Werkspilot

    Wir automatisieren das Schwachstellenmanagement für Ihre Embedded-Produkte — KI-gestützt, im Produktkontext.

    Ihr Team bleibt fokussiert auf Entwicklung. SBOM-Management, KI-gestützte CVE-Triage im Hardware-Kontext und dokumentierte Entscheidungen — stark automatisiert und dadurch günstiger als inhouse.

    Kostenlose Demo anfragen

    Der EU Cyber Resilience Act verpflichtet Hersteller zu kontinuierlichem Schwachstellenmanagement.

    Entwicklungszeit geht verloren

    Jeder Release erzeugt hunderte Schwachstellenmeldungen. Bei 15 bis 30 Minuten pro Bewertung sind das hunderte Entwicklerstunden pro Release — Zeit, die in Produktinnovation fließen sollte.

    Haftung liegt beim Hersteller

    Der CRA verlangt begründete, dokumentierte Entscheidungen für jede Schwachstelle. Lücken in der Dokumentation werden zum persönlichen Haftungsrisiko für die Geschäftsführung.

    24h-Meldefrist – seit 11.09.2026 in Kraft

    Seit dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden gemeldet werden. Ohne etablierten Prozess ist das nicht erfüllbar.

    Ihr Team entwickelt. Wir kümmern uns um das Schwachstellenmanagement.

    Software-Stückliste aus Ihrem Quellcode

    Wir erstellen und aktualisieren Ihre Software-Stückliste direkt aus dem Source Code — auch in Bare-Metal-Umgebungen ohne Paketmanager (projektabhängig).

    Monitoring & kontextbasierte Bewertung

    Neue CVEs werden täglich abgeglichen und im Produktkontext bewertet — mit Begründung, Quellcode-Referenz und Handlungsempfehlung.

    KI-gestützte Filterung statt Scan-Liste

    Über 90% der gemeldeten CVEs sind im Produkt nicht ausnutzbar. Wir filtern automatisch mit SCA, Erreichbarkeitsanalyse und LLM-gestützter Bewertung — und reduzieren das Rauschen drastisch, statt nur eine Liste auszugeben.

    Ergebnisse in Ihren Tools

    Ergebnisse landen priorisiert in Jira, ServiceNow oder Dependency-Track — kein neues Portal, keine Prozessänderung.

    Wir führen Analysen durch und dokumentieren Bewertungen direkt in Ihren Systemen.

    1

    Zugang einrichten

    Zu Repositories, Build-Config, Risikobeurteilung und Schwachstellen-Management-System.

    2

    Wir analysieren

    Stark automatisierte, kontinuierliche Bewertung im Produktkontext. Unklare Fälle mit manuellem Review.

    3

    Wir steuern ein

    Bewertete Findings landen direkt als Tickets in Ihrem System — priorisiert und mit klarer Handlungsempfehlung.

    Wir filtern und priorisieren die Schwachstellen, die wirklich ausnutzbar sind — stark automatisiert und KI-gestützt.

    Pro Release hunderte Schwachstellen — der Großteil davon typischerweise nicht ausnutzbar. Wir arbeiten auf Quellcode-Ebene und bewerten im Produktkontext, mit SCA-, Erreichbarkeits- und LLM-Analysen. Stark automatisiert und dadurch günstiger als die Bewertung inhouse.

    STRIDE-Bedrohungsanalyse Ihrer Produkte für die CRA-Konformitätsbewertung.

    Der CRA verlangt für jedes Produkt mit digitalen Elementen eine dokumentierte Cybersicherheits-Risikobeurteilung — sie gehört in die technische Dokumentation und ist Voraussetzung für die CE-Kennzeichnung ab 11. Dezember 2027. Wir liefern sie per STRIDE-Bedrohungsanalyse, prüffähig dokumentiert.

    „Mit Werkspilot haben wir einen kompetenten Partner, der uns bei der Umsetzung der Anforderungen des Cyber Resilience Act sowohl beratend als auch technisch unterstützt – von der Risikoanalyse bis zur Implementierung eines systematischen Schwachstellenmonitorings.“

    Günter Arztmiller

    Geschäftsführer, The Imaging Source GmbH

    Logo The Imaging Source
    Günter Arztmiller, Geschäftsführer The Imaging Source GmbH

    Häufige Fragen zu CRA, SBOM und CVE-Triage für Embedded-Hersteller.

    Kontinuierliches Schwachstellenmanagement über den gesamten Supportzeitraum, und zwar in drei Ausprägungen. Erstens eine begründete, dokumentierte Entscheidung für jede gemeldete Schwachstelle – Lücken in dieser Dokumentation werden zum Haftungsrisiko für die Geschäftsführung. Zweitens die Meldung aktiv ausgenutzter Schwachstellen innerhalb von 24 Stunden; diese Frist gilt seit dem 11. September 2026 und ist ohne etablierten Prozess nicht erfüllbar. Drittens eine dokumentierte Cybersicherheits-Risikobeurteilung je Produkt mit digitalen Elementen, die in die technische Dokumentation gehört und Voraussetzung für die CE-Kennzeichnung ab dem 11. Dezember 2027 ist.

    Aus dem Quellcode statt aus dem Build. Die verbreiteten SBOM-Generatoren setzen ein Paket-Ökosystem voraus und laufen über einen Build-Schritt, der Abhängigkeiten auflöst – in Bare-Metal-Firmware gibt es beides oft nicht. Wir erstellen und aktualisieren die Software-Stückliste deshalb direkt aus dem Source Code, projektabhängig auch in Bare-Metal-Umgebungen ohne Paketmanager. Die Stückliste wird fortgeschrieben, nicht einmalig erzeugt, weil jeder Release ihren Stand verändert.

    Nach unserer Erfahrung sind über 90 Prozent der gemeldeten CVEs im konkreten Produkt nicht ausnutzbar. Der Grund ist der Produktkontext: Ob eine verwundbare Funktion im Binary überhaupt erreichbar ist, ob die betroffene Konfiguration aktiv ist und ob die Schnittstelle nach außen exponiert ist, entscheidet über die Betroffenheit – nicht die bloße Anwesenheit einer Bibliotheksversion. Wir filtern diese Masse mit SCA, Erreichbarkeitsanalyse und LLM-gestützter Bewertung auf Quellcode-Ebene, statt eine Scan-Liste auszugeben.

    Jeder Release erzeugt typischerweise hunderte Schwachstellenmeldungen. Bei 15 bis 30 Minuten pro Bewertung summiert sich das auf hunderte Entwicklerstunden je Release – Zeit, die aus der Produktentwicklung abgezogen wird. Genau diese Rechnung ist der Grund, warum sich die Bewertung stark automatisiert günstiger darstellt als inhouse: Der Aufwand skaliert mit der Zahl der Meldungen, nicht mit der Zahl der tatsächlich relevanten Befunde.

    Nein. Bewertete Findings landen priorisiert und mit Handlungsempfehlung als Tickets dort, wo Ihr Team ohnehin arbeitet – in Jira, ServiceNow oder Dependency-Track. Eingerichtet wird lediglich der Zugang zu Repositories, Build-Konfiguration, Risikobeurteilung und dem vorhandenen Schwachstellen-Management-System. Es gibt kein zweites Werkzeug, in das jemand sich einloggen muss, und keine Prozessänderung im Entwicklungsteam.

    Jetzt Demo anfragen.

    Sehen Sie, wie Ihr Team das Schwachstellenmanagement einfach und fristgerecht umsetzen kann.