Lösungen
Cybersecurity für Embedded Devices
Wir identifizieren und beheben Sicherheitslücken in Ihren Embedded Devices und sorgen für Sicherheit auch nach dem Release. Ob Medizintechnik oder IoT – wir unterstützen Sie bei der Einhaltung von EU CRA, MDR und FDA, ohne Ihre Teams zusätzlich zu belasten.
Ein Team für alle Ihre Cybersicherheitsvorschriften
Ist Ihr Gerät bereit für die neuen Cybersecurity-Anforderungen?
- Unzureichend gesicherte Geräte sind ein Geschäftsrisiko. Angreifer können den Betrieb lahmlegen, Funktionen manipulieren oder sensible Patienten- und Kundendaten stehlen. Auch Ihr wertvolles Know-how kann in die Hände der Konkurrenz gelangen.
- Die Vorschriften werden strenger. Bei Verstößen gegen den EU CRA drohen bis zu 15 Mio. Euro Bußgeld oder 2,5 % des weltweiten Jahresumsatzes. Produkte können vom Markt genommen werden. In den USA verweigert die FDA die Prüfung von Anträgen ohne ausreichende Cybersecurity-Dokumentation.
Unsere Leistungen für Embedded Cybersecurity
Audit und Dokumentation
Ob neues oder bestehendes Projekt – wir starten mit einem Audit oder Workshops und anschließender Bedrohungsmodellierung. Dabei identifizieren wir Ihre Assets, Risiken und Sicherheitsanforderungen.
Implementierung
Wir integrieren Security by Design in Ihr Gerät: Secure Boot, Verschlüsselung, signierte Updates und OS-Härtung. Anschließend testen wir alle Maßnahmen und dokumentieren die Ergebnisse.
Wartung
Sicherheit endet nicht mit dem Release. Wir überwachen Schwachstellen in Ihrer Software, bewerten deren Auswirkungen und unterstützen Sie dabei, rechtzeitig zu reagieren und Meldepflichten einzuhalten.
Unsere Cybersecurity-Projekte
Bio-Rad ist ein weltweit führendes Unternehmen in der Life-Science-Forschung und klinischen Diagnostik. Für die neue Generation ihrer PCR-Analysegeräte führten wir die erste Cybersecurity-Bewertung durch. Wir analysierten Risiken und Bedrohungen, identifizierten schützenswerte Assets und definierten alle Sicherheitsanforderungen. Anschließend setzten wir diese in konkrete Aufgaben um und implementierten die Maßnahmen. Wir reduzierten die Angriffsfläche, indem wir ungenutzte Ports schlossen und das Yocto-Linux-Image auf das Nötigste reduzierten. Gespeicherte und übertragene Daten sicherten wir durch hardwarebasierte Verschlüsselung. Außerdem implementierten wir Secure Boot, Sicherheitsprotokollierung und weitere Schutzmaßnahmen.
ViscoTec ist ein deutscher Hersteller von Präzisionssystemen für Dosier- und Abfüllprozesse. Als das Unternehmen zu uns kam, gab es erhebliche Lücken bei der Umsetzung des EU CRA. Sowohl das Produkt als auch die Prozesse waren weit von der Konformität entfernt. Hinzu kamen zahlreiche technische Altlasten. Bevor wir mit der Dokumentation beginnen konnten, mussten wir die technische Basis modernisieren. Wir migrierten die Software von Windows auf neue Hardware und ein angepasstes Linux auf Basis von Torizon OS. Dafür mussten wir große Teile des Codes migrieren und Abhängigkeiten, darunter Qt, aktualisieren. Anschließend implementierten wir Secure Boot sowie verschlüsselte, signierte Offline-Updates mit Rollback-Funktion. Wir reduzierten das System-Image auf das Nötigste und erstellten abschließend die SBOM und die Dokumentation für die zukünftige Wartung.
Die Enbio Group AG entwickelt kompakte, schnelle Autoklaven der Klasse B für Medizin, Zahnmedizin und Kosmetik. Ihr Enbio PRO war bereit für die erste FDA-510(k)-Einreichung in den USA – bis auf einen Punkt: Seit Oktober 2023 lehnt die FDA Einreichungen für Cyber Devices ohne Cybersecurity-Dokumentation ab. In nur zwei Wochen erstellten wir das komplette Dokumentationspaket von Grund auf. Dazu gehörten eine maschinenlesbare CycloneDX-SBOM der Firmware samt aller Komponenten sowie ein Cybersecurity-Managementplan für den gesamten Produktlebenszyklus. Außerdem lieferten wir eine vollständige Schwachstellenanalyse mit einem übersichtlichen Verzeichnis aller Findings und einen Bericht zu den Restrisiken. Enbio konnte ein vollständiges Paket einreichen und erhielt die FDA-Freigabe ohne Nachforderungen.
Eine Methodik, die Ihnen Zeit spart
Unser Prozess basiert auf echten Assessment- und Implementierungsprojekten. Wir setzen ihn in jedem Projekt ein – mit bewährten Vorlagen und klaren Anleitungen. Wir kümmern uns um die technischen Details. Ihr Team wird nur dort eingebunden, wo es wirklich nötig ist. Das Ergebnis: schnelle Umsetzung – genau das, was Sie brauchen, wenn regulatorische Fristen näher rücken.
Audit oder Kick-off-Workshop
01
Bedrohungsmodellierung und Identifikation schützenswerter Assets
02
Definition der Sicherheitsanforderungen
03
Implementierung der Sicherheitsmaßnahmen
04
Tests und Dokumentation
05
Kontinuierliches Schwachstellenmonitoring
06
Kontinuierliches 24/7-Monitoring
Sicherheit endet nicht mit dem Produktrelease. Mit unserem Abo übernehmen wir das Schwachstellenmonitoring für Ihr Team.
Ihr Gerät nutzt zahlreiche Open-Source- und Drittanbieter-Komponenten. Wir gleichen diese täglich mit öffentlichen Schwachstellendatenbanken ab.
Betrifft eine neue Schwachstelle Ihr Gerät, bewerten wir das Risiko und empfehlen konkrete Maßnahmen. Wird die Schwachstelle aktiv ausgenutzt, verlangt der EU CRA eine Frühwarnung innerhalb von 24 Stunden. Wir helfen Ihnen, diese Frist einzuhalten.
Sicherheitsmaßnahmen, die wir umsetzen
OS-Härtung zur Reduzierung der Angriffsfläche
Verschlüsselung gespeicherter und übertragener Daten
Secure Boot
Sichere OTA- und Offline-Updates
Software Bill of Materials (SBOM)
Hardwarebasierte Festplattenverschlüsselung
Architektur zum Schutz kritischer Funktionen
Zugriffskontrolle und sichere Benutzerauthentifizierung
FAQ
Antworten auf die häufigsten Fragen von Entwicklungs- und Regulatory-Teams.
Welche Normen und Vorschriften decken Sie ab?
Vor allem den EU CRA, die MDR mit MDCG 2019-16 sowie FDA Section 524B mit den zugehörigen Cybersecurity-Leitlinien für die Zulassung. Die technischen Sicherheitsmaßnahmen sind branchenübergreifend weitgehend identisch.
Wie viel kostet Ihr Service?
Das hängt von Ihrem Gerät und dem Ausgangszustand ab. Das Audit bieten wir zum Festpreis ab 4.000 € an. Die Implementierung kalkulieren wir nach dem Audit, damit Sie die Gesamtkosten vorab kennen. Das Monitoring bieten wir als monatliches Abo an.
Wie schnell können Sie starten?
In der Regel innerhalb von zwei Wochen nach Vertragsunterzeichnung. Der erste Workshop ist oft schon früher möglich.
Was muss ich vorbereiten?
Eine Beschreibung Ihres Geräts, seiner Architektur sowie Ihrer Zielmärkte und Nutzer. Zugang zum Quellcode und vorhandener Dokumentation ist hilfreich, aber für die Kostenschätzung eines Audits oder Workshops nicht nötig. Wir begleiten Sie durch alle weiteren Schritte. Für die Implementierung und das Monitoring benötigen wir Zugriff auf den Quellcode und die Dokumentation. Mit unseren Kunden schließen wir grundsätzlich Vertraulichkeitsvereinbarungen (NDAs) ab.
Cybersecurity-Audit anfragen
Adam Sowa
Chief Technology Officer
Erzählen Sie uns von Ihrem Gerät. Wir entlasten Ihr Team bei Dokumentation und Implementierung und sorgen für echte Produktsicherheit.
Die CRA-Frist bleibt. Prüfen wir gemeinsam, wo Sie heute stehen.
Vernetzen Sie sich mit mir auf LinkedIn