Docker Scout: Image-Analyse und CVE-Uebersicht direkt in Docker nutzen

1. Was Docker Scout ist und wie es integriert ist

Docker Scout ist Dockers eigenes Analyse-Tool fuer Container-Images, das seit einigen Versionen fest in Docker Desktop und die Docker-CLI integriert ist und ohne separate Installation eines externen Scanners funktioniert. Es analysiert die Software Bill of Materials (SBOM) eines Images, also die vollstaendige Liste aller enthaltenen Pakete und Bibliotheken samt Versionen, und gleicht diese gegen bekannte Schwachstellendatenbanken ab.

Der grosse praktische Vorteil gegenueber separaten Scan-Tools liegt in der nahtlosen Einbindung: docker scout Kommandos stehen direkt neben docker build und docker push zur Verfuegung, und Docker Desktop zeigt Analyseergebnisse teilweise automatisch an, sobald ein Image lokal gebaut oder gepusht wird, ohne dass ein zusaetzlicher Schritt im Workflow noetig ist.

2. CVE-Scan mit docker scout cves

Der Befehl docker scout cves liefert eine detaillierte Liste aller in einem Image gefundenen CVEs, gruppiert nach Schweregrad (critical, high, medium, low) und mit Verweis auf das jeweils betroffene Paket samt installierter und gepatchter Version. Diese Granularitaet macht es moeglich, sich gezielt auf die kritischen und hohen Funde zu konzentrieren, statt in einer langen Liste niedrigpriorer Meldungen die eigentlich relevanten Probleme zu uebersehen.

Ueber Filter-Optionen wie --only-severity critical,high laesst sich die Ausgabe direkt auf die wichtigsten Funde reduzieren, was besonders in CI-Pipelines hilfreich ist, wo eine kompakte, fokussierte Ausgabe schneller ausgewertet werden kann als ein vollstaendiger, oft mehrere hundert Zeilen langer Bericht ueber alle theoretisch vorhandenen Schwachstellen.

# Vollstaendigen CVE-Bericht fuer ein lokales Image erstellen
docker scout cves myapp:latest

# Nur kritische und hohe Schweregrade anzeigen
docker scout cves myapp:latest --only-severity critical,high

# Ergebnis als JSON fuer die Weiterverarbeitung exportieren
docker scout cves myapp:latest --format json --output scout-report.json

3. Empfehlungen fuer schlankere Base-Images

Neben der reinen Schwachstellenliste liefert docker scout recommendations konkrete Vorschlaege, wie ein Image sicherer und kleiner gemacht werden kann, etwa durch den Wechsel von einer vollen Debian-Basis auf eine schlankere Alpine- oder Distroless-Variante, wenn die Anwendung diese Umstellung technisch vertraegt. Die Empfehlungen beruecksichtigen dabei sowohl die Reduktion der Angriffsflaeche als auch die tatsaechlich gemessene CVE-Anzahl der vorgeschlagenen Alternative.

Diese Empfehlungen sind besonders bei aelteren, historisch gewachsenen Dockerfiles wertvoll, bei denen niemand mehr genau nachvollziehen kann, warum urspruenglich eine bestimmte Basis-Image-Version gewaehlt wurde. Docker Scout liefert hier eine konkrete, datenbasierte Grundlage fuer eine Modernisierung, statt dass Teams pauschal auf gut Glueck auf eine neuere Version wechseln.

# Empfehlungen fuer ein Image abrufen
docker scout recommendations myapp:latest

# Kompakte Zusammenfassung mit Score und wichtigsten Kennzahlen
docker scout quickview myapp:latest

4. Schnelle Uebersicht mit docker scout quickview

Fuer den taeglichen Gebrauch, etwa direkt nach einem lokalen Build, ist docker scout quickview meist der praktischste Einstieg, weil er in wenigen Zeilen die Gesamtzahl der Schwachstellen nach Schweregrad, die Basis-Image-Version und einen kurzen Hinweis auf verfuegbare Updates ausgibt, ohne die volle Detailtiefe von docker scout cves zu erfordern.

Dieser schnelle Ueberblick eignet sich gut als Gate im lokalen Entwicklungs-Workflow: Vor jedem Push kann ein Entwickler in wenigen Sekunden pruefen, ob ein neu gebautes Image ploetzlich neue kritische CVEs enthaelt, etwa weil eine kuerzlich aktualisierte Abhaengigkeit eine neue Schwachstelle mitgebracht hat, und im Zweifel noch vor dem Push nachbessern.

5. Images ueber Versionen hinweg vergleichen

Ein besonders praktisches Feature ist docker scout compare, das zwei Image-Versionen direkt gegenueberstellt und anzeigt, welche CVEs zwischen den Versionen neu hinzugekommen sind, welche behoben wurden und wie sich die Gesamtgroesse veraendert hat. Das ist besonders wertvoll bei Dependency-Updates, um zu pruefen, ob ein Upgrade tatsaechlich die erwartete Sicherheitsverbesserung bringt oder unerwartet neue Probleme einschleppt.

In Release-Prozessen laesst sich dieser Vergleich zwischen dem aktuell produktiven Image und dem neuen Kandidaten als zusaetzlicher Pruefschritt vor dem Rollout etablieren, sodass Sicherheitsregressionen fruehzeitig auffallen, bevor ein neues Image in die Produktion ausgerollt wird und dort unbemerkt zusaetzliche Angriffsflaeche schafft.

# Zwei Image-Versionen direkt vergleichen
docker scout compare myapp:1.2.0 --to myapp:1.3.0

# Vergleich gegen das aktuell produktive Image aus der Registry
docker scout compare myapp:latest --to registry.example.com/myapp:prod

6. Integration in die CI/CD-Pipeline

Docker Scout laesst sich ueber eine dedizierte GitHub Action und ueber die docker scout CLI auch in beliebigen anderen CI-Systemen wie GitLab CI oder Jenkins einbinden, indem der Scan direkt nach dem Build-Schritt ausgefuehrt wird und das Ergebnis als Build-Artefakt oder Kommentar im Merge Request abgelegt wird. Damit wird die Sicherheitspruefung Teil des normalen Pipeline-Durchlaufs, statt eine separate, oft vergessene manuelle Aufgabe zu sein.

Fuer authentifizierte Zugriffe auf Docker Hub oder eine private Registry innerhalb der Pipeline wird ein Docker-Hub-Zugriffstoken beziehungsweise entsprechende Registry-Credentials benoetigt, da Docker Scout fuer erweiterte Analysen und hoehere Nutzungslimits einen angemeldeten Account voraussetzt, waehrend einfache lokale Scans meist auch ohne Anmeldung funktionieren.

7. Docker Scout im Vergleich zu Trivy und Grype

Trivy und Grype, die in einem frueheren Artikel bereits ausfuehrlich behandelt wurden, sind eigenstaendige Open-Source-Scanner, die unabhaengig von Docker installiert und in beliebige Umgebungen integriert werden koennen, auch dort, wo kein Docker-Daemon laeuft, etwa bei der Analyse eines OCI-Image-Tarballs in einer reinen Kubernetes-Umgebung. Docker Scout dagegen ist eng an das Docker-Ökosystem gebunden und entfaltet seinen Komfort-Vorteil vor allem dort, wo ohnehin schon mit der Docker-CLI oder Docker Desktop gearbeitet wird.

In der Scan-Qualitaet und Datenbankabdeckung liegen alle drei Tools nah beieinander, da sie aehnliche oeffentliche Schwachstellenquellen nutzen, kleinere Abweichungen bei einzelnen CVEs sind normal und kein Hinweis auf ein grundsaetzlich besseres oder schlechteres Tool. Der wesentliche Unterschied liegt im Workflow: Wer bereits tief in der Docker-Toolchain arbeitet, spart mit Docker Scout einen Installationsschritt, wer eine tool-agnostische, auch ausserhalb von Docker einsetzbare Loesung braucht, faehrt mit Trivy oder Grype besser.

8. Policy-basierte Gates und Score-Schwellenwerte

Docker Scout unterstuetzt ueber Docker Organizations definierte Policies, die festlegen, welche Bedingungen ein Image erfuellen muss, etwa keine kritischen CVEs oder ein bestimmtes maximales Alter der Basis-Image-Version, um als konform zu gelten. Diese Policies lassen sich zentral fuer ein ganzes Team oder eine Organisation definieren, statt dass jedes Projekt eigene Schwellenwerte in individuellen CI-Skripten pflegt.

In der Pipeline laesst sich ueber den Exit-Code von docker scout cves oder ueber die Policy-Auswertung ein hartes Gate bauen, das einen Merge oder Deploy blockiert, sobald ein Image gegen die definierte Policy verstoesst. Wichtig ist dabei, die Schwellenwerte realistisch zu setzen, da ein zu striktes Gate bei Basis-Images mit staendig neu gemeldeten Low-Severity-CVEs schnell zu Frustration und Umgehungsversuchen im Team fuehrt.

9. Praxis-Fazit fuer den taeglichen Einsatz

Fuer Teams, die bereits mit Docker Desktop arbeiten, ist Docker Scout der naheliegendste Einstieg in automatisierte Image-Analyse, weil keine zusaetzliche Installation noetig ist und die Ergebnisse direkt in gewohnten Docker-Kommandos erscheinen. Der schnelle quickview-Befehl eignet sich fuer die taegliche Entwicklerarbeit, waehrend compare und die Policy-Integration eher in Release- und CI-Prozesse gehoeren.

Wer bereits eine etablierte Scan-Infrastruktur mit Trivy oder Grype betreibt, muss nicht zwingend wechseln, beide Ansaetze koennen auch parallel laufen, etwa Docker Scout fuer schnelles lokales Feedback und Trivy als tool-agnostischer Gatekeeper in der eigentlichen CI-Pipeline. Wichtiger als die Wahl des konkreten Tools ist, dass CVE-Scans ueberhaupt regelmaessig und automatisiert stattfinden.

10. Zusammenfassung

11. FAQ: Docker Scout: Das Wichtigste auf einen Blick