BERLIN / LONDON (IT BOLTWISE) – GitHub macht npm 12 zu einem härteren Baustein in der Software-Lieferkette: Install Scripts laufen künftig nur noch, wenn sie explizit freigeschaltet sind. Zusätzlich wird die Nutzung granularer Zugriffstokens (GATs), die 2FA umgehen sollen, stark beschnitten. Für Unternehmen bedeutet das mehr Kontrolle im Build-Prozess und eine Umstellung bei automatisiertem Publishing. Gleichzeitig zeichnet sich ein klarer Trend ab: Sicherheitsentscheidungen werden stärker in standardisierte Workflows verlagert.
GitHub rollt mit npm 12 eine Paket-Management-Änderung aus, die in vielen Organisationen sofort in CI/CD-Pipelines sichtbar wird: Install Scripts sind künftig standardmäßig deaktiviert. Hintergrund ist das seit Jahren bekannte Risiko, dass Build- und Install-Phasen nicht nur Code herunterladen, sondern auch Zusatzlogik ausführen, etwa über preinstall-, install- oder postinstall-Hooks. In der Praxis ist das ein typischer Einstiegspunkt für Supply-Chain-Angriffe, wenn ein Paket kompromittiert ist oder ein Angreifer den Ausführungsweg missbraucht. Die Umstellung ist deshalb weniger ein „Feature“, sondern ein Richtungswechsel hin zu default-deny.
Konkret betrifft npm 12 drei zentrale Ausführungsflächen, die zuvor implizit aktiv waren. Erstens wird allow-scripts standardmäßig auf „off“ gesetzt: Dependency-Lifecycle-Skripte und auch node-gyp-basierte implizite Builds laufen nicht mehr, solange sie nicht gezielt freigegeben werden. Zweitens wird allow-git auf „none“ gestellt: Git-Abhängigkeiten, direkt oder transitive, werden nur noch auf explizite Erlaubnis hin aufgelöst. Drittens gilt das gleiche Prinzip für allow-remote: Abhängigkeiten von Remote-URLs (zum Beispiel tarballs über https) werden ohne Freigabe nicht mehr übernommen. Unternehmen bekommen damit eine klar testbare Angriffsfläche weniger.
Die Freigabe soll nicht im Blindflug passieren. GitHub führt dafür einen Prozess über „npm approve-scripts“ ein: Nutzer müssen allow-scripts-pending ausführen und die daraus resultierende Allowlist anschließend in der package.json fest einchecken. Das ist für Teams ein wichtiger Unterschied gegenüber „einmal installieren und hoffen“. Denn die Entscheidung wird in die Versionshistorie verlagert und damit auditierbar. Historisch war das klassische npm-Ökosystem stärker auf Komfort ausgelegt; genau diese Lücke schließen viele Organisationen inzwischen über striktes Scanning und Policy-Engines. Npm 12 bringt die Policy jetzt näher an die Standard-Toolchain heran, was die Hürde für stille Ausführung senkt.
Parallel verschärft GitHub die Handhabung granularer Zugriffstokens (GATs), die für das Umgehen von 2FA vorgesehen waren. Diese Tokens sollen künftig keine sensiblen Aktionen mehr ausführen, etwa Token-Erstellung oder Token-Löschung, das Generieren von Recovery-Codes sowie Änderungen an npm-Accountdaten wie Passwort, E-Mail, Profil oder 2FA-Konfiguration. Auch das Ändern von Paket-Zugriffen und Maintainer-Status sowie Trusted-Publishing-Konfigurationen wird blockiert. Außerdem werden Token-Publishing-Fähigkeiten eingeschränkt: GATs dürfen nur noch lesen, private Pakete ausliefern und ein Staging auslösen, das anschließend nur nach menschlicher 2FA-Freigabe öffentlich wird. Ein zentraler Impact: Automatisierung bleibt möglich, aber nicht mehr „ohne menschliche Sicherheitskante“.
Zeitlich staffelt GitHub die Umstellung. Die erste Änderung wird für Anfang August 2026 erwartet; bis dahin empfiehlt man, 2FA-Bypass-Tokens für die genannten Operationen nicht mehr zu nutzen und die betreffenden Schritte interaktiv mit 2FA durchzuführen. Die zweite Änderung ist für Januar 2027 geplant. Für Security- und Plattform-Teams heißt das: Jetzt planen, nicht erst beim Upgrade. Ein praktisches Vorgehen ist, automatisiertes Publishing von langlebigen Publish-Tokens wegzubewegen. GitHub nennt als Zielrichtung „trusted publishing“ (OIDC) oder „staged publishing“ mit einem menschlichen Approval-Schritt. Das ist im Kern auch eine wirtschaftliche Entscheidung: OIDC reduziert Token-Management-Aufwand, und human-in-the-loop Prozesse verbessern die Verlässlichkeit von Freigaben.
Im Wettbewerb um sichere Developer-Workflows ist npm 12 nicht die einzige Bewegung. Pnpm adressiert ebenfalls Angriffswege rund um Registry-Authentifizierung, und als Konkurrent wird dort bereits eine neue „_auth“-Konfiguration für die Authentifizierung als einzelner, strukturierter URL-Key-Value unterstützt. Der entscheidende Sicherheitsgedanke dahinter: Die Credential-Daten und der zugehörige Host reisen zusammen, und pnpm liest _auth nur aus der Umgebung oder globaler Konfiguration, nie aus projektbezogenen Dateien. Damit kann ein kompromittierter Projektkontext wie eine manipulierte pnpm-workspace.yaml oder.npmrc nicht einfach ein gültiges Token auf einen anderen Host umbiegen. Im Marktumfeld entspricht das einer klaren Abkehr vom „konfigurationsgetriebenen Risiko“ im Repo.
Aus historischer Perspektive setzt npm 12 eine Entwicklung fort, die man in der Security-Praxis schon lange sieht: Default-Einstellungen, die in großen Codebasen oft zu impliziten Ausführungen führen, werden schrittweise durch Allowlist- oder Permission-Modelle ersetzt. Früher hat man solche Risiken häufig über ergänzende Tools abgefedert – etwa durch Dependency-Scanning, SCA, Build-Containment oder restriktive Netzwerkregeln. Jetzt verschiebt sich die Verantwortung stärker in die Paket-Manager selbst. Für Unternehmen bedeutet das konkret: Build-Zulassungen, Token-Strategien und Freigabeprozesse müssen als „Policy“ behandelt werden, nicht als „Konfiguration nebenbei“.
Auch regulatorisch und privacy-seitig ist der Trend relevant, selbst wenn die Meldung primär technisch wirkt. Wenn Tokens und Auth-Daten weniger lange gültig sind und Publishing stärker an OIDC oder 2FA gekoppelt wird, reduziert sich die Wahrscheinlichkeit, dass kompromittierte Credentials dauerhaft unbemerkt wirken. Gleichzeitig steigt die Bedeutung sauberer Audit- und Logging-Ketten: Wer hat wann ein Staging ausgelöst, und wie wird die menschliche Freigabe protokolliert? Zudem sollten Unternehmen den Zugriff auf package.json-Änderungen und CI-Approval-Schritte so absichern, dass ein Angreifer nicht nur Pakete manipuliert, sondern auch Policy-Dateien. Supply-Chain-Schutz endet nicht beim Install Script; er umfasst auch das Governance-Modell rund um die Pipeline.
Für die nächsten Monate ergibt sich daraus eine klare Roadmap für Teams, die npm-basiert entwickeln. Erstens: npm 12 testen, dabei besonders die drei neuen Default-„none“-Flächen (Skripte, Git, Remote) in Staging-Umgebungen prüfen und die daraus folgenden package.json-Allowlists vorbereiten. Zweitens: Publishing-Automation überprüfen – welche Jobs nutzen derzeit GATs mit 2FA-Umgehung und welche Operationen hängen daran? Drittens: mittelfristig die Token-Landschaft hin zu trusted publishing (OIDC) oder staged publishing mit Approval-Schritt neu strukturieren. Die erste Phase Anfang August ist ein enger Zeitkorridor, der in vielen Organisationen das „Security Debt“-Thema plötzlich sichtbar macht. Mittelfristig werden Paket-Manager-Updates damit stärker als Sicherheitsprojekt verstanden werden müssen, nicht nur als Versionierung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Npm 12 schaltet Install Scripts standardmäßig ab und begrenzt GATs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Npm 12 schaltet Install Scripts standardmäßig ab und begrenzt GATs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Npm 12 schaltet Install Scripts standardmäßig ab und begrenzt GATs« bei Google Deutschland suchen, bei Bing oder Google News!