{"guid":"63cefe1b-5805-42f7-9bc6-546d2d26b6ff","title":"npm install und plötzlich haftbar","subtitle":"Der Cyber Resilience Act, die Lieferkette und das Vertrauen in freie Software","slug":"froscon2026-3652-npm_install_und_plotzlich_haftbar","link":"https://programm.froscon.org/2026/events/3652.html","description":"\u003cp\u003eIm September 2025 genügte eine einzige Phishing-Mail an einen npm-Maintainer, um binnen rund 16 Minuten Schadcode in 18 zentrale Pakete mit über 2 Milliarden Downloads pro Woche einzuschleusen. Wem können wir noch trauen, wenn wir gemeinsam an Open Source Software arbeiten? Der Cyber Resilience Act gibt darauf eine regulatorische Antwort, mit ersten Pflichten schon ab September 2026. Der Vortrag erklärt verständlich, was der CRA von Herstellern und der gesamten Lieferkette verlangt und was er konkret für Open Source Software bedeutet: die neue Rolle des Open-Source-Stewards und die Pflicht zur maschinenlesbaren Software-Stückliste (SBOM).\u003c/p\u003e\n\n\u003cp\u003eEine Phishing-Mail, eine übernommene Maintainer-Identität, rund 16 Minuten bis zum verteilten Schadcode – und 2,5 Millioen Downloads betroffen:\nDer npm-Vorfall um \u003ccode\u003echalk\u003c/code\u003e und \u003ccode\u003edebug\u003c/code\u003e im September 2025 war nur einer von mehreren Lieferkettenangriffen dieses Jahres. Niemand hatte böse Absicht, alle haben einem Maintainer vertraut – und genau dieses Vertrauen wurde zur Schwachstelle. Das ist der Ausgangspunkt dieses Vortrags.\u003c/p\u003e\n\n\u003cp\u003eDie EU gibt mit dem \u003cstrong\u003eCyber Resilience Act (CRA)\u003c/strong\u003e eine regulatorische Antwort auf die Frage, wem man in der Software-Lieferkette noch trauen kann. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Der Vortrag ordnet die Rechtslage verständlich ein – ganz ohne juristisches Vorwissen.\u003c/p\u003e\n\n\u003cp\u003eIm Einzelnen geht es um:\u003c/p\u003e\n\u003cul\u003e\n  \u003cli\u003e\u003cstrong\u003eDas Grundgerüst des CRA:\u003c/strong\u003e Was ist ein „Produkt mit digitalen Elementen\", welche Pflichten treffen Hersteller, und wie ist die Zeitschiene wirklich?\u003c/li\u003e\n  \u003cli\u003e\u003cstrong\u003eVerantwortung in der Lieferkette:\u003c/strong\u003e Wer fremde Komponenten integriert, auch Open Source Software, trägt Sorgfalts- und Meldepflichten.\u003c/li\u003e\n  \u003cli\u003e\u003cstrong\u003eDer FOSS-Sonderweg:\u003c/strong\u003e Unter welchen Voraussetzungen Open Source Software in den Anwendungsbereich des CRA fällt und welche Abgrenzungsfragen sich dabei stellen.\u003c/li\u003e\n  \u003cli\u003e\u003cstrong\u003eDer Open-Source-Steward:\u003c/strong\u003e Eine völlig neue Rechtsfigur mit bewusst abgemildertem Pflichtenregime und ohne Bußgeldrisiko. Wen trifft sie, und was bringt sie?\u003c/li\u003e\n  \u003cli\u003e\u003cstrong\u003eDie SBOM-Pflicht:\u003c/strong\u003e Warum die maschinenlesbare Software-Stückliste in der Praxis schon weit vor 2027 unverzichtbar wird.\u003c/li\u003e\n  \u003cli\u003e\u003cstrong\u003eZwei Haftungswelten:\u003c/strong\u003e Der CRA ist Produktregulierung (Marktüberwachung, Bußgelder) parallel macht die reformierte EU-Produkthaftung Software ausdrücklich zum „Produkt\" und lässt die Sicherheitsanforderungen in den Fehlerbegriff einfließen. Wer Open Source Software in ein kommerzielles Produkt einbaut, kann auf beiden Ebenen haften.\u003c/li\u003e\n\u003c/ul\u003e\n\n\u003cp\u003eZum Abschluss die offene Frage: Schafft der CRA tatsächlich Vertrauen? Und hätte er den Vorfall vom September 2025 überhaupt verhindert?\u003c/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eFür wen?\u003c/strong\u003e Maintainer, Foundations und alle, die Open Source Software kommerziell einsetzen oder ausliefern. Es sind keine juristischen Vorkenntnisse nötig.\u003c/p\u003e\n\nLicensed to the public under http://creativecommons.org/licenses/by/4.0","original_language":"deu","persons":["Annika Niemann"],"view_count":51,"promoted":false,"date":"2026-08-16T16:15:00.000+02:00","release_date":"2026-08-16T00:00:00.000+02:00","updated_at":"2026-08-17T13:45:17.226+02:00","tags":["3652","2026","froscon2026","Security","HS 1/2","froscon2026-deu","Day 2"],"length":3236,"duration":3236,"thumb_url":"https://static.media.ccc.de/media/events/froscon/2026/3652-63cefe1b-5805-42f7-9bc6-546d2d26b6ff.jpg","poster_url":"https://static.media.ccc.de/media/events/froscon/2026/3652-63cefe1b-5805-42f7-9bc6-546d2d26b6ff_preview.jpg","timeline_url":"https://static.media.ccc.de/media/events/froscon/2026/3652-63cefe1b-5805-42f7-9bc6-546d2d26b6ff.timeline.jpg","thumbnails_url":"https://static.media.ccc.de/media/events/froscon/2026/3652-63cefe1b-5805-42f7-9bc6-546d2d26b6ff.thumbnails.vtt","frontend_link":"https://media.ccc.de/v/froscon2026-3652-npm_install_und_plotzlich_haftbar","url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_title":"FrOSCon 2026","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026","related":[],"recordings":[{"length":3236,"mime_type":"video/mp4","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_hd.mp4","state":"new","folder":"h264-hd","high_quality":true,"width":1920,"height":1080,"updated_at":"2026-08-16T18:29:10.582+02:00","label":"deu 1080p","size":325,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/h264-hd/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_hd.mp4","url":"https://api.media.ccc.de/public/recordings/103885","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"audio/opus","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_opus.opus","state":"new","folder":"opus","high_quality":false,"width":0,"height":0,"updated_at":"2026-08-16T20:18:31.779+02:00","label":"deu","size":33,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/opus/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_opus.opus","url":"https://api.media.ccc.de/public/recordings/103917","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"audio/mpeg","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_mp3.mp3","state":"new","folder":"mp3","high_quality":false,"width":0,"height":0,"updated_at":"2026-08-16T20:20:03.296+02:00","label":"deu","size":49,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/mp3/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_mp3.mp3","url":"https://api.media.ccc.de/public/recordings/103920","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"video/mp4","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_sd.mp4","state":"new","folder":"h264-sd","high_quality":false,"width":720,"height":576,"updated_at":"2026-08-16T20:22:33.130+02:00","label":"deu 576p","size":97,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/h264-sd/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_sd.mp4","url":"https://api.media.ccc.de/public/recordings/103925","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"video/webm","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_webm-sd.webm","state":"new","folder":"webm-sd","high_quality":false,"width":720,"height":576,"updated_at":"2026-08-16T23:06:04.916+02:00","label":"deu 576p","size":117,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/webm-sd/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_webm-sd.webm","url":"https://api.media.ccc.de/public/recordings/103950","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"video/webm","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_webm-hd.webm","state":"new","folder":"webm-hd","high_quality":true,"width":1920,"height":1080,"updated_at":"2026-08-16T23:20:29.199+02:00","label":"deu 1080p","size":261,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/webm-hd/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_webm-hd.webm","url":"https://api.media.ccc.de/public/recordings/103952","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"},{"length":3236,"mime_type":"video/webm;codecs=av01","language":"deu","filename":"froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_av1-hd.webm","state":"new","folder":"av1-hd","high_quality":true,"width":1920,"height":1080,"updated_at":"2026-08-17T00:44:31.882+02:00","label":"deu 1080p","size":195,"recording_url":"https://cdn.media.ccc.de/events/froscon/2026/av1-hd/froscon2026-3652-deu-npm_install_und_ploetzlich_haftbar_av1-hd.webm","url":"https://api.media.ccc.de/public/recordings/103967","event_url":"https://api.media.ccc.de/public/events/63cefe1b-5805-42f7-9bc6-546d2d26b6ff","conference_url":"https://api.media.ccc.de/public/conferences/froscon2026"}]}