Software-Sicherheit: Wir wissen jeden Tag neu, was in Ihrer Software steckt.
Zu jeder neuen Version gibt es eine vollständige Stückliste: ein Verzeichnis aller fremden Bausteine, die in der Software stecken. Unser Prüfsystem, der CRA-Hub, gleicht sie jede Nacht mit den öffentlichen Verzeichnissen bekannter Sicherheitslücken ab. Aus jedem Treffer wird eine Aufgabe mit Frist, und die Korrektur kommt digital unterschrieben auf Ihren Server. Das ist kein Siegel, sondern ein Ablauf — und der lässt sich beschreiben.
Zwei Daten, die in Ihrem Kalender stehen sollten.
Der Cyber Resilience Act — Verordnung (EU) 2024/2847 — verpflichtet Hersteller von Produkten mit digitalen Elementen dazu, Sicherheitslücken systematisch zu verfolgen, über den gesamten Supportzeitraum Sicherheitsupdates zu liefern und bestimmte Lücken zu melden.
- Ab 11. September 2026 gelten die Meldepflichten: eine aktiv ausgenutzte Schwachstelle ist binnen 24 Stunden zu melden.
- Ab 11. Dezember 2027 ist die Verordnung vollständig anzuwenden.
Für Sie als Anwender heißt das vor allem eines: Sie werden Ihre Lieferanten fragen müssen, was in deren Software steckt und wie schnell sie eine Lücke schließen. Wir haben diese Antwort vorbereitet, bevor die Frage kommt.
Von der Zeile Code bis zu Ihrem Server. In sieben Schritten.
Jeder Schritt läuft automatisch, außer einem. Genau der ist Absicht.
-
Bauen und prüfen
Das Bausystem erstellt die neue Version, führt die automatischen Tests aus, misst die Codequalität (mit dem Werkzeug Sonar) und erzeugt eine vollständige Stückliste im Standardformat CycloneDX — jede fremde Bibliothek mit Name und Fassung.
-
Registrieren und freigeben
Die Version wird beim CRA-Hub angemeldet: mit eindeutigen Prüfsummen ihrer Dateien, der Stückliste und dem Testbericht. Der Hub prüft, ob alle Bedingungen für die Freigabe erfüllt sind. Erst wenn die Nachweise vollständig sind — Testbericht, Qualitätsmessung, Sicherheitsscan, Stückliste —, ist die CRA-Akte vollständig und die Version gilt als auslieferbar.
-
Jede Nacht abgleichen
Der Hub gleicht die Stücklisten aller noch unterstützten Versionen Nacht für Nacht mit den öffentlichen Verzeichnissen bekannter Sicherheitslücken ab: OSV, NVD und dem KEV-Katalog, der Lücken auflistet, die nachweislich ausgenutzt werden.
-
Bewerten
Ein Treffer erzeugt eine Korrekturaufgabe mit Frist. Bewertet wird von Fachleuten, unterstützt durch KI — nicht umgekehrt. Steht die Lücke im KEV-Katalog, startet zusätzlich der 24-Stunden-Meldeweg an die europäische und die deutsche Behörde für Cybersicherheit (ENISA und BSI).
-
Beheben
Die Korrektur entsteht in der Entwicklungsfabrik und durchläuft dieselben Prüfungen wie jede andere Änderung: Tests, Qualitätsmessung, neue Stückliste, neue CRA-Akte. Auch eine Sicherheitskorrektur nimmt keinen Weg an den Prüfungen vorbei.
-
Vier-Augen-Freigabe
Der eine Schritt, der bewusst ein Mensch ist. Eine fertige Programmversion zum Herunterladen freizugeben, ist die einzige Aktion in der ganzen Kette, die sich nicht zurückholen lässt. Sie hängt deshalb an einem eigenen Recht, das nicht Teil des Schreibrechts ist — getrennt vergeben, ermöglicht das genau das Vier-Augen-Prinzip.
-
Ausrollen — und zurückrollen können
Der Hub erstellt für jede Installation eine digital unterschriebene Update-Anweisung. Das Update-Programm auf Ihrem Server prüft die Unterschrift, ermittelt, was sich geändert hat, lädt die neuen Programmteile, passt die Datenbank nach einer vorherigen Sicherung an, spielt das Update ein und prüft, ob alles läuft. Danach meldet es den Erfolg — oder stellt den vorherigen Stand wieder her.
Die Abnahme steht fest, bevor die erste Zeile Code entsteht.
Die Entwicklungsfabrik nimmt Anforderungen und Fehlermeldungen entgegen, sichert sie gegen den dokumentierten Bestand ab und erarbeitet einen freigabefähigen Umsetzungsplan. Freigegeben wird genau einmal: der Plan.
Der Plan ist kein Freitext, sondern nummerierte Regeln — und zu jeder Regel gehören mehrere Testfälle. Damit ist er maschinell prüfbar, und niemand streitet später darüber, ob etwas „so gemeint" war.
Das ist unsere belegbare Antwort auf die Frage „Warum seid ihr schnell?" — nicht mehr Leute, sondern eine Abnahme, über die man nicht diskutieren muss.
Fünf Dinge, die ohne Ihr Zutun laufen.
Ihre Stückliste existiert
Fragt Ihr Prüfer, Ihr Versicherer oder Ihre Konzernmutter, welche fremden Bausteine in Ihrer Anwendung stecken, gibt es darauf eine Antwort — je Version, nicht als Schätzung.
Updates sind signiert
Jede Update-Anweisung trägt eine digitale Unterschrift (Verfahren Ed25519). Das Update-Programm auf Ihrem Server prüft sie, bevor es irgendetwas lädt. Ein Update ohne gültige Unterschrift wird nicht eingespielt.
Es gibt einen Rückweg
Vor jeder Änderung an der Datenbank wird gesichert, und jedes Update endet mit einer Prüfung, ob alles läuft. Schlägt sie fehl, wird der vorherige Stand wiederhergestellt — nicht erst jemand angerufen.
Der Prüfpfad ist eingebaut
Wer wann welche Rechte geändert hat, steht im Änderungsprotokoll des Identity Management. Wer wann welche Programmversion freigegeben hat, steht im Hub.
Die Prüfung geht weiter, wenn wir nicht hinsehen
Der nächtliche Abgleich läuft über alle noch unterstützten Versionen, nicht nur über die neueste. Auch eine Anwendung, an der gerade niemand arbeitet, wird beobachtet.
Was auf dieser Seite bewusst nicht steht — und warum.
Keine zugesagte Reaktionszeit. Wir beschreiben den Ablauf, nicht die Stunde. Eine veröffentlichte Reaktionszeit ist eine Zusage, keine Beschreibung — sie hängt an Ihrer Landschaft, an der Zahl der Kunden mit derselben Zusage und an der Rufbereitschaft, die dafür besetzt sein muss. Was zugesagt werden kann, steht im Angebot.
Keine Zertifizierung, die wir nicht haben. Die ISO-27001-Zertifizierung gilt für das Rechenzentrum, in dem Ihr Server steht — nicht für iWerbo als Unternehmen. Wir schreiben das hier hin, damit es niemand anders liest.
Kein Siegel „CRA-konform". Beschrieben wird, was getan wird. Ein Prüfergebnis ist etwas anderes als ein Verfahren, und die Verordnung ist noch nicht vollständig anwendbar.
Keine Zahl zu gefundenen oder behobenen Schwachstellen. Solche Zahlen sagen ohne Bezugsgröße nichts und laden zum Vergleichen mit Anbietern ein, die anders zählen.
Was Einkauf, Revision und Datenschutzbeauftragte fragen.
Was ist eine Software-Stückliste (SBOM) und warum brauche ich sie?
Eine Stückliste listet jede fremde Bibliothek auf, die in einer Anwendung steckt, mit Name und Fassung. Ohne sie lässt sich nicht feststellen, ob eine neu bekannt gewordene Schwachstelle Ihr System betrifft. iWerbo erzeugt sie im Standardformat CycloneDX bei jeder neuen Version und hinterlegt sie im CRA-Hub.
Ab wann gilt der Cyber Resilience Act?
Die Verordnung (EU) 2024/2847 gilt in Stufen: Die Meldepflichten für aktiv ausgenutzte Schwachstellen greifen ab dem 11. September 2026, vollständig anzuwenden ist die Verordnung ab dem 11. Dezember 2027.
Wie oft wird auf Schwachstellen geprüft?
Jede Nacht. Unser Prüfsystem (CRA-Hub) gleicht die Stücklisten aller unterstützten Versionen mit den öffentlichen Verzeichnissen bekannter Sicherheitslücken ab (OSV, NVD und die KEV-Liste der Lücken, die bereits aktiv ausgenutzt werden). Jeder Treffer wird zu einer Korrekturaufgabe mit Frist.
Was passiert, wenn ein Update fehlschlägt?
Das Update-Programm auf Ihrem Server prüft zuerst die digitale Unterschrift der Update-Anweisung, sichert die Daten, passt dann die Datenbank an und prüft am Ende, ob alles läuft. Schlägt diese Prüfung fehl, kehrt es automatisch zur vorherigen Version zurück.
Ist iWerbo nach ISO 27001 zertifiziert?
Nein. Die ISO-27001-Zertifizierung gilt für das Rechenzentrum in Deutschland, in dem Ihr Server steht — nicht für iWerbo als Unternehmen. Wir weisen darauf ausdrücklich hin, damit die Angabe nicht falsch verstanden wird.
Ihr Einkauf fragt bald nach der Stückliste. Wir haben sie schon.
Sprechen wir darüber, was der Cyber Resilience Act für Ihre Lieferantenkette bedeutet — und was Sie von uns dafür bekommen.