht durch, niemand hat wirklich hingeschaut. Das Häkchen ist gesetzt, der Prozess sieht sauber aus, und genau hier entsteht das Risiko. Ein Review, das nur eine Freigabe abnickt, fängt keine Schwachstelle ab. Es dokumentiert nur, dass niemand verantwortlich war. Warum das Review die…
CI/CD für Einsteiger: Was Continuous Delivery wirklich bedeutet
CI/CD steht auf fast jeder Stellenanzeige und in jedem zweiten Tool-Pitch. Was dahinter steckt, bleibt oft vage. Dieser Beitrag erklärt nüchtern, was Continuous Integration und Continuous Delivery wirklich bedeuten, wo der Unterschied liegt und ab wann sich der Aufwand für ein kleines Team lohnt. Continuous Integration: zusammenführen, bevor es weh tut Continuous Integration löst ein altes…
Was ein QuickCheck findet: Anonymisierte Befunde aus echten Pipelines
Die häufigste Frage vor einem GitSecOps QuickCheck lautet: Was kommt dabei eigentlich raus? Niemand will Geld für einen Bericht ausgeben, der nur bestätigt, was man ohnehin ahnt. Deshalb hier ein nüchterner Blick auf Befunde, die in echten Pipelines immer wieder auftauchen. Alles anonymisiert, keine Firmennamen, keine Repos. Aber die Muster sind real und wiederholen sich quer durch Branchen und…
Dependency Confusion: Der Angriff, den fast niemand auf dem Schirm hat
Die meisten Software-Teams kennen ihre Abhängigkeiten aus öffentlichen Registries: npm, PyPI, Maven Central. Was dabei oft übersehen wird, sind die eigenen internen Pakete, die unter einem hauseigenen Namen laufen. Genau dort sitzt eine Lücke, die 2021 reihenweise Konzerne wie Apple, Microsoft und PayPal getroffen hat. Sie heißt Dependency Confusion und ist bis heute in vielen Pipelines…
Signierte Commits und Artefakte: Wann sich das lohnt
Signaturen klingen nach Aufwand, der sich nur für große Konzerne rechnet. Das stimmt so nicht. Ein signierter Commit oder ein signiertes Build-Artefakt beantwortet eine einfache Frage: Stammt dieser Code oder dieses Paket wirklich von dem, der behauptet es gebaut zu haben? Wer das nicht belegen kann, vertraut blind. Die eigentliche Frage ist nicht ob, sondern wo sich der Aufwand zuerst…
