Backbone: Sehen, was in Ihrer Software wirklich steckt

Ihre Website, Ihr Onlineshop, Ihre internen Tools, die Server im Hintergrund. Alles läuft. Bis eine Meldung kommt, dass irgendein Baustein darin eine Sicherheitslücke hat, die längst bekannt war. Das eigentliche Problem ist dabei selten die eine Lücke. Das Problem ist, dass niemand wusste, dass dieser Baustein überhaupt im Einsatz ist.

Moderne Software wird nicht mehr von Grund auf selbst gebaut. Sie setzt sich aus hunderten fremden Bausteinen zusammen: Bibliotheken, Werkzeuge, Container-Images. Sie sehen die fertige Oberfläche. Darunter arbeiten oft mehrere hundert Komponenten, die alle irgendwann von irgendwem geschrieben und seither vielleicht gepflegt wurden, vielleicht auch nicht.

Das eigentliche Problem: Sie können nicht schützen, was Sie nicht sehen

Solange alles funktioniert, stellt niemand Fragen. Genau das ist die Falle. Vier Muster tauchen in der Praxis immer wieder auf:

Niemand führt eine vollständige Liste. Welche Software läuft auf welchem Server, in welcher Version, seit wann? In den meisten Unternehmen kann diese Frage niemand vollständig beantworten. Das Wissen steckt in Köpfen, alten E-Mails und Konfigurationsdateien.
“Veraltet” fällt im Betrieb nicht auf. Eine Bibliothek, die seit zwei Jahren keine Updates mehr bekommt, sieht im laufenden Betrieb genauso aus wie eine tagesaktuelle. Sie merken den Unterschied erst, wenn die veraltete Version zum Einfallstor wird.
“Verwundbar” ist nicht gleich “gefährlich”. Ein Sicherheitswerkzeug, das 200 Funde ausspuckt, ist fast so nutzlos wie eines, das gar nichts sagt. Denn die entscheidende Frage bleibt offen: Welche dieser 200 werden gerade tatsächlich angegriffen, und welche sind nur theoretisch ein Risiko?
Software ohne Support ist das stille Risiko. Ein Server auf einer veralteten Programmiersprachen-Version kann null gemeldete Lücken haben und trotzdem das größte Risiko im ganzen Bestand sein. Denn er bekommt gar keine Sicherheitsupdates mehr. Die nächste Lücke wird dort nie geschlossen.

Was Backbone macht

Backbone ist ein Dashboard, das eine einzige Frage beantwortet: Was nutze ich, in welcher Version, und was ist damit los?

Es liest Ihre Projektordner und Server-Konfigurationen, erkennt darin jeden Baustein und jedes Container-Image, schlägt nach welche Version inzwischen verfügbar wäre, und gleicht den gesamten Bestand gegen vier kostenlose, unabhängige Quellen ab. Das Ergebnis ist eine einzige Übersicht, sortiert nach Dringlichkeit.

Frage	Antwort kommt von
Welche Bausteine nutze ich, in welcher Version?	Scan Ihrer Projekte und Server-Konfigurationen
Gibt es dafür bekannte Sicherheitslücken?	OSV.dev, die offene Schwachstellen-Datenbank
Welche davon werden gerade aktiv angegriffen?	CISA KEV, der Katalog der US-Sicherheitsbehörde
Wie wahrscheinlich ist ein Angriff überhaupt?	EPSS von FIRST.org
Bekommt diese Version noch Updates?	endoflife.date

Warum vier Quellen und nicht eine? Weil sie verschiedene Fragen beantworten. Die eine sagt Ihnen, welche Lücken existieren. Die zweite filtert daraus die heraus, für die eine aktive Ausnutzung dokumentiert ist. Die dritte schätzt, wie wahrscheinlich ein Angriff in den nächsten Wochen ist. Die vierte erkennt Versionen, die überhaupt keine Updates mehr bekommen. Erst zusammen wird aus einer langen Liste eine Reihenfolge.

Der entscheidende Unterschied liegt genau darin. Aus “179 Komponenten verwundbar” wird “diese eine verträgt keinen Aufschub, der Rest kann geplant werden”. Konkret bekommen Sie:

Eine Übersicht, sortiert nach echter Dringlichkeit, nicht nach Alphabet oder abstrakter Schwere-Note.
Neun Technologie-Ökosysteme werden automatisch erkannt: npm, PyPI, Go, Docker, Maven, NuGet, Rust, PHP und Ruby.
Auch Ihre Laufzeitumgebungen und Basis-Images werden auf fehlenden Support geprüft, nicht nur einzelne Bibliotheken.
Einen Maßnahmenplan, der zusammenhängende Updates erkennt und Sie nicht in eine Sackgasse laufen lässt, in der ein halbes Update den Betrieb lahmlegt.

Läuft bei Ihnen, Daten bleiben bei Ihnen

Backbone läuft als Docker-Container auf Ihrem eigenen Server. Kein Cloud-Konto, keine Telemetrie, kein Rückkanal zum Hersteller. Ihre Projektordner werden nur lesend eingebunden, das Werkzeug schreibt also nie in Ihren Code. Die Datenbank mit Ihrem vollständigen Bestand verlässt Ihren Rechner nie. Und weil so ein Dashboard letztlich eine komplette Landkarte Ihrer Schwachstellen ist, ist es in der Voreinstellung nur vom Server selbst erreichbar. Wer es weiter öffnen will, muss das bewusst und abgesichert tun.

Ein Beispiel aus der Praxis

Diese Website hier war selbst ein guter Testfall. Ein Scan meldete 19 verwundbare Komponenten. Das klingt zunächst nach viel Arbeit. Backbone sortierte sie: keine davon wurde aktiv ausgenutzt, ein Teil war im ausgelieferten, fertig gebauten Stand gar nicht erreichbar, und der eigentliche Kern war ein einziges größeres Update des Website-Frameworks, das gleich mehrere Punkte auf einmal schloss.

Aus einer langen, gleichförmig alarmierenden Liste wurde so eine überschaubare Reihenfolge mit einer klaren größten Baustelle. Genau das ist der Unterschied zwischen einer Warnung und einer Entscheidungsgrundlage.

Fazit

Sicherheit fängt nicht bei der Abwehr an, sondern bei der Sichtbarkeit. Wer nicht weiß, was er einsetzt, kann nicht entscheiden, was davon gefährlich ist. Backbone macht diesen Bestand sichtbar und übersetzt eine unübersichtliche Menge an Meldungen in eine klare Ordnung: das zuerst, das kann warten, das ist nur Lärm.

Wo Sie Backbone finden

Backbone ist Open Source und kostenlos. Quelltext, Installationsanleitung und die vollständig kommentierte Konfiguration liegen auf GitHub: github.com/eiche-digital/backbone. Ein Docker-Befehl genügt, um es auf dem eigenen Server zu starten.

Sie wollen wissen, was in Ihren Systemen wirklich läuft und wo das größte Risiko sitzt, haben aber keine Lust, sich selbst durch Sicherheitsdatenbanken zu wühlen? Vereinbaren Sie ein kostenloses Erstgespräch, gemeinsam bringen wir Ihren digitalen Bestand in eine klare Ordnung.