Firmware-Sicherheit und CRA-Compliance für Hersteller in Deutschland

SoftWSP analysiert Ihr binäres Firmware-Image – auch ohne Quellcode –, erstellt die Software-Stückliste (SBOM), gleicht jede Komponente mit veröffentlichten Schwachstellen aus CVE, CISA KEV und FIRST EPSS ab und zeigt, was zuerst zu beheben ist. Das richtet sich an deutsche Hersteller vernetzter Geräte, die den Cyber Resilience Act (Verordnung (EU) 2024/2847) erfüllen müssen und sich dabei an der technischen Richtlinie BSI TR-03183 orientieren wollen. Ein Firmware-Scan-Bericht für eine Firmware-Version kostet 1.500 USD; liegt der Quellcode vor, bereiten wir auch die Behebung vor, testen sie, scannen als Nachweis erneut und überwachen jede ausgelieferte Version.

Warum Firmware-Sicherheit jetzt zählt

Der Cyber Resilience Act verlangt von Herstellern vernetzter Produkte eine Software-Stückliste, ein Schwachstellen-Handling über die Unterstützungsdauer und die Meldung aktiv ausgenutzter Schwachstellen binnen 24 Stunden (Artikel 14). Diese Pflichten gelten seit dem 11. September 2026 für Meldungen; die übrigen Pflichten aus Anhang I gelten ab dem 11. Dezember 2027 (Verordnung (EU) 2024/2847, EUR-Lex, gelesen 26.10.2026). Das BSI hat mit der technischen Richtlinie TR-03183 einen praktischen Einstieg für Hersteller ohne ausgereifte IT-Sicherheitsprozesse veröffentlicht, in vier Teilen: allgemeine Anforderungen, SBOM, Schwachstellenmeldung und Konformitätsbewertung (BSI TR-03183, gelesen 26.10.2026).

Was wir leisten

• Firmware-Scan. Wir entpacken das Image, identifizieren enthaltene Komponenten und Versionen und listen die veröffentlichten Schwachstellen, die sie betreffen.
• Konfigurationsprüfung. Wir suchen nach fest codierten Passwörtern, eingebetteten Schlüsseln, offenen Debug-Diensten und unsignierten Update-Mechanismen.
• SBOM nach TR-03183. Die Software-Stückliste wird so strukturiert, dass sie sich für die CRA-Dokumentation und an TR-03183 Teil 2 orientierte Nachweise weiterverwenden lässt.
• Behebung, soweit möglich. Liegen Quellcode und Build-Umgebung vor, aktualisieren wir verwundbare Komponenten, härten die Konfiguration und bauen das Image neu.
• Überwachung. Betrifft eine neue Schwachstelle eine bereits ausgelieferte Firmware-Version, informieren wir Sie, priorisiert nach Ausnutzungswahrscheinlichkeit.

Was Sie erhalten

Einen Management-Bericht und einen technischen Bericht mit Belegen je Befund, eine Software-Stückliste in einem gängigen Format und eine priorisierte Liste der zu behebenden Punkte mit dem jeweils offiziellen Fix oder einer Abmilderung.

Umfang und Verantwortung

Wir sind für die Analyse, die Berichte und die vereinbarte Behebung verantwortlich. Sie bleiben verantwortlich für das Recht, uns den Code zur Verfügung zu stellen, für die Signierung und Freigabe der Firmware, für den Rollout sowie für die regulatorischen Einreichungen. Ein Bericht spiegelt den Stand der bekannten Schwachstellen am Analysetag wider und ersetzt keine eigene Konformitätsbewertung nach der Verordnung (EU) 2024/2847. Siehe unseren Haftungsausschluss.

Nächster Schritt

Wenn Sie sehen möchten, wie ein Bericht für Ihr eigenes Produkt aussieht, ist das Design-Partner-Programm der einfachste Einstieg.

Dem Design-Partner-Programm beitreten

Die englischsprachige Vollversion dieser Leistung mit weiteren Details finden Sie unter Device Firmware Security.

Diese Seite ist eine allgemeine Information und keine Rechtsberatung.