SPDX gab jeder Softwarelizenz eine kurze ID – und wurde zum ISO-SBOM-Format

Bis 2010 musste jedes Unternehmen, das Software auslieferte, Lizenzen und Komponenten nachverfolgen, doch jedes Werkzeug und jedes Team schrieb sie anders – „Apache 2“, „ASL 2.0“, „Apache-2.0“ –, sodass Compliance-Daten nicht zwischen Organisationen ausgetauscht werden konnten. Das SPDX-Projekt der Linux Foundation löste das Problem auf der Ebene der Kennungen: ein Standarddatenformat für die Komponenten und Metadaten eines Pakets sowie eine kanonische Lizenzliste mit einer stabilen kurzen ID pro Lizenz.

Weil die IDs stabil und maschinenlesbar waren, konnten Scanner, Prüfer und Lieferanten Software-Stücklisten ohne Übersetzung austauschen. SPDX wurde zum De-facto-SBOM-Format und übte diese Rolle ein Jahrzehnt lang in globalen Software-Lieferketten aus.

Am 24. August 2021 wurde die Spezifikation über ISO/IEC JTC 1 als ISO/IEC 5962:2021 veröffentlicht. Die Linux Foundation rahmte diesen Meilenstein als Schritt „von einem De-facto-Industriestandard zu einem formalen ISO/IEC-JTC-1-Standard“ und positionierte SPDX damit für internationale Anforderungen an Softwaresicherheit und -integrität entlang der Lieferkette.

Eine kanonische kurze ID pro Lizenz, maschinenlesbar

Nicht rechtliche Streitigkeiten, sondern mehrdeutige Lizenzschreibweisen waren das, was die automatisierte Compliance tatsächlich zum Scheitern brachte.

Stabile kurze IDs ermöglichten es zwei beliebigen Werkzeugen, sich ohne menschliche Prüfung auf eine Lizenz zu einigen.

Ein Jahrzehnt als De-facto-SBOM-Format bedeutete, dass der ISO-Stempel die Praxis bestätigte, statt sie zu erfinden.

Das Format aus Komponenten plus Metadaten diente über die Lizenzierung hinaus auch Sicherheits- und Lieferkettenzwecken und erweiterte den Kreis der Beteiligten.

Compliance scheitert an Mehrdeutigkeit, nicht an Absicht. Die Kennung zu standardisieren – nicht den Rechtstext – ermöglicht es Werkzeugen, sich automatisch zu einigen, und genau das macht aus einer Checkliste ein Industriestandardformat.

ISO/IEC 5962:2021 machte SPDX zum international anerkannten offenen Standard für Software-Stücklisten, gerade als Regierungen begannen, SBOMs für die Beschaffung zu verlangen. Die Spezifikation wird als frei verfügbarer ISO-Standard unter der Linux Foundation weiterentwickelt.