SBOM am Torantrieb (3D)
Über diese App
Ein Torantrieb als Software-Stückliste in 3D: Abhängigkeitsbaum mit direkten und transitiven Bibliotheken, fünf Releases und 58 Kundeninstallationen. Eine Schlagzeile meldet eine Lücke, die 24-Stunden-Uhr läuft. Ohne SBOM sind alle Kunden betroffen, mit SBOM leuchten fünf Installationen auf.
Mit Erklärmodus: Ein KI-Tutor führt dich durch die App, zeigt in der Szene, worauf es ankommt, und beantwortet deine Fragen.
Was eine SBOM ist
Eine Software Bill of Materials listet für jedes Release alle Softwarekomponenten: Name, Version, Lizenz, Paketkennung (PURL), Prüfsumme und Lieferant, dazu wovon jede Komponente abhängt. Ebene 0 ist das Release, Ebene 1 sind direkt verbaute Teile, Ebene 2 die Bibliotheken darin. Der Cyber Resilience Act verlangt eine maschinenlesbare SBOM mit mindestens der obersten Ebene als Teil der technischen Dokumentation, verpflichtend ab 11.12.2027. Aktiv ausgenutzte Schwachstellen sind seit 11.09.2026 binnen 24 Stunden als Frühwarnung zu melden.
Was die App zeigt
Ein fiktiver Torantrieb mit Steuerungsfirmware, Funkmodul eines Zulieferers, App und Cloud-Dienst, darunter zehn Open-Source-Bibliotheken. Fünf Releases laufen bei 58 Kundeninstallationen in Logistikzentren, Flughäfen, Kühlhäusern und Häfen, oft unter fremder Marke. Eine Schlagzeile meldet eine Lücke in einer transitiven Bibliothek. Ohne SBOM gelten nach 24 Stunden alle Installationen als betroffen. Mit SBOM trifft der Abgleich von PURL und Version 11 Installationen, die Bewertung lässt 5 übrig.
Selbst ausprobieren
Löse die Schlagzeile aus und vergleiche ohne und mit SBOM: Die Fragenkette (welche Bibliothek, welche Version, welcher Kunde, Fix drin, ausgeliefert) läuft durch, die Uhr zeigt die Zeit seit Kenntnis. Geh die Triage in drei Schritten durch und sieh die drei Antworten an die Kunden. Klick auf eine Komponente für PURL und einen CycloneDX-Auszug oder auf eine Installation für Marke und Release.
Häufige Fragen
- Was ist eine transitive Abhängigkeit?
- Eine Bibliothek, die nicht direkt im eigenen Produkt steht, sondern in einer verbauten Komponente steckt, etwa im Funkmodul eines Zulieferers. Viele Sicherheitslücken, darunter Log4Shell, betrafen vor allem solche indirekt eingebundenen Bibliotheken.
- Was ist eine PURL?
- Die Package URL ist eine einheitliche Paketkennung nach dem Muster pkg:typ/namensraum/name@version. Mit ihr lassen sich Komponenten einer SBOM automatisch mit Schwachstellendatenbanken wie NVD, EUVD oder OSV abgleichen.
- Was verlangt der CRA zur SBOM?
- Hersteller erstellen eine maschinenlesbare SBOM, die mindestens die Abhängigkeiten der obersten Ebene abdeckt. Sie gehört zur technischen Dokumentation und wird der Marktüberwachung auf Anfrage vorgelegt; die Pflicht gilt ab 11.12.2027.
- Was kann ich in der App ausprobieren?
- Eine Schlagzeile auslösen, zwischen ohne und mit SBOM umschalten, die Fragenkette und die Triage Prüfen, Bewerten, Beheben durchspielen, Releases wechseln und Komponenten mit PURL und CycloneDX-Auszug ansehen.
Fach: Betriebliche Weiterbildung
Mehr aus Betriebliche Weiterbildung
Eine VisuApp von heyprof: interaktiv, kostenlos im Browser, ohne Anmeldung. Was ist eine VisuApp? · Alle Apps