CYBERSICHERHEIT FÜR GERÄTE, APPS UND WEBSITES · IN DER EU ENTWICKELT
KROMSE prüft die Software Ihrer Geräte, Apps und Websites auf Sicherheitslücken – Schwachstellen, über die Angreifer eindringen oder Daten stehlen können. Jede Lücke wird verständlich erklärt, und wo es möglich ist, bereitet KROMSE die Korrektur für Sie vor, mit Nachweis dessen, was geprüft wurde. Nichts ändert sich, bevor Sie zustimmen.
Lernen Sie KROMSE mit einem Produktexperten kennen.
Keine Kreditkarte erforderlich.
Geräte · Apps · Websites → Sicherheitslücken erklärt → Korrekturen, die Sie freigeben
Unterstützt von
Aufgenommen im KROMSE-Arbeitsbereich mit eigenen Demoprojekten von KROMSE; der Korrekturteil nutzt ein Demo-Repository. Ohne Ton, 36 Sekunden. Keine Ergebnisse Ihres Produkts.
Erstellen Sie einen kostenlosen Arbeitsbereich und fügen Sie hinzu, was Sie herstellen: die Software eines Geräts (ein Linux-basiertes Firmware-Image), den Code einer App oder die Adresse einer Website. Ihr Team prüft die Auswirkungen und entscheidet, welche Befunde eine Reaktion erfordern.
Die GitHub-App von KROMSE hat nur Lesezugriff, und Sie wählen, welches Repository sie sehen darf. Kein Repository zur Hand? Laden Sie stattdessen eine SBOM (die Liste der Komponenten, aus denen Ihre Software besteht) im Format CycloneDX oder SPDX hoch: Komponenten mit unterstützten Kennungen werden mit OSV abgeglichen, einer öffentlichen Datenbank bekannter Sicherheitslücken. Komponenten ohne diese Kennungen werden nicht geprüft. Eine SBOM enthält keinen Quellcode, daher laufen die Secret-, Code- und Infrastrukturprüfungen eines Repository-Scans darauf nicht.
KROMSE gleicht die Komponenten der gescannten Version oder Ihrer SBOM mit unterstützten Quellen bekannter Sicherheitslücken ab und dokumentiert, was nicht geprüft werden konnte. Korrekturen sind optional und werden pro Arbeitsbereich freigeschaltet: KROMSE bereitet sie für Updates von Open-Source-Komponenten in GitHub-Repositories vor, als Pull-Request-Entwurf (eine vorgeschlagene Änderung), den Ihr Team prüft und zusammenführt.
So funktioniert es
Verbinden Sie den Code Ihrer App, laden Sie eine SBOM oder die Linux-Firmware Ihres Geräts hoch. KROMSE listet die erkannten Bestandteile auf und prüft sie auf bekannte Schwachstellen (CVEs), offengelegte Zugangsdaten und Schwächen in Ihrem eigenen Code.
Jede Sicherheitslücke wird in einfachen Worten erklärt, mit Schweregrad und einem Risikowert für das Produkt, damit Sie wissen, wo Sie anfangen.
Wo es möglich ist, bereitet Rook die genaue Änderung vor und zeigt die durchgeführten Prüfungen. Heute sind das Updates von Open-Source-Abhängigkeiten in GitHub-Repositorys, pro Arbeitsbereich aktiviert.
Kein Security-Team nötig: Eine Entwicklerin oder ein Entwickler liest die Änderung und ihre Prüfungen, gibt sie frei, und Rook öffnet einen Pull Request als Entwurf. Das Mergen bleibt Ihre Entscheidung.
Das ist das echte KROMSE-Produkt, keine Illustration: der Scan eines Code-Repositorys, die gefundenen Sicherheitslücken und Rook, der Korrekturassistent von KROMSE, der Korrekturen vorbereitet, die auf die Freigabe durch einen Menschen warten.
Ein Scan von Anfang bis Ende
KROMSE identifiziert Komponenten und gleicht sie mit Sicherheitshinweisen zu Schwachstellen ab. Verfolgen Sie den Weg von der Quelldatei bis zur betroffenen Version.
Prüfung der Rook-Korrekturen im KROMSE-Demoprojekt. Ein Standbild aus der Produktaufnahme, keine Ergebnisse Ihres Produkts.
Was Sie bekommen
KROMSEBeispielproduktIllustratives BeispielKlar sehen, was Aufmerksamkeit braucht
3Befunde zur Prüfung
Angreifer nutzen diese Schwachstelle andernorts aus – bestätigte Ausnutzung irgendwo auf der Welt, kein Beleg für irgendetwas in Ihrem Produkt. Ihr Build enthält die betroffene Version.
Laden Sie die Software eines Geräts hoch (ein Linux-basiertes Firmware-Image), verbinden Sie den Code einer App oder ihre Komponentenliste (SBOM) oder prüfen Sie eine Website. Eine Übersicht darüber, was Ihr Produkt enthält und wo seine Sicherheitslücken liegen.
Zu jeder Sicherheitslücke gibt es eine verständliche Erklärung. Im Rahmen Ihres Nutzungskontingents prüft KI die wichtigsten: Betreffen sie Sie wahrscheinlich, was sollte aktualisiert werden, und was kann sie nicht wissen. Die letzte Entscheidung trifft Ihr Team.
Ihr erster Scan ist kostenlos und kommt ohne Vertriebsgespräch aus. Basic kostet 59 € monatlich oder 49 € pro Monat bei jährlicher Abrechnung von 588 €, zzgl. MwSt. Anwendung, Datenbank und Scanner laufen in Deutschland; Scan-Nachweise und Firmware liegen bei Cloudflare, KI-Anfragen gehen an Anbieter außerhalb der EU.
Sie verkaufen in der EU? Derselbe Scan bereitet Ihre Nachweise für die Cyberresilienz-Verordnung zur menschlichen Prüfung vor.
02 / DEN NACHWEISEN FOLGEN
Halten Sie die Einschätzung Ihres Teams und die zugehörigen Nachweise fest. Übernehmen Sie sie in einen internen CRA-Berichtsentwurf – mit sichtbaren fehlenden Angaben und weiterhin erforderlicher menschlicher Prüfung.
Ihren Arbeitsbereich öffnenWas ein Scan liefert
KROMSE erklärt jede Lücke in fünf Teilen, damit jeder in Ihrem Team einschätzen kann, was sie für Ihr Produkt bedeutet.
“Angreifer nutzen diese Sicherheitslücke anderswo aus – das heißt: bestätigte Angriffe irgendwo auf der Welt, kein Nachweis für irgendetwas in Ihrem Produkt.”
Eine bekannte Ausnutzung andernorts belegt keine Ausnutzung in Ihrem Produkt. KROMSE macht diesen Unterschied ausdrücklich.
Dass eine Komponente zu einem Sicherheitshinweis passt, beweist allein nicht, dass Ihr Produkt ausnutzbar ist. KROMSE zeigt Erreichbarkeit nur an, wenn eine unterstützte Analyse-Engine dafür in diesem Scan Nachweise geliefert hat. Andernfalls bleibt sie unbestätigt. Ihr Team bewertet die Auswirkungen auf das Produkt.
Sobald Ihr Team bestätigt hat, dass ein Befund ein Produkt betrifft, das Sie auf dem EU-Markt in Verkehr bringen, kann KROMSE einen Reaktionsvorgang eröffnen und Ihre Entscheidung festhalten. Sie bestimmen, wann ein interner Entwurf nach Artikel 14 erstellt wird. Fehlende Angaben bleiben für die menschliche Prüfung markiert, und erfasste Termine sind eine Arbeitshilfe, keine rechtliche Feststellung.
Erzählen Sie uns von Ihrem Produkt und was Sie sehen möchten. Wir melden uns bei Ihnen, um eine Demo mit einem Produktexperten zu vereinbaren.
Preise
Bringen Sie Ihr erstes Produkt in einem kostenlosen Arbeitsbereich in den Blick. Erweitern Sie Kapazität und Betreuung, wenn Ihr Team wächst.
0 €/ Monat
Testen Sie KROMSE an einem echten Produkt, mit begrenzter Nutzung.
Keine Kreditkarte erforderlich.
49 €/ Monat
Zzgl. MwSt.
588 € jährlich berechnet
120 €/Jahr sparen
7-tägige Testphase für berechtigte neue Abonnements. Kreditkarte erforderlich. Wenn Sie vor dem Ende der Testphase kündigen, zahlen Sie nichts; andernfalls wird an ihrem Ende der volle Jahresbetrag berechnet.
Für ein kleines Team, das ein oder zwei Produkte auf den CRA vorbereitet.
Wählen Sie unter Tarif und Nutzung eine verfügbare Abrechnungsoption.
249 €/ Monat
Zzgl. MwSt.
2.988 € jährlich berechnet
600 €/Jahr sparen
7-tägige Testphase für berechtigte neue Abonnements. Kreditkarte erforderlich. Wenn Sie vor dem Ende der Testphase kündigen, zahlen Sie nichts; andernfalls wird an ihrem Ende der volle Jahresbetrag berechnet.
Für Teams, die Sicherheitsnachweise über ein ganzes Produktportfolio hinweg prüfen.
Wählen Sie unter Tarif und Nutzung eine verfügbare Abrechnungsoption.
Vertrieb kontaktieren
Umfang und Preis werden für Ihr Produktportfolio vereinbart.
Verfügbarkeit und Leistungsumfang werden in einem schriftlichen Angebot bestätigt.
Veröffentlichte Preise pro Arbeitsbereich in EUR, zzgl. MwSt. Für die berufliche Nutzung, auch durch Selbstständige. Verfügbare Kaufoptionen finden Sie unter Tarif und Nutzung. Das Anlegen eines Arbeitsbereichs startet kein kostenpflichtiges Abonnement.
Sie können die Verlängerung jederzeit kündigen und behalten den Zugang bis zum Ende des bezahlten Zeitraums. Gebühren für den laufenden Zeitraum werden nicht erstattet, sofern dies nicht gesetzlich vorgeschrieben ist.
Pro enthält 5× die KI-Nutzung von Basic. Die KI-Nutzung bei Enterprise ist anpassbar und wird für Ihr Team vereinbart. Die enthaltene Nutzung wird jeden Monat erneuert, auch bei jährlicher Abrechnung.
Cyber Resilience Act
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ab dem 11. September 2026 melden (Artikel 14). Der Rest der Verordnung gilt ab dem 11. Dezember 2027.
Meldung einer aktiv ausgenutzten Schwachstelle, Artikel 14 Absatz 2
Quelle: Verordnung (EU) 2024/2847, Artikel 14 und 71 Absatz 2 sowie Anhang I. KROMSE bescheinigt keine Konformität und sendet nichts an Behörden.
Umfang und Grenzen
Ein Compliance-Nachweis ist nur etwas wert, wenn er auch Widerspruch standhält. Deshalb muss klar sein, wo die Software aufhört und ein Mensch übernimmt.
KROMSE zertifiziert Sie nicht. Das kann keine Software: CRA-Konformität ist eine Erklärung des Herstellers, und ein Scan ist ein Nachweis auf dem Weg dorthin, kein Ersatz dafür.
KROMSE reicht Ihre Meldung nach Artikel 14 nicht ein. KROMSE entwirft das Dokument und markiert, was es nicht wissen kann; ein Mensch prüft, ergänzt und übermittelt es.
Es behauptet nicht, dass eine Sicherheitslücke in einer verwendeten Komponente in Ihrem Produkt angreifbar ist. Es sagt Ihnen, dass die Komponente vorhanden ist, und erklärt klar, was das belegt und was nicht.
KROMSE erfindet nichts, was ihm nicht vorliegt. Fehlende Informationen bleiben eine markierte Lücke, nie eine plausibel klingende Vermutung.
Scans liefern Nachweise zur Produktsicherheit. Separate Arbeitsbereiche zur Vorbereitung auf NIS2 und die KI-Verordnung der EU ordnen Informationen für die menschliche Prüfung; sie machen aus einem Scan-Ergebnis keine Feststellung der Konformität.
Fragen
Nein. Sie können ein GitHub-Repository verbinden oder eine CycloneDX- oder SPDX-SBOM hochladen.
Nein. GitHub, GitLab, Bitbucket, Azure DevOps oder jeder Git-Server über HTTPS funktioniert mit einem Zugriffstoken mit reinem Lesezugriff. Und jede Build-Pipeline kann die SBOM jedes Releases mit einem API-Token übermitteln, ohne KROMSE überhaupt Zugriff auf Ihren Code zu geben.
KROMSE liest nur die Repositories, die Sie auswählen, und löst den Abhängigkeitsbaum an einem bestimmten Commit auf. Der Scanner arbeitet nur lesend. Rook (Autofix) öffnet, nur wenn Sie es einschalten, Pull Requests als Entwurf, die Sie prüfen und zusammenführen.
Nein. Begrenzt ist die Kapazität – ein Produkt und 2 Scans pro rollierendem 30-Tage-Zeitraum –, nicht die Zeit. Ihre aktuellen Grenzen und Ihre Nutzung sehen Sie direkt im Produkt.
Inhaber und Administratoren eines Arbeitsbereichs sehen unter Tarif und Nutzung die verfügbaren Abonnements und zusätzliche KI-Kontingente. Stripe zeigt den Endpreis und die anfallenden Steuern, bevor Sie die Zahlung bestätigen. Für Enterprise wenden Sie sich an den Vertrieb.
KROMSE erstellt Nachweise und Dokumentenentwürfe. Die Konformität bleibt eine Erklärung des Herstellers, abgegeben von einem Menschen, der prüft, was das Produkt zusammengestellt hat.
Die KROMSE-Anwendung ist auf Englisch, Spanisch (Spanien), Französisch, Deutsch und Italienisch verfügbar. Die Sprache wählen Sie unter Einstellungen → Sprache. Originalnachweise, frühere Nachrichten und Dokumente behalten ihre ursprüngliche Sprache.
Wo es möglich ist. Rook, der Korrekturassistent von KROMSE, bereitet die Korrektur einer Sicherheitslücke vor und zeigt die durchgeführten Prüfungen. Heute deckt Rook Updates von Open-Source-Abhängigkeiten in GitHub-Repositorys ab und wird pro Arbeitsbereich aktiviert. In Ihren Code wird nichts geschrieben, bevor ein Mensch die genaue Änderung freigibt; dann öffnet Rook einen Pull Request als Entwurf, und das Mergen bleibt Ihre Entscheidung.
Nein. KROMSE erklärt jede Sicherheitslücke in einfachen Worten und bereitet Korrekturen vor, wo es möglich ist, sodass Entwicklung oder Produktverantwortliche handeln können. Jede Korrektur und jeder Bericht wird weiterhin von einem Menschen in Ihrem Team geprüft und freigegeben.
Ja. Laden Sie ein Linux-basiertes Firmware-Image mit bis zu 512 MB hoch: KROMSE entpackt es, listet die erkannten Pakete auf, prüft sie auf bekannte Schwachstellen und dokumentiert, was nicht analysiert werden konnte. Bare-Metal-, RTOS- und verschlüsselte Images werden als nicht analysierbar gemeldet, nie als sauber. Yocto- und Buildroot-Build-Manifeste lassen sich ebenfalls hochladen; ihre Bestandteile werden aufgelistet, aber nicht mit Sicherheitsmeldungen abgeglichen.
Ja. Eine SBOM (Software-Stückliste) ist die Liste der Bestandteile, aus denen Ihre Software besteht. KROMSE erstellt für jeden Scan eines Repositorys, Container-Images oder Linux-basierten Firmware-Images eine SBOM in CycloneDX und eine in SPDX, und Sie können Ihre eigene hochladen.
Nein. Neben bekannten Schwachstellen (CVEs) in den verwendeten Bestandteilen prüft KROMSE Ihren eigenen Quellcode mit Opengrep-Regeln für 11 Sprachen auf Schwächen wie Injection-Lücken und sucht nach offengelegten Zugangsdaten und Fehlkonfigurationen. Für diese Befunde gibt es keine öffentliche Meldung; Ihr Team prüft sie.
Kostenlos scannen
Beginnen Sie mit einem Produkt und erhalten Sie seine Sicherheitslücken in einfachen Worten erklärt, in einer exakten, nachvollziehbaren Version. Kostenlos und ohne Bezahlschritt.
Erstellen Sie ein Konto und fügen Sie dann Ihr erstes Produkt hinzu.
Sie entwickeln ein Tool, das KROMSE anbinden sollte? Werden Sie Technologiepartner.