AWS Security Hub erhält ein SBOM-Inventar, in Essentials ohne Zusatzkosten enthalten: Es zeigt nur Ressourcen, die Amazon Inspector scannt, neue SBOMs können Stunden brauchen, und dass verbundene Azure-Ressourcen abgedeckt sind, steht im Handbuch, nicht in der Ankündigung

Am 6. November 2026 hat AWS angekündigt, dass AWS Security Hub nun ein Inventar der Software-Stückliste (SBOM) bereitstellt: eine laufend aktualisierte, organisationsweite Liste der auf Rechenressourcen installierten Softwarepakete. Security Hub baut sie aus den SBOMs auf, die Amazon Inspector bereits für Amazon-EC2-Instanzen, Amazon-ECR-Container-Images und AWS-Lambda-Funktionen erzeugt, ohne zusätzliche Konfiguration. AWS sagt, sie sei in Security Hub Essentials ohne Zusatzkosten enthalten, brauche keine neue Aktivierung und sei in jeder AWS-Region verfügbar, in der es Security Hub gibt. „Ohne Zusatzkosten“ bezieht sich auf diese Inventarfunktion innerhalb von Essentials; genutzte Dienste werden weiterhin nach ihren jeweiligen Preisen abgerechnet, nicht der gesamte Einsatz kostenlos.

Die Ankündigung beschreibt, was das Inventar zeigt. Die SBOM-Seite listet jedes Paket mit Version, Typ und der Zahl der Ressourcen, auf denen es installiert ist, und die Liste lässt sich nach Paketattributen, Konto und Region filtern und gruppieren. Auf der Detailseite einer Ressource listet ein Reiter Installierte Software jedes Paket dieser Ressource auf, sodass ein Analyst bei der Triage eines Befunds beurteilen kann, was die Ressource tut und wie kritisch sie ist. Dasselbe Inventar lässt sich über die Security-Hub-API abfragen. Das Ziel ist, eine Frage schnell zu beantworten: Welche Ressourcen enthalten das betroffene Paket, wenn eine neue Schwachstelle bekannt wird.

Das Benutzerhandbuch von Security Hub ergänzt die Bedingungen, die bestimmen, was man tatsächlich sieht. Das Inventar umfasst nur Ressourcen, die Amazon Inspector scannt. Scannt Inspector EC2-Instanzen, aber keine Lambda-Funktionen, enthält das Inventar nur Software von EC2-Instanzen, und ist Inspector nicht aktiviert, zeigt die Seite eine Meldung mit einer Schaltfläche Inspector aktivieren. „Keine zusätzliche Konfiguration“ bedeutet daher keine zusätzliche Einrichtung in Security Hub und setzt voraus, dass die Inspector-Abdeckung schon besteht. Das Handbuch sagt außerdem, das Inventar sei nicht auf AWS beschränkt: Es umfasst virtuelle Maschinen, Container-Images und Serverless-Funktionen, etwa virtuelle Maschinen von Microsoft Azure und Images der Azure Container Registry, bei Cloud-Anbietern, die Sie mit Security Hub verbinden. Die Ankündigung nennt nur die drei AWS-Ressourcentypen.

Aktualität und Umfang haben angegebene Grenzen. Security Hub behält die neueste SBOM jeder Ressource und entfernt ihre Software, wenn die Ressource beendet oder gelöscht wird oder die Inspector-Abdeckung verlässt, und es gleicht sich nach Zeitplan mit Inspector ab. Nachdem Inspector eine neue SBOM erzeugt hat, kann es laut Handbuch einige Stunden dauern, bis die Änderung erscheint; das Inventar ist also keine Live-Ansicht. Administratorkonten sehen die Software aller aktivierten Konten ihrer Organisation, Mitgliedskonten nur ihre eigenen Ressourcen. Ein Zähldetail kann verwirren: Ein Paket erscheint in der Tabelle nur einmal, egal auf wie vielen Ressourcen es liegt, und die Übersichtsdiagramme zählen eine Installation je Ressource, sodass die Diagrammsummen die Zeilenzahl übersteigen können. Ein Paket auf drei Ressourcen ist beispielsweise eine Zeile und drei Installationen.

Auch was die Ankündigung nicht sagt, ist nützlich. Sie nennt keine Grenzen für die Zahl der Ressourcen oder Pakete, keine Leistungszahlen und keine Aussage dazu, wie vollständig eine SBOM für ein bestimmtes Image oder eine Instanz ist, was davon abhängt, was Inspector erkennen kann. Sie sagt nicht, dass das Inventar Schwachstellenscans oder Compliance-Berichte ersetzt; das Handbuch beschreibt es als Mittel, Ressourcen mit einem Paket zu finden, eine Ressource bei der Triage zu verstehen und für Compliance-Programme ein Protokoll der Software-Lieferkette zu führen. Wir haben es nicht getestet.

Unsere Einschätzung: Das ist eine bescheidene, aber praktische Funktion für Sicherheitsteams, die Inspector und Security Hub schon nutzen. Sie macht aus verstreuten SBOMs je Ressource eine durchsuchbare, organisationsweite Ansicht ohne Zusatzkosten. Teams sollten bestätigen, dass Inspector jeden für sie wichtigen Ressourcentyp abdeckt, mit einer Verzögerung von Stunden rechnen, prüfen, welche Konten ihre Rolle sehen kann, und das Inventar als Antwort auf die Frage verstehen, auf welchen gescannten Ressourcen ein von Inspector erkanntes Paket installiert ist, nicht als Beweis, dass jedes Paket auf jeder Maschine gefunden wurde.