CRA-Readiness-Check | LegacyMind Device Security

Warum Sie diesen Brief bekommen haben: Wir arbeiten aktuell mit wenigen ausgewählten Herstellern als Design-Partner zusammen.

1
Sie stellen ein Image bereit
2
Wir analysieren es ohne Quellcodezugang
3
Sie erhalten SBOM, CVE-/KEV-Status und den Nachweis-Report

Build-Prozess und Entwicklungsdokumentation zeigen den erwarteten Zustand. LegacyMind ergänzt diese Sicht um eine unabhängige Verifikation des final freigegebenen Images.

Der Umfang

Vier Artefakte aus einem Image

Vier Artefakte, alle aus derselben Analyse eines einzigen Images.

Software-Stückliste

Name und exakte Version jeder gefundenen Komponente, aus den Paketdatenbanken des Images (dpkg, opkg, rpm, apk) und aus den Manifesten der Sprach-Ökosysteme. Die Stückliste verlässt das System als CycloneDX-JSON: ein gängiges, maschinenlesbares Format und damit die Inventar-Grundlage, auf die sich Anhang I Teil II Nr. 1 bezieht.

Schwachstellenlage

Zu jeder Komponente zeigen wir bekannte Schwachstellen sowie den verfügbaren Exploitation-Status aus CISA KEV und EUVD. Beide Kataloge werden laufend nachgezogen. Bei einer möglichen Betroffenheit schafft dieser Abgleich eine wichtige Grundlage für die weitere Bewertung.

Härtung je Binärdatei

Für jede ausführbare Datei im Image: RELRO, Stack Canary, NX/DEP und PIE. Nicht als Gesamtnote, sondern Datei für Datei.

Zugangsdaten

Passwort-Hashes aus der Konto-Datenbank des Images, klassifiziert nach BSI TR-02102-1. Kein Suchlauf über das gesamte Dateisystem nach API-Schlüsseln: Was wir zeigen, stammt aus /etc/shadow und /etc/passwd, und ist deshalb belastbar.

Treffer auf Schwachstellen im CISA-KEV-Katalog, in einem einzigen ausgelieferten Image.

550 versionierte Komponenten, 52 davon mit bekannten Schwachstellen. 7 davon stehen im KEV-Katalog der CISA, dem Verzeichnis der nachweislich ausgenutzten.

Quelle: Reales Industrie-Gateway · Serienprodukt · öffentlich verfügbare Firmware · Abgleich gegen CISA-KEV, Analyse 21.08.2026

Komponenten-Inventar

Software-Bestand, Bibliotheken und Versionen direkt aus dem ausgelieferten Image, auch für zugekaufte Module, deren Innenleben im Haus niemand im Detail kennt.

Der Ausschnitt stammt aus der Analyse eines Serienprodukts mit öffentlich verfügbarer Firmware. Der Herstellername steht nirgends. Wir zeigen keine fremde Firmware mit Namen. Ihre auch nicht.

Quelle: Unbearbeitete Bildschirmaufnahme aus dem Produkt · anonymisiertes Herstellerimage · Analyse 21.08.2026

Grenzen

Was wir nicht sehen

Wir stellen keine Konformität fest. Wir liefern die Evidenz, mit der Ihr Prüfer sie feststellt.

Kein Quellcode, keine Laufzeit

Keine dynamische Analyse, kein Penetrationstest, keine Hardware- oder Seitenkanalanalyse, keine Prüfung Ihrer Prozesse.

Vorhandensein ist nicht Erreichbarkeit

Wir weisen nach, dass eine netzfähige Komponente im Image liegt; nicht, dass sie im Feld erreichbar ist.

Verschlüsselte oder gepackte Images

Lässt sich ein Image nicht auspacken, sagen wir das und liefern keine erfundene Stückliste. Genau deshalb wählen wir das Image gemeinsam mit Ihnen aus.

Herstellerspezifische Container

Manche Formate enthalten keinen ausführbaren Code. Daraus kann keine Stückliste entstehen. Auch das ist ein Ergebnis, und wir sagen es Ihnen so.

Rückportierte Korrekturen

Distributionen pflegen Sicherheitskorrekturen in alte Versionen zurück, ohne die Versionsnummer zu ändern. Von außen ist das nicht prüfbar; Befunde können dadurch zu hoch liegen.

Gestrippte Binärdateien

Ein Stack Canary lässt sich dort nicht bestimmen und wird konservativ als fehlend gezählt.

Wie genau ist das Verfahren?

Gegen ein Image, für das der Hersteller seine Paketliste veröffentlicht, haben wir 140 von 140 Paketen exakt getroffen, Name und Version. Statisch gelinkte Bibliotheken und Kernelmodule sind darin bewusst nicht bewertet, und die Zahl ist eine Untergrenze für die Trefferwahrscheinlichkeit, kein Deckungsgrad für ein beliebiges Image.

Quelle: OpenWrt-Release mit veröffentlichter Paketliste als Prüfmaßstab · anderes Image als die Aufnahme oben · Abgleich 18.08.2026

Datensouveränität

Was mit Ihrem Image passiert

Unter NDA. Ein Image, gemeinsam ausgewählt. Die Analyse läuft auf unseren Servern in Deutschland.

Analyse auf dedizierten Servern in Deutschland
EU-basierte Schwachstellenquellen inklusive EUVD
Ohne Quellcodezugang, ohne Agent, ohne Eingriff in den laufenden Betrieb
Wiederholbare Analyse ohne KI oder LLM
Mandanten-Isolation, Verschlüsselung, Löschung auf Anfrage
On-Premise-Deployment für kritische Umgebungengeplant

Cyber Resilience Act

Worauf sich das bezieht

11. September 2026: Meldepflichten.

Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind zu melden: Frühwarnung binnen 24 Stunden, Schwachstellenmeldung binnen 72 Stunden. Diese Pflicht gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also für das, was heute bereits beim Kunden steht.

11. Dezember 2027: CE-Kennzeichnung.

Ab dann dürfen Produkte mit digitalen Elementen in der EU nur in Verkehr gebracht werden, wenn die Anforderungen aus Anhang I erfüllt und die Konformität erklärt ist.

Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen.
Verordnung (EU) 2024/2847, Anhang I Teil II Nr. 1

Der Check liefert hierfür eine technische Inventar-Grundlage direkt aus dem analysierten Firmware-Image. Die Konformitätsaussage treffen Sie.

Der Check ist eine technische Bestandsaufnahme aus dem Image heraus, kein Zertifikat und keine Konformitätsaussage.

Ablauf

Wie es abläuft

1
Termin
25 bis 30 Minuten, zu einem Zeitpunkt, den Sie vorschlagen. Wir zeigen die Analyse an einem realen Image.
2
NDA
Vor jeder Übergabe.
3
Image
Eines, gemeinsam ausgewählt. Ihr Aufwand: ein Image bereitstellen.
4
Report
SBOM und technischer Nachweis-Report. Den Report behalten Sie, unabhängig davon, ob wir danach zusammenarbeiten. Für diese erste Runde kostenfrei.

Wer das macht

Zwei Personen, ein Werkzeug

LegacyMind ist aus Gesprächen mit Sicherheitsverantwortlichen entstanden. Als zum fünften Mal die Frage kam, wer eigentlich in die ausgelieferte Firmware schaut, haben wir angefangen, das Werkzeug dafür zu bauen. Heute analysiert es Firmware auf Binärebene, ohne KI, ohne Cloud-Dienst Dritter, aus Ingolstadt.

Marco Plannet

Geschäftsführer

Ihr Ansprechpartner für Termin und NDA.

Ben Plannet

Technik

Führt die Analyse durch und zeigt sie Ihnen.

Terminbuchung

Zeigen Sie es mir.

Wenn das Thema für Sie relevant ist, zeigen wir Ihnen den Ansatz live. Sie entscheiden danach, ob ein kostenfreier CRA-Readiness-Check für eines Ihrer Images sinnvoll ist.

25–30 Minutenan einem realen Firmware-Image

Der Kalender wird von cal.meetergo.com geladen. Dabei wird eine Verbindung zu diesem Dienst aufgebaut und Ihre IP-Adresse übertragen. Vorher verlässt nichts Ihr Gerät.

Was Sie live sehen

die Komponenten, die tatsächlich im Image stecken
CVEs je Komponente, mit KEV-Kennzeichnung
Zugangsdaten und private Schlüssel, sofern das Image welche enthält

Es zeigt Ihnen: Ben PlannetTechnik
Termin und NDA: Marco PlannetGeschäftsführer

Lieber direkt: marco.plannet@legacymind.de +49 151 7000 9497

Woher wir Ihre Adresse haben: Wir haben Sie aus öffentlich zugänglichen Quellen angeschrieben: Branchen- und Mitgliederverzeichnissen sowie Unternehmenswebsites. Zweck ist die Ansprache zum Cyber Resilience Act. Sie können der Verarbeitung Ihrer Daten jederzeit widersprechen (Art. 21 Abs. 2 DSGVO). Eine Nachricht an info@legacymind.de genügt. Einzelheiten in unserer Datenschutzerklärung.

Ein Firmware-Image rein.Ein belastbarer Nachweis raus.