SBOM
CycloneDX vs. SPDX
CycloneDX und SPDX sind die beiden SBOM-Formate, die fast jedes Tool unterstützt. Beide beschreiben die Komponenten einer Software und wie sie zusammenhängen. Sie unterscheiden sich darin, woher sie kommen, was sie sonst noch transportieren und welche Standardisierungsorganisation hinter ihnen steht.
Aktualisiert am
Die kurze Antwort
Nutzen Sie das Format, das Ihre Kunden, Regulierungsbehörden oder Tools verlangen. Wenn niemand danach fragt, ist CycloneDX die häufigere Wahl für die Sicherheitsarbeit, weil es VEX von Haus aus mitbringt, und SPDX die häufigere Wahl, wo Lizenz-Compliance im Vordergrund steht. Die meisten Generatoren, auch CRACI, können beide erzeugen.
Im direkten Vergleich
| Funktion | CycloneDX | SPDX |
|---|---|---|
| Gepflegt von | OWASP Foundation und Ecma International | Linux Foundation |
| Standard | ECMA-424 | ISO/IEC 5962:2021 |
| Aktuelle Version | 1.7, Oktober 2025 | 3.0, April 2024 |
| Ursprung | Sicherheit und Lieferkettenrisiken | Lizenz-Compliance |
| Stücklistentypen | SBOM, SaaSBOM, HBOM und weitere | Profile für Sicherheit, Build, Datensätze und KI |
| Schwachstellendaten | VEX integriert | Security-Profil in 3.0 |
| Kodierungen | JSON, XML, Protocol Buffers | Mehrere, darunter JSON |
CycloneDX
CycloneDX wird von der OWASP Foundation entwickelt und wurde von Ecma International als ECMA-424 standardisiert. Version 1.7 erschien im Oktober 2025. Das Format kommt aus dem Bereich Sicherheit und Lieferkettenrisiken und deckt mehr als Software ab: SBOMs, SaaSBOMs für Dienste und HBOMs für Hardware. Es unterstützt VEX, sodass dasselbe Format angeben kann, ob eine Schwachstelle ein Produkt betrifft. Es wird als JSON, XML oder Protocol Buffers serialisiert.
SPDX
SPDX ist ein Open-Source-Projekt unter dem Dach der Linux Foundation und als internationaler Standard ISO/IEC 5962:2021 anerkannt. Es kommt aus der Lizenz-Compliance, und seine Lizenzkennungen werden weit über SBOMs hinaus verwendet. SPDX 3.0, erschienen im April 2024, ergänzte Profile für Sicherheit, Build, Datensätze und KI.
Video: SBOM-Grundlagen
Aus unserem Vortrag bei KCD Helsinki: was eine SBOM aufzeichnet, wie sich SPDX und CycloneDX in der Praxis unterscheiden und was OpenVEX ergänzt.
SBOM basics: SPDX, CycloneDX and OpenVEX
Petteri Pulkkinen und Erika Marttinen bei Kubernetes Community Days Helsinki 2026, 16:50 bis 22:05 aus SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Was Regulierungsbehörden akzeptieren
Der EU Cyber Resilience Act verlangt eine SBOM in „einem gängigen und maschinenlesbaren Format“ und nennt keines. Die deutsche BSI TR-03183-2, Version 2.1.0, wird konkreter: CycloneDX 1.6 oder höher oder SPDX 3.0.1 oder höher, in JSON oder XML. Siehe SBOM-Anforderungen des CRA.
Der Inhalt zählt mehr als das Format
Beide Formate können eine unvollständige SBOM enthalten. Ob eine SBOM nützlich ist, entscheidet sich daran, ob sie alles auflistet, was in das Produkt eingeflossen ist, einschließlich transitiver Abhängigkeiten. CRACI zeichnet die SBOM auf, während Ihr GitHub-Actions-Build läuft, gibt ihre Vollständigkeit pro Job und pro Cache an und exportiert sie als CycloneDX oder SPDX. Siehe SBOM-Generierung zur Build-Zeit.
CycloneDX vs. SPDX: häufig gestellte Fragen
Ist CycloneDX oder SPDX besser?
Keines ist grundsätzlich besser. CycloneDX entstand aus der Sicherheitspraxis und bringt VEX von Haus aus mit; SPDX entstand aus der Lizenz-Compliance und ist ein ISO-Standard. Die meisten Tools können beide erzeugen. Wählen Sie das Format, das Ihre Kunden, Regulierungsbehörden oder Tools verlangen.
Welches SBOM-Format verlangt der EU Cyber Resilience Act?
Der CRA verlangt ein gängiges, maschinenlesbares Format und nennt keines. Die deutsche BSI TR-03183-2 akzeptiert CycloneDX 1.6 oder höher und SPDX 3.0.1 oder höher, in JSON oder XML.
Kann ich zwischen CycloneDX und SPDX konvertieren?
Es gibt Tools für die Konvertierung in beide Richtungen, aber die Formate lassen sich nicht eins zu eins aufeinander abbilden, sodass bei einer Konvertierung Details verloren gehen können. Erzeugen Sie das benötigte Format nach Möglichkeit direkt.
Exportiert CRACI CycloneDX oder SPDX?
Beides. CRACI zeichnet die SBOM auf, während Ihr GitHub-Actions-Build läuft, und exportiert sie als CycloneDX oder SPDX, einschließlich transitiver Abhängigkeiten und der deklarierten Lizenz jeder Komponente.
Beide Formate aus einem Build
Lassen Sie einen GitHub-Actions-Job auf CRACI laufen und exportieren Sie seine aufgezeichnete SBOM als CycloneDX oder SPDX.
Demo buchen