Certified Cloud Developer


Seit meinem Einstieg in die Softwareentwicklung in den 80er-Jahren habe ich mich kontinuierlich in der jeweils aktuellen Technologie bewegt: von Assembler über C++ und Lisp/Common Lisp in den 1980er-Jahren, gefolgt von Java und Python in den 1990er-Jahren, später C# und .NET. Seit 2024 widme ich mich verstärkt wieder der Softwareentwicklung, nun im Kontext von KI-gestützten Systemen.

Als Anthropic-Certified Claude Developer setze ich moderne KI-Entwicklungsmethoden produktiv ein: Aufgaben, die früher Wochen an Entwicklungszeit beansprucht hätten, lassen sich heute in Stunden umsetzen. Aktuelles Beispiel ist Kontor, eine von mir entwickelte Handelsoberfläche mit Claude-API-Anbindung und einem eigenständigen Trader-Agent für KI-gestützte Marktanalyse, inklusive eines öffentlichen Wirtschaftskalenders mit allen Terminen.

Engineering is a Passion


Als System-Engineer (MCITP, CCP-V und AI Fluency & Claude Expert) betreue ich Netzwerkinfrastrukturen, führe Planungen durch, schule Mitarbeiter und führe Migrationen von Netzwerk, Server- als auch Client Infrastrukturen bis zum mittleren Enterprise Umfeld durch. Mein Aufgabengebiet umfasste der IT Support von mittelständischen Unternehmen als auch die Umsetzung von Projekten in Server und Clientnetzwerken unter den Betriebssystemen Microsoft, Mac OS und Linux resp. den Hypervisoren VMware, Hyper V und Citrix.

Mein Knowhow und Wissen sammelte ich in Projekten im Bereich öffentlicher und privater Auftraggeber.

 

npm verschärft Tokens und prüft neue Pakete auf Malware

Blog · 31.07.2026
BLG-1283-ch-de
SoftwareentwicklungSicherheitAutomatisierungWerkzeuge

npm scannt neue Pakete beim Veröffentlichen vor der Freigabe, meist rund fünf Minuten, und verlangt für Dual-Use-Pakete eine Deklaration. Am 31. Juli 2026 meldete GitHub, dass 2FA-Bypass-Tokens sensible Kontoaktionen nicht mehr ausführen dürfen. Direktes Publizieren damit endet voraussichtlich im Januar 2027, Trusted Publishing per OIDC ist der empfohlene Weg.

Symbolfoto zum Artikel „npm verschärft Tokens und prüft neue Pakete auf Malware“ (data security, security, data)
Neue Pakete gescannt
Bypass-Tokens enden
Foto: Joa70 / Pixabay

Wer bei npm automatisiert veröffentlicht, muss zwei Änderungen einplanen: einen Scan vor dem Erscheinen und weniger Rechte für Bypass-Tokens.

Das Wichtigste in Kürze

  • Neue Pakete werden vor dem Erscheinen auf Malware geprüft. Typisch sind etwa fünf Minuten Wartezeit, bei Last oder grossen Paketen bis zu 15 und mehr.
  • Tokens mit 2FA-Bypass verlieren sensible Kontoaktionen. Token anlegen, Maintainer ändern oder Teams verwalten verlangt nun eine interaktive 2FA-Abfrage.
  • Direktes Publizieren mit Bypass-Token endet voraussichtlich im Januar 2027. Danach bleiben Trusted Publishing per OIDC und gestufte Veröffentlichung.
  • Dual-Use-Pakete brauchen eine Deklaration. Dazu zählen ein Feld in der package.json und eine Datei DISCLOSURE.

Der Malware-Scan beim Publizieren

Dazu hat GitHub am 28. Juli 2026 informiert. Beim Veröffentlichen scannt npm jedes neue Paket automatisch, bevor es verfügbar wird. Es kann normal erscheinen, zur manuellen Prüfung zurückgehalten oder blockiert werden. Die Zeitangaben beschreiben laut GitHub das aktuelle Verhalten und sind keine Zusicherung.

Dabei funktioniert während des Scans npm dist-tag weiter. Dagegen stehen npm deprecate und npm unpublish erst zur Verfügung, wenn das Paket erreichbar ist. Rechne deshalb in Pipelines mit einer Wartezeit, bevor du eine frische Version installierst oder weiter bearbeitest.

Für Pakete mit Dual-Use-Funktionen gelten zusätzliche Pflichten:

  • Ein Feld contentPolicy in der package.json.
  • Eine Textdatei DISCLOSURE im Paketstamm, die Funktion und legitime Zwecke beschreibt.
  • Eine Veröffentlichung per Trusted Publishing, mit interaktiver 2FA-Sitzung oder gestuft.
  • Die Deklaration lässt sich in späteren Versionen nicht mehr entfernen.

Die Durchsetzung läuft schrittweise, und GitHub schreibt betroffene Maintainer vorab an.

Strengere Regeln für Bypass-Tokens

Zudem erschien am 31. Juli 2026 die zweite Meldung. Sie trägt im Changelog den Status "Retired", die Änderung ist also umgesetzt. Sie baut auf einer Ankündigung vom 8. Juli 2026 auf.

Aktion Mit 2FA-Bypass-Token Was stattdessen gilt
Token anlegen oder löschen Nicht mehr möglich Interaktiv mit 2FA-Abfrage
Paketzugriff, Maintainer, Trusted-Publishing-Konfiguration ändern Nicht mehr möglich Interaktiv per Web oder CLI
Mitgliedschaften und Paketrechte in Organisation oder Team verwalten Nicht mehr möglich Interaktiv mit 2FA-Abfrage
Direktes Publizieren Voraussichtlich bis Januar 2027 Trusted Publishing (OIDC) oder gestufte Veröffentlichung

Die Änderung betrifft nur granulare Zugriffstokens von npm. GitHub-Personal-Access-Tokens, GitHub-App-Tokens und das GITHUB_TOKEN in Actions bleiben unberührt. Nach dem Stichtag dürfen Bypass-Tokens private Pakete lesen und Veröffentlichungen vorbereiten, die ein Maintainer mit 2FA bestätigt.

Was Admins jetzt tun

  • Inventarisiere alle Pipelines, die mit einem Bypass-Token publizieren.
  • Stelle sie auf Trusted Publishing per OIDC um. Wie GitHub Abhängigkeiten in Workflows absichert, zeigt der Artikel zu Workflow-Lockfiles.
  • Plane Wartezeit für den Scan ein und teste Release-Abläufe mit Verzögerung.
  • Prüfe eigene Pakete auf Dual-Use-Charakter.

GitHub hat die Hauptmeldung zu den Tokens am 31. Juli 2026 veröffentlicht und nennt kein späteres Update. Die Meldung zum Scan erschien am 28. Juli 2026 und wurde am 29. Juli 2026 aktualisiert (Korrektur eines Links zur Diskussion).

Fazit

npm sichert den Veröffentlichungsweg doppelt ab: mit einem Scan vorab und mit weniger Macht für Bypass-Tokens. Für Pipelines bedeutet das Wartezeit und eine Migration bis Januar 2027. Beginne mit der Umstellung auf Trusted Publishing, solange noch Zeit bleibt.

Quellen: GitHub Changelog: 2FA-Bypass-Tokens, GitHub Changelog: Malware-Scan und Dual-Use. Foto: Joa70 / Pixabay. Stand: 31. Juli 2026.

Recherche und Entwurf KI-gestützt, geprüft und freigegeben von · So arbeitet die Redaktion

Änderungshistorie

  • — Artikel veröffentlicht.