Kostenlos · ein Image
Firmware hochladen, Bericht lesen
Den Link zum Bericht schicken wir an Ihre geschäftliche E-Mail-Adresse.
Kostenlos · ein Image, ohne Quellcode
SBOM und bekannte CVEs aus Ihrer Firmware.
Kostenlos, ohne Termin.
Image hochladen, Bericht in der App lesen. Ohne Quellcode.
Image hochladen, Link aus der Mail öffnen, Bericht in der App lesen: Komponenten mit Version, bekannte Schwachstellen, Zugangsdaten und Schlüssel, die Härtung der Binärdateien. Ohne Quellcode, aus der Datei, die Sie ausliefern.
LegacyMind GmbH · Ingolstadt · HRB 12510 · Was mit Ihrer Firmware passiert
Kostenlos ist das erste Image. Ob wir danach eine ganze Produktfamilie prüfen, entscheiden Sie mit dem Bericht in der Hand.
Sofort im Browser, ohne Upload
LokalDie Datei verlässt Ihren Rechner nicht.
AXF ablegen und sehen, welche Bibliotheken in welcher Version drinstecken.
AXF, ELF oder OUT aus Keil, IAR oder GCC.
Nachprüfbar: Seite laden, WLAN aus, Datei ablegen. Das Ergebnis kommt trotzdem.
Was für die kostenlose Prüfung gilt
- Server in Deutschland
- NDA auf Wunsch vor dem Upload
- Bericht und SBOM gehören Ihnen
- Bericht binnen drei Werktagen, gelöscht nach 30 Tagen
- Passwörter und Schlüssel erscheinen im Bericht nur maskiert
- Verschlüsselte Firmware wird nicht entschlüsselt
Der Bericht
Was Sie in der App sehen
Jede Komponente mit Fundstelle und mit Version, wo die Datei sie belegt, die bekannten Schwachstellen dazu, Zugangsdaten und Schlüssel im Image, die Härtung jeder Binärdatei. Regelbasiert, auf der Datei, die Sie hochgeladen haben.
Gelesen
Komponenten mit Version, bekannte Schwachstellen je Komponente, Zugangsdaten, Schlüssel und Zertifikate, die Härtung der Binärdateien und eingebundene unsichere C-Funktionen.
Nicht Teil der Analyse
Laufzeit- und Penetrationstests, Hardware- und Seitenkanalanalyse und Ihre Prozesse.
Verschlüsselte Images
Ein vom Hersteller verschlüsseltes Image entschlüsseln wir nicht. Lässt sich eine Datei nicht lesen, nennt der Bericht den Grund.
Den ganzen Befund eines öffentlichen Keil-Builds, mit Beleg aus der Datei, zeigt die Befundakte. Alle Abschnitte des Berichts: Aufbau des Befundberichts.
Seite 10 von 17, Komponenten-Schwachstellenkatalog
Ablauf
Hochladen, Link öffnen, Bericht lesen
- 1
Hochladen
Datei wählen, geschäftliche E-Mail-Adresse eintragen, bestätigen, dass Sie die Firmware prüfen lassen dürfen. Kein Quellcode, kein Zugang zu Ihren Systemen. Auf Wunsch unterschreiben wir vorher eine NDA.
Welche Dateien
- .elf .axf .outBare-Metal-Builds (ELF, AXF) · Komponenten, Versionen, Schwachstellen
- .hex .ihex .s19 .srec .motIntel HEX und Motorola S-Record · Komponenten, soweit die Bytes sie belegen
- .binRoh-Images von Mikrocontrollern (BIN) · Komponenten, soweit die Bytes sie belegen
- .zip .tar .gz .tgz .bz2 …Firmware-Images mit Linux · Komponenten, Versionen, Schwachstellen
- .json .xml .spdxLieferanten-SBOMs · Komponenten, Versionen, Schwachstellen
Was mit der Datei passiert
- Die Datei geht von Ihrem Browser direkt in unseren Speicher in Frankfurt.
- Die Analyse läuft auf Servern in Deutschland.
- Für den Abgleich gehen nur Komponentenname und Version an öffentliche Schwachstellendatenbanken, die Datei selbst nie.
- Die Datei löschen wir nach der Analyse, den Bericht nach 30 Tagen.
- 2
Link öffnen
Wir schicken einen Link an Ihre E-Mail-Adresse. Er meldet Sie in der App an und öffnet Ihre Analyse, mit dem Fortschritt der Prüfung. Ein Passwort brauchen Sie nicht.
- 3
Bericht lesen
Sobald die Analyse fertig ist, steht der Bericht in der App, und Sie bekommen eine zweite Mail. Den technischen Analysebericht und die Management-Zusammenfassung laden Sie als PDF, die SBOM als CycloneDX oder SPDX. Die Konformitätsaussage treffen Sie als Hersteller.
Prüfumfang
Was die Prüfung aus einem Image beantwortet
Anhang I des CRA hat 22 Punkte. Zu fünf davon trifft der Bericht eine Feststellung aus dem Image, zu Teil II Nr. 1 eine Beobachtung aus der Stückliste. Die übrigen betreffen Ihre Prozesse oder das Verhalten im Betrieb und gehören in Ihre technische Dokumentation. Der Bericht nennt beide Listen.
Aus dem Image festgestellt
- Keine bekannten ausnutzbaren Schwachstellen (Teil I Nr. 2 a)
- Sichere Standardkonfiguration: mitgelieferte Konten (Nr. 2 b)
- Schutz vor unbefugtem Zugriff: mitgelieferte Zugangsdaten und Schlüssel (Nr. 2 d)
- Vertraulichkeit: private Schlüssel und Zertifikate im Image (Nr. 2 e)
- Exploit-Minderung: Stack-Schutz, Speicherschutz, Privilegientrennung (Nr. 2 k)
- Komponenten und Schwachstellen dokumentieren, mit SBOM (Teil II Nr. 1)
Ihre Dokumentation
- Risikoangemessene Entwicklung (Teil I Nr. 1)
- Begrenzung der Angriffsfläche (Teil I Nr. 2 j)
- Sicherheitsupdates, Integrität, Datenminimierung, Verfügbarkeit, Auswirkungen auf andere Geräte, Protokollierung, sicheres Löschen (Teil I Nr. 2 c, f bis i, l, m)
- Behandlung, Tests, Offenlegung und Verteilung von Updates (Teil II Nr. 2 bis 8)
Fragen vor dem Upload
Was Hersteller vorher wissen wollen
Eine Frage fehlt? Schreiben Sie an info@legacymind.de.
- Was kostet die Prüfung, und wozu verpflichtet sie?
- Das erste Image Ihrer Firma ist kostenlos und verpflichtet zu nichts. Bericht und SBOM behalten Sie. Ob wir danach eine ganze Produktfamilie prüfen, entscheiden Sie mit dem Bericht in der Hand.
- Warum nur mit einer geschäftlichen E-Mail-Adresse?
- Die kostenlose Prüfung gibt es einmal je Firma, und die Firma erkennen wir an der Domain. Adressen von Freemail-Anbietern nehmen wir deshalb nicht an.
- Welche Datei sollen wir hochladen?
- Das AXF, ELF oder OUT Ihres Builds, ein HEX oder BIN, oder das Image, das Ihr Kunde bekommt. Am meisten liefert ein Build mit Debug-Informationen, weil dort Bibliotheken und Versionen stehen.
- Können wir eine Datei aus einem laufenden Entwicklungsprojekt nehmen?
- Ja. Für die Pflichten zählt das ausgelieferte Release, für die Planung des nächsten Release hilft ein Entwicklungsstand. Auf Wunsch unterschreiben wir vor dem Upload eine NDA.
- Was passiert mit der Datei?
- Sie geht von Ihrem Browser direkt in unseren Speicher in Frankfurt, die Analyse läuft auf Servern in Deutschland. An öffentliche Schwachstellendatenbanken gehen nur Komponentenname und Version. Bericht und SBOM haben Sie binnen drei Werktagen. Die Datei löschen wir nach der Analyse, den Bericht nach 30 Tagen.
- Was zeigt der Bericht bei Passwörtern und Schlüsseln?
- Wie viele es sind und wo sie stehen, mit Typ und Fundstelle. Den Wert selbst zeigt die kostenlose Prüfung nur maskiert; im Klartext wird er nicht gespeichert.
- Was, wenn das Image verschlüsselt ist?
- Ein vom Hersteller verschlüsseltes Image entschlüsseln wir nicht. Laden Sie die unverschlüsselte Datei aus dem Build hoch. Lässt sich eine Datei nicht lesen, nennt der Bericht den Grund.
- Ist der Bericht ein Nachweis der Konformität?
- Nein. Er ist technische Evidenz für Ihre technische Dokumentation. Die Konformitätsaussage treffen Sie als Hersteller.
- Was ist der Unterschied zu einer Selbstbewertung?
- Ein Fragebogen zum CRA fragt, was Sie über Ihr Produkt wissen. Die Prüfung liest die Datei selbst: was in der ausgelieferten Firmware steckt, welche Lücken daran hängen und welche Schutzmechanismen fehlen. Beides zusammen liefert Bausteine für die technische Dokumentation nach Anhang VII.
Falls Sie unser Schreiben erhalten haben: Wir schreiben Hersteller von Geräten mit Firmware an. Für Produkte mit digitalen Elementen gelten seit dem 11. September 2026 die Meldepflichten des Cyber Resilience Act, ab dem 11. Dezember 2027 die Stückliste der Komponenten und ein geregelter Umgang mit bekannten Schwachstellen. Die Prüfung zeigt an einem Ihrer Images, wo Sie heute stehen.
Ihre Ansprechpartner
LegacyMind GmbH, Ingolstadt
LegacyMind analysiert die Firmware von Geräteherstellern auf Binärebene.
Ben Plannet
CTO
Ihr Ansprechpartner für Termin, NDA und die Live-Analyse.
Marco Plannet
Geschäftsführer
Geschäftsführung, Angebot und Vertrag.
Lieber erst reden?
Termin vereinbaren
30 Minuten, zu einem Zeitpunkt aus dem Kalender. Wir zeigen die Analyse an einer Datei aus Ihrem Bestand oder an einem öffentlichen Image. Oder rufen Sie an.
Der Kalender wird von cal.meetergo.com geladen. Dabei wird eine Verbindung zu diesem Dienst aufgebaut und Ihre IP-Adresse übertragen. Vorher verlässt nichts Ihr Gerät.