Cybellum-Alternativen

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams über Cybellum hinausschauen

Cybellum ist eine Produktsicherheitsplattform für Gerätehersteller in den Märkten Automotive, Medizintechnik und Industrie. Ihre Cyber Digital Twins lassen sich laut Cybellum „aus den Binärdateien jedes Produkts oder jeder Komponente extrahieren“, und die Plattform führt sie mit Quellcode und SBOMs „in den Formaten SPDX, CycloneDX oder CPE-CSV“ zusammen. Sie überwacht Versionen und Branches nach der Produktion, sichtet mit einem KI-Assistenten, zeigt, „welche Produkte oder Komponenten von einer neuen Schwachstelle oder Regulierung betroffen sind“, gibt einem PSIRT „eine Arbeitsumgebung zum Anlegen und Verwalten von Untersuchungen“ und teilt den Status „über VEX/CSAF-Berichte“. Regulatorische Vorlagen decken FDA PMA, ISO 21434 und den EU CRA ab. LG Electronics hat 2021 eine Mehrheitsbeteiligung übernommen.

Teams vergleichen trotzdem Alternativen, meist aus einem dieser Gründe:

• Der Großteil der Software ist ihre eigene. Die Analyse einer Binärdatei arbeitet vom Ergebnis aus rückwärts. Ein Team, das seine eigene Software und Images baut, kann stattdessen aufzeichnen, was in sie eingeflossen ist.
• Eine schmalere Aufgabe. Manche Teams brauchen nur Firmware-Analyse, nur ein SBOM-System of Record oder nur die Aufnahme von Advisories und die Fallbearbeitung statt einer vollständigen Produktsicherheitsplattform.
• Branchenfokus. Die Vorlagen von Cybellum sind auf Regulierung in Automotive und Medizintechnik ausgerichtet; manche Teams wollen ein Tool, das auf eine bestimmte Branche zugeschnitten ist, oder eines, das es nicht ist.
• Preise und Hosting. Cybellum veröffentlicht keine Preise, und manche Teams wollen eine Open-Source-Basis, die sie selbst betreiben.

Worauf ein PSIRT achten sollte

• Ein Inventar dessen, was ausgeliefert wird: ob es aus der Binärdatei stammt, aus SBOMs, die Sie erhalten, oder aus dem Build.
• Betroffene Produkte und Versionen: wie schnell das Tool die Frage „Wo liefern wir diese Komponente aus?“ beantwortet.
• Überwachung nach dem Release und welche Schwachstellen-Feeds dabei beobachtet werden.
• Sichtung: Signale zur Ausnutzbarkeit, VEX und die Weiterleitung jedes Befunds an das Team, das für die Behebung zuständig ist.
• Advisories und Meldungen: was Sie für Kunden veröffentlichen können und welche Nachweise der Cyber Resilience Act verlangt.
• CI-Abdeckung, Hosting-Optionen und wie die Preise skalieren.

Zum Prozess selbst siehe was ein PSIRT tut und PSIRT-Tools im Vergleich.

Die Optionen

1. CRACI (unser Produkt)

CRACI ist ein GitHub-Actions-Runner, der die SBOM erzeugt, während der Build läuft. Es richtet sich an Teams, die ihre eigene Software und Firmware bauen. Ein paketbewusster Proxy zeichnet auf, was jeder Job von Paket- und Quellcode-Hosts lädt, einschließlich Paketen aus CI-Caches, und jede SBOM weist ihre Vollständigkeit pro Job und pro Cache aus. Yocto-Builds laufen auf Runnern mit bis zu 32 vCPUs und 96 GB RAM: In einem direkten Vergleich mit einem Build von core-image-sato enthielt die SBOM von CRACI jede Komponente aus der Yocto-eigenen SBOM plus 88, die diese übersehen hatte, etwa Host-Pakete und GitHub Actions, sowie eine Package URL für jede der 653 Rust-Crate-Versionen, die Yocto ohne eine solche aufführt.

Für ein PSIRT bewahrt CRACI jeden früheren Build mit seiner SBOM auf, sodass Sie sehen, welche Builds eine verwundbare Abhängigkeit enthielten und wie lange, und die Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind. CRACI bewertet überwachte SBOMs laufend neu, unterstützt VEX und lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Sie können Hersteller-SBOMs hinzufügen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden. Weil CRACI den Job ausführt, setzt es auch eine Egress-Richtlinie durch, die im Zweifel blockiert (fail closed).

Ideal für: Hersteller, die ihre eigene Software und Images auf GitHub Actions bauen und Build, SBOM und Schwachstellenverfolgung an einem Ort wollen. Sinnvoll, wenn: Sie ohne Binäranalyse, Zero-Day-Befunde, Erreichbarkeitsanalyse und geführte Prüfungen gegen Standards auskommen, die CRACI alle nicht bietet; es kann nicht in Firmware hineinsehen, die Sie nicht selbst gebaut haben. Es unterstützt nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. CRACI vs. Cybellum

2. ONEKEY

ONEKEY analysiert kompilierte Firmware, ohne dass laut ONEKEY „Quellcode oder Netzwerkzugriff nötig“ sind. Es erzeugt eine SBOM aus der Binärdatei, importiert Lieferanten-SBOMs, exportiert CycloneDX und SPDX, sucht nach wahrscheinlichen Zero-Days wie fest codierten Zugangsdaten und analysiert Firmware täglich neu. Sein Compliance Wizard führt Teams durch den CRA, IEC 62443-4-2, ETSI EN 303 645 und die Radio Equipment Directive.

Ideal für: Gerätehersteller, die Firmware-Images prüfen, die sie nicht selbst gebaut haben, mit geführten Prüfungen gegen Standards. Sinnvoll, wenn: Sie die Image-Analyse ohne regulatorische Vorlagen für Automotive und Medizintechnik wollen. CRACI vs. ONEKEY

3. Finite State

Finite State analysiert Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs, laut Finite State mit „Unterstützung für über 50 binäre Befehlssatzarchitekturen“, und führt sie in einem Produktdatensatz zusammen. Es ordnet Befunde nach Erreichbarkeit, Exploit-Informationen und Produktkontext, hält VEX-Entscheidungen fest, und sein Compliance-Workflow umfasst die Zuordnung von CRA-Kontrollen und auditfähige Berichte mit SBOM- und VEX-Artefakten. Es bindet Prüfungen in GitHub Actions, GitLab CI und Jenkins ein.

Ideal für: Hersteller vernetzter Geräte, die Firmware von vielen Lieferanten analysieren müssen, mit weniger Rauschen durch nicht erreichbare Befunde. Sinnvoll, wenn: Erreichbarkeit das Signal ist, nach dem Ihr PSIRT sichtet. CRACI vs. Finite State

4. NetRise

NetRise Turbine analysiert kompilierten Code, um laut NetRise „genaue SBOMs zu erstellen und Risiken in der Software aufzudecken, die tatsächlich“ auf Geräten ausgeführt wird, und priorisiert Schwachstellen nach Erreichbarkeit und Ausnutzbarkeit. NetRise Provenance betrachtet Herkunft, Maintainer und Repository-Zustand von Open-Source-Komponenten. Dragos hat NetRise am 21. September 2026 übernommen und positioniert es für Flotten in der Betriebstechnik (OT).

Ideal für: Teams für Produktsicherheit, Drittanbieterrisiken und Incident Response, besonders in Industrie und kritischer Infrastruktur, die wissen müssen, was auf Geräten läuft. Sinnvoll, wenn: ein Kauf auf Angebotsbasis zu Ihnen passt; NetRise veröffentlicht keine Preise und gehört seit September 2026 zu Dragos.

5. Cybeats

Cybeats SBOM Studio ist ein System of Record, das SBOMs über Produkte und Lieferanten hinweg aufnimmt, verwaltet, überwacht und teilt. Es bewertet die SBOM-Qualität beim Import und teilt SBOMs und VEX mit Kunden. Für SBOM-Generierung und Binary Composition Analysis verweist Cybeats auf Anbieter in seinem Marketplace, und das Add-on RAVEN bewertet die Erreichbarkeit und entwirft VEX.

Ideal für: Hersteller aus Medizintechnik, Industrie und Telekommunikation, die ein SBOM-Programm über viele Produkte und Lieferanten hinweg betreiben. Sinnvoll, wenn: Sie bereits eine Möglichkeit haben, SBOMs zu erzeugen; SBOM Studio verwaltet SBOMs, die ein anderes Tool erzeugt hat. CRACI vs. Cybeats

6. Medcrypt

Medcrypt konzentriert sich auf Hersteller von Medizinprodukten. Sein Produkt Helm übernimmt SBOM- und Schwachstellenmanagement: Sie „laden SBOMs hoch oder erstellen sie manuell (CycloneDX oder SPDX)“ oder binden Helm über die API, eine GitHub Action oder die Azure-DevOps-Integration an Ihre Pipeline an. Helm nutzt EPSS, CISA KEV, ExploitDB und Metasploit, um Schwachstellen zu priorisieren, bewertet sie neu, sobald Fix-Daten vorliegen, und exportiert SBOMs, VDRs und VEX. Medcrypt bietet außerdem Dienstleistungen wie die Prüfung von Threat Models und Unterstützung bei FDA-Einreichungen.

Ideal für: Hersteller von Medizinprodukten, die FDA-Premarket-Einreichungen vorbereiten und Schwachstellenmanagement nach dem Inverkehrbringen betreiben. Zu bedenken, wenn: Ihre Produkte keine Medizinprodukte sind oder Sie Binäranalyse brauchen, die Medcrypt nicht beschreibt.

7. DefectDojo

DefectDojo ist eine Open-Source-Plattform für Schwachstellenmanagement, die Befunde aus laut DefectDojo „über 500 Integrationen“ aufnimmt, Duplikate bereinigt und die Behebung verfolgt. Die PSIRT Advisory Engine, Teil von DefectDojo Pro, nimmt Advisories von CISA, NVD, EUVD und mehr als einem Dutzend weiterer Feeds auf, gleicht sie mit Ihren SBOM-Daten ab, bewertet sie mit CVSS, EPSS und KEV, gruppiert Treffer zu Fällen mit Verantwortlichen und erzeugt Advisories als PDF im eigenen Branding. Pro läuft in der Cloud oder selbst gehostet.

Ideal für: PSIRTs, die Advisory-Aufnahme, Fallbearbeitung und SLA-Verfolgung auf einer Open-Source-Basis für Schwachstellenmanagement wollen. Sinnvoll, wenn: Sie bereits SBOMs für den Abgleich haben; DefectDojo erzeugt keine und analysiert keine Binärdateien. Die Community Edition ist kostenlos; Pro kostet $100 pro Monat plus 15 Cent pro Befund (Stand Oktober 2026).

8. Exein

Exein arbeitet auf dem Gerät und an der Firmware. Exein Runtime nutzt eBPF, um schädliches Verhalten auf Embedded Linux zu überwachen und zu blockieren, und der Open-Source-Yocto-Layer meta-exein bringt den Pulsar-Agenten in Ihr Image. Exein Analyzer untersucht Firmware vor dem Release oder Ihre SBOM, wenn die Binärdatei nicht vorliegt, priorisiert Befunde mit Erreichbarkeitsbewertung und LLM-gestützter Filterung und ordnet sie den Anforderungen des CRA zu.

Ideal für: Hersteller von Embedded-Linux-Systemen, die neben Firmware-Analyse auch Schutz im Feld wollen. Sinnvoll, wenn: Sie bereit sind, einen Agenten auf dem Gerät auszuliefern. CRACI vs. Exein

9. Timesys Vigiles

Vigiles, inzwischen von Lynx Software Technologies vertrieben, macht aus den Metadaten eines Yocto- oder Buildroot-Builds eine SBOM und gleicht sie mit einer kuratierten CVE-Datenbank ab. Teams halten fest, ob jede CVE betroffen, behoben, zurückgestellt oder nicht ausnutzbar ist, Vigiles speichert diese Entscheidungen pro Release und exportiert SBOMs zusammen mit VEX und Schwachstellenberichten.

Ideal für: Embedded-Linux-Teams, die weniger CVE-Rauschen bei Yocto- und Buildroot-Images wollen. Zu bedenken, wenn: Ihre Produkte nicht auf Embedded Linux basieren. CRACI vs. Timesys Vigiles

Im direkten Vergleich

„Medcrypt Helm“ steht für das SBOM- und Schwachstellenmanagement-Produkt von Medcrypt, „NetRise“ für NetRise Turbine und „Cybeats“ für SBOM Studio. Timesys Vigiles ist oben beschrieben und nicht in der Tabelle enthalten. „Keine Angabe“ bedeutet, dass die Funktion in der Dokumentation des Anbieters nicht beschrieben ist, nicht, dass sie fehlt.

Für den Cyber Resilience Act

Cybellum, ONEKEY, Finite State, DefectDojo und Exein beschreiben alle Unterstützung für den CRA. Seine Meldepflichten gelten seit dem 11. September 2026, seine wesentlichen Bestimmungen ab dem 11. Dezember 2027. Eine Frühwarnung innerhalb von 24 Stunden setzt voraus, dass Sie schnell wissen, welche Releases eine betroffene Komponente enthalten. Für Software, die Sie selbst bauen, bewahrt CRACI die Build-Historie mit der SBOM jedes Builds auf, sodass Sie sehen, welche Builds eine verwundbare Abhängigkeit enthielten. Die API liefert SBOMs, Netzwerk-Traces und Provenienzdaten, SBOMs lassen sich als CycloneDX oder SPDX exportieren, und CRACI reicht die CRA-Meldungen in Ihrem Namen ein.

Kein Tool auf dieser Seite macht einen Hersteller allein compliant. Siehe was der CRA verlangt und CRA-Compliance-Tools im Vergleich.

Wann Sie bei Cybellum bleiben sollten

• Ein Großteil Ihrer Firmware kommt als Binärdateien von Lieferanten, und Sie müssen hineinsehen können.
• Sie wollen Binärdateien, Quellcode und Lieferanten-SBOMs zu einer validierten SBOM pro Produkt und Version zusammenführen.
• Ihr PSIRT führt seine Untersuchungen in einer Arbeitsumgebung und teilt den Status als VEX- oder CSAF-Berichte.
• Sie sind auf Vorlagen für FDA PMA, ISO 21434 oder den EU CRA angewiesen oder müssen das Tool im eigenen Rechenzentrum betreiben.

Mehr dazu unter CRACI für PSIRT-Teams, Embedded-Security-Tools im Vergleich und Finite-State-Alternativen.

Cybellum-Alternativen: häufig gestellte Fragen

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Was ist die beste Alternative zu Cybellum?

Das hängt davon ab, was Ihr PSIRT am dringendsten braucht. Für die Analyse von Firmware-Binärdateien kommen ONEKEY, Finite State oder NetRise infrage. Für ein System of Record für SBOMs über Produkte und Lieferanten hinweg Cybeats. Für Medizinprodukte und FDA-Einreichungen Medcrypt. Für die Aufnahme von Advisories und die Fallbearbeitung auf einer Open-Source-Basis für Schwachstellenmanagement DefectDojo mit seiner PSIRT Advisory Engine. Für zusätzlichen Schutz auf dem Gerät Exein. Wenn Sie Ihre eigene Software in GitHub Actions bauen, zeichnet CRACI die SBOM aus jedem Build auf und überwacht sie auf Schwachstellen.

Kann CRACI Firmware-Binärdateien analysieren wie Cybellum?

Nein. CRACI analysiert keine Binärdateien oder Firmware-Images und sucht nicht nach Zero-Days. Es zeichnet auf, was Ihre eigenen Builds laden, während sie auf den GitHub-Actions-Runnern von CRACI laufen, einschließlich Yocto-Builds, und erzeugt daraus die SBOM. Für Firmware, die Sie als Binärdatei erhalten, können Sie die SBOM des Herstellers zu CRACI hinzufügen, damit ihre Komponenten überwacht werden; ohne SBOM brauchen Sie jedoch ein Tool für Binäranalyse.

Welches dieser Tools sagt einem PSIRT, welche Produkte eine neue CVE betrifft?

Die meisten, auf Basis unterschiedlicher Eingaben. Cybellum, ONEKEY, Finite State und NetRise arbeiten mit der Analyse der Binärdateien, die Sie ausliefern. Cybeats, Medcrypt Helm und DefectDojo gleichen die SBOMs ab, die Sie ihnen geben. CRACI arbeitet mit einer Aufzeichnung dessen, was jeder Build geladen hat: Die Build-Historie zeigt, welche Builds eine verwundbare Abhängigkeit enthielten, direkt oder transitiv, und die Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind.

Gibt es eine kostenlose Alternative zu Cybellum?

Die Community Edition von DefectDojo ist kostenlos und Open Source; sie bündelt Befunde anderer Scanner und bereinigt Duplikate. Die PSIRT Advisory Engine, die Advisories mit Ihren SBOM-Daten abgleicht und zu Fällen gruppiert, ist Teil von DefectDojo Pro. Keine der beiden Editionen analysiert Firmware-Binärdateien.

Ist eine Build-Time-SBOM besser als eine aus Binäranalyse?

Für Software, die Sie selbst bauen, zeichnet eine Build-Time-SBOM auf, was eingeflossen ist, statt es aus dem Ergebnis abzuleiten, was bei kompiliertem Code wie Rust und C schwierig ist. Für Firmware, die Sie nicht selbst gebaut haben, bleibt Binäranalyse die einzige Option. In einem direkten Vergleich mit einem core-image-sato-Build enthielt die SBOM von CRACI jede Komponente aus der Yocto-eigenen SBOM plus 88, die diese übersehen hatte, sowie eine Package URL für jede der 653 Rust-Crate-Versionen, die Yocto ohne eine solche aufführt.