Eine Kategorie aufbauen: Chainguard im inauguralen Gartner® Magic Quadrant™ for Software Supply Chain Security als Leader ausgezeichnet

Gartner hat seinen allerersten Magic Quadrant for Software Supply Chain Security veröffentlicht, und Chainguard wurde als Leader positioniert – mit der branchenweit weitesten Positionierung für die Vollständigkeit der Vision (Completeness of Vision) unter allen evaluierten Anbietern.

Wir sind davon überzeugt, dass die Einführung eines dedizierten Magic Quadrant für diesen Bereich durch Gartner diesen als eigenständige Kategorie und als kaufentscheidendes Thema auf Vorstandsebene etabliert. Zudem sehen wir unsere Auszeichnung als Bestätigung dafür, dass der Ansatz zur Sicherheit der Software-Lieferkette genau das erfordert, was Chainguard vom ersten Tag an aufgebaut hat: ein standardmäßig sicheres Fundament (secure-by-default).

Warum dieser Magic Quadrant unserer Meinung nach genau jetzt existiert

Die Bedrohungslandschaft wartet nicht darauf, dass die Branche aufholt. Die durchschnittliche Zeit bis zur Ausnutzung (Time-to-Exploit) neu veröffentlichter Schwachstellen ist auf -7 Tage gesunken, was bedeutet, dass aktive Angriffe oft bereits im Gange sind, bevor überhaupt ein Patch verfügbar ist. Gleichzeitig beschleunigt KI-gestützte Entwicklung die Geschwindigkeit, mit der Code geschrieben, zusammengestellt und ausgeliefert wird, wodurch sich auch die Angriffsfläche rasant vergrößert.

Das alte Modell – Artefakte scannen, Funde triagieren, patschen, was möglich ist – bricht unter den heutigen Bedingungen völlig zusammen. Zu dem Zeitpunkt, an dem eine CVE (Common Vulnerabilities and Exposures) in Ihrem Scanner auftaucht, hat sich ein Angreifer möglicherweise bereits in Ihrer Pipeline eingenistet. Der Trend geht schon seit Langem in Richtung einer Welt, in der reaktive Sicherheit nicht mehr ausreicht. KI-Innovationen und -Iterationszyklen beschleunigen den Wandel hin zu einer neuen Realität, in der Prävention der Standard in der Lieferkettensicherheit ist.

Unserer Ansicht nach erkennt der dedizierte Gartner Magic Quadrant an, dass Unternehmen eine strukturelle Antwort benötigen, die eine „Secure-by-Default“-Grundhaltung verinnerlicht. Genau dieses Problem zu lösen, war der Grund für die Gründung von Chainguard.

Die Plattform hinter der Platzierung

Wir sind der Meinung, dass Chainguards Position eine Plattform widerspiegelt, die weit über unsere Anfänge hinausgewachsen ist und immer mehr Probleme für unsere Kunden löst.

Chainguard Containers bietet einen Katalog von mehr als 2.500 Container-Projekten, die täglich in der Chainguard Factory aus dem Quellcode neu erstellt werden. Container-Images werden nur mit dem zusammengestellt, was für die Ausführung der Anwendung erforderlich ist: ein von Grund auf minimalistischer Ansatz, der standardmäßig null CVEs, hochwertige SBOMs und verifizierbare Signaturen liefert. Wenn Sicherheitsteams nicht mehr Container-Schwachstellen hinterherjagen müssen, können sie sich auf das konzentrieren, was tatsächlich menschliches Urteilsvermögen erfordert.

Chainguard Libraries überträgt dasselbe „Secure-by-Default“-Lieferkettenmodell auf die Python-, Java- und JavaScript-Pakete, auf die Entwicklungsteams angewiesen sind. Chainguard Libraries ersetzt die Abhängigkeit von Entwicklungsteams von npm, PyPI und Maven Central durch mehrere Schutzschichten. Erstens werden von Chainguard erstellte Pakete aus dem Quellcode in einer SLSA-L3-konformen (Supply-chain Levels for Software Artifacts) Software-Factory erstellt, in der 98 % der Schadsoftware entfernt werden. Zweitens fungiert für Pakete, die Chainguard noch nicht erstellt hat, ein durch eine Abkühlphase geschützter Upstream-Fallback als Tor zur Bereitstellung in Kundenumgebungen. Schließlich wird jede von Chainguard vertriebene Bibliothek durch einen proprietären Malware-Scanner geleitet, der böswilliges Verhalten erkennt und blockiert, bevor es jemals die Builds der Kunden erreichen kann.

Zusammen repräsentieren diese Produkte den Kern dessen, was von Gartner evaluiert wurde. Unser Produktportfolio hört hier jedoch noch lange nicht auf. Chainguard Actions sichert CI/CD-Workflows ab, Chainguard Agent Skills wendet denselben Härtungsansatz auf KI-Agentenkompetenzen an, und Chainguard OS Packages bietet über 30.000 sichere Pakete sowie ausgewählte Basis-Images, sodass Teams alles erhalten, was sie zum Erstellen ihrer Wunschlösungen benötigen, ohne die Last der Behebung von CVEs auf Paketebene tragen zu müssen. Da immer mehr Teile des Tech-Stacks KI-gesteuert werden, wächst das Problem der Lieferkette entsprechend mit – und Chainguards Katalog wächst mit ihm.

Die Engine im Hintergrund

Nichts davon funktioniert ohne die Chainguard Factory.

Die Chainguard Factory ist das agentbasierte Build-System, das jedes Paket kontinuierlich in seinen idealen Zustand bringt: null CVEs, neueste Version, vollständig getestet. Sie überwacht Upstream-Open-Source-Projekte auf Änderungen, vergleicht den Soll-Zustand mit dem Ist-Zustand und setzt spezialisierte Bots und KI-Agenten ein, um Lücken autonom zu schließen. Jedes Paket wird aus dem Quellcode mit SLSA-L3-Provenienz, Sigstore-Signaturen und vollständigen SBOMs erstellt.

Bisher hat die Chainguard Factory über 1 Milliarde eindeutige Build-Manifeste verarbeitet. Das Ergebnis ist eine CVE-Behebung, die in Stunden statt in Tagen gemessen wird: eine Geschwindigkeit und Skalierbarkeit, mit denen kein manueller Patch-Workflow mithalten kann.

Das ist auch der Grund, warum Chainguard OS – die speziell entwickelte Linux-Distribution, die vielen Chainguard-Produkten zugrunde liegt – so funktioniert, wie sie funktioniert. Im Gegensatz zu herkömmlichen Distributionen, die auf periodische Release-Zyklen ausgelegt sind, ist Chainguard OS für kontinuierliche Bereitstellung konzipiert: Nano-Updates, schnelle Rebuilds und die Fähigkeit, jede Sicherheitsverbesserung aus Upstream-Open-Source so schnell zu erfassen, wie sie verfügbar ist.

Wohin sich die Kategorie entwickelt

Die Softwaresicherheit von Lieferketten als Kategorie definiert sich in einer sich rasant entwickelnden Landschaft nach wie vor neu. Schadsoftware-Kampagnen haben es bereits auf Sprachbibliotheken, CI/CD-Pipelines und KI-Tools abgesehen. KI-Coding-Assistenten beschleunigen die Entwicklung und vergrößern gleichzeitig die Angriffsfläche. Frontier-Modelle entdecken neue Schwachstellen und schaffen neuartige Angriffspfade aus bestehenden. Die Landschaft der Executive Orders, der EU CRA, FedRAMP 20x und eine Welle branchenspezifischer Vorgaben erhöhen die Compliance-Anforderungen für Unternehmen in jeder regulierten Branche.

Was all dies erfordert, ist ein Fundament: eine vertrauenswürdige Open-Source-Quelle, auf die Entwicklungsteams aufbauen können, ohne zusätzlichen Aufwand zu generieren, Geschwindigkeit gegen Compliance einzutauschen oder sich auf Scanner verlassen zu müssen, um Dinge abzufangen, die garไม่ erst in die Pipeline hätten gelangen dürfen.

Genau das baut Chainguard seit dem ersten Tag.

Laden Sie ein Exemplar des Gartner® Magic Quadrant™ for Software Supply Chain Security 2026 herunter.

Über Gartner und den Magic Quadrant

Gartner liefert umsetzbare, objektive Einblicke für Führungskräfte und deren Teams. Die Expertenberatung und die Tools des Unternehmens ermöglichen schnellere, intelligentere Entscheidungen und eine stärkere Leistung bei den geschäftskritischen Prioritäten einer Organisation. Der Gartner Magic Quadrant for Software Supply Chain Security bewertet Anbieter anhand ihrer Umsetzungsfähigkeit (Ability to Execute) und ihrer Visionsvollständigkeit (Completeness of Vision). Erfahren Sie mehr über den Magic Quadrant.

Gartner unterstützt keine in seinen Publikationen dargestellten Unternehmen, Anbieter, Produkte oder Dienstleistungen und empfiehlt Technologieanwendern nicht, nur die Anbieter mit den höchsten Bewertungen oder sonstigen Auszeichnungen auszuwählen. Gartner-Publikationen geben die Meinungen der Forschungs- und Beratungsorganisation von Gartner wieder und sind nicht als Tatsachenbehauptungen auszulegen. Gartner übernimmt keinerlei ausdrückliche oder implizite Gewährleistung in Bezug auf diese Publikation, einschließlich jeglicher Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck.

Gartner und Magic Quadrant sind Marken von Gartner, Inc. und/oder seinen verbundenen Unternehmen.

Diese Grafik wurde von Gartner, Inc. als Teil eines größeren Forschungsdokuments veröffentlicht und sollte im Kontext des gesamten Dokuments bewertet werden. Das Gartner-Dokument ist auf Anfrage bei Chainguard erhältlich.