
Angular baut sein Reaktivitätsmodell seit einiger Zeit konsequent um. Signals sind inzwischen die neue Grundlage. State, Ableitungen und Effects folgen einer deutlich klareren Logik als früher. Was dabei lange nicht zusammengepasst hat, waren Formulare. Denn während der Rest der Anwendung zunehmend signal-basiert wird, hängen diese noch an Reactive Forms.

Zum einen ist dabei der RxJS-basierende Aufbau ein architektonischer Bruch, und zum anderen bringen Reactive Forms auch unabhängig von der Signals Migration schnell eine gewisse Komplexität und Unberechenbarkeit in die Applikation. Viel verteilter Code mit verschachtelten FormGroup Models und Definitionen, Seiteneffekte mit valueChanges Subscriptions und Change Detection Probleme bei Formularen, die sich über mehrere Komponenten verstreuen.

Mit den neuen Signal Forms bietet Angular jetzt einen Formularansatz, der voll auf Signals basiert und so einiges an Boilerplate Code verliert.

#### Signal Forms Basics

Der grundlegende Unterschied ist schnell verstanden. Statt mit FormGroup und FormControl zu starten, definiert man zuerst ein Model, welches die zentrale Quelle für den gesamten Form-State ist.

```jsx
const profile = signal({
  username: '',
  email: '',
  newsletter: false,
});

const profileForm = form(profile, (path) => {
  required(path.username);
  required(path.email);
  email(path.email);
});
```

Das von der form() Funktion zurückgegebene Objekt vom Typ `FieldTree` ermöglicht den Zugriff auf die jeweiligen `FieldState` Objekte. Somit können Formularwerte und Zustände einzelner Felder ganz einfach als Signals ausgelesen und weiterverarbeitet werden.

```jsx
const username = profileForm.username().value();
const isUsernameDirty = profileForm.username().dirty();
const isUsernameValid = profileForm.username().valid();
```

Im Template bindet man mithilfe des importierten formField Directives direkt auf die FieldState Properties:

```jsx
<input [formField]="profileForm.username" />
```

Der große Unterschied zeigt sich im Verhalten. Änderungen laufen synchron durch das System, ohne Subscriptions oder valueChanges. State und Change Detection werden somit berechenbarer.

Die neuen Signal Forms bieten noch zahlreiche weitere Features out of the box, für die es bis jetzt oft eine Custom Logik brauchte. Dazu zählen unter anderem:

- Bedingtes disabled setzen von Formularfeldern mit der disabled() Funktion
- Debouncing von Eingaben – ohne RxJS – mit der debounce() Funktion
- Bedingte Validierungen mit der applyWhenValue() und applyWhen() Funktion
- Handling von Metadaten mit createMetadataKey()
- Custom-Form-Komponenten mit FormValueControl Interface.
  Kein ControlValueAccessor mehr notwendig.

#### Realistische Einschätzung

Für neue Projekte ist die Richtung ziemlich klar. Auch wenn das Feature noch als experimentell markiert ist, haben andere Features gezeigt, dass sich Breaking Changes in neuen Angular Releases in Grenzen halten. Zumindest ist es anzunehmen, dass eine Migration von Reactive Forms mehr Kopfschmerzen bereiten würde, als ein paar kleinere Anpassungen an der Signal Forms API in zukünftigen Versionen.

In bestehenden Anwendungen sieht das anders aus. Formulare gehören dort oft zu den komplexesten Teilen der Anwendung. Validierungen, Abhängigkeiten zwischen Feldern, API-Integration oder auch historisch gewachsene Logik machen einen einfachen Austausch schwierig.

Deshalb ist die zentrale Frage nicht, ob Signal Forms Reactive Forms ersetzen, sondern wie man den Übergang sinnvoll gestaltet.

#### Signal Forms Interop

Statt eines harten Umstiegs gibt es seit Angular 21.2 zwei gezielte Integrationspunkte, mit denen sich beide Ansätze kombinieren lassen und somit eine schrittweise Migration von komplexeren Formularen ermöglichen.

##### SignalFormControl

Mit SignalFormControl können einzelne Controls innerhalb eines bestehenden Reactive Forms modernisiert werden, ohne das gesamte Formular umzubauen.

```jsx
ageControl = new SignalFormControl(0, (path) => {
  required(path);
});

form = this.fb.group({
  name: [''],
  age: this.ageControl,
});
```

SignalFormControl implementiert AbstractControl und verhält sich somit nach außen hin wie ein normales FormControl. Das bestehende Formular bleibt stabil, inklusive Validierung und Status.

Der Vorteil zeigt sich eher intern. Man kann auf das zugrunde liegende Signal zugreifen und es direkt weiterverwenden:

```jsx
const isAdult = computed(() => {
  return this.ageControl.sourceValue() >= 18;
});
```

So lässt sich Logik, die bisher in valueChanges hing, schrittweise in eine signal-basierte Struktur überführen.

##### compatForm

Der zweite Einstiegspunkt geht in die andere Richtung. Hier baut man ein Signal Form auf, integriert aber weiterhin bestehende Reactive Forms.

```jsx
const profileModel = signal({
  username: '',
  details: this.reactiveForm,
});

const profileForm = compatForm(profileModel, (path) => {
  required(path.username);
});
```

Im Template werden beide Ansätze kombiniert:

```jsx
<input [formField]="profileForm.username" />

<div [formGroup]="reactiveForm">
  <input formControlName="email" />
  <input formControlName="phone" />
</div>
```

Das erlaubt es, neue Teile bereits signal-basiert umzusetzen, während bestehende Strukturen unverändert bleiben.

#### Was bedeutet das konkret für Enterprise Anwendungen?

In der Praxis ergibt sich folgende mögliche Migrationsstrategie:

- Neue Features lassen sich direkt mit Signal Forms umsetzen. Das reduziert Komplexität und ist einheitlich mit dem restlichen signal-basierten Ansatz.
- Große Formulare, die aufgrund hoher Komplexität oder vielen Seiteneffekten die Wartbarkeit erschweren, können mit den beiden oben genannten Interop Funktionen entschärft werden. Ohne großen Migrationsaufwand und mit direkt spürbarem Impact.
- Geplante Change Requests oder Refactorings von bestehenden Features mit Reactive Forms bieten eine gute Möglichkeit, den Umstieg auf Signal Forms zu wagen.
- Für Reactive Forms, die stabil funktionieren und wartbar bleiben, kann vorerst abgewartet werden bis die neuen Forms stable werden und eventuell von Angular automatisierte Migrations-Skripte als Unterstützung angeboten werden.

#### Zusammenfassung

Signal Forms zeigen, in welche Richtung sich Angular entwickelt. Formulare werden Teil des gleichen reaktiven Systems und lassen sich deutlich konsistenter modellieren als bisher. Gerade die Möglichkeiten bei Validierung und Struktur sind flexibler und besser wiederverwendbar, ohne dass viel zusätzliche Logik nötig ist.

Auch wenn das Feature noch experimentell ist, lohnt sich ein Einstieg über einzelne Features. So bekommt man schnell ein Gefühl dafür, wo der Ansatz im eigenen Projekt echten Mehrwert bringt.


Angular Signal Forms: Wie Enterprise Applikationen migrieren sollen


Die Welt der Content Management Systeme war lange gespalten. Auf der einen Seite stehen klassische Systeme wie WordPress.
Sie kämpfen mit Plugin Chaos, Sicherheitsrisiken und einer technischen Basis, die moderne Anforderungen nur schwer erfüllt.

Auf der anderen Seite stehen SaaS Lösungen wie Contentful oder Sanity. Sie versprechen Headless Freiheit,
führen aber oft zu hohen nutzungsabhängigen Kosten. Mit wachsendem Traffic steigen die Gebühren deutlich.
Es entsteht eine starke Abhängigkeit vom Anbieter und eine versteckte API Kostenfalle.

Payload CMS durchbricht dieses Muster. Die Plattform richtet sich konsequent an Entwickler und verbindet Design,
Code und Content auf architektonischer Ebene. Das Ziel ist technische Souveränität ohne Komfortverlust.

# Backend und Frontend werden eins - die Payload Philosophie

Mit Version 3 wurde die Trennung zwischen CMS und Framework grundlegend verändert.
Payload läuft direkt innerhalb einer Next.js Architektur. Das System ist kein externer Dienst mehr,
der über entfernte Schnittstellen angebunden werden muss.

Der entscheidende Vorteil liegt in der Performance. Statt Daten über entfernte HTTP Requests abzurufen,
nutzt Payload eine Local API. Datenbankabfragen erfolgen über direkte Funktionsaufrufe.
Das reduziert Latenz und erhöht die Geschwindigkeit deutlich.

Payload ist damit nicht nur ein Headless CMS. Es wird zu einem integralen Bestandteil der Next.js Architektur.

# Code First als Prinzip

Bei Payload ist der Code die Quelle der Wahrheit. Die gesamte Inhaltsstruktur wird in TypeScript definiert.
Es gibt keine versteckte Logik in einer grafischen Oberfläche.

Aus diesen Definitionen erzeugt das System automatisch das Admin Panel, passende Migrationen und vollständige TypeScript Typen.
Dadurch entsteht durchgehende Typsicherheit vom Datenbankfeld bis zur Frontend Komponente.

Die Struktur liegt im Repository. Sie ist versionierbar, testbar und vollständig in CI/CD Prozesse integrierbar.
Das verbessert die Developer Experience spürbar und schafft Transparenz im gesamten Projekt.

Dieser Ansatz bietet signifikante Vorteile gegenüber der "Plugin-Hölle" klassischer Systeme:

- Compile-Time Safety: Fehler werden bereits bei der Entwicklung erkannt, was Runtime-Überraschungen eliminiert.
- Minimale Angriffsfläche: Im Gegensatz zu PHP-basierten Plugins reduziert die Node.js/TypeScript-Architektur die Sicherheitsrisiken drastisch.
- Granulare Zugriffskontrolle: Die Field-Level Access Control erlaubt es, Berechtigungen als reine Code-Funktionen zu definieren, die bis auf die Ebene einzelner Datenfelder greifen.

![Die intuitive Benutzeroberfläche von Payload CMS ermöglicht es Redakteuren, Inhalte effizient zu erstellen und zu verwalten. Der Live-Preview zeigt Änderungen in Echtzeit.](/images/blog/payload-cms/payload-cms.webp)

<br />
<br />
<br />

# Der Figma-Effekt lässt Payload wachsen

Die Übernahme von Payload durch Figma hat das Vertrauen in das Ökosystem auf ein neues Level gehoben. Für Enterprise-Entscheider bedeutet dieser
Schritt vor allem langfristige Stabilität und die Sicherheit, auf eine Technologie zu setzen, die global skaliert. Payload bleibt dabei unter der MIT-Lizenz vollständig Open Source und unabhängig.

Strategisch schließt Payload damit die Lücke zwischen Design (Figma), Schema-Definition und der finalen Content-Kreation.
Diese Synergie ermöglicht es Teams, digitale Plattformen mit einer Geschwindigkeit zu entwickeln,
die zuvor durch manuelle Übergabeprozesse und inkonsistente Datenmodelle verhindert wurde.

# Mehr als nur ein CMS - eine Plattform für digitale Produkte

Payload CMS ist nicht nur ein Werkzeug zur Verwaltung von Inhalten. Es ist ein vollwertiges Open Source Backend und dient als zentrale Plattform für digitale Produkte. Neben klassischen Website Inhalten lassen sich auch
Geschäftslogiken, Nutzer, Produkte oder Prozesse modellieren. Über REST und GraphQL können Daten gleichzeitig für Websites, Apps oder Portale bereitgestellt werden.

Mit integrierter Benutzerverwaltung, granularen Rollen und flexibler Business Logik ersetzt Payload oft mehrere Einzelsysteme. Das Ergebnis ist eine konsolidierte, skalierbare Grundlage für moderne digitale Anwendungen.

# Volle Kontrolle statt Kostenfalle

Während SaaS-Lösungen wie Contentful oder Sanity Unternehmen durch steigende API-Kosten und proprietäre Datensilos bestrafen, setzt Payload auf volle Datensouveränität.
Durch das konsequente Self-Hosting behalten Organisationen die volle Kontrolle über ihre Infrastruktur. Es gibt keine versteckten Kosten pro API-Call oder künstliche Limits bei der Anzahl der Datensätze.

Besonders für den europäischen Markt ist dies ein entscheidender Faktor für die Compliance. Durch den Betrieb auf eigener Infrastruktur lässt sich eine lückenlose DSGVO-Konformität garantieren,
ohne auf die Annehmlichkeiten einer modernen Cloud-Architektur verzichten zu müssen.

# KI als integraler Bestandteil

Künstliche Intelligenz ist kein nachträgliches Plugin. Sie ist Teil der strategischen Ausrichtung der Plattform.

Es gibt integrierte Funktionen für Übersetzungen, Bildgenerierung und Textunterstützung.
Entscheidend ist jedoch die Erweiterbarkeit. Über das Hook System lassen sich individuelle KI Workflows direkt in
den Redaktionsprozess integrieren.

Beispiele sind automatische Verschlagwortung, strukturierte Inhaltsanalyse oder SEO Optimierung.
Die Stärke liegt in der Anpassbarkeit der Logik, nicht nur in einer Chat Oberfläche.

KI wird so zum produktiven Werkzeug innerhalb des CMS.

![Von automatischen Übersetzungen über dynamische Bildgenerierung bis hin zu einem intelligenten Schreibassistenten unterstützt das KI Toolkit von Payload Ihre Arbeit gezielt und ergänzt kreative Prozesse, ohne sie zu ersetzen.](/images/blog/payload-cms/payload-cms-ai.webp)

<br />
<br />
<br />

# Fazit: Architektur statt Abhängigkeit

Payload definiert das Headless Modell neu. Es verbindet ein TypeScript natives Backend mit einer tiefen Integration in Next.js.

Die Plattform eignet sich für MVPs, Enterprise Projekte und skalierbare Commerce Lösungen. Sie wächst mit den Anforderungen,
ohne Unternehmen in ein kostenintensives Abhängigkeitsmodell zu drängen.

Am Ende steht eine klare Entscheidung. Setzt man auf die bequeme, aber eingeschränkte Abhängigkeit von Cloud Anbietern.
Oder wählt man architektonische Freiheit und volle Kontrolle über Code und Daten.

Wenn du vor der Entscheidung für ein neues CMS stehst oder deine bestehende Plattform neu denken möchtest,
begleiten wir dich gerne. Gemeinsam analysieren wir deine Anforderungen und entwickeln eine Architektur,
die zu deinem Produkt, deinem Team und deinen Zielen passt.

Lass uns über dein nächstes Projekt sprechen.

<br />
<br />
<i
  className="text-gray-300 text-sm"
  dangerouslySetInnerHTML={{
    __html:
      'Payload, the Payload design, and related marks, designs, and logos are trademarks or registered trademarks of Payload CMS, Inc. in the U.S. and other countries.',
  }}
></i>


Payload CMS: Warum es viel mehr als nur ein Content-Management-System für Webseiten ist


Der Jahresbeginn ist ein guter Zeitpunkt, um einen Schritt zurückzutreten und einzuordnen, welche Themen Unternehmen aktuell wirklich beschäftigen und welche davon auch mittelfristig relevant bleiben.

2025 war stark von Künstlicher Intelligenz geprägt. Die Entwicklung ist rasant, neue Möglichkeiten entstehen laufend. Auch wir haben intern bereits Prozesse mit Unterstützung von KI optimiert und in ersten Kundenprojekten sehr gute Erfahrungen gemacht. Gleichzeitig war das vergangene Jahr aber auch von viel Hype begleitet. In meinem LinkedIn-Netzwerk sind gefühlt über Nacht zahlreiche neue KI-Experten entstanden.

Das zeigt, wie groß das Interesse und das Potenzial dieses Themas ist. Es zeigt aber auch, dass zwischen technischer Machbarkeit und sinnvoller Nutzung im Unternehmenskontext oft noch eine Lücke besteht.

KI ist kein Allheilmittel. Der entscheidende Schritt liegt nicht in noch mehr Tools oder Experimenten, sondern in Integration, Qualität und Verantwortung. Genau hier beginnt 2026 für viele Unternehmen eine neue Phase: weg vom Ausprobieren, hin zu strukturierten, tragfähigen Lösungen.  
2026 geht es für viele Unternehmen daher weniger um neue Experimente, sondern um die richtigen Schwerpunkte.

## Cloud ist gesetzt

Cloud-Dienste sind in den meisten Unternehmen längst etabliert. Die Nutzung ist Standard und wird weiter zunehmen. Entsprechend bleiben Cloud-Architekturen und Migrationen auch 2026 ein relevantes Thema.

Während in den vergangenen Jahren vor allem die Frage im Vordergrund stand, ob und wie Systeme in die Cloud gebracht werden, rücken heute Kosten- und Ressourcensteuerung, Architektur, Governance, Security und Compliance stärker in den Mittelpunkt. Cloud ist nicht automatisch günstiger oder einfacher. Ohne saubere Architektur und laufende Kontrolle steigen Komplexität und Kosten schnell an. Themen wie FinOps, klare Verantwortlichkeiten und nachvollziehbare Betriebsmodelle werden dadurch entscheidend.

Zusätzlich wird die Diskussion rund um Datensouveränität und europäische Alternativen intensiver geführt. Politische Entwicklungen und regulatorische Anforderungen tragen ihren Teil dazu bei. Gleichzeitig sind US-amerikanische Cloud-Anbieter in vielen Unternehmen tief etabliert. Ob sich europäische Anbieter stärker durchsetzen oder hybride und Multi-Cloud-Ansätze zunehmen, bleibt abzuwarten. Themen wie Vendor Lock-in, Multi-Cloud-Governance und Cloud-Security sind konkrete Fragestellungen, mit denen sich Unternehmen auseinandersetzen müssen.

## KI braucht Kontext

Künstliche Intelligenz ist in vielen Unternehmen längst im Alltag angekommen. Oft jedoch nicht über offiziell eingeführte Lösungen, sondern durch individuelle Nutzung einzelner Mitarbeitender. Texte werden zusammengefasst, Informationen recherchiert oder erste Analysen erstellt – häufig außerhalb klar definierter Prozesse und ohne zentrale Steuerung.

Das eigentliche Problem ist dabei weniger die Technologie selbst, sondern der fehlende Kontext. Ohne klare Regeln, saubere Datenbasis und definierte Verantwortlichkeiten bleibt der Einsatz von KI unkoordiniert. Um aus dieser punktuellen Nutzung nachhaltigen Mehrwert zu schaffen, muss KI in bestehende Systeme und Prozesse eingebettet werden. Erst wenn Daten, Abläufe und Verantwortlichkeiten zusammenspielen, kann KI gezielt entlasten, Effizienz steigern und messbaren Nutzen liefern.

Je tiefer KI in Geschäftsprozesse integriert wird, desto stärker rücken klassische IT-Fragestellungen in den Vordergrund. Architektur, Schnittstellen, Betrieb, Monitoring und Sicherheit werden zu entscheidenden Faktoren. Governance und Compliance werden damit zur Grundvoraussetzung für einen verlässlichen und nachhaltigen Einsatz.

![](/images/blog/trends-2026/trends-2026.png 'Die IT-Schwerpunkte 2026 im Überblick')

## Cybersecurity rückt ins Zentrum

Angriffe auf Unternehmen nehmen spürbar zu. Erfolgreiche Hacks sind längst keine Ausnahme mehr und betreffen nicht nur große Konzerne oder internationale Organisationen. Auch im Ländle kommt es immer wieder zu Vorfällen. Die Schäden gehen dabei weit über technische Probleme hinaus. Produktionsausfälle, eingeschränkte Geschäftsprozesse, Datenverluste und Imageschäden führen schnell zu hohen Kosten. Spätestens an diesem Punkt wird deutlich, dass IT-Sicherheit kein reines IT-Thema ist, sondern ein unternehmerisches Risiko darstellt.

Trotzdem ist IT-Sicherheit in vielen Organisationen noch nicht ganzheitlich verankert. Maßnahmen werden oft punktuell umgesetzt, Zuständigkeiten sind unklar und es fehlt ein übergreifender Blick auf Risiken, Abhängigkeiten und Abläufe. Sicherheit wird häufig erst dann priorisiert, wenn bereits etwas passiert ist.

Regulatorische Anforderungen wie DORA, NIS2, der Cyber Resilience Act und der EU AI Act sind für viele Unternehmen nicht mehr optional, sondern verbindlich umzusetzen. Sie sind der Versuch, Mindeststandards für Sicherheit, Verantwortung und Nachvollziehbarkeit zu schaffen. IT-Security wird damit zunehmend auch zur Führungsaufgabe.

Das Thema ist vielschichtig. Gerade für Unternehmen ohne große IT-Abteilungen ist das herausfordernd. Bevor man sich technisch im Detail verliert, sollte man daher mit grundlegenden Fragen starten: Wer trägt Verantwortung? Welche Risiken sind akzeptabel? Welche Prozesse greifen im Ernstfall?

## Wenn bestehende Systeme zur Bremse werden

In der Praxis zeigt sich immer wieder, dass bestehende Altsysteme zur Bremse werden und zugleich ein Risiko darstellen. Anwendungen sind über Jahre gewachsen, Know-how ist teilweise verloren gegangen und die Wartbarkeit nicht mehr langfristig gesichert.

Altsysteme erfüllen oft weiterhin ihren Zweck, häufig jedoch nur eingeschränkt. Neue Anforderungen rund um Cloud-Anbindung, Datenintegration, Security oder Automatisierung lassen sich nur mit hohem Aufwand oder gar nicht mehr abbilden. Gleichzeitig steigt der Druck durch abgekündigten Support, fehlende Updates oder personelle Abhängigkeiten.

Software-Modernisierung ist selten ein einzelnes Projekt, sondern eine langfristige Aufgabe. Es geht weniger darum, bestehende Systeme auszutauschen, sondern darum, wie gut sie den Arbeitsalltag unterstützen. Viele Effizienzverluste entstehen dort, wo Prozesse nicht durchgängig sind, Daten mehrfach erfasst werden oder Systeme nicht miteinander sprechen.

Moderne IT soll genau diese Reibungsverluste reduzieren: Abläufe vereinfachen, Systeme integrieren und Automatisierung dort einsetzen, wo sie tatsächlich entlastet. Eine stabile, zeitgemäße Systemlandschaft wird damit zu einem zentralen Hebel für Effizienz und Weiterentwicklung.

![](/images/blog/trends-2026/trend-2026-it.jpg 'Die IT-Schwerpunkte 2026 im Überblick')

## Im Gesamtkontext betrachtet

Betrachtet man diese Themen im Gesamtkontext, wird deutlich: Sie lassen sich nicht mehr isoliert denken. Entscheidungen in einem Bereich wirken sich unmittelbar auf andere aus und entfalten ihre Wirkung oft erst im Zusammenspiel.

Mit Cloud, KI, Security und zunehmender Regulierung ist der technologische Wandel enorm. Gleichzeitig verändert sich mit diesen Entwicklungen vor allem die Rolle der IT. Sie ist kein Selbstzweck und kein reiner Kostenfaktor mehr, sondern zunehmend ein Enabler für effiziente Abläufe und ein strategischer Faktor für Unternehmen. Mit dieser Bedeutung steigen auch die Anforderungen. Zusammenhänge werden komplexer, Abhängigkeiten größer und die Auswirkungen von Entscheidungen langfristiger.

Einzelne Maßnahmen oder punktuelle Projekte greifen dabei immer seltener. Gefragt sind Menschen, die Zusammenhänge verstehen, den Überblick behalten und technische, organisatorische und regulatorische Aspekte im Gesamtkontext denken.

## Fazit

Was bedeuten diese Entwicklungen konkret für Unternehmen im Jahr 2026?  
Vor allem eines: den eigenen Status ehrlich zu betrachten. Wo stehen wir heute? Wie sind unsere Systeme aufgestellt? Wo entstehen Reibungsverluste, Risiken oder Abhängigkeiten?

Bevor neue Initiativen gestartet werden, braucht es Überblick. Einen klaren Blick auf bestehende Systemlandschaften, Prozesse und Verantwortlichkeiten. Erst auf dieser Basis lassen sich Prioritäten sinnvoll setzen und Entscheidungen fundiert treffen.

Nicht alle Themen können und müssen gleichzeitig angegangen werden. Entscheidend ist ein klarer, realistisch umsetzbarer Plan: Welche Themen sind kurzfristig kritisch, welche mittelfristig relevant und welche können bewusst warten? Wer strukturiert vorgeht und Themen aufeinander aufbaut, schafft Stabilität und vermeidet unnötige Komplexität.

Gerade weil sich technologische Entwicklungen und regulatorische Anforderungen gegenseitig beeinflussen, wird diese bewusste Herangehensweise zum Erfolgsfaktor. Unternehmen, die sich jetzt strukturiert aufstellen und ihre Themen bewusst priorisieren, schaffen damit eine tragfähige Grundlage für die kommenden Jahre.


Cloud, KI und Compliance – die IT-Schwerpunkte für 2026


Third Party NPM-Pakete sind ein wesentlicher Bestandteil der modernen Webentwicklung. Ob große Frameworks wie React, Angular oder Next.js oder Utility-Bibliotheken
wie Lodash und Axios - sie alle helfen Entwicklern, schneller und effizienter zu arbeiten. Doch die Verwendung von Drittanbieter-Paketen bringt auch Sicherheitsrisiken mit sich
wie einige prominente Beispiele in der Vergangenheit gezeigt haben.

# Risiken bei der Verwendung von Third Party NPM-Paketen

Ein prominentes Beispiel ist der [Shai-Hulud](https://www.golem.de/news/shai-hulud-npm-wurm-erbeutet-rund-400-000-zugangsdaten-2512-202869.html) NPM-Wurm, der rund 400.000 Zugangsdaten erbeutet hat.
Angreifer können bösartigen Code in NPM-Pakete einschleusen, die dann von Entwicklern unwissentlich in ihre Projekte integriert werden. Dies kann dazu führen,
dass sensible Daten kompromittiert werden oder sogar ganze Unternehmen lahmgelegt werden. Ein gezielter Angriff um sensible Daten zu stehlen war der
[S1ngularity Vorfall](https://nx.dev/blog/s1ngularity-postmortem). Hier wurde ein post-install Skript in ein populäres NPM-Paket eingeschleust, welches dann bei der Installation
sensible Daten von Entwicklern an einen Angreifer sendete.

Doch nicht nur bösartiger Code stellt ein Risiko dar. Auch unabsichtliche Sicherheitslücken in Drittanbieter-Paketen können ausgenutzt werden. Eine im Dezember 2025
entdeckte Schwachstelle in React Server Components [CVE-2025-55182](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-304569-1032.pdf?__blob=publicationFile&v=3)
auch bekannt als "React2Shell" ermöglicht es Angreifern, Code auf dem Server auszuführen. Die Schwachstelle wurde zwar schnell behoben, aber Systeme die nicht
direkt aktualisiert wurden, bleiben anfällig. AWS hat berichtet das Stunden nach der Veröffentlichung der Schwachstelle bereits [erste Angriffe von chinesischen Hackern](https://aws.amazon.com/de/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/)
beobachtet wurden.

# Wie kann eine sichere NPM-Entwicklung gewährleistet werden?

Die große Abhängigkeit von Third Party NPM-Paketen macht es schwierig, eine sichere NPM-Entwicklung zu gewährleisten. Dennoch gibt es einige bewährte Methoden,
die jeder Entwickler befolgen sollte, um die Sicherheit seiner Projekte zu verbessern. Wenn NPM-Pakete eingesetzt werden muss man sich einerseits von Supply-Chain-Angriffen schützen,
andererseits aber auch sicherstellen, dass keine Schwachstellen durch veraltete Pakete entstehen.

## Best Practices für sichere NPM-Entwicklung

#### Post-Install Skripte deaktivieren

Eine der effektivsten Maßnahmen gegen bösartigen Code in NPM-Paketen ist das Deaktivieren von Post-Install Skripten. Diese Skripte werden automatisch ausgeführt,
wenn ein Paket installiert wird. Dies kann dazu genutzt werden, bösartigen Code auszuführen. Durch das Deaktivieren dieser Skripte kann das Risiko minimiert werden.

Es wird empfohlen, die Post-Install Skripte global zu deaktivieren, um sicherzustellen, dass alle Projekte im Team geschützt sind. Dies kann durch den folgenden Befehl erreicht werden:

```bash
$ npm config set ignore-scripts true
```

In deinem User .npmrc File sollte sich dann folgender Eintrag befinden:

```
ignore-scripts=true
```

#### Cooldown Perioden für neue Pakete einführen

Bevor ein neues NPM-Paket in einem Projekt verwendet wird, sollte es eine Cooldown Periode geben. Da sich Schadcode oft in neuen Releases versteckt, ist es sinnvoll,
eine Wartezeit von einigen Tagen oder Wochen einzuführen, bevor ein neues Paket in einem Projekt verwendet wird. In dieser Zeit kann die Community das Paket überprüfen
und eventuelle Sicherheitslücken identifizieren.

npm bietet dafür ein --before Flag an, mit dem Pakete nur installiert werden, wenn sie vor einem bestimmten Datum veröffentlicht wurden. Zum Beispiel:

```bash
$ npm install express --before=2025-11-01
```

#### npm ci verwenden

Anstatt `npm install` zu verwenden, sollte `npm ci` genutzt werden. Dieser Befehl installiert die Abhängigkeiten basierend auf der `package-lock.json` Datei.
Wenn lockfiles und package.json nicht synchron sind, schlägt der Befehl fehl. Dies stellt sicher, dass nur die getesteten und genehmigten Versionen der Pakete installiert werden.

```bash
$ npm ci
```

#### Nicht jedes Paket blind übernehmen

Alle Pakete auf einmal aktualisieren mag verlockend klingen, aber es ist wichtig, jedes Paket sorgfältig zu überprüfen, bevor es aktualisiert wird. Entwickler sollten die Release-Notes lesen,
die Community-Aktivität überprüfen und sicherstellen, dass keine neuen Sicherheitslücken eingeführt werden.

#### Monitoring und automatisierte Sicherheitsprüfungen einführen

Ein laufendes Monitoring der verwendeten NPM-Pakete ist entscheidend. Tools wie [Snyk](https://snyk.io/), [Dependabot](https://dependabot.com/) oder [npm audit](https://docs.npmjs.com/cli/v11/commands/npm-audit)
können dabei helfen, bekannte Sicherheitslücken in den verwendeten Paketen zu identifizieren und automatisch Updates vorzuschlagen.

#### Software Bill of Materials (SBOM) pflegen

Eine Software Bill of Materials (SBOM) ist eine detaillierte Liste aller Komponenten, Bibliotheken und Abhängigkeiten, die in einem Softwareprojekt verwendet werden. Dies ist übrigens
verpflichtend für viele Unternehmen die vom [Cyber Resilience Act (CRA)](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act) betroffen sind.
Die Pflege einer SBOM hilft dabei, den Überblick über alle verwendeten NPM-Pakete zu behalten und erleichtert die Identifizierung von potenziellen Sicherheitsrisiken.

#### Weniger ist mehr

Bei jeder npm Installation sollte hinterfragt werden, ob das Paket wirklich benötigt wird. Jedes zusätzliche Paket erhöht die Angriffsfläche.
Weniger Pakete bedeuten weniger potenzielle Schwachstellen. Node.js und das JavaScript-Ökosystem bieten immer mehr native Funktionen, die den Einsatz von Drittanbieter-Paketen überflüssig machen.

## Fazit

Eine sichere Softwareentwicklung mit NPM-Paketen erfordert Aufmerksamkeit und Sorgfalt. Durch die Implementierung der oben genannten Best Practices können Entwickler
das Risiko von Sicherheitslücken erheblich reduzieren. Falls du Unterstützung bei der Implementierung dieser Maßnahmen in deinem Team benötigst oder eine
Sicherheitsüberprüfung einer existierenden Codebasis wünschst, stehen wir dir gerne zur Verfügung. Kontaktiere uns einfach für eine Beratung!


Blog

Angular Signal Forms: Wie Enterprise Applikationen migrieren sollen

Payload CMS: Warum es viel mehr als nur ein Content-Management-System für Webseiten ist

Cloud, KI und Compliance – die IT-Schwerpunkte für 2026

Sichere NPM-Entwicklung: Best Practices für mehr Sicherheit in deinem Projekt