{"meta":{"title":"Dependabot-Warnungen","intro":"Dependabot alerts Helfen Sie beim Auffinden und Beheben anfälliger Abhängigkeiten, bevor sie zu Sicherheitsrisiken werden.","product":"Sicherheit und Codequalität","breadcrumbs":[{"href":"/de/enterprise-server@3.18/code-security","title":"Sicherheit und Codequalität"},{"href":"/de/enterprise-server@3.18/code-security/concepts","title":"Concepts"},{"href":"/de/enterprise-server@3.18/code-security/concepts/supply-chain-security","title":"Sicherheit der Lieferkette"},{"href":"/de/enterprise-server@3.18/code-security/concepts/supply-chain-security/dependabot-alerts","title":"Dependabot-Warnungen"}],"documentType":"article"},"body":"# Dependabot-Warnungen\n\nDependabot alerts Helfen Sie beim Auffinden und Beheben anfälliger Abhängigkeiten, bevor sie zu Sicherheitsrisiken werden.\n\nSoftware basiert häufig auf Paketen aus verschiedenen Quellen und erstellt Abhängigkeitsbeziehungen, die unwissentlich Sicherheitsrisiken einführen können. Wenn Ihr Code von Paketen mit bekannten Sicherheitsrisiken abhängt, werden Sie ein Ziel für Angreifer, die Ihr System ausnutzen möchten – potenziell Zugriff auf Ihren Code, Ihre Daten, Kunden oder Mitwirkenden.\nDependabot alerts Benachrichtigen Sie über anfällige Abhängigkeiten, damit Sie ein Upgrade auf sichere Versionen durchführen und Ihr Projekt schützen können.\n\n## Beim Dependabot Senden von Benachrichtigungen\n\nDependabot überprüft die Standardverzweigung Ihres Repositorys und sendet Benachrichtigungen, wenn:\n\n* Neue Beratungsdaten werden GitHub jede Stunde von GitHub.com synchronisiert. Weitere Informationen finden Sie unter [Durchsuchen von Sicherheitsempfehlungen in der GitHub Advisory Database](/de/enterprise-server@3.18/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database).\n* Ihr Abhängigkeitsdiagramm ändert sich – z. B. wenn Sie Commits übertragen, die Pakete oder Versionen aktualisieren\n\nUnterstützte Ökosysteme finden Sie unter [Von Abhängigkeitsdiagrammen unterstützte Paket-Ökosysteme](/de/enterprise-server@3.18/code-security/reference/supply-chain-security/dependency-graph-supported-package-ecosystems#supported-package-ecosystems).\n\n## Grundlegendes zu Warnungen\n\nWenn GitHub eine anfällige Abhängigkeit erkannt wird, wird eine Dependabot Warnung auf der Registerkarte und dem Abhängigkeitsdiagramm des Repositorys **<svg version=\"1.1\" width=\"16\" height=\"16\" viewBox=\"0 0 16 16\" class=\"octicon octicon-shield\" aria-label=\"shield\" role=\"img\"><path d=\"M7.467.133a1.748 1.748 0 0 1 1.066 0l5.25 1.68A1.75 1.75 0 0 1 15 3.48V7c0 1.566-.32 3.182-1.303 4.682-.983 1.498-2.585 2.813-5.032 3.855a1.697 1.697 0 0 1-1.33 0c-2.447-1.042-4.049-2.357-5.032-3.855C1.32 10.182 1 8.566 1 7V3.48a1.75 1.75 0 0 1 1.217-1.667Zm.61 1.429a.25.25 0 0 0-.153 0l-5.25 1.68a.25.25 0 0 0-.174.238V7c0 1.358.275 2.666 1.057 3.86.784 1.194 2.121 2.34 4.366 3.297a.196.196 0 0 0 .154 0c2.245-.956 3.582-2.104 4.366-3.298C13.225 9.666 13.5 8.36 13.5 7V3.48a.251.251 0 0 0-.174-.237l-5.25-1.68ZM8.75 4.75v3a.75.75 0 0 1-1.5 0v-3a.75.75 0 0 1 1.5 0ZM9 10.5a1 1 0 1 1-2 0 1 1 0 0 1 2 0Z\"></path></svg> Security** angezeigt. Jede Warnung enthält Folgendes:\n\n* Ein Link zur betroffenen Datei\n* Details zur Sicherheitsanfälligkeit und zum Schweregrad\n* Informationen zu einer festen Version (sofern verfügbar)\n\nInformationen zum Anzeigen und Verwalten von Warnungen finden Sie unter [Anzeigen und Aktualisieren von Dependabot-Warnungen](/de/enterprise-server@3.18/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts).\n\n## Wer kann Warnungen aktivieren?\n\nAdministratoren von Repositorys und Organisationsbesitzer können Dependabot alerts für ihre Repositorys und . Wenn diese Option aktiviert ist, GitHub wird sofort das Abhängigkeitsdiagramm generiert und Warnungen für alle von ihr identifizierten anfälligen Abhängigkeiten erstellt.\n\nUnternehmensbesitzer müssen Dependabot alerts für Ihre GitHub Enterprise Server-Instance aktivieren, bevor Sie diese Funktion verwenden können. Weitere Informationen finden Sie unter [Aktivieren von Dependabot für dein Unternehmen](/de/enterprise-server@3.18/admin/configuring-settings/configuring-github-connect/enabling-dependabot-for-your-enterprise).\n\nSiehe [Konfigurieren von Dependabot-Warnungen](/de/enterprise-server@3.18/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts).\n\n## Funktionsweise von Warnungsbenachrichtigungen\n\nGitHub sendet standardmäßig E-Mail-Benachrichtigungen über neue Warnungen an Personen, die beide:\n\n* Sie verfügen über Schreib-, Wartungs- oder Administratorberechtigungen für ein Repository\n* Beobachten Sie das Repository und haben Sie Benachrichtigungen für Sicherheitswarnungen oder für alle Aktivitäten im Repository aktiviert?\n\nUnabhängig von Ihren Benachrichtigungseinstellungen sendet Dependabot keine Benachrichtigungen für alle anfälligen, in Ihrem Repository gefundenen Abhängigkeiten, sobald GitHub erstmals aktiviert wird. Stattdessen erhalten Sie Benachrichtigungen für neue anfällige Abhängigkeiten, die nach Dependabot der Aktivierung identifiziert wurden, wenn Ihre Benachrichtigungseinstellungen dies zulassen.\n\nWenn Sie sich Sorgen machen, dass Sie zu viele Benachrichtigungen bekommen, empfehlen wir, Dependabot auto-triage rules zu nutzen, um Warnungen mit geringem Risiko automatisch zu verwerfen. Regeln werden vor dem Senden von Warnungsbenachrichtigungen angewendet. Es werden somit keine Benachrichtigung für Warnungen gesendet, die beim Erstellen automatisch geschlossen werden. Siehe [Automatische Triageregeln von Dependabot](/de/enterprise-server@3.18/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules).\n\nAlternativ können Sie sich für den wöchentlichen E-Mail-Digest entscheiden oder Benachrichtigungen sogar vollständig deaktivieren, während Dependabot alerts aktiviert bleibt.\n\n## Limitations\n\nDependabot alerts einige Einschränkungen aufweisen:\n\n* Warnungen können nicht jedes Sicherheitsproblem erfassen. Überprüfen Sie Ihre Abhängigkeiten immer und halten Sie Manifest- und Sperrdateien auf dem neuesten Stand, um eine genaue Erkennung zu gewährleisten.\n* Neue Sicherheitsrisiken können eine Weile brauchen, um in GitHub Advisory Database aufzutreten und Warnungen auszulösen.\n* Nur Empfehlungen, die von GitHub aus.\n* Dependabot überprüft archivierte Repositorys nicht.\n* Dependabot generiert keine Warnungen für Schadsoftware.\n* Bei GitHub Actions werden Warnungen nur für Aktionen generiert, die die semantische Versionierung verwenden, nicht für SHA-Versionierung.\n\n## Weiterführende Lektüre\n\n* [Anzeigen und Aktualisieren von Dependabot-Warnungen](/de/enterprise-server@3.18/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts)\n* [Dependabot-Sicherheitsupdates](/de/enterprise-server@3.18/code-security/concepts/supply-chain-security/dependabot-security-updates)\n* [Prüfen von Sicherheitswarnungen](/de/enterprise-server@3.18/code-security/concepts/security-at-scale/audit-security-alerts)"}