Tutorials

Sicherheits-Update: Abhängigkeiten automatisch verwalten mit GitHub Dependabot [2025 Easy Guide]

Melden

Hier ist ein aktueller, leicht verständlicher Guide für das Jahr 2025, wie du deine Projektabhängigkeiten mit GitHub Dependabot absicherst und aktuell hältst.

Im modernen Software-Engineering bestehen Anwendungen oft zu über 80 % aus Open-Source-Abhängigkeiten. Diese aktuell und sicher zu halten, ist manuell kaum zu bewältigen. GitHub Dependabot automatisiert diesen Prozess für dich – er scannt deine Pakete, meldet Sicherheitslücken und erstellt fertige Pull Requests (PRs).

In diesem Guide lernst du, wie du Dependabot in weniger als 10 Minuten optimal einrichtest.

1. Was ist der Unterschied? (Security vs. Version Updates)

Bevor wir starten, musst du zwei Funktionen unterscheiden:

  • Dependabot Security Updates: Reagieren sofort, wenn eine bekannte Sicherheitslücke (Vulnerability) in einer deiner Bibliotheken gefunden wird.
  • Dependabot Version Updates: Halten deine Software allgemein aktuell, auch wenn keine Sicherheitslücke vorliegt (verhindert "Veralterung").

2. Schritt 1: Security Updates aktivieren (UI-basiert)

Dies ist der wichtigste Schritt für die Sicherheit und erfordert keine Konfigurationsdatei.

  1. Gehe auf GitHub zu deinem Repository.
  2. Klicke auf den Tab Settings.
  3. Wähle in der linken Seitenleiste unter "Security" den Punkt Code security and analysis.
  4. Aktiviere hier folgende Punkte (klicke auf "Enable"):
    • Dependency graph (Basis für alles Weitere).
    • Dependabot alerts (Benachrichtigt dich bei Lücken).
    • Dependabot security updates (Erstellt automatisch PRs, um Lücken zu schließen).

3. Schritt 2: Version Updates konfigurieren (Die dependabot.yml)

Um auch reguläre Updates zu erhalten, erstellen wir eine Konfigurationsdatei. Dies verhindert, dass dein Projekt technisch veraltet.

  1. Erstelle in deinem Projekt den Ordner .github/ (falls nicht vorhanden).
  2. Erstelle darin eine Datei namens dependabot.yml.
  3. Kopiere folgendes Standard-Template für 2025 hinein:
version: 2
updates:
  # Konfiguration für npm (Node.js)
  - package-ecosystem: "npm" 
    directory: "/" 
    schedule:
      interval: "weekly" # Täglich, wöchentlich oder monatlich
    open-pull-requests-limit: 10
    groups:
      dependencies:
        patterns:
          - "*" # Gruppiert alle Updates in einen einzigen PR (spart Zeit!)

  # Konfiguration für GitHub Actions
  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "monthly"

Wichtige Einstellungen erklärt:

  • package-ecosystem: Welcher Paketmanager? (z.B. npm, pip, docker, gomod, composer).
  • directory: Wo liegt die package.json oder requirements.txt? Meist im Root /.
  • groups (Neu & Empfohlen für 2025): Früher hat Dependabot für jedes Paket einen eigenen PR erstellt. Mit groups kannst du z.B. alle kleineren Updates in einem PR zusammenfassen, um deine CI-Pipeline zu entlasten.

4. Schritt 3: Der Workflow in der Praxis

Sobald die Datei im main-Branch liegt, beginnt Dependabot zu arbeiten:

  1. PR-Check: Du erhältst Pull Requests wie "Bump active-support from 7.0.1 to 7.0.8".
  2. Automatisierte Tests: Wenn du GitHub Actions oder eine andere CI hast, werden die Tests für diesen PR automatisch ausgeführt.
  3. Review & Merge: Wenn die Tests grün sind, kannst du den PR mit einem Klick mergen.

5. Profi-Tipps für 2025

A. Den "Rauschen" minimieren

Wenn du zu viele Benachrichtigungen erhältst, nutze das ignore-Keyword in der dependabot.yml:

    ignore:
      - dependency-name: "next"
        update-types: ["version-update:semver-major"]

Damit verhinderst du Major-Updates (z.B. von v13 auf v14), die oft manuellen Code-Aufwand erfordern, während Sicherheits-Patches weiterhin durchkommen.

B. Auto-Merge (für Mutige)

Für kleinere Projekte oder Test-Abhängigkeiten kannst du GitHub Actions nutzen, um Dependabot PRs automatisch zu mergen, wenn die Tests erfolgreich waren. Suche im GitHub Marketplace nach "Dependabot Auto-merge".

C. Dashboard nutzen

Klicke in deinem Repo auf den Tab Security und dann auf Dependabot, um eine Übersicht aller offenen Sicherheitswarnungen zu sehen. Hier kannst du Updates auch manuell triggern.

Fazit

Mit der Kombination aus Security Updates (über die Settings) und Version Updates (über die dependabot.yml) ist dein Repository 2025 bestens geschützt. Es spart dir pro Woche Stunden an mühsamer Recherche nach neuen Versionen und schützt dich proaktiv vor Hackerangriffen durch bekannte Sicherheitslücken.

Checkliste für dich:

  • [ ] Dependency Graph aktiviert?
  • [ ] Security Updates eingeschaltet?
  • [ ] .github/dependabot.yml erstellt und eingecheckt?
0