Supply-Chain-Security: GitHub Dependabot verzögert Package-Updates um drei Tage

Neue Sicherheitsstrategie für die Software-Lieferkette

GitHub hat eine signifikante Anpassung für sein Tool Dependabot eingeführt, das Entwickler bei der Aktualisierung von Abhängigkeiten unterstützt. Zukünftig wird das System eine sogenannte Cooldown-Phase von drei Tagen einhalten, bevor es automatisiert Pull Requests für neue Versionen von Software-Paketen erstellt. Diese Maßnahme zielt darauf ab, die Integrität der Software Supply Chain zu stärken und die Verbreitung von Schadsoftware zu erschweren.

Schutz vor manipulierten Paketen

Der Hintergrund für diese Entscheidung liegt in der zunehmenden Gefahr durch Supply-Chain-Attacken. In der Vergangenheit kam es wiederholt vor, dass Angreifer Zugriff auf Entwickler-Accounts erlangten, um kompromittierte Pakete in Umlauf zu bringen. Ein prominentes Beispiel ereignete sich im September 2025, als durch die Übernahme eines npm-Accounts schädliche Versionen weit verbreiteter Pakete wie „chalk“ und „debug“ verbreitet wurden. Obwohl diese Pakete innerhalb weniger Stunden identifiziert und entfernt wurden, verdeutlichte der Vorfall das enorme Gefahrenpotenzial, da die betroffenen Bibliotheken Milliarden von Downloads pro Woche verzeichnen.

Die dreitägige Verzögerung basiert auf der Beobachtung, dass die meisten schadhaften Pakete innerhalb weniger Stunden nach ihrer Veröffentlichung entdeckt werden. GitHub stützt sich hierbei auf eine Analyse von 21 größeren Sicherheitsvorfällen, die sich über den Zeitraum von 2018 bis 2026 erstreckten. Durch die Wartezeit soll sichergestellt werden, dass schädliche Releases bereits als solche identifiziert wurden, bevor sie in die eigene Codebasis integriert werden.

Flexibilität für Entwickler

Obwohl GitHub drei Tage als Standardwert festlegt, handelt es sich nicht um eine starre Vorgabe. Entwicklerinnen und Entwickler haben die Möglichkeit, diesen Zeitraum individuell an ihre Bedürfnisse anzupassen, ihn also entweder zu verkürzen oder zu verlängern. Dies erlaubt Teams, ein Gleichgewicht zwischen Sicherheitsbedürfnissen und der Aktualität ihrer Software-Projekte zu finden.

Ausnahmen für kritische Sicherheitsupdates

Die neue Cooldown-Phase gilt nicht für alle Arten von Aktualisierungen. Sicherheitsrelevante Updates, die auf eine bekannte Schwachstelle hinweisen und mit einem offiziellen Advisory verknüpft sind, bleiben von der Verzögerung ausgenommen. In diesen Fällen generiert Dependabot weiterhin unverzüglich einen Pull Request, um die betroffenen Systeme so schnell wie möglich auf eine gepatchte Version zu heben.

Einordnung der Sicherheitsmaßnahme

GitHub betont, dass die Einführung der Wartezeit lediglich als eine von mehreren Sicherheitsschichten zu verstehen ist. Die Maßnahme ist kein Allheilmittel, da sie beispielsweise gegen gezielte Angriffe, bei denen Backdoors über längere Zeit unentdeckt in Releases schlummern, nicht wirksam ist. Dennoch stellt sie einen wichtigen Baustein dar, um die automatisierte Übernahme von Schadcode zu erschweren.

Das Thema der sicheren Software Supply Chain wird auch in der Fachwelt intensiv diskutiert. So widmet sich unter anderem die kommende Konferenz „heise devSec 2026“ in Marburg schwerpunktmäßig der Absicherung von Software-Lieferketten sowie den Sicherheitsaspekten von Agentic AI in der Entwicklung. Die Anpassung bei Dependabot unterstreicht die wachsende Notwendigkeit, automatisierte Prozesse in der Softwareentwicklung proaktiv gegen externe Bedrohungen abzusichern.