Mit LISSA souveräne Software Supply Chains in der Bundesverwaltung
Skalierung über externe Softwareentwicklung ist für Behörden essentiell. Doch wie schützt man die Lieferkette vor Supply Chain Angriffen - und bewahrt digitale Souveränität?
Das ITZBund löst dieses Spannungsfeld mit LISSA: einem Standardprodukt zur sicheren Einlieferung extern entwickelter Software in die geschützten Betriebsumgebungen der Bundesverwaltung.
Die öffentliche Verwaltung nutzt zur Erledigung ihrer Verwaltungsaufgaben IT-gestützte Fachverfahren. Diese Fachverfahren werden aufgrund ihrer Spezialisierung häufig individuell entwickelt. Die Anwendungen der Fachverfahren setzen sich dabei meist aus Softwareartefakten zusammen, die aus unterschiedlichen externen und internen Quellen stammen – ggf. von unterschiedlichen Herstellern/Lieferanten, aus Open-Source-Projekten und Eigenentwicklungen. Jede Fachverfahrensentwicklung steht dabei vor der Herausforderung, eine sichere Lieferkette für die von ihnen zu erstellende bzw. weiterzuentwickelnde Anwendung zu konzipieren und aufzubauen, die den Security-Anforderungen des BSI / der EU (bspw. CRA) und den Compliance Richtlinien der Behörde genügt. Die Lieferkette umfasst dabei den Weg von Entwicklung / Programmierung über Qualitätssicherungsprüfungen bis zur Produktivsetzung.
Das ITZBund hat dafür das Produkt LISSA (Lieferkette ITZBund für Sichere SoftwAre) entwickelt. LISSA bietet einen standardisierten, sicheren und automatisierten Lieferweg für extern entwickelte Software in die geschützten Betriebsbereiche der Bundesverwaltung nach dem Zero Trust Prinzip und unter Beachtung des Schutzgefälles der Betriebsumgebungen. LISSA orientiert sich dabei an der SLSA-Spezifikation der Open Source Security Foundation. Das Produkt umfasst die Bereitstellung vorkonfigurierter, ausführbarer Pipelines und den dafür erforderlichen Komponenten für die sichere Einlieferung und Prüfung von Quellcode, den Bau von Software-Artefakten (Kompilate, Container-Images) sowie deren Bereitstellung in geschützten Artefaktrepositories/Container-Registries des ITZBund. Über diese Lieferkette eingelieferter Quellcode durchläuft automatisierte Viren- und CVE-Scans und automatisierte Softwarequalitätsanalysen (SQA) gemäß standardisierter Architektur- und Programmierrichtlinien. Zudem wird automatisiert die SBOM (Software Bill of Materials) erstellt und an eine zentrale SBOM-Verwaltung übermittelt.
LISSA bietet damit eine standardisierte Lösung für zwei Zielstellungen: Absicherung der Lieferkette vor Software Supply Chain Angriffen und Stärkung der Souveränität über den Softwareentwicklungsprozess in der öffentlichen Verwaltung, durch automatisierte Prüfung von Software-Architekturstandards und standardisierten Programmierrichtlinien. Die Sicherstellung der Einhaltung dieser Standards in der Softwareentwicklung (Compliance) senkt die Abhängigkeit von externen Dienstleistern.
Zum ITZBund:
Das ITZBund (Informationstechnikzentrum Bund) ist der zentrale IT-Dienstleister der deutschen Bundesverwaltung, der über 200 Behörden bei der Digitalisierung unterstützt. Es gehört zum Geschäftsbereich des Bundesministeriums der Finanzen.
Referent für Lösungsdesign und Softwarearchitektur
Entwicklung und Etablierung von Standards und Compliancy Richtlinien für die Softwareentwicklung
Projektleitung LISSA - Standard Produkt für sichere Software Supply Chains für die Bundesverwaltung
Jira-Administratorin
Product Ownerin LISSA - Standard Produkt für sichere Software Supply Chains für die Bundesverwaltung
Martin Oppitz ist Softwarearchitekt beim Informationstechnikzentrum Bund und beschäftigt sich seit mehr als 25 Jahren mit Webstandards, Softwareentwicklung und der Frage, wie digitale Lösungen robust, verständlich und zukunftsfähig gestaltet werden können. In seiner Laufbahn hat er unterschiedliche Rollen eingenommen — vom Business Analyst über Scrum Master und Entwickler bis hin zum Test-Manager — und verbindet dadurch technisches Know-how mit einem ganzheitlichen Blick auf Anforderungen, Prozesse und Nutzerbedürfnisse.
Seit über zehn Jahren befasst er sich zudem intensiv mit DevOps-Themen. Sein Fokus liegt dabei auf dem gesamten Weg von der Entwicklung bis zur Bereitstellung lauffähiger Deployment-Artefakte. Dazu gehören unter anderem Continuous Integration, automatisierte Build- und Release-Prozesse, reproduzierbare Softwarepakete sowie stabile Abläufe für Qualitätssicherung und Bereitstellung. DevOps versteht er dabei nicht nur als technische Disziplin, sondern als verbindendes Element zwischen Entwicklung, Betrieb und Organisation — mit dem Ziel, Software verlässlich, nachvollziehbar und effizient ausliefern zu können.
Ein besonderer Schwerpunkt seiner Arbeit liegt auf Barrierefreiheit, Usability und User Experience. Mit KoliBri hat er gemeinsam mit seinem Team eine Open-Source-Web-Component-Bibliothek geschaffen, die barrierefreie, wiederverwendbare und flexibel gestaltbare Benutzeroberflächen ermöglicht. KoliBri baut auf W3C-Webstandards auf, ist framework-agnostisch und unterstützt unterschiedliche Corporate Designs, ohne die semantische und barrierefreie Grundlage aus den Augen zu verlieren.
Martin Oppitz steht für eine Webentwicklung, die nicht nur technisch sauber, sondern auch menschlich gedacht ist: zugänglich, nachhaltig und praxistauglich. Er verbindet moderne Softwarearchitektur, DevOps-Praktiken und barrierefreie UI-Entwicklung mit einem klaren Anspruch: digitale Anwendungen sollen robust, verständlich, wartbar und für möglichst viele Menschen nutzbar sein.