Sicherheit und Vertraulichkeit
Was mit Ihrer Firmware passiert
Ihre Firmware wird in Frankfurt gespeichert, in Deutschland analysiert und nach der Analyse gelöscht, auch wenn die Analyse abbricht. An öffentliche Schwachstellendatenbanken gehen nur Komponentenname und Version. Die Ergebnisse sehen Sie und die Mitglieder Ihrer Organisation.
Stand 20.10.2026
- 1Uploadin Ihren Zugang, Speicher in Frankfurt
- 2Analyseauf unseren Servern in Deutschland
- 3Abgleichnach außen nur Komponentenname und Version
- 4Löschungdie Datei, nach der Analyse
- 5Ergebnisin der Datenbank in Frankfurt, in Ihrem Zugang
Der Weg der Datei
Vom Upload bis zur Löschung
Fünf Stationen. Gespeichert wird die Datei in Frankfurt, analysiert auf unseren Servern in Deutschland, nach der Analyse ist sie gelöscht.
- 1 · Upload
- Sie laden die Datei in Ihrem eigenen LegacyMind-Zugang hoch. Sie liegt im Speicher unserer Datenbank in Frankfurt.
- 2 · Analyse
- Die Analyse läuft automatisch auf unseren Servern in Deutschland.
- 3 · Abgleich
- Gegen öffentliche Schwachstellendatenbanken gehen nur Komponentenname und Version, nie die Datei.
- 4 · Löschung
- Das hochgeladene Firmware-Image wird nach der Analyse gelöscht, auch wenn die Analyse abbricht. Startet zu einem Upload keine Analyse, startet das System sie selbst nach; gelingt das nicht, wird der Upload spätestens nach 24 Stunden gelöscht.
- 5 · Ergebnis
- Komponenten, Befunde und Berichte liegen in der Datenbank in Frankfurt, sichtbar in Ihrem Zugang.
Wer was sieht
Ihre Ergebnisse gehören in Ihren Zugang
Die Rechte prüft die Datenbank selbst, Zeile für Zeile: eine Abfrage aus einem fremden Zugang bekommt keine Ihrer Zeilen zurück.
- Sie
- Wer die Datei hochgeladen hat, sieht und ändert die Ergebnisse.
- Ihre Organisation
- Mitglieder Ihrer Organisation sehen Geräte und Ergebnisse und können je Befund eine Entscheidung festhalten. Löschen kann ein Gerät nur, wer es hochgeladen hat.
- Öffentliche Datenbanken
- Sie erfahren Komponentenname und Version, etwa „FreeRTOS 10.1.1“. Nicht, von welchem Gerät oder Kunden die Anfrage kommt, und nie die Datei.
Was bleibt
Was gespeichert bleibt, und wie lange
Die Datei geht, die Ergebnisse bleiben, solange Sie sie brauchen. Wie lange, stellen Sie selbst ein.
- Die Datei
- Gelöscht nach der Analyse, auch wenn die Analyse abbricht.
- Stückliste und Gerätedaten
- Bleiben in Ihrem Zugang, damit neue Schwachstellen weiter Ihren Ständen zugeordnet werden können.
- Befunde
- Bleiben, bis Sie eine Frist einstellen: 30 Tage bis 2 Jahre, unter Einstellungen, Datenschutz.
- Importierte SBOM
- Die SBOM-Datei Ihres Zulieferers bleibt am Gerät gespeichert, als Grundlage des laufenden Abgleichs.
- Gefundene Geheimnisse
- Passwörter und Schlüssel, die die Analyse im Image findet, werden nach einer Frist geschwärzt, die Sie wählen: 2 bis 90 Tage.
Vertraulichkeit
Was wir zusagen
Die Bedingungen des kostenfreien Checks stehen beim CRA-Readiness-Check.
- NDA
- Auf Wunsch unterschreiben wir vorher eine NDA.
- Kein Quellcode
- Die Analyse braucht nur die Datei, die Ihr Build erzeugt, oder das ausgelieferte Image. Kein Repository, kein Zugang zu Ihren Systemen.
- Verschlüsselte Images
- Ein vom Hersteller verschlüsseltes Image entschlüsseln wir nicht. Lässt sich eine Datei nicht lesen, nennt der Bericht den Grund.
- Auftragsverarbeitung
- Soweit wir personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen wir, soweit erforderlich, eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.
Dienstleister
Wer für uns Daten verarbeitet
Die Firmware-Datei liegt nur bei zwei Dienstleistern, beide mit Rechenzentrum in Deutschland: Supabase und Hetzner. Die übrigen erreicht die Datei nicht, weil Ihr Browser sie direkt in den Speicher lädt.
- Supabase
- Datenbank und Dateispeicher der Plattform, Rechenzentrum Frankfurt am Main (Region eu-central-1).
- Hetzner Online
- Server, auf denen die Analyse läuft, in Deutschland.
- Upstash
- Warteschlange der Analyseaufträge. Sie enthält Auftragsdaten, nie die Firmware-Datei.
- Scaleway
- Versand der E-Mail-Benachrichtigungen der App.
- Vercel
- Betrieb der App-Oberfläche und dieser Website. Was die Website erhebt, steht in der Datenschutzerklärung.
Fragen zur Vertraulichkeit
Was Hersteller und Dienstleister uns fragen
- Geht unsere Firmware in eine Cloud?
- Sie liegt für die Dauer der Analyse im Dateispeicher unseres Dienstleisters in Frankfurt und wird auf unseren Servern in Deutschland analysiert. Danach ist sie gelöscht.
- Wer sieht unsere Ergebnisse?
- Sie und die Mitglieder Ihrer Organisation. Mitglieder können je Befund eine Entscheidung festhalten; löschen kann ein Gerät nur, wer es hochgeladen hat.
- Was erfährt eine öffentliche Schwachstellendatenbank?
- Komponentenname und Version, etwa „FreeRTOS 10.1.1“. Nicht Ihr Gerät, nicht Ihren Namen, nie die Datei.
- Können wir festlegen, wie lange Ergebnisse gespeichert bleiben?
- Ja, unter Einstellungen, Datenschutz: Befunde 30 Tage bis 2 Jahre, gefundene Passwörter und Schlüssel werden nach 2 bis 90 Tagen geschwärzt. Ohne Einstellung bleiben sie gespeichert.
- Unterschreiben Sie eine NDA?
- Ja, auf Wunsch vor dem Upload.
- Analysieren Sie verschlüsselte Firmware?
- Ein vom Hersteller verschlüsseltes Image entschlüsseln wir nicht. Schicken Sie die unverschlüsselte Datei aus Ihrem Build.
Fangen Sie mit einem Image an
Auf Wunsch mit NDA. Bericht und SBOM bekommen Sie binnen drei Werktagen nach dem Upload.