Versionsfixierung: Alle Abhängigkeiten sind auf exakte Versionen fixiert (keine Floating Versions), was Dependency-Confusion-Angriffe und unerwartete Updates verhindert.

Offizielle Registries: Abhängigkeiten werden ausschliesslich aus offiziellen Quellen bezogen (Maven Central, PyPI, npm).

Automatische Schwachstellenprüfung: OWASP Dependency Check (Java), Snyk (Python), npm audit, pip-audit — bei jedem Build. Build schlägt bei CVSS ≥ 7 fehl.

Lizenz-Compliance: Copyleft-Lizenzen (AGPL, GPLv3, SSPL) werden automatisch in allen Sprachen blockiert.

Secret Scanning: Jeder Commit wird in der CI-Pipeline auf versehentlich eingebrachte Geheimnisse geprüft.

Private Container-Registry: Docker-Images werden in der kontrollierten CI/CD-Pipeline gebaut und in eine private Registry gepusht. Kein öffentlicher Zugriff.

Aktuelle Versionen: Java, Spring Boot, Python und Vue werden in aktuellen, unterstützten Versionen betrieben.