SAP infiziert: npm-Lieferkette gehackt – Entwickler im Visier
Manipulierte npm-Pakete im SAP-CAP-Ökosystem haben Schadcode direkt in Build-Pipelines geschleust. Was passiert ist – und was Unternehmen jetzt tun müssen.
Angreifer haben Schadcode in npm-Pakete des SAP-CAP-Ökosystems eingeschleust. Über einen preinstall-Hook wurde ein Infostealer nachgeladen, der SSH-Keys, Cloud- und GitHub-Token von Entwicklern und CI/CD-Servern abgriff. Klassische Firewalls helfen hier nicht – Schutz entsteht nur über gehärtete Build-Pipelines, EDR/XDR und konsequentes Zero Trust für Entwicklerumgebungen.
Was bisher bekannt ist
Sicherheitsforscher von Socket und Onapsis haben mehrere kompromittierte npm-Pakete aus dem SAP-CAP-Umfeld dokumentiert – darunter mbt sowie mehrere @cap-js/*-Module. Zusammen kommen die Pakete auf eine sechsstellige Zahl wöchentlicher Downloads. Die Schadversionen waren nach aktuellem Stand nur wenige Stunden online – global aber lange genug, um in Build-Pipelines zu landen.
Wichtig: Es handelt sich um einen Supply-Chain-Angriff auf die npm-Lieferkette, nicht um einen direkten Hack der SAP-Plattform selbst. SAP hat den Vorfall dokumentiert und bereinigte Folgeversionen sind verfügbar.
Angriff über Vertrauen, nicht über Schwachstellen
Es wurde keine Zero-Day-Lücke ausgenutzt. Die Angreifer haben das Vertrauen in die Software-Lieferkette gekapert.
Maintainer-Übernahme
Angreifer kapern Konten legitimer Paket-Pflegender und veröffentlichen kompromittierte Versionen unter bekannten Namen.
preinstall-Hook
Im manipulierten package.json wird beim npm install ein Skript ausgeführt – noch bevor Code geprüft wird.
Nachgeladener Loader
Das Skript zieht eine Bun-Binary plus mehrere MB Payload nach – klassische Scanner sehen nur einen kleinen Wrapper.
Token-Diebstahl
Infostealer greift SSH-Keys, AWS-/GCP-/Azure-/Kubernetes-Credentials sowie GitHub- und npm-Token ab.
Ziel: Entwickler & Build-Pipelines
Wer Schadcode auf einen Entwickler-Laptop oder einen CI/CD-Runner bringt, sitzt mitten in der Wertschöpfungskette. Tokens haben oft weitreichende Rechte, Build-Server dürfen nach außen reden, und die installierten Pakete landen 1:1 im nächsten Release. Genau hier setzen Angriffe wie dieser an – und reihen sich in eine wachsende Welle ein, die wir auch im Beitrag npm Supply-Chain-Angriff 2026 ausführlich beschrieben haben.
Realität 2026: Software ist das Einfallstor
Angriffe auf npm, PyPI und Container-Registries nehmen seit Jahren massiv zu. Der Grund ist simpel: ein erfolgreicher Paket-Hack erreicht zehntausende Systeme gleichzeitig. Diese Strategie ist effizienter als jede klassische Phishing-Kampagne – und genau deshalb verlagern selbst staatlich unterstützte Akteure ihre Kapazitäten in diese Richtung.
Was Unternehmen jetzt tun müssen
Vier Maßnahmen mit der höchsten Hebelwirkung.
SCA & Audit
Lockfiles prüfen, Socket/Snyk/OSV-Scanner gegen alle Abhängigkeiten laufen lassen, betroffene Versionen pinnen.
EDR/XDR auf Devs & Runner
Verhaltensbasierte Erkennung auf Entwickler-Endpoints und Build-Servern – nicht nur auf Office-PCs.
Zero Trust für Entwickler
Kurzlebige Tokens, MFA für npm/GitHub, isolierte Build-Umgebungen, kein Dauer-Login auf Cloud-Konsolen.
Paket-Allowlist
Interne Registry (Verdaccio, Artifactory) mit Allowlist; preinstall/postinstall standardmäßig blockieren.
Build-Pipeline härten – in 5 Schritten
- 1
Lockfiles erzwingen
npm ci statt npm install in CI; Integritäts-Hashes prüfen, pnpm/yarn analog konfigurieren.
- 2
Install-Scripts blockieren
npm config set ignore-scripts true; Hooks nur explizit für vertraute Pakete erlauben.
- 3
SCA & Allowlist
Socket, Snyk oder OSV-Scanner in jeden PR; private Registry mit Allowlist betreiben.
- 4
Build-Hosts isolieren
Runner mit minimalen Rechten, kurzlebige Tokens, Egress-Filter, EDR/XDR aktiv.
- 5
Secrets rotieren
Bei Verdacht alle SSH-Keys, Cloud-Credentials und GitHub-Tokens neu ausstellen.
Wasacon-Einschätzung
Der Vorfall zeigt schmerzhaft klar: Du wirst 2026 nicht mehr über offene Ports gehackt – sondern über Code, dem du vertraust. Wer keine Kontrolle über seine Abhängigkeiten hat, wer Build-Server wie Office-PCs behandelt und Install-Scripts blind laufen lässt, ist bereits Teil der nächsten Schlagzeile.
Wir prüfen für Unternehmen im Kreis Heinsberg gezielt Entwickler-Workflows, Paketquellen, Build-Pipelines und Cloud-Berechtigungen – und schließen die Lücken, bevor jemand anderes sie nutzt.
Mehr aus der Supply-Chain-Themenwelt
Wie aktuelle npm-, Container- und Tool-Hacks Unternehmen treffen – und was 2026 wirklich schützt.
- npm Supply-Chain-Angriff 2026 – 36 manipulierte Pakete im Detail
- Glassworm: VS-Code-Supply-Chain-Wurm im Enterprise-Umfeld
- Axios-Supply-Chain-Angriff: Wenn die HTTP-Bibliothek selbst zur Waffe wird
- Trivy & EU-Supply-Chain: Wie Scanner-Tools selbst zum Risiko werden
- Bitwarden CLI kompromittiert – Secrets-Sprawl in Entwickler-Tools
Wasacon in deiner Region
Pipeline-Härtung, EDR/XDR und Cloud-Audit – auch direkt vor Ort im Kreis Heinsberg und Umgebung.
Häufige Fragen
Build-Pipeline jetzt absichern
Lass deine npm-, Container- und CI/CD-Umgebung von Wasacon prüfen – inkl. EDR/XDR-Empfehlung und Sofort-Maßnahmenplan.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
