Supply-Chain-Angriffe auf npm und PyPI: Warum E-Mail-Authentifizierung Entwickler-Accounts schützt

Wenn das Paket zur Waffe wird

Drei bösartige Versionen von node-ipc – einem npm-Paket mit Millionen wöchentlicher Downloads – enthielten einen Stealer und eine Backdoor. Der TanStack-Vorfall legte offen, wie ein kompromittierter Entwickler-Account eine Supply-Chain-Attacke auslösen kann, die OpenAI und andere große Nutzer traf. Beide Fälle folgen demselben Muster: Ein Angreifer übernimmt einen legitimen Account, schiebt eine verseuchte Version ins Registry und wartet, dass CI/CD-Pipelines weltweit das Paket automatisch ziehen.

Das ist kein theoretisches Szenario. Es passiert gerade, regelmäßig, und die Angriffsfläche wächst.

Wie Accounts kompromittiert werden – und welche Rolle E-Mail dabei spielt

Die häufigsten Einstiegspunkte für Account-Übernahmen bei npm und PyPI sind:

• Phishing-Mails, die täuschend echte Benachrichtigungen von npm oder PyPI imitieren
• Credential Stuffing mit Passwörtern aus früheren Datenlecks
• Gefälschte Security-Alerts, die Entwickler dazu bringen, ihre Zugangsdaten auf einer Fake-Seite einzugeben

Der zweite und dritte Punkt hängen direkt mit E-Mail zusammen. Wenn ein Angreifer eine Nachricht verschicken kann, die aussieht wie eine offizielle npm-Benachrichtigung – gleiche Absenderadresse, gleiches Layout – dann ist die Chance hoch, dass ein Entwickler klickt, ohne zu zögern.

Genau hier greift E-Mail-Authentifizierung.

Was DMARC, SPF und DKIM konkret verhindern

SPF legt fest, welche Mailserver im Namen einer Domain senden dürfen. DKIM signiert jede ausgehende Nachricht kryptografisch. DMARC verbindet beides und gibt empfangenden Mailservern eine klare Anweisung: Was passiert, wenn eine Mail SPF oder DKIM nicht besteht?

Ohne DMARC-Enforcement auf der Notification-Domain von npm oder PyPI kann ein Angreifer eine E-Mail versenden, die im Posteingang eines Entwicklers so aussieht:

Von: [email protected]
Betreff: Sicherheitswarnung: Unbekannter Login erkannt

Mit DMARC auf p=reject wird diese gefälschte Mail vom empfangenden Mailserver abgelehnt, bevor sie den Posteingang erreicht. Der Entwickler sieht sie gar nicht erst.

Für Registries wie npm und PyPI bedeutet das: Ihre Notification-Domains müssen DMARC auf p=reject oder mindestens p=quarantine stehen haben, mit vollständiger SPF- und DKIM-Abdeckung aller legitimen Versandwege.

BIMI als zusätzliche Vertrauensschicht

BIMI (Brand Indicators for Message Identification) geht einen Schritt weiter. Wenn DMARC korrekt konfiguriert ist, können Mailclients wie Gmail oder Apple Mail das verifizierte Logo der sendenden Organisation neben der E-Mail anzeigen. Für einen Entwickler, der täglich Dutzende Benachrichtigungen bekommt, ist das ein sofort erkennbares Vertrauenssignal.

Eine gefälschte npm-Mail kann kein verifiziertes BIMI-Logo anzeigen – das setzt ein gültiges VMC (Verified Mark Certificate) voraus, das an die Domain gebunden ist. Wer also das offizielle npm-Logo im Posteingang sieht, weiß: Diese Mail kam wirklich von npmjs.com.

Was Entwickler und IT-Teams jetzt tun sollten

Die Verantwortung liegt auf zwei Seiten.

Für Registries und Plattformen (npm, PyPI, GitHub): Notification-Domains müssen vollständig mit SPF, DKIM und DMARC auf p=reject abgesichert sein. BIMI sollte implementiert werden, um Entwicklern eine visuelle Verifikation zu ermöglichen. DMARC-Aggregate-Reports helfen dabei, unautorisierte Sendeversuche frühzeitig zu erkennen.

Für Entwickler und IT-Admins: Wer eigene Domains für interne Benachrichtigungen, CI/CD-Alerts oder Package-Registry-Integrationen betreibt, sollte denselben Standard anlegen. Eine interne Notification-Domain ohne DMARC ist ein offenes Einfallstor für Spear-Phishing gegen das eigene Entwicklungsteam.

Außerdem gilt: DMARC-Reports regelmäßig auswerten. Wenn plötzlich unbekannte IP-Adressen versuchen, im Namen der eigenen Domain Mails zu versenden, ist das ein frühes Warnsignal – lange bevor ein Entwickler auf einen Phishing-Link klickt.

Das größere Bild: Supply-Chain-Sicherheit beginnt beim Posteingang

Die Angriffe auf node-ipc und TanStack zeigen, dass Supply-Chain-Sicherheit kein reines Code-Problem ist. Der Angreifer muss zuerst einen Account übernehmen. Und dafür braucht er meistens einen überzeugenden Phishing-Angriff – per E-Mail.

Wer die E-Mail-Authentifizierung seiner Notification-Domains vernachlässigt, öffnet Angreifern die Tür. DMARC auf p=reject, korrekt konfiguriertes DKIM und SPF sowie BIMI für visuelle Verifikation sind keine Nice-to-haves. Sie sind die erste Verteidigungslinie gegen Account-Übernahmen, die Supply-Chain-Angriffe erst möglich machen.

Möchtest du wissen, wie deine Domain aktuell aufgestellt ist? Prüfe sie kostenlos mit dem DMARCPulse Domain-Check – inklusive SPF, DKIM, DMARC und BIMI-Status auf einen Blick.