Miasma-Angriff: Hacker kompromittieren Red-Hat-npm-Pakete

Der Miasma-Angriff auf Red Hat zeigt Schwachstellen auf. Die EU reagiert mit neuen Regeln zur Lieferkettensicherheit.

Ein gezielter Lieferkettenangriff auf offizielle npm-Pakete von Red Hat hat die Verwundbarkeit der Software-Infrastruktur offengelegt. Zeitgleich erhöht die EU mit neuen Plänen und Regularien den Druck auf Unternehmen.

Anfang Juni 2026 wurde der Angriff namens „Miasma“ öffentlich. Angreifer kompromittierten offizielle npm-Pakete des Software-Herstellers Red Hat – darunter Bibliotheken wie „vulnerabilities-client“ und „tsc-transform-imports“. Ihr Ziel: der Diebstahl von Cloud-Identitäten für Google Cloud und Microsoft Azure sowie die Verbreitung eines Wurms.

Anzeige

Angriffe wie „Miasma“ zeigen, wie verwundbar moderne IT-Infrastrukturen durch neue Gesetze und komplexe Bedrohungen geworden sind. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und gleichzeitig aktuelle gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken

Ausgangspunkt der Attacke war ein kompromittiertes GitHub-Konto eines Mitarbeiters. Dessen Zugangsdaten kursierten bereits seit dem Frühjahr im Darknet.

EU plant Lieferketten-Revolution

Parallel zu den aktuellen Bedrohungen treibt die EU-Kommission die digitale Souveränität voran. Der im Juni vorgestellte Plan „ReSourceEU“ sieht vor, den Anteil kritischer Komponenten von einzelnen Zulieferern auf 30 bis 40 Prozent zu begrenzen. Drei Milliarden Euro sollen in alternative Lieferquellen innerhalb Europas fließen – besonders in den Sektoren Halbleiter, E-Mobilität und Rüstung.

Der Handlungsdruck ist enorm: Über 70 Prozent des europäischen Cloud-Marktes wird von US-Anbietern beherrscht. Bei digitalen Produkten insgesamt liegt die EU-Abhängigkeit bei über 80 Prozent. Bis 2030 soll der Anteil Europas an der weltweiten Halbleiterfertigung auf 20 Prozent verdoppelt werden.

NIS-2 und DORA verschärfen die Regeln

Die regulatorischen Anforderungen an die Lieferkettensicherheit steigen rapide. In Deutschland wurde das Umsetzungsgesetz zur NIS-2-Richtlinie (NIS2UmsuCG) bereits im November 2025 verabschiedet. Betroffen sind Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro.

Das BSI-Gesetz definiert zehn wesentliche Maßnahmenbereiche. Dazu gehören Risikoanalyse, Incident Management – und explizit die Sicherheit der Lieferkette sowie die Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen. Eine ergänzende EU-Durchführungsverordnung legt zudem spezifische Standards für Cloud-Dienstleister und Rechenzentrumsbetreiber fest.

Anzeige

Die zunehmende Regulierung durch NIS-2 und den EU AI Act stellt Unternehmen vor komplexe Dokumentationspflichten. Dieser kostenlose Umsetzungsleitfaden verschafft Ihnen den notwendigen Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Compliance-Abteilung jetzt braucht. Kostenlosen Leitfaden zum EU AI Act sichern

Neue Angriffsvektoren: KI-Schnittstellen und Zertifikate

Doch nicht nur klassische Software-Lieferketten sind gefährdet. Anfang Juni wurden kritische Schwachstellen in SDKs für das Model Context Protocol (MCP) von Anthropic bekannt. Angreifer könnten darüber bösartige Befehle über Tool-Beschreibungen einschleusen oder Server spoofen. Experten empfehlen Manifest-Hashing und strikte Netzwerk-Restriktionen.

Ein weiteres Risiko: das mangelhafte Management digitaler Zertifikate. Eine aktuelle Studie vom Juni 2026 zeigt: Nur 34 Prozent der Organisationen haben einen vollständigen Überblick über ihre Zertifikate. Rund drei Viertel der IT-Entscheider fürchten Systemausfälle aufgrund abgelaufener Zertifikate.

So schützen sich Unternehmen

Zur Abwehr von Supply Chain Attacks setzen Fachleute auf Zero Trust und automatisierte Scans. Doch die Konzepte scheitern oft an fehlendem Prozesswissen. Die Realität: Durchschnittlich werden nur 2,6 Prozent der zugewiesenen Berechtigungen tatsächlich genutzt.

Die Empfehlung der Experten: automatisierte Werkzeuge zum Scannen von Abhängigkeiten einsetzen, Artefakte signieren und eine Software Bill of Materials (SBOM) erstellen. Nur wer die eigene Lieferkette kennt, kann sie auch schützen.