Secure Software & Product Development

Secure Coding, SSDLC, CI/CD-Pipeline-Security, Supply-Chain-Sicherheit (SLSA, SBOM) und Produkt-Regulatorik von CRA bis IEC 62443: Wie sichere Produkte entstehen — von der ersten Zeile Code bis zur CE-Kennzeichnung.

Zu den Leistungen Alle Wissens-Kategorien

Sichere Produkte entstehen nicht im Pentest am Ende, sondern im Entwicklungsprozess selbst: Security-Anforderungen im Design, Secure Coding und Reviews im Code, SAST, SCA und Secrets-Scanning im Build, signierte Artefakte und SBOM im Release — und ein Schwachstellenmanagement über den gesamten Produktlebenszyklus. Gerade im KI-Zeitalter, in dem Coding-Assistenten einen erheblichen Teil des Codes schreiben, entscheidet die Pipeline über die Produktsicherheit. Diese Wissensseiten bündeln unsere Methodik von OWASP SAMM, ASVS und ISVS über SLSA und die OWASP Top 10 CI/CD Risks bis zu CRA, IEC 62443, ISO/SAE 21434 und MDR — inklusive kostenloser Self-Assessments für Ihren Reifegrad.

Themen & Wissensseiten

Jedes Thema führt zu einer eigenen Wissensseite mit Vertiefung, Praxisleitfäden und den passenden Leistungen.

Automotive Cybersecurity

UN R155, ISO/SAE 21434 und die Automotive Threat Matrix des Auto-ISAC — wie Angreiferverhalten am Fahrzeug beschrieben, in der TARA bewertet und im Pentest nachgewiesen wird.

Automotive Threat Matrix — ATT&CK für Fahrzeuge Whitepaper: Automotive Threat Matrix Product Security — ISO/SAE 21434 Threat Modeling IoT-Pentesting

Sichere Entwicklung

Secure Coding, SSDLC-Aufbau und Developer-Enablement — Sicherheit als Teil des Handwerks, nicht als Nachbesserung.

Secure Coding SAST — Statische Codeanalyse AI-SAST — Codeanalyse mit LLMs Secure SDLC OWASP für Entwickler-Teams Threat Modeling Security Champions

Pipeline & Supply Chain

Build-Ketten härten, Abhängigkeiten beherrschen, Artefakte signieren — von SBOM über SLSA bis zur KI-gestützten Pipeline-Security.

SLSA Supply-Chain Security SBOM-Management AI-SBOM CI/CD-Pipeline-Security KI-Security in der CI/CD-Pipeline Open Source im KI-Zeitalter

Produktsicherheit & Regulatorik

CRA, IEC 62443, ISO/SAE 21434 und MDR — vom Embedded-System bis zum Medizinprodukt regulatorisch sauber.

EU Cyber Resilience Act ENISA Secure by Design Playbook Product Security — ISO/SAE 21434 OT-Security — IEC 62443 Medical Device — MDR IoT-Pentesting

Kostenlose Self-Assessments & Tools

Wo stehen Sie? OWASP-basierte Selbstbewertungen (SAMM, ISVS, SCVS) und unsere AppSec-Plattform VamiAppSec.

OWASP ISVS Self-Assessment OWASP SCVS Self-Assessment OWASP SAMM Self-Assessment VamiAppSec — AppSec-Plattform

Beratung · AI Code Security

Wenn Regeln nicht mehr reichen: Code-Sicherheit im KI-Zeitalter

Regelbasierte Scanner finden zuverlässig Syntaxfehler. Gebrochene Autorisierung, Geschäftslogik und falsch angenommene Berechtigungen haben dagegen keine Signatur. Wir bringen Regeln, KI-Reasoning und Exploit-Validierung in eine Ordnung, die Ihr Team betreiben kann.

Layer 1–3 Scanning-Architektur
AI-SAST einführen und kalibrieren
Exploit-Validierung
Ownership & Remediation
Nachweise für CRA und NIS2

Deep Dives

Vertiefende Wissensseiten zu den Themen, die aktuell die meisten Fragen aufwerfen — mit verifizierten Quellen und konkreten Maßnahmen.

Automotive Threat Matrix

Wie die Auto-ISAC-Matrix Angreiferverhalten am Fahrzeug beschreibt – und wie sie TARA nach ISO/SAE 21434, den Nachweis nach UN R155, OWASP-Testkataloge und das Vehicle SOC auf eine gemeinsame Sprache bringt.

Zur Wissensseite

Secure Coding

Wie Sie Schwachstellen systematisch vermeiden: die aktuelle Landkarte aus CWE Top 25 und OWASP Top 10:2025, ASVS 5.0 als Anforderungsrahmen und die Praktiken, die im Entwicklungsalltag den Unterschied machen.

Zur Wissensseite

SAST

Statische Codeanalyse ist der am dichtesten kreuzreferenzierte Kontrollpunkt im sicheren Entwicklungszyklus – und zugleich das Werkzeug mit dem größten Frustpotenzial. Was SAST technisch leistet, wo seine Grenzen bewiesen sind, welche Standards es verlangen und was KI daran gerade ändert.

Zur Wissensseite