Was Sie nicht kennen, können Sie nicht schützen.

Nein. Er liefert Befunde innerhalb seines Umfangs. Code, Offline-Systeme und nicht erreichbare Komponenten benötigen andere Erfassungswege.

Eine SBOM beschreibt Softwarebestandteile. Eine CBOM ergänzt eine gezielte Sicht auf kryptografische Komponenten und Abhängigkeiten, die für die Umstellungsplanung relevant sind.

Welche Ihrer Anwendungen verwenden welche Verschlüsselung – und wer kann sie ändern? Wir erfassen kryptografische Abhängigkeiten und ordnen sie Ihren Systemen und Verantwortlichen zu. Das Inventar schafft eine überprüfbare Grundlage für die weitere Planung.

Untersuchungsumfang und erlaubte Erfassungswege festlegen Protokolle, Zertifikate, Bibliotheken und Schlüsselverwendungen erfassen Ergebnisse aus Scans, Codeanalyse und Systemexporten zusammenführen Abhängigkeiten und nicht untersuchte Bereiche kennzeichnen Fortschreibung des Inventars und maschinenlesbaren Export vorbereiten

Krypto-Inventar mit Herkunft und Abdeckung Abhängigkeitsübersicht je Anwendung Verfahren zur Aktualisierung der CBOM

Ein Netzwerkscan sieht erreichbare Dienste, aber keine gesamte Kryptografie einer Organisation. Wir kombinieren erlaubte Erfassungswege: Endpunkte, Zertifikatsbestände, Bibliotheken, Konfiguration und Interviews mit Systemverantwortlichen. Auch Offline-Signaturen, mobile Geräte und eingebettete Komponenten können relevant sein. Die Ergebnisse unterscheiden beobachtete Nutzung von lediglich installierten Fähigkeiten. Jede Feststellung erhält Quelle und Zeitpunkt, damit spätere Entscheidungen nicht auf unklaren Annahmen beruhen.

Eine Cryptography Bill of Materials, kurz CBOM, beschreibt kryptografische Komponenten und ihre Beziehungen in maschinenlesbarer Form. Entscheidend ist die Zuordnung zum Einsatzzweck: Ein Zertifikat kann eine Verbindung schützen oder eine langfristig prüfbare Signatur absichern. Wir erfassen Eigentümer, Änderbarkeit und Abhängigkeiten zu Herstellern. Nicht erreichbare oder nicht untersuchte Systeme bleiben als Lücke sichtbar. Ein großer Datenexport ohne diese Einordnung wäre keine belastbare Entscheidungsgrundlage.

Änderungen an Bibliotheken, Zertifikaten und Konfiguration sollen in die Fortschreibung einfließen. Dafür werden Verantwortliche und Aktualisierungsanlässe festgelegt. In der Abnahme prüfen wir Stichproben gegen reale Systeme und dokumentieren den erreichten Untersuchungsumfang. Produktionsscans erfolgen nur im freigegebenen Rahmen und mit Rücksicht auf empfindliche Komponenten.

Wir erfassen, wo Ihre Anwendungen und Infrastrukturen kryptografische Verfahren nutzen. Das Ergebnis verbindet technische Fundstellen mit fachlicher Bedeutung, Zuständigkeit und dem Weg, auf dem eine Änderung überhaupt möglich ist.

Fundstellen sind Systemen, Verwendungen und Verantwortlichen zugeordnet. Unbekannte Bereiche und Erhebungsgrenzen bleiben sichtbar. Änderungen am Bestand können in das Inventar zurückgeführt werden.

Beispiel: Eine Organisation kennt ihre Webzertifikate, aber nicht die Signaturbibliothek eines Archivsystems. Die Bestandsaufnahme verbindet beide mit Datenaufbewahrung und Herstellerzuständigkeit. Dadurch wird sichtbar, dass die Archivabhängigkeit einen längeren Vorlauf benötigt als der nächste Austausch eines Webservers.

Neben TLS-Zertifikaten betrachten wir Bibliotheken, Signaturverfahren, Schlüsselablagen und eingebettete Funktionen in Produkten. Quellcodeanalyse, Konfigurationsprüfung und technische Erhebung können sich ergänzen. Kein einzelnes Werkzeug sieht alle Abhängigkeiten; deshalb dokumentieren wir die Abdeckung und verbleibende Unklarheiten ausdrücklich. Eine Fundstelle wird einem System und einem verantwortlichen Team zugeordnet. Wichtig sind Algorithmus, Verwendung, unterstützende Komponente und die Daten, die geschützt werden. Eine Liste von Algorithmen ohne ihren Einsatzzweck hilft bei der späteren Priorisierung nur begrenzt.

Wir unterscheiden selbst entwickelte Software von Produkten, die nur über Herstellerupdates geändert werden können. Ebenso erfassen wir Geräte mit langen Lebenszyklen und externe Kommunikationspartner. Die Frage lautet nicht nur, was heute verwendet wird, sondern wer eine Umstellung veranlassen und abnehmen kann. Das Inventar erhält einen Pflegeprozess. Neue Software und wesentliche Änderungen sollen erfasst werden, damit die Bestandsaufnahme nicht nach wenigen Monaten veraltet ist. Für nicht zugängliche Systeme halten wir offene Nachweise und konkrete Rückfragen an Lieferanten fest, statt fehlende Sichtbarkeit als fehlende Kryptografie zu interpretieren.

Krypto-Inventar und Schutzbedarf IT, Informationssicherheit, Anwendungsverantwortliche, OTOKO® Kryptografie-Spezialist CBOM, Schutzbedarf und Datenlebensdauer je System, Lückenanalyse zu BSI TR-02102

Roadmap, Zielalgorithmen, Übergangsphasen Architektur, Informationssicherheit, PKI-Betrieb, Einkauf Migrations-Roadmap, Kryptografie-Richtlinie, Zielbild für PKI und HSM, Betriebsmodell