What exactly is a Cryptographic Bill of Materials (CBOM) and why do we need one?

A Cryptographic Bill of Materials (CBOM) is a structured inventory that details every cryptographic asset in an organization's software and systems, including encryption algorithms, digital keys, certificates, cryptographic protocols, and supporting libraries. What makes it powerful is not just the inventory itself, but the layer of intelligence built on top of it. CBOM Secure maps each asset to the systems and execution paths that actively depend on it, classifies them by risk and compliance alignment, and continuously updates the inventory as your environment evolves.

How is CBOM Secure different from a one-time cryptographic audit?

A point-in-time audit gives you a snapshot, while CBOM Secure gives you continuous intelligence. As your codebase evolves, new dependencies are introduced and the threat landscape shifts, CBOM Secure produces continuously reconciled state, driven by automated discovery and correlation across code, runtime, and infrastructure layers. This means compliance evidence, risk assessments, and migration plans are always based on accurate, up-to-date data rather than a report/documentation that became outdated the moment it was published.

Can CBOM Secure tell us which cryptography is actively running versus just present in code?

Yes, and this distinction is critical. CBOM Secure differentiates between dormant cryptographic code that exists but is never invoked, conditionally executed logic that only runs under specific circumstances, and cryptographic controls that are actively used in production. Rather than treating every discovered asset as an equal risk, this level of precision ensures your team focuses remediation efforts on real-world exposure, eliminating false positives and avoiding the wasted effort of chasing vulnerabilities in code paths that never reach a live environment.

How does CBOM Secure help with Post-Quantum Cryptography migration planning?

CBOM Secure helps your team see the full ripple effect of replacing any algorithm before a single change is made, showing exactly which systems and dependencies are affected and in what order they need to be addressed. Based on this, your organization can build a prioritized remediation roadmap aligned with NIST PQC and CNSA 2.0 transition requirements, sequenced around actual usage, dependency criticality, and business impact, moving forward with clarity rather than assumption.

How does CBOM Secure support us during a security incident or CVE disclosure?

When a cryptographic vulnerability is disclosed, every minute of uncertainty increases exposure. CBOM Secure accelerates incident response by instantly correlating the affected algorithm, certificate, or library to every application and service using it, based on NIST SP 800-61 and 800-53 mappings. This allows your team to scope impact precisely, contain the threat faster, and avoid the time-consuming process of manually tracing dependencies under pressure. This also reduces incident scoping time from days to minutes by eliminating manual dependency tracing.

Does CBOM Secure cover third-party and open-source components?

Yes. Supply chain risk is one of CBOM Secure's core capabilities. It extends visibility into transitive cryptographic dependencies, including those introduced through third-party and open-source libraries for hidden cryptographic risks, exposing vulnerabilities that could affect your environment before they reach production. This directly supports compliance with EO 14028 and CISA guidance on software supply chain security

What compliance frameworks does CBOM Secure support?

CBOM Secure doesn't just generate reports, it maintains continuously audit-ready cryptographic evidence, mapped directly to control requirements across multiple frameworks like FIPS 140-3, CMMC 2.0, ISO 27001, SOC 2, and NIST standards. Compliance evidence is continuously maintained and structured for regulatory reviews, eliminating the need to scramble for documentation when an audit arrives.

How does CBOM Secure handle cryptographic debt from legacy systems?

Legacy environments often carry the highest cryptographic risk, with deprecated algorithms, weak key configurations, and undocumented implementations accumulated over years. CBOM Secure identifies these during platform reviews and goes a step further by mapping them to business-critical systems and their dependency chains, classifying each finding by severity and compliance exposure to build a complete picture of where the greatest risk actually sits. This enables phased, risk-based remediation that prioritizes the assets most critical to business operations and most exposed to compliance or security risk, ensuring modernization happens in a controlled, informed manner without disrupting the systems your organization depends on most.

Kryptografische Erkennung und Inventarisierung

Kontinuierliche kryptografische Transparenz, Risikobewertung und Krypto-Agilität für alle Assets in Ihrem Unternehmen, von der Cloud bis zum Quellcode.

Demo anfordern Datenblatt herunterladen

Vertrauenswürdig durch

Warum CBOM sicher?

Ihre kryptografische Umgebung ist größer, komplexer und angreifbarer als Sie denken. CBOM Secure vereint alle Schlüssel, Zertifikate und Algorithmen – von der Cloud-Infrastruktur bis zur Kryptografie in Ihrem Quellcode – in einem einzigen, kontinuierlich aktualisierten Inventar für Ihr gesamtes Unternehmen. Im Gegensatz zu Zertifikatsmanagern, PKI oder Tools zur Analyse von Cloud- und Angriffsflächen zeigt Ihnen CBOM Secure, welche Kryptografie tatsächlich eingesetzt wird, ob sie ausreichend sicher ist und wo sie verwendet wird.

Erreichbarkeit des Codepfads

CBOM Secure verfolgt, wie Ihre Anwendungen tatsächlich Kryptografie nutzen – vom aufrufenden Code bis hin zu den verwendeten Schlüsseln und Algorithmen. Ihre Teams können sich so auf die tatsächlich verwendete und exponierte Kryptografie konzentrieren, anstatt ungenutzten Code zu analysieren, der nie in der Produktion ausgeführt wird.

Vollständiger Versicherungsschutz für Immobilien

Mehr als 20 Produktionssensoren erfassen kryptografische Assets auf Cloud-Plattformen, Hardware-Sicherheitsmodulen, KMIP-Servern, TLS-Endpunkten, Verzeichnisdiensten, Datenbanken, Dateisystemen, Quellcode und Binärdateien. Von Hyperscale-Cloud-Lösungen bis hin zu abgeschotteten Infrastrukturen.

Live-Inventar

CBOM Secure pflegt einen Live-Kryptografiegraphen, der jeden Algorithmus, Schlüssel, jedes Zertifikat und jede Bibliothek den jeweiligen Abhängigkeiten zuordnet.

Nachweise zur Einhaltung der Vorschriften auf Anfrage

Native Ausrichtung auf CMMC 2.0, CNSA 2.0, NIST IR 8547, PCI DSS 4.0, ISO 27001 und SOC 2. Audit-Artefakte, die in CycloneDX 1.6 und 1.7 generiert wurden.

Quantenbereit, kryptoagil

Bewerten Sie die Kryptoagilität pro Host, bevor die Standards in Kraft treten. Identifizieren Sie quantenanfällige Algorithmen in Bezug auf Schlüssel, Zertifikate und Protokoll-Verschlüsselungssuiten. Erstellen Sie Migrationspfade zu den NIST-Standards für Quantensicherheit.

Sichtbar. Kontrolliert. Quantenbereit. Von Grund auf.

Vorteile von Unser Produkt

Größte Vielfalt an Quellcodeabdeckung

Sieben Sprachen, mehr als 70 kryptografische Bibliotheken und mehr als 880 Funktionsmuster, mit Aufrufgraph-Erreichbarkeit über Dateien hinweg.

Automatisiertes Inventar

Pflegen Sie kontinuierlich eine einzige maßgebliche Aufzeichnung aller Algorithmen, Schlüssel, Zertifikate, Protokolle und Vertrauensabhängigkeiten, damit eine Kompromittierung der Zertifizierungsstelle oder ein fehlerhafter Algorithmus zu einer Anfrage und nicht zu einem Notfall wird.

Risk Intelligence

Vierstufige Risikoklassifizierung, Erkennung der Schlüsselwiederverwendung und Trennung von HSM- und Softwareschlüsseln, damit Sie die wichtigsten Abhilfemaßnahmen priorisieren können.

Quantenhaltung

Quantenbereitschaft zusammengefasst über drei Anlageklassen: Schlüssel, Zertifikate und Protokoll-Verschlüsselungssuiten.

Politikberichterstattung

Die Einhaltung der Richtlinien wird im Zeitverlauf überwacht, mit anpassbaren Dashboards (über 50 KPIs, über 30 Widgets) und dem Export von CycloneDX 1.6 und 1.7, wodurch die Auditvorbereitung von wochenlangen Tabellenkalkulationen zu einem On-Demand-Download wird.

Entdecken Sie die Funktionalität von CBOM Secure

Eine kontinuierliche kryptografische Kontrolle gemäß den Anforderungen von NIST, FIPS, CNSA und den regulatorischen Vorgaben etablieren.

Mehr erfahren

Entdecken

Anlageninformationen

Kontinuierliche Generierung kryptografischer Inventare über Quellcode, Binärdateien, Schlüsselspeicher, Datenbanken, HSMs, KMIP-Server, Cloud-Plattformen und PKI hinweg.

Algorithmen, Parameter, Schlüssel, Zertifikate und kryptografische Bibliotheken identifizieren.
Vermögenswerte nach Sensibilität, Übereinstimmung mit den NIST-Richtlinien und Quantenexposition klassifizieren.

Korrelat

Abhängigkeitszuordnung

Ordnen Sie jedes kryptografische Asset den Anwendungen und Zugangspunkten zu, die darauf zugreifen.

Überprüfen Sie die aktiven kryptografischen Abhängigkeiten für CMMC- und ISO-Audits.
Inaktive Kryptographie sollte von der produktiven Nutzung getrennt werden.

Regierung

Risikokontrolle

Die Einhaltung der in NIST SP 800-131A, FIPS 140-3, CNSA 2.0 und CMMC 2.0 geforderten kryptografischen Standards ist sicherzustellen.

Messen Sie die Übereinstimmung mit regulatorischen und internen kryptografischen Richtlinien.
Führen Sie eine phasenweise Sanierung der erfassten Abhängigkeiten durch.

Anwendungen

Bewältigen Sie Ihre größten Sicherheitsherausforderungen reibungslos. Von der Quantentechnologie-Bereitschaft bis zur Lieferkettenabwehr – wir verwandeln komplexe Daten in gelöste Probleme.

Vorfallanalyse

Ermitteln Sie mithilfe der NIST SP 800-61- und 800-53-Zuordnungen alle betroffenen Systeme während einer CVE. Innerhalb von Minuten, nicht Tagen.

Compliance-Nachweis

Erstellung von Inventarlisten, die für Audits gemäß FIPS 140-3, CMMC 2.0, PCI DSS 4.0, ISO 27001 und SOC 2 geeignet sind.

Risikopriorisierung

Ordnen Sie kryptografische Assets nach Nutzung, Kritikalität der Abhängigkeiten, Schlüsselwiederverwendung, Lebenszyklus und Compliance-Risiko.

Lieferkettenrisiko

Prüfen Sie die Kryptografie in Drittanbieterbibliotheken und Binärdateien auf Übereinstimmung mit SBOM, EO 14028 und den CISA-Richtlinien.

Quantenkartierung

Identifizieren Sie quantenanfällige Kryptographie in Schlüsseln, Zertifikaten und Protokoll-Verschlüsselungssuiten.

Compliance-Überwachung

Die kryptografische Sicherheitslage wird kontinuierlich im Hinblick auf die Konformitätsrahmen von NIST, FIPS und ISO überwacht.

Bereitstellungsoptionen

CBOM Secure ist so konzipiert, dass es sich an unterschiedliche Unternehmensumgebungen anpassen lässt und sichere Bereitstellungsmodelle unterstützt, die mit organisatorischen, regulatorischen und datenbezogenen Anforderungen übereinstimmen.

Auf dem Gelände

Die Implementierung erfolgt innerhalb der internen Infrastruktur, um die direkte operative Kontrolle und die lokale Datenverarbeitung zu gewährleisten.

Wolke

Ermöglichen Sie eine schnelle Bereitstellung, elastische Skalierbarkeit und zentrale kryptografische Transparenz über verschiedene Umgebungen hinweg.

Hybrid

Kombinieren Sie die lokale Erkennung mit zentralisierter Transparenz über verteilte und gemischte Infrastrukturmodelle hinweg.

SaaS

Nutzen Sie einen vollständig verwalteten Service für sofortigen Zugriff und kontinuierliche Funktionsbereitstellung, wodurch der Bedarf an Bereitstellung oder Wartung entfällt.

Kostenlose Testversion

Testen Sie CBOM Secure 15 Tage lang kostenlos und erstellen Sie innerhalb weniger Stunden eine vollständige Stückliste für Kryptografie. Erkennen Sie automatisch alle Schlüssel, Zertifikate, Algorithmen und Kryptobibliotheken in Ihrem Code, Ihrer Cloud und Ihren lokalen Umgebungen und sehen Sie genau, wie gut Sie auf Quantencomputer vorbereitet sind.

Kostenlos Ausprobieren

Entdecken Sie unsere

Neueste Infos

Post-Quanten-Kryptographie

Erläuterung der NIST PQC-Standards: FIPS 203, 204 und 205 für Enterprise-Teams

Vergleichen Sie die PQC-Standards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) des NIST hinsichtlich Anwendungsfall, Leistung und Implementierungsreife für Enterprise-Teams.

Alle Blogs anzeigen

Anleitung zum Erstellen einer ML-DSA-CA-Hierarchie in Microsoft AD-CS

Wie man eine ML-DSA-CA-Hierarchie in Microsoft AD CS erstellt

PQC-Programm-Governance: Rollen und Verantwortlichkeiten im gesamten Unternehmen

PQC-Programmsteuerung: Rollen und Verantwortlichkeiten im gesamten Unternehmen

Was die Google Cloud PQC-Roadmap 2029 für Unternehmenskunden bedeutet

Was die PQC-Roadmap von Google Cloud bis 2029 für Unternehmenskunden bedeutet

White Paper (ENG)

Das 47-Tage-Zertifikat und der Leitfaden zur Vorbereitung auf die Zeit nach der Quantenbestrahlung

Navigieren Sie durch die Ära der 47-tägigen Zertifikatsgültigkeit und die Post-Quanten-Kryptographie mit einem praktischen Leitfaden zur Vorbereitung, der Fristen, Automatisierung, Eigentumsverhältnisse, Ausnahmen und ROI abdeckt.

Alle Whitepaper ansehen

Der PQC-Kontrollleitfaden 2026

Lösungen für kryptografische Stücklisten (CBOM)

Die Zertifikatskriege: Der Wettlauf gegen das Ablaufdatum

Der Zertifizierungskrieg: Das Rennen gegen das Ablaufdatum

Video

Einführung des MCP-Servers für das Zertifikatslebenszyklusmanagement (CLM) | KI-gestützter CertSecure Manager

Entdecken Sie Experteneinblicke in Cybersicherheit, PKI und Post-Quanten-Bereitschaft sowie praktische Anleitungen zur Stärkung der Sicherheit und Zukunftsfähigkeit der Kryptographie.

Jetzt ansehen

Alle Videos ansehen

Navigation durch PQC-Codesignatur: Architekturstrategien für die Integrität der Software-Lieferkette

Das Ende der Clientauthentifizierung in öffentlichen TLS-Verbindungen: Was es kaputt macht und wie man sich vorbereitet

Das Ende der Clientauthentifizierung in öffentlichen TLS-Systemen: Was dadurch beeinträchtigt wird und wie man sich darauf vorbereiten kann

Die Kryptoanalyse des Claude-Mythos erklärt: Was die KI in HAWK und Reduced Round AES herausgefunden hat

Die Ergebnisse der Kryptoanalyse von Claude Mythos erklärt: Was die KI in HAWK und Reduced-Round AES herausgefunden hat

Hilfe & Support

Häufig gestellte Fragen Fragen

Alles, was Sie über CBOM Secure wissen müssen. Sie finden Ihre Antwort nicht? Schreiben Sie uns eine E-Mail , wir melden uns schnellstmöglich bei Ihnen!

Was genau ist eine kryptografische Stückliste (CBOM) und warum benötigen wir eine?

Eine kryptografische Stückliste (CBOM) ist ein strukturiertes Inventar, das alle kryptografischen Assets in der Software und den Systemen eines Unternehmens detailliert beschreibt. Dazu gehören Verschlüsselungsalgorithmen, digitale Schlüssel, Zertifikate, kryptografische Protokolle und zugehörige Bibliotheken. Ihre Stärke liegt nicht nur im Inventar selbst, sondern auch in der darauf aufbauenden Informationsschicht. CBOM Secure ordnet jedes Asset den Systemen und Ausführungspfaden zu, die aktiv davon abhängen, klassifiziert sie nach Risiko und Compliance-Konformität und aktualisiert das Inventar kontinuierlich, um sich an die Weiterentwicklung Ihrer IT-Umgebung anzupassen.

Worin unterscheidet sich CBOM Secure von einer einmaligen kryptografischen Prüfung?

Ein punktuelles Audit liefert eine Momentaufnahme, CBOM Secure hingegen kontinuierliche Informationen. Mit der Weiterentwicklung Ihrer Codebasis, dem Hinzufügen neuer Abhängigkeiten und der sich verändernden Bedrohungslandschaft erzeugt CBOM Secure einen stets aktuellen Status, basierend auf automatisierter Erkennung und Korrelation über Code-, Laufzeit- und Infrastrukturebenen hinweg. So basieren Compliance-Nachweise, Risikobewertungen und Migrationspläne stets auf präzisen und aktuellen Daten und nicht auf Berichten oder Dokumentationen, die bereits bei Veröffentlichung veraltet sind.

Kann CBOM Secure uns mitteilen, welche Verschlüsselungstechniken aktiv ausgeführt werden und welche nur im Code vorhanden sind?

Ja, und diese Unterscheidung ist entscheidend. CBOM Secure differenziert zwischen ruhendem kryptografischem Code, der zwar existiert, aber nie aufgerufen wird, bedingt ausgeführter Logik, die nur unter bestimmten Umständen ausgeführt wird, und kryptografischen Kontrollen, die aktiv in der Produktion eingesetzt werden. Anstatt jedes entdeckte Asset als gleichwertiges Risiko zu behandeln, stellt diese Präzision sicher, dass sich Ihr Team bei der Behebung von Schwachstellen auf tatsächliche Gefährdungen konzentriert. So werden Fehlalarme vermieden und der unnötige Aufwand für die Suche nach Schwachstellen in Codepfaden, die nie in einer Live-Umgebung zum Einsatz kommen, verhindert.

Wie unterstützt CBOM Secure die Migrationsplanung für Post-Quanten-Kryptographie?

CBOM Secure unterstützt Ihr Team dabei, die Auswirkungen eines Algorithmuswechsels vollständig zu erfassen, noch bevor eine einzige Änderung vorgenommen wird. Es zeigt exakt an, welche Systeme und Abhängigkeiten betroffen sind und in welcher Reihenfolge die notwendigen Maßnahmen ergriffen werden müssen. Darauf aufbauend kann Ihr Unternehmen einen priorisierten Sanierungsplan erstellen, der den Anforderungen von NIST PQC und CNSA 2.0 entspricht. Die Reihenfolge der Maßnahmen richtet sich nach der tatsächlichen Nutzung, der Kritikalität der Abhängigkeiten und den Auswirkungen auf das Geschäft. So können Sie mit Klarheit statt mit Annahmen vorgehen.

Wie unterstützt uns CBOM Secure bei einem Sicherheitsvorfall oder der Offenlegung einer CVE?

Wird eine kryptografische Schwachstelle bekannt, erhöht jede Minute der Unsicherheit das Risiko. CBOM Secure beschleunigt die Reaktion auf Sicherheitsvorfälle, indem es den betroffenen Algorithmus, das Zertifikat oder die Bibliothek anhand der NIST SP 800-61- und 800-53-Zuordnungen sofort allen Anwendungen und Diensten zuordnet, die diese verwenden. So kann Ihr Team die Auswirkungen präzise eingrenzen, die Bedrohung schneller eindämmen und die zeitaufwändige manuelle Abhängigkeitsanalyse unter Zeitdruck vermeiden. Durch den Wegfall der manuellen Abhängigkeitsanalyse verkürzt sich die Zeit für die Vorfallsanalyse von Tagen auf Minuten.

Umfasst CBOM Secure auch Komponenten von Drittanbietern und Open-Source-Komponenten?

Ja. Die Risikoanalyse der Lieferkette gehört zu den Kernkompetenzen von CBOM Secure. Es erweitert die Transparenz transitiver kryptografischer Abhängigkeiten, einschließlich solcher, die durch Drittanbieter- und Open-Source-Bibliotheken eingeführt werden, und deckt so versteckte kryptografische Risiken auf. Dadurch werden Schwachstellen sichtbar, die Ihre Umgebung beeinträchtigen könnten, bevor sie in die Produktion gelangen. Dies unterstützt direkt die Einhaltung der Executive Order 14028 und der CISA-Richtlinien zur Sicherheit von Software-Lieferketten.

Welche Compliance-Frameworks unterstützt CBOM Secure?

CBOM Secure generiert nicht nur Berichte, sondern stellt auch kontinuierlich auditbereite kryptografische Nachweise bereit, die direkt den Kontrollanforderungen verschiedener Frameworks wie FIPS 140-3, CMMC 2.0, ISO 27001, SOC 2 und NIST-Standards zugeordnet sind. Die Compliance-Nachweise werden fortlaufend gepflegt und für behördliche Prüfungen strukturiert, sodass im Falle einer Prüfung nicht mehr hektisch nach Dokumenten gesucht werden muss.

Wie geht CBOM Secure mit kryptografischen Schulden aus Altsystemen um?

Legacy-Systeme bergen oft das höchste kryptografische Risiko, da sich über Jahre hinweg veraltete Algorithmen, schwache Schlüsselkonfigurationen und undokumentierte Implementierungen angesammelt haben. CBOM Secure identifiziert diese Risiken im Rahmen von Plattformüberprüfungen und geht noch einen Schritt weiter: Die Systeme werden geschäftskritischen Systemen und ihren Abhängigkeitsketten zugeordnet. Jede Erkenntnis wird nach Schweregrad und Compliance-Risiko klassifiziert, um ein umfassendes Bild der größten Risiken zu erhalten. Dies ermöglicht eine schrittweise, risikobasierte Behebung der Schwachstellen, die die für den Geschäftsbetrieb wichtigsten und den größten Compliance- oder Sicherheitsrisiken ausgesetzten Assets priorisiert. So wird eine kontrollierte und fundierte Modernisierung gewährleistet, ohne die Systeme zu beeinträchtigen, von denen Ihr Unternehmen am stärksten abhängig ist.

Kryptografisches Haltungsmanagement für das Unternehmen