GitHub reagiert mit der Änderung auf ein bekanntes Problem in der Software-Lieferkette: Schadpakete werden oft schnell veröffentlicht, aber erst nach Stunden entdeckt. Dependabot wartet deshalb künftig mindestens drei Tage, bevor es bei normalen Versionsupdates einen Pull Request erstellt. Laut GitHub soll diese Cooldown-Phase helfen, manipulierte Packages nicht sofort in Projekte zu ziehen.
Die Maßnahme betrifft das Standardverhalten des Tools. Entwicklerinnen und Entwickler können die Zeitspanne nach Bedarf verkürzen oder verlängern. Wer sich grundsätzlich mit Sicherheitsmechanismen in der Softwarekette beschäftigt, findet dazu auch weitere Einordnungen bei The Circle.
GitHub verweist auf Vorfälle, bei denen Schadpakete nur kurze Zeit verfügbar waren. Ein Beispiel aus September 2025 beschreibt den Zugriff auf den npm-Account eines Entwicklers und die Verbreitung von Malware über betroffene Pakete. Genannt werden rund 20 npm-Pakete, darunter chalk und debug, mit mehr als zwei Milliarden Downloads pro Woche.
Die schadhaften Pakete waren laut Quelle etwa zwei Stunden online, bevor sie entdeckt und von npm entfernt wurden. Zusätzlich nennt GitHub einen Bericht über 21 größere Supply-Chain-Vorfälle in einem Zeitraum von acht Jahren zwischen 2018 und 2026. Daraus leitet das Unternehmen ab, dass viele Angriffe innerhalb kurzer Zeit erkannt werden.
Die Cooldown-Phase bezeichnet die Zeit zwischen dem Erscheinen eines Versionsupdates und dem Erstellen eines Pull Requests durch Dependabot. In dieser Zeit wartet das Tool, bevor es eine Aktualisierung vorschlägt. Für Security-Updates gilt das nicht. Diese werden weiterhin sofort verarbeitet, wenn sie sich auf eine bekannte Schwachstelle beziehen und ein veröffentlichtes Advisory zum Package vorliegt.
In diesem Fall gibt Dependabot einen Alert aus und eröffnet direkt einen Pull Request für die gepatchte Version. GitHub macht zugleich klar, dass die Verzögerung nur eine von mehreren Sicherheitsschichten ist. Sie schützt laut Quelle nicht gegen länger angelegte Angriffe mit unentdeckten Backdoors in Releases.
GitHub setzt auf eine begrenzte Verzögerung als zusätzliche Hürde, nicht auf eine vollständige Absicherung. Die drei Tage gelten nur für normale Versionsupdates und können angepasst werden. Damit bleibt das Tool steuerbar, aber es bremst schnelle Übernahmen von potenziell manipulierten Dependencies.
Der Ansatz zeigt vor allem eines: Sicherheit in der Software-Lieferkette hängt nicht an einer einzelnen Maßnahme. GitHub ordnet die Cooldown-Phase ausdrücklich als Baustein unter mehreren ein. Wer das Thema organisatorisch weiter verfolgen will, findet Hinweise zu Veranstaltungen bei The Circle.
Unterm Strich verschiebt Dependabot künftige Versionsupdates um drei Tage, um das Risiko durch kurzfristig manipulierte Pakete zu verringern. Sicherheitsupdates bleiben davon ausgenommen und laufen ohne Verzögerung. Die Maßnahme ist damit eine zusätzliche Schutzschicht, ersetzt aber keine weitergehenden Sicherheitsmechanismen.
Wenn Sie sich mit anderen Errichtern über solche Sicherheitsfragen austauschen wollen, prüfen Sie das Netzwerk The Circle of Security Professionals. Es richtet sich an inhabergeführte Betriebe mit technischem Außendienst, die auf Kooperation und Offenheit setzen und zwischen 8 und 80 Mitarbeiter haben.
Quelle: Heise