Warum Container-Sicherheit im großen Maßstab noch immer scheitert
Laut dem Sysdig Cloud-Native Security Report 2026 enthalten rund 87 Prozent der in Produktionsumgebungen gescannten Container-Images mindestens eine kritische oder hochgradige Schwachstelle. Diese Zahl hat sich seit drei Jahren kaum verändert. Es wird mehr gescannt, aber die Behebung erfolgt weniger effektiv — und in vielen Fällen werden nicht die richtigen Dinge zum richtigen Zeitpunkt überprüft.
Das Container-Ökosystem hat sich enorm weiterentwickelt. Kubernetes ist Standard. Multi-Stage-Builds, Distroless-Base-Images, Sigstore-Signing — das sind keine exotischen Techniken mehr. Trotzdem liegt die durchschnittliche Zeit zur Behebung eines kritischen CVE in einem laufenden Container-Image noch immer bei etwa 25 Tagen. Das ist ein breites Einfallstor für Lateral Movement, sobald ein Angreifer Fuß in einem Cluster fasst.
Wie Container Image Scanning wirklich funktioniert
Ein Container-Image ist im Wesentlichen ein geschichtetes Dateisystem-Tarball. Scanner extrahieren diese Schichten, erstellen eine Software Bill of Materials (SBOM) und gleichen installierte Pakete — OS-Pakete (apt, rpm, apk), Sprach-Runtimes und Binärdateien — mit bekannten CVE-Datenbanken wie NVD, OSV und herstellerspezifischen Advisories ab.
Die Qualität eines Scanners hängt von drei Dingen ab: dem Umfang der Schwachstellendatenbank, der Genauigkeit der Paketzuordnung zu CVEs und ob EPSS-Scores sowie Exploit-Verfügbarkeit für eine echte Priorisierung bereitgestellt werden.
Top Container Scanning Tools 2026
Trivy (Aqua Security)
Trivy bleibt der Goldstandard für Open-Source-Container-Sicherheitsscanning. Schnell, genau und einfach zu integrieren. Es scannt OS-Pakete, Sprachabhängigkeiten, IaC-Fehlkonfigurationen und Secrets und generiert SBOMs in CycloneDX- oder SPDX-Format. Die SBOM-Generierung ist grundlegend für die Supply-Chain-Sicherheit.
Grype (Anchore)
Grype ist Trivys engster Open-Source-Konkurrent. Es verwendet Anchores Syft zur SBOM-Generierung und gleicht gegen eine häufig aktualisierte Schwachstellendatenbank ab. Grype glänzt bei der Policy-as-Code-Integration: Eine .grype.yaml kodiert akzeptable Risikoschwellen und unterbricht CI bei Verstößen.
Snyk Container
Snyk bringt eine entwicklerorientierte Perspektive in das Docker-Container-Scanning. IDE-Plugins, Pull-Request-Kommentare und Priorisierungshinweise sind darauf ausgelegt, Entwickler dort abzuholen, wo sie sind. Snyk empfiehlt Base-Image-Upgrades, die den Großteil der CVEs auf einen Schlag beseitigen würden.
Docker Scout
Docker Scout, Dockers natives Docker-Image-Scanning-Tool, hat sich seit seinem Launch 2023 erheblich weiterentwickelt. Es ist tief in Docker Desktop und Docker Hub integriert, was es für Entwickler, die lokale Images scannen, reibungslos macht. Für Teams, die gerade ihre Docker-Container-Sicherheits-Best-Practices beginnen, senkt Scout die Einstiegshürde erheblich.
GitLab Container Scanning: CI-native Sicherheit
GitLabs integriertes Container-Scanning-Feature verwendet Trivy als Engine, läuft automatisch bei Merge Requests und zeigt Findings direkt im MR-Diff an — direkt neben den Code-Änderungen, die sie eingeführt haben. GitLab integriert auch Dependency Scanning und Secret Detection, sodass GitLab-Ultimate-Nutzer eine umfassende Application-Security-Testing-Suite ohne zusätzlichen Tooling-Aufwand erhalten.
Docker Container Security Best Practices
Distroless oder minimale Base Images verwenden
Eine Standard-Ubuntu-Base-Image enthält 150 und mehr Pakete, die nicht benötigt werden. Ein Distroless-Image enthält nur die Anwendungs-Runtime. Weniger Pakete bedeuten weniger CVEs und einen kleineren Blast Radius bei einer Ausnutzung.
Base-Image-Digests pinnen, nicht nur Tags
Tags sind veränderbar. python:3.12-slim heute ist nicht dasselbe wie python:3.12-slim in sechs Monaten. Base-Images sollten per SHA256-Digest gepinnt und regelmäßig neu gebaut werden.
SBOMs generieren und speichern
Der EU Cyber Resilience Act und Executive Order 14028 mandatieren oder fördern die SBOM-Generierung stark. Wenn ein Zero-Day bekannt wird, sollte in Minuten klar sein, welche Images betroffen sind — nicht nach einer manuellen Suche durch Registries.
Integration in CI/CD-Pipelines
Scannen bei Commit, bei Merge und bei Registry-Push. Jede Stufe erfasst unterschiedliche Probleme. Für Platform-Teams bieten dedizierte Lösungen wie Container Image Scanning von SECRAILS Registry-weite Abdeckung, SBOM-Generierung und Integration in umfassendere Vulnerability Management-Workflows.
Was die meisten Container-Scanner übersehen
Secrets in Image-Layern. Hartcodierte Credentials in Zwischen-Build-Layern bleiben zugänglich, auch wenn sie in einem späteren Layer entfernt wurden. Dedizierte Secret Detection-Tools sind unerlässlich.
Fehlkonfigurationen. Als Root laufen, offene Ports, übermäßige Capabilities erhöhen die Ausnutzbarkeit erheblich. Policy-as-Code-Gates decken dies auf Kubernetes-Manifest-Ebene ab.
Das richtige Tool für die eigene Umgebung wählen
Kleine Teams auf GitLab Ultimate sollten das native GitLab Container Scanning nutzen. Große Unternehmen benötigen zentrales Management und Integration in ihren CSPM-Stack. Eine ganzheitliche Cloud Security-Perspektive verbindet Image-Schwachstellen, Runtime-Verhalten und Cloud-Konfiguration.
Fazit
Container Scanning ist 2026 keine Option mehr. Die Tools sind ausgereift — Trivy, Grype, Snyk und Docker Scout sind produktionsreif. Die Lücke liegt nicht im Tooling, sondern in der Integrationsdisziplin und den Remediation-Workflows. Wählen Sie einen Scanner, der zu Ihrer Pipeline passt, fügen Sie SBOM-Generierung hinzu, definieren Sie Severity-Gates und bauen Sie den Remediation-Workflow auf.