Tests und Umgang mit Schwachstellen
Schwachstellen finden, bevor Angreifer es tun, und vorbereitet sein, wenn eine Schwachstelle gemeldet wird.
Jedes Produkt hat Schwachstellen. Entscheidend ist, sie zuerst zu finden und schnell zu behandeln.
Tests zeigen vor dem Release, ob Ihre Sicherheit echten Angriffen standhält. Der Umgang mit Schwachstellen sorgt dafür, dass später gefundene Schwachstellen, ob von Ihrem Team, von Forschern oder von Kunden, über den gesamten Support-Zeitraum bewertet, behoben, offengelegt und fristgerecht gemeldet werden.
Nach dem CRA müssen Hersteller seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Dafür braucht es ein Product Security Incident Response Team (PSIRT), das bereitsteht, bevor die erste Meldung eingeht. Wir testen Ihre Produkte wie ein Angreifer und bauen das PSIRT auf, das sie danach sicher hält.
Für wen
- Hersteller vor dem Release oder der Zertifizierung
- Unternehmen ohne PSIRT oder mit einem informellen
- Teams, die sich auf Artikel 14 des CRA vorbereiten
- Betreiber, die sich auf Vorfälle in der Produktion vorbereiten
Was der Umgang mit Schwachstellen heute abdecken muss
Ein PSIRT ist mehr als ein Postfach. Diese Fähigkeiten erwarten Behörden, Kunden und Forscher.
Eingang
Ein öffentlicher Meldekanal
Forscher brauchen einen klaren Weg für Meldungen, mit einer Richtlinie zur Offenlegung und Safe-Harbour-Regeln.
Bewertung
Schnell und einheitlich bewerten
Jede Meldung wird innerhalb einer festen Zeit nachvollzogen, bewertet und zugewiesen.
Auswirkung
Welche Produkte sind betroffen?
Ohne SBOM pro Produkt und Version dauert die Auswirkungsanalyse Tage statt Stunden.
Behebung
Patches für alle Varianten
Korrekturen müssen jede betroffene Variante und Version erreichen, die noch im Support ist.
Meldung
Die Meldefristen des CRA
Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, danach der Abschlussbericht, über die einheitliche Meldeplattform.
Offenlegung
Sicherheitshinweise für Kunden
Klare, maschinenlesbare Sicherheitshinweise, damit Kunden handeln können.
Zwischen den Fällen
Vorausschauende Arbeit
Überwachung der Schwachstellen in Komponenten und Lehren aus früheren Fällen.
Nachweis
Getestet, bevor es darauf ankommt
Testberichte und Übungen liefern Nachweise für die technische Dokumentation und für Audits.
Unsere Grundsätze für Tests und Reaktion
Tests und Umgang mit Schwachstellen wirken am besten als ein Kreislauf: Was die Tester finden, geht an das PSIRT, und was das PSIRT lernt, fließt in den nächsten Test.
1
Testen, was die TARA vorgibt
Der Testumfang folgt den bewerteten Angriffspfaden, so fließt die Zeit in echte Risiken.
2
Denken wie ein Angreifer
Hardware, Schnittstellen, Apps und Backend werden als ein System getestet.
3
Die eigenen Komponenten kennen
Eine SBOM pro Produkt und Version ist die Grundlage jeder Entscheidung zur Auswirkung.
4
Bereit für die Frist
Rollen, Vorlagen und Entscheidungen sind für die 24-Stunden-Frist vorbereitet.
5
Koordinierte Offenlegung
Forscher sind Partner, mit klaren Regeln auf beiden Seiten.
6
Lernen und wiederholen
Jeder Befund verbessert Anforderungen, Tests und den Prozess.
So helfen wir
Vom Test vor dem Release bis zum laufenden PSIRT. Jede Leistung hat einen klaren Umfang und ein festes Ergebnis.
Penetrationstests von Produkten
Ihr Produkt, unter kontrollierten Bedingungen angegriffen.
Was wir tun
- Hardware und Schnittstellen wie Debug, USB, CAN, Ethernet und Funk
- Firmware-Analyse und Update-Mechanismen
- Umfang abgeleitet aus der Bedrohungsanalyse
Sie erhalten
Bericht mit Befunden, Schweregrad und Korrekturen, Nachtest
Tests von Backend, App und Cloud
Die Teile des Produkts außerhalb des Geräts.
Was wir tun
- Web-Oberflächen, APIs und mobile Apps
- Cloud-Konfiguration und Authentifizierung
- Kommunikation zwischen Gerät und Backend
Sie erhalten
Bericht mit Befunden und Korrekturen, Nachtest
Aufbau eines PSIRT
Ein Team und ein Prozess für eingehende Schwachstellen.
Was wir tun
- Rollen, Eingang, Bewertung, Behebung und Offenlegung nach dem FIRST PSIRT Services Framework
- Richtlinie zur koordinierten Offenlegung von Schwachstellen und security.txt
- Vorlagen für Sicherheitshinweise und Kundenkommunikation
Sie erhalten
PSIRT-Charta, Prozess, Richtlinie, Vorlagen
SBOM und Komponentenüberwachung
Wissen, welche Produkte von einer neuen Schwachstelle betroffen sind.
Was wir tun
- SBOM-Erstellung und Qualitätsprüfung pro Produkt
- Überwachung von Schwachstellen in Komponenten
- Ablauf zur Bewertung der Auswirkung
Sie erhalten
SBOM-Prozess, eingerichtete Überwachung, Ablauf zur Auswirkungsanalyse
Bereitschaft für die CRA-Meldepflicht und Übung
Bereit für Artikel 14, bevor es darauf ankommt.
Was wir tun
- Die Meldepflichten auf Ihren Prozess abbilden
- Frühwarnung, Meldung und Abschlussbericht vorbereiten
- Mit einem realistischen Szenario üben
Sie erhalten
Meldeleitfaden, Übungsbericht
Vorbereitung auf Vorfälle in der OT
Vorbereitet auf Vorfälle in der Produktion.
Was wir tun
- Notfallpläne für Produktionsumgebungen
- Rollen zwischen IT, OT und Zulieferern
- Planspiele
Sie erhalten
Notfallplan, Übungsbericht
So arbeiten wir
Schritt 1
Umfang
Testziele und PSIRT-Umfang aus der Risikobewertung.
Schritt 2
Testen oder aufbauen
Tests durchführen oder den PSIRT-Prozess einrichten.
Schritt 3
Beheben
Befunde mit klaren Korrekturen, danach ein Nachtest.
Schritt 4
Üben
Übung und Übergabe an Ihr Team.
Normen und Vorschriften
CRA Anhang I Teil II und Artikel 14
Pflichten zum Umgang mit Schwachstellen und zur Meldung für Hersteller.
ISO/IEC 29147 und 30111
Entgegennahme und Offenlegung von Schwachstellenmeldungen sowie deren interne Bearbeitung.
FIRST PSIRT Services Framework
Referenz für die Leistungen und Fähigkeiten eines PSIRT.
IEC 62443-4-1
Sicherheitstests und Fehlermanagement im Entwicklungsprozess.
ISO/SAE 21434 und UN R155
Schwachstellenanalyse und Überwachung von Fahrzeugen im Feld.
FDA-Leitfaden für die Zeit nach der Markteinführung
Schwachstellenmanagement für Medizinprodukte auf dem US-Markt.
Branchen
Eingebettete Geräte, Maschinen, Fahrzeuge, Medizinprodukte und die Backends dahinter.
Warum Nord CS
Unser Team hat Qualifikationen als IEC 62443 Expert sowie TISAX und NIS2 Implementer, und unser Gründer ist Mitglied im ENISA Advisory Board. AITIGRITY erzeugt Testfälle aus den Anforderungen und verknüpft jede Schwachstelle mit Produkt, Version und Korrektur.
Mit einem Berater sprechenHäufige Fragen
Blackbox- oder Whitebox-Test?
Beides ist möglich. Ein Whitebox-Test mit Dokumentation findet meist mehr in kürzerer Zeit.
An wen melden wir nach dem CRA?
An das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform.
Brauchen kleine Unternehmen ein PSIRT?
Sie brauchen den Prozess. Ein kleines Team kann ihn betreiben, solange Rollen und Fristen klar sind.
Was ist der Unterschied zwischen einem CSIRT und einem PSIRT?
Ein CSIRT schützt Ihre eigene IT. Ein PSIRT kümmert sich um Schwachstellen in den Produkten, die Sie verkaufen. Nach dem CRA brauchen Hersteller das Zweite.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.