November Treffen - Ausweichtermin am 3.11.2026

Da an unserem normalen Termin am 4.11.2026 die Conciso Ihren Fokus Event anbietet, weichen wir terminlich aus und treffen uns schon einen Tag vorher am Dienstag, den 3.11.2026 um 18 Uhr bei adesso SE in Dortmund.
Wie auch bei unserem letzten Termin bei adesso im Juni, ist unser Gastgeber die .net Abteilung von adesso. Und wie beim letzten Mal wird auch diesmal der Grill aktiviert. Darum bitte ich alle Teilnehmer um eine Anmeldung, damit wir die Verpflegung gut planen können.

Als Sprecher habe ich Florian Lenz gewinnen können. Es geht diesmal um Security im Entwickler und DevOps Alltag.

Hier seine Beschreibung zum Vortrag:

Sicherheit für Ihre Supply Chain, ohne Ihr Entwicklerteam auszubremsen

Bei dieser Sitzung handelt es sich nicht nur um eine theoretische Warnung.

Im Laufe des letzten Jahres hat sich npm von einer Plattform, auf der Angriffe auf die Supply Chain vorkommen, zu einer Plattform entwickelt, auf der solche Angriffe planmäßig stattfinden. Im August gab es „S1ngularity“; im September folgten „Chalk“ und „Debug“, die 18 Pakete betrafen und wöchentlich Milliarden von Downloads umfassten. Dann kam Shai-Hulud, ein sich selbst replizierender Wurm, der Rechner nach Geheimnissen absucht und diese in einem öffentlichen Repository veröffentlicht.

Sicherheitsforscher bezeichnen dies nicht mehr als Ausreißer. Sie nennen es die neue Normalität.

Bei fast jedem dieser Angriffe schien alles in Ordnung zu sein. Die Pipeline blieb im grünen Bereich. Die Tests wurden bestanden. Die Entwickler hatten keine Ahnung, dass ihre CI-Geheimnisse, Cloud-Anmeldedaten und Deployment-Token bereits abgezogen worden waren. Viele wissen bis heute nicht, ob sich gerade eine kompromittierte Version in ihrem Lockfile befindet.
Jeden Tag führen Millionen von Entwicklern „npm install“ aus, ohne darüber nachzudenken. Es ist reine Routine. So wird moderne Software entwickelt. Und genau so verschaffen sich Angreifer Zugang.

Dieser Vortrag zeigt Ihnen anhand einer Live-Demo genau, wie das funktioniert: Ein einzelnes bösartiges Paket entwendet heimlich Geheimnisse, während alles normal erscheint. Anschließend analysieren wir die Angriffsvektoren.

Abschließend präsentiert Florian den Teil, den die meisten Sicherheitsvorträge auslassen: ein praktisches, umsetzbares Playbook zur Absicherung einer Azure-DevOps-Pipeline mithilfe bestehender Tools – ohne zusätzliches Budget und ohne messbare Auswirkungen auf die Arbeitsgeschwindigkeit Ihres Teams.

Übersetzt mit DeepL.com (kostenlose Version) :-)
Link zum englischen Original: Sessionize Florian Lenz

Die anmeldung ist auch auf der Seite [Treffpunkt.ruhr](https://treffpunkt.ruhr/@do_dotnet) möglich. Dort werde ich die Termine immer zuerst veröffentlichen.