PSIRT-Tools im Vergleich

Die kurze Antwort

• Firmware von Lieferanten als Binärdateien: ONEKEY, Finite State, NetRise oder Cybellum. Mit Binäranalyse sehen Sie in Code hinein, dessen Build Sie nie ausführen.
• Automobil-, Medizin- oder Industriegeräte mit regulatorischen Vorlagen: Cybellum, mit Vorlagen für FDA PMA, ISO 21434 und den EU CRA.
• Medizinprodukte und FDA-Einreichungen: Medcrypt, mit Helm für SBOMs und Schwachstellen.
• Viele Scanner in einer Warteschlange, mit PSIRT-Advisory-Workflow: DefectDojo, Open Source mit einer Pro-Edition.
• Ein System of Record für SBOMs vieler Lieferanten: Cybeats SBOM Studio.
• Yocto- oder Buildroot-Images mit kuratierten CVE-Daten: Timesys Vigiles.
• Schutz auch auf dem Gerät: Exein.
• Ein kostenloser, selbst gehosteter Ort zur Überwachung von SBOMs: OWASP Dependency-Track.
• Software, die Sie in GitHub Actions bauen: CRACI, das die SBOM jedes Builds aufzeichnet, jeden früheren Build aufbewahrt und das Ausgelieferte überwacht.

Für wen diese Seite gedacht ist

Sie leiten eine Produktsicherheitsfunktion oder bauen sie auf und wählen die Tools dafür aus. Wenn Sie die Rolle noch definieren, beginnen Sie mit Was ein PSIRT tut. Wir bauen CRACI, berücksichtigen Sie das also. Jede Aussage über ein anderes Produkt stammt von dessen eigener Website oder Dokumentation, geprüft im Oktober 2026, und zu den meisten Anbietern hier gibt es eine längere Seite CRACI vs. X.

Was ein PSIRT-Tool leisten muss

Die Arbeit folgt dem Lebenszyklus des Schwachstellenmanagements, und ein PSIRT braucht bei jedem Schritt Unterstützung:

1. Wissen, was ausgeliefert wird. Eine SBOM pro Produktversion, einschließlich transitiver Abhängigkeiten und Lieferantenkomponenten. Alles Weitere hängt davon ab, dass sie vollständig ist.
2. Neue Schwachstellen bemerken. Kontinuierliche Überwachung, die neue Advisories mit jeder veröffentlichten Version abgleicht, nicht nur mit der nächsten.
3. Die betroffenen Produkte finden. Welche Produkte, Versionen und Builds die Komponente enthalten und wie lange schon.
4. Sichten und weiterleiten. Entscheiden, was wichtig ist, und es an das Team weiterleiten, das für die Behebung zuständig ist.
5. Sagen, was nicht betroffen ist. VEX hält fest, welche Produkte eine Schwachstelle betrifft und warum die anderen nicht betroffen sind.
6. Meldungen entgegennehmen und informieren. Ein Kanal für externe Forscher, Fallverfolgung und Advisories, oft als maschinenlesbares CSAF.

Kein Tool unten deckt alle sechs gleich gut ab. Die meisten sind bei den ersten zwei oder drei Schritten am stärksten, und sie unterscheiden sich vor allem darin, woher ihr Inventar stammt.

So wählen Sie

• Bauen Sie die Software, oder erhalten Sie sie? Wenn ein Großteil des Produkts als Binärdateien von Chipherstellern und Lieferanten kommt, sehen Sie mit Binäranalyse hinein. Wenn Sie es selbst bauen, ist der Build die direkteste Quelle für das Inventar.
• Ist das Produkt reguliert? Für Medizinprodukte, Fahrzeuge und Industrieanlagen gelten Einreichungsformate und Normen. Manche Tools liefern Vorlagen dafür; andere überlassen das Ihrem eigenen Prozess.
• Wie viele Scanner nutzen Sie bereits? Wenn Befunde aus vielen Tools kommen, kann ein Aggregator, der sie dedupliziert, wichtiger sein als eine weitere Befundquelle.
• Wo gehen externe Meldungen ein? Einreichungen von Forschern brauchen meist einen eigenen Kanal (siehe unten), egal für welches Inventar-Tool Sie sich entscheiden.
• Muss es selbst gehostet sein? DefectDojo, Dependency-Track und Medcrypt Enterprise können auf Ihrer eigenen Infrastruktur laufen, und Cybellum kann in Ihrem eigenen Rechenzentrum laufen.

Auf einen Blick

Zwei Tabellen: zuerst Tools, die auf Firmware und Geräte ausgerichtet sind, dann Plattformen für Schwachstellenmanagement und SBOMs. „Keine Angabe“ bedeutet, dass die von uns zitierten Anbieterseiten dazu nichts sagen. Meldungseingang, Fallmanagement und die Veröffentlichung von Advisories werden im Text unten behandelt statt in den Tabellen.

Firmware und Geräte

Plattformen für Schwachstellenmanagement und SBOMs

CRACI

CRACI ist ein GitHub-Actions-Runner. Sie ändern runs-on auf craci, und während jeder Job läuft, zeichnet ein paketbewusster Proxy auf, was er lädt, einschließlich der aus CI-Caches wiederhergestellten Pakete und der Abhängigkeiten, die kein Lockfile aufführt. Die SBOM in CycloneDX oder SPDX trägt einen Vollständigkeitsstatus pro Job und pro Cache. CRACI bewahrt jeden früheren Build mit seiner SBOM auf, sodass Sie bei einem neuen Advisory innerhalb Ihrer Aufbewahrungsfrist sehen, welche Builds die verwundbare Abhängigkeit enthielten, direkt oder transitiv, und wie lange. Seine Inventaransicht zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit.

Nach dem Build bewertet CRACI überwachte SBOMs laufend neu, lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist, und unterstützt VEX. Policy-Gates können einen Build blockieren, der eine bestimmte CVE enthält, und eine Egress-Richtlinie begrenzt, was der Build erreichen kann. Sie können Hersteller-SBOMs hinzufügen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden. Für aktiv ausgenutzte Schwachstellen reicht CRACI die CRA-Meldungen in Ihrem Namen ein. Bei Yocto ergab ein Parallel-Build von core-image-sato eine SBOM mit jeder Komponente aus Yoctos eigener SBOM plus 88, die dort fehlten. Berechnet werden nur Build-Minuten: $0.004 pro Minute bei 2 vCPU, sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Ideal für: PSIRTs, deren Produkte in GitHub Actions gebaut werden. Zu beachten: Es analysiert keine Binärdateien, Firmware, die Sie nicht selbst gebaut haben, braucht also eine Hersteller-SBOM oder ein Tool für Binäranalyse; es hat keine Erreichbarkeitsanalyse und keinen Berichtsexport; und es unterstützt heute GitHub Actions, während GitLab CI und Jenkins auf der Roadmap sind. Siehe CRACI für PSIRT-Teams.

Plattformen für Firmware und Geräte

Cybellum

Cybellum ist eine Produktsicherheitsplattform für Gerätehersteller in den Märkten Automobil, Medizin und Industrie und gehört seit 2021 mehrheitlich LG Electronics. Seine Cyber Digital Twins entstehen aus Firmware-Binärdateien und werden mit Quellcode und Lieferanten-SBOMs in SPDX, CycloneDX oder CPE CSV zusammengeführt. Es überwacht Versionen nach der Produktion, sichtet mit einem KI-Assistenten, dem VM CoPilot, bietet eine Workbench zum Anlegen und Verwalten von Untersuchungen mit Tickets und teilt den Schwachstellenstatus über VEX- und CSAF-Berichte. Regulatorische Vorlagen decken FDA PMA, ISO 21434, den EU CRA und mehr als 50 Standards ab. Es läuft in öffentlichen Clouds oder in Ihrem eigenen Rechenzentrum. Ideal für: Gerätehersteller, die Binäranalyse und regulatorische Nachweise auf einer Plattform brauchen. Zu beachten: Die Preise sind nicht veröffentlicht, und es arbeitet mit Artefakten, statt Ihren Build auszuführen. CRACI vs. Cybellum und Cybellum-Alternativen

ONEKEY

ONEKEY analysiert kompilierte Firmware, und zwar nach eigener Aussage ohne Quellcode oder Netzwerkzugriff. Es erzeugt aus der Binärdatei eine SBOM, importiert Lieferanten-SBOMs, sucht nach wahrscheinlichen Zero-Days wie fest einprogrammierten Zugangsdaten und analysiert Firmware täglich neu. Sein Compliance Wizard führt Teams durch den CRA, IEC 62443-4-2, ETSI EN 303 645 und die Funkanlagenrichtlinie. Ideal für: Teams, die viel Lieferanten-Firmware integrieren. Zu beachten: Es arbeitet nach dem Build mit dem Image, zeichnet also nicht auf, was der Build geladen hat. CRACI vs. ONEKEY und ONEKEY-Alternativen

Finite State

Finite State analysiert Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs, unterstützt mehr als 50 binäre Befehlssatzarchitekturen und führt alles in einer Aufzeichnung der ausgelieferten Software mit Post-Market-Überwachung zusammen. Es stuft Befunde nach Erreichbarkeit und Exploit-Intelligence ein, hält VEX-Entscheidungen fest und ordnet Kontrollen den Anforderungen von CRA und FDA zu. Ideal für: PSIRTs, die eine lange Befundliste über viele Lieferanten hinweg priorisieren müssen. Zu beachten: Es setzt bei Artefakten an, die Kontrolle darüber, was Ihr eigener Build erreichen konnte, liegt also außerhalb seines Bereichs. CRACI vs. Finite State und Finite-State-Alternativen

NetRise

NetRise Turbine erzeugt nach eigener Aussage eine vollständige, aus der Binärdatei abgeleitete SBOM aus der Software selbst, einschließlich statisch gelinktem und eingebettetem Code, für Software, die Sie bauen, kaufen und betreiben. Es importiert SPDX- und CycloneDX-SBOMs, prüft laufend NVD, CISA KEV und Threat-Actor-Daten, stuft Befunde nach Erreichbarkeit im Ausführungspfad ein, meldet Secrets, Schlüssel und Fehlkonfigurationen im Artefakt und verbindet sich mit Jira und ServiceNow. Dragos gab am 21. September 2026 bekannt, NetRise übernommen zu haben. Ideal für: Betriebstechnik und Geräteflotten, deren Software von vielen Anbietern stammt. Zu beachten: Seine Seiten beschreiben weder VEX noch Fallmanagement oder die Veröffentlichung von Advisories, und die Preise sind nicht veröffentlicht. CRACI vs. NetRise und NetRise-Alternativen

Exein

Exein arbeitet auf dem Gerät ebenso wie vor dem Release. Exein Runtime nutzt eBPF, um bösartiges Verhalten auf Embedded Linux zu überwachen und zu blockieren, und der Open-Source-Yocto-Layer meta-exein bringt seinen Pulsar-Agenten in Ihr Image. Exein Analyzer scannt Firmware oder Ihre SBOM, wenn die Binärdatei nicht verfügbar ist, priorisiert mit Erreichbarkeits-Scoring und ordnet Befunde den CRA-Anforderungen zu. Ideal für: Embedded-Linux-Produkte, die Schutz im Feld brauchen. Zu beachten: Der Yocto-Layer ändert, was auf dem Gerät läuft; er führt Ihren Build weder aus noch zeichnet er ihn auf. CRACI vs. Exein

Timesys Vigiles

Vigiles, das inzwischen von Lynx Software Technologies verkauft wird, macht aus den Metadaten eines Yocto-, Buildroot- oder OpenWrt-Builds eine SBOM und gleicht sie mit einer kuratierten CVE-Datenbank ab. Konfigurationsfilter für Kernel und U-Boot entfernen CVEs in Funktionen, die Sie nicht bauen, Triage-Entscheidungen (betroffen, behoben, zurückgestellt, nicht ausnutzbar) werden pro Release gespeichert, CISA-KEV-Einträge werden hervorgehoben, und es exportiert SBOMs, VEX und Schwachstellenberichte. Ideal für: Embedded-Linux-Teams, die weniger CVE-Rauschen möchten. Zu beachten: Seine SBOM spiegelt wider, was laut BitBake-Metadaten ins Image einfließt, nicht alles, was der Build geladen hat. CRACI vs. Timesys Vigiles

Plattformen für Schwachstellenmanagement und SBOMs

DefectDojo

DefectDojo ist ein OWASP-Flagship-Projekt mit einer kommerziellen Pro-Edition. Die kostenlose Community Edition dedupliziert Befunde der Scanner, die Sie bereits nutzen, nach eigener Zählung mehr als 500 unterstützte Tools, in einer Warteschlange mit Zuständigen, SLAs und Jira-Tickets. Pro ergänzt den SBOM-Import in CycloneDX und SPDX, den CycloneDX-VEX-Export und eine PSIRT Advisory Engine, die Advisories aus mehr als 20 Feeds aufnimmt, mit SBOM-Daten abgleicht, in Fällen mit Zuständigen bündelt und als gebrandete PDFs veröffentlicht. Das Release vom September 2026 ergänzte den Export von CSAF-2.0- und VEX-Advisories sowie eine Meldeschnittstelle für Artikel 14 des CRA. Pro beginnt bei $100 pro Monat plus $0.15 pro verarbeitetem Befund. Ideal für: PSIRTs, die eine Open-Source-Basis und einen Advisory-Workflow möchten. Zu beachten: Es erzeugt selbst keine SBOMs, das Inventar ist also nur so vollständig wie das, was Sie hochladen. CRACI vs. DefectDojo und DefectDojo-Alternativen

Medcrypt

Medcrypt hilft Herstellern von Medizinprodukten, ihre Cybersicherheits-Einreichung durch die FDA-Prüfung zu bringen, mit einem Team, zu dem ehemalige FDA-Prüfer gehören. Sein Produkt Helm importiert CycloneDX- oder SPDX-SBOMs per API, GitHub Action oder Azure DevOps, überwacht sie laufend, stuft Befunde mit EPSS, CISA KEV und Exploit-Daten ein und exportiert CycloneDX-VEX- und VDR-Berichte. MSI, das Helm enthält, kostet $35,000 pro Produktlinie und Jahr, und seine MedISAO-Mitgliedschaft bringt ein Programm zur koordinierten Offenlegung von Schwachstellen mit. Ideal für: Hersteller von Medizinprodukten, die FDA-Einreichungen vorbereiten oder pflegen. Zu beachten: Es liest SBOMs ein, statt sie zu erzeugen (ein Generierungstool ist auf Anfrage verfügbar), und laut seiner Preisseite deckt die Plattform heute die FDA ab. CRACI vs. Medcrypt

Cybeats

Cybeats SBOM Studio bezeichnet sich selbst als „the SBOM system of record“. Es speichert SBOMs Ihrer Produkte und Lieferanten in SPDX 2.2 bis 3.0.1 und CycloneDX 1.2 bis 1.7, bewertet ihre Qualität vor dem Import, gleicht jede Komponente laufend mit Schwachstellendaten ab, stellt VEX aus und teilt SBOMs mit Kunden, auch über die Transparency Exchange API. Ideal für: Produktsicherheitsteams in den Bereichen ICS, Medizinprodukte, Telekommunikation und Automobil, die ein SBOM-Programm über viele Lieferanten hinweg betreiben. Zu beachten: Für die Generierung verweist es auf Anbieter in seinem Marketplace, die SBOM selbst stammt also aus einem anderen Tool. CRACI vs. Cybeats und Cybeats-Alternativen

Die Open-Source-Option: Dependency-Track

OWASP Dependency-Track ist eine Apache-2.0-Plattform, die Komponenten über jede Version jeder Anwendung hinweg verfolgt, Schwachstellendaten aus Quellen wie der NVD und GitHub Advisories bezieht, Sicherheits-, Lizenz- und Betriebsrichtlinien anwendet und CycloneDX VEX verarbeitet und erzeugt. Pipelines laden SBOMs über seine API hoch. Es ist kostenlos, und Sie hosten und betreiben es selbst. Ideal für: Teams, die eine transparente, selbst gehostete Analyseplattform möchten. Zu beachten: Es erzeugt keine SBOMs, seine Ergebnisse hängen also vom vorgeschalteten Generator ab. CRACI vs. Dependency-Track und Dependency-Track-Alternativen

Meldungseingang, Fälle und Advisories

Die Tabellen oben enden bei Triage und VEX. Der Rest der PSIRT-Arbeit, Meldungen entgegennehmen und informieren, ist ungleich abgedeckt:

• Meldungen externer Forscher. Sie kommen meist über ein Vulnerability Disclosure Program. Viele Unternehmen betreiben eines auf einer Plattform wie HackerOne Response oder Bugcrowds VDP, die Forschern einen Kanal für Einreichungen geben und bei der Triage helfen. Andere veröffentlichen selbst eine Richtlinie und einen Sicherheitskontakt. Unser Leitfaden zur koordinierten Offenlegung von Schwachstellen behandelt die Richtlinie, security.txt und Fristen.
• Fallmanagement. Cybellum hat eine Workbench für Untersuchungen mit Tickets. DefectDojo Pro bündelt abgeglichene Advisories in Fällen mit Zuständigen und SLA-Tracking. Keines von beiden sagt, dass es Einreichungen von Forschern hostet.
• Advisories. DefectDojo Pro veröffentlicht Advisories als gebrandete PDFs und exportiert CSAF 2.0. Cybellum teilt den Schwachstellenstatus über VEX- und CSAF-Berichte. Die MedISAO-Mitgliedschaft von Medcrypt umfasst ein Programm zur koordinierten Offenlegung von Schwachstellen.

Wo CRACI ansetzt

Die erste Frage in jedem PSIRT-Fall lautet, welche Produkte und Versionen die verwundbare Komponente enthalten. Binäranalyse beantwortet sie aus dem Ausgelieferten, SBOM-Plattformen aus den SBOMs, die Sie ihnen geben, und Aggregatoren aus den Meldungen anderer Scanner. CRACI beantwortet sie aus einer Aufzeichnung dessen, was Ihre eigenen Builds tatsächlich geladen haben, aufbewahrt für jeden früheren Build. Für Software, die Sie in GitHub Actions bauen, deckt das Inventar, Überwachung, Triage und VEX in einem Produkt ab, sodass für diese Builds kein separater SBOM-Manager wie Dependency-Track oder Cybeats nötig ist.

Andere Tools gewinnen an anderer Stelle. Die Binäranalyse von Cybellum, ONEKEY, Finite State oder NetRise sieht in Firmware hinein, die Sie nicht gebaut haben. Cybellum und Medcrypt bringen regulatorische Vorlagen und Einreichungsexpertise mit. DefectDojo aggregiert Befunde von Hunderten Scannern und veröffentlicht Advisories. Finite State, NetRise und Exein stufen Befunde nach Erreichbarkeit ein, was CRACI nicht bietet. Lesen Sie Was ein PSIRT tut und CRACI für PSIRT-Teams, oder vergleichen Sie CRA-Compliance-Tools und SBOM-Tools.

PSIRT-Tools: häufig gestellte Fragen

Was ist ein PSIRT-Tool?

Software, die einem Product Security Incident Response Team bei seiner Arbeit hilft: wissen, welche Komponenten in jeder Produktversion ausgeliefert werden, bemerken, wenn eine neue Schwachstelle sie betrifft, sie sichten, die Behebung weiterleiten, festhalten, welche Produkte nicht betroffen sind, und Kunden und Behörden informieren. Nur wenige Produkte decken das alles ab. Die meisten PSIRTs kombinieren ein Inventar- und Überwachungstool mit einem Kanal für externe Meldungen und einem Weg, Advisories zu veröffentlichen.

Welches PSIRT-Tool eignet sich am besten für Firmware, die wir als Binärdateien erhalten?

Ein Tool für Binäranalyse. Cybellum, ONEKEY, Finite State und NetRise erstellen eine SBOM aus der kompilierten Firmware selbst und können so in Lieferantencode hineinsehen, dessen Build Sie nie ausführen. Exein Analyzer scannt Firmware ebenfalls vor dem Release. CRACI analysiert keine Binärdateien; bei Lieferanten-Firmware kann es die SBOM des Herstellers überwachen, wenn dieser eine bereitstellt.

Welches PSIRT-Tool passt zu Software, die wir selbst bauen?

Wenn Ihre Builds in GitHub Actions laufen, zeichnet CRACI die SBOM jedes Builds während der Ausführung auf, bewahrt jeden früheren Build mit seiner SBOM auf, bewertet überwachte SBOMs neu, sobald Advisories erscheinen, und zeigt, welche Builds eine verwundbare Abhängigkeit enthielten und welche Softwareversionen in welchen Produkten im Einsatz sind. GitLab CI und Jenkins sind auf seiner Roadmap. Für Yocto-Images erstellt Timesys Vigiles eine SBOM aus BitBake-Metadaten, statt den Build aufzuzeichnen.

Gibt es ein kostenloses oder Open-Source-PSIRT-Tool?

Zwei der Tools hier haben kostenlose Editionen. DefectDojo Community Edition ist kostenlos unter der Lizenz BSD 3-Clause und dedupliziert Befunde von Hunderten Scannern in einer Warteschlange; seine PSIRT Advisory Engine, der SBOM-Import und der CSAF-Export sind in DefectDojo Pro enthalten. OWASP Dependency-Track ist kostenlos unter Apache 2.0 und überwacht die SBOMs, die Sie hochladen. Beide hosten und betreiben Sie selbst.

Nehmen PSIRT-Tools Meldungen externer Forscher entgegen?

Meldungen von Forschern kommen meist über ein Vulnerability Disclosure Program, oft auf einer Plattform wie HackerOne oder Bugcrowd, oder über einen veröffentlichten Sicherheitskontakt. DefectDojo Pro nimmt Advisories aus öffentlichen Feeds auf, und Cybellum bietet eine Workbench für Untersuchungen, doch keines von beiden sagt, dass es Einreichungen von Forschern hostet.

Welche Tools veröffentlichen CSAF-Advisories?

DefectDojo Pro hat im September 2026 den Export von CSAF-2.0- und VEX-Advisories ergänzt und veröffentlicht Advisories als gebrandete PDFs. Cybellum teilt den Schwachstellenstatus über VEX- und CSAF-Berichte. Die anderen Anbieter auf dieser Seite beschreiben auf den von uns zitierten Seiten keine Veröffentlichung von CSAF-Advisories.

Verlangt der CRA ein PSIRT-Tool?

Kein Tool ist vorgeschrieben. Der Cyber Resilience Act verlangt von Herstellern, Schwachstellen während des Unterstützungszeitraums zu behandeln, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und eine Meldekontaktstelle zu unterhalten und seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden, 72 Stunden und 14 Tagen zu melden. CRACI reicht diese Meldungen im Namen des Herstellers ein, und DefectDojo Pro hat eine Meldeschnittstelle für Artikel 14 des CRA. Die Pflicht bleibt beim Hersteller.