Warum kann ich nicht wissen, ob das, was gerade ausgeführt wird, dem entspricht, was meine SBOM deklariert hat?

SBOMs werden zur Build-Zeit erstellt und beschreiben, was ein Build zu enthalten behauptete. Bis Software deployed und in Betrieb ist, können Abhängigkeiten gedriftet sein, statisch gelinkte Bibliotheken hinterlassen keine Laufzeitspur, und es gibt kein Standardprimitive, um zu verifizieren, dass ein laufender Prozess seiner deklarierten Stückliste entspricht. IBMs Analyse von über 35.000 SBOMs aus dem Jahr 2025 ergab, dass 7.907 direkte Abhängigkeiten nicht offenlegten, und der Implementierungsleitfaden der ENISA vom Dezember 2025 nennt Laufzeitdrift als eine der zentralen offenen Lücken. Die Lücke zwischen einer signierten SBOM und einem laufenden Container wird derzeit allein durch Vertrauen überbrückt.