Lifetime-Lizenz
Service-Stufe nach Wahl
Sie wählen die für Ihren Einsatz passende Stufe — Tier 1, 2 oder 3 — separat zu Ihrer Lizenz aus. Ein Wechsel ist jederzeit möglich.
Was der CRA für Sie als Anwender unserer Produkte bedeutet.
Der EU Cyber Resilience Act bringt ab Dezember 2027 verpflichtende Sicherheitsanforderungen für Hersteller industrieller Software. Diese Seite zeigt, welche unserer Maßnahmen Sie betreffen, was wir Ihnen bereitstellen, und wie Sie eine Sicherheitsmeldung an uns richten — von der SBOM bis zum Meldekanal.
Was der CRA verlangt
Pflichtenkatalog und unsere Umsetzung.
Eine kompakte Gegenüberstellung der wesentlichen CRA-Anforderungen und wie wir sie operativ erfüllen — viele davon sind bei uns bereits langjährige Praxis, andere werden im Rahmen unseres CRA-Programms formalisiert.
| CRA-Pflicht | Unsere Umsetzung |
|---|---|
| Schwachstellen-Identifikation | Interne Code-Reviews und Tests, kontinuierliches CVE-Monitoring der Drittabhängigkeiten, Berücksichtigung von OPC-Foundation-Security-Bulletins, Meldungen von Kunden und Sicherheitsforschern. |
| Schwachstellen-Bewertung | Formale Klassifikation nach CVSS v3.1 in vier Stufen (Critical, High, Medium, Low), ergänzt um eine kontextuelle Einordnung für den typischen industriellen Einsatz unserer Produkte in Maschinen- und Anlagensteuerungen. |
| Patch-Bereitstellung | Out-of-band-Hotfix-Releases bei Critical- und High-Schwachstellen, regulärer Release-Zyklus für Medium und Low. Sicherheitspatches sind kostenlos für alle Nutzer während des Unterstützungszeitraums. |
| SBOM-Veröffentlichung Heute verfügbar | Maschinenlesbar im SPDX-2.3-Format, Bestandteil jedes Produkt-Downloads. Mit Package-URL-Identifikatoren für automatisierte CVE-Cross-Referenzierung. Für unsere SDKs bereits heute im Download enthalten; für unsere übrigen Produkte in Umsetzung. |
| Security Advisories | Öffentliche Advisories als eigenständiges Format, getrennt von allgemeinen Release Notes. Einheitlicher Aufbau mit CVSS-Score, betroffenen Versionen, Workaround und Fix-Verweis. Mit RSS-Feed abonnierbar. |
| Sicherheitskontakt Heute verfügbar | Dedizierter Meldekanal psirt@traeger.de mit OpenPGP-Verschlüsselung. Auffindbar über RFC-9116-konforme security.txt auf unseren Domains. |
| Coordinated Vulnerability Disclosure | Dokumentierte Policy nach BSI TR-03183-3 — beschreibt Geltungsbereich, Reaktionszeiten, Vereinbarung zur koordinierten Offenlegung und die transparente Anerkennung der Melder auf Wunsch. |
| EU-Konformitätserklärung | Selbstdeklaration nach dem im CRA vorgesehenen Verfahren (Modul A), erstmals zur CRA-Wirksamkeit am 11. Dezember 2027. Nutzbar als Bestandteil Ihrer Lieferanten-Dokumentation gegenüber Aufsichtsbehörden. |
| Unterstützungszeitraum | Sicherheitsupdates für mindestens 5 Jahre ab Veröffentlichung einer Produktversion. Solange eine Version aktiv vertrieben wird, beginnt der Unterstützungszeitraum für jeden Nutzer mit dem Erwerb — er endet frühestens 5 Jahre nach dem letzten Verkauf dieser konkreten Version. |
Unser Programm
In sechs Phasen zur vollständigen
CRA-Compliance.
Wir setzen den CRA strukturiert und terminiert um — vier Phasen quartalsweise in 2026, zwei Phasen in 2027. Die beiden gesetzlichen Stichtage rahmen das Programm: Die Meldepflichten gelten seit September 2026, die vollständige Konformität ist bis Dezember 2027 gefordert.
- Phase 1Q1 / 2026Sofortmaßnahmen — Sicherheitskontakt, security.txt, SBOM-GenerierungErledigt
- Phase 2Q2 / 2026Reporting-Vorbereitung — CSIRT-Registrierung, Start der RisikoanalyseErledigt
- Phase 3Q3 / 2026Reporting-Readiness — Meldeprozess eingerichtet; Risikoanalyse und Security-Testing-Dokumentation in AusarbeitungIn Umsetzung Stichtag Seit 11. September 2026 · Meldepflichten gelten
- Phase 4Q4 / 2026Technische Dokumentation — Security-Kapitel in allen ProduktdokumentationenIn Umsetzung
- Phase 5Q1–Q2 / 2027Benutzer-Dokumentation und Security-by-Design-ProzessdokumentationAnstehend
- Phase 6Q3 / 2027EU-Konformitätserklärung und CE-KennzeichnungAnstehend Stichtag 11. Dezember 2027 · Vollständige Konformität
Reaktionszeiten
Wie schnell wir auf Sicherheitsmeldungen reagieren.
Wir bewerten gemeldete Schwachstellen nach CVSS v3.1 — einer internationalen Norm zur einheitlichen Klassifikation von IT-Sicherheitslücken. Aus dem Schweregrad ergeben sich verbindliche Zielzeiten für Erstreaktion und Bereitstellung eines Fixes.
| Schweregrad | Erstreaktion | Fix-Ziel |
|---|---|---|
| Critical CVSS 9.0–10.0 | innerhalb 24 Stunden | Hotfix innerhalb 7 Tagen, Workaround sofort sobald verfügbar |
| High CVSS 7.0–8.9 | innerhalb 48 Stunden | Hotfix innerhalb 30 Tagen |
| Medium CVSS 4.0–6.9 | innerhalb 5 Werktagen | nächstes reguläres Release |
| Low CVSS 0.1–3.9 | innerhalb 10 Werktagen | nächstes reguläres Release |
Diese Zielzeiten sind unsere Selbstverpflichtung. Die tatsächliche Bearbeitungsdauer kann von der Komplexität der Schwachstelle und der Verfügbarkeit von Patches in betroffenen Drittabhängigkeiten abhängen.
Versionsschema
Wie Sie ein Sicherheitsupdate in unserem Versionsschema erkennen.
Wir versionieren unsere Produkte vierteilig nach dem Schema Major.Minor.Build.Revision — angelehnt an den Microsoft-Standard. Sicherheitspatches liefern wir als Revision-Increment aus, ohne funktionale Änderungen am Produkt selbst.
2. 51. 4. 0 2. 51. 4. 1
Nur die Revision ändert sich — Major, Minor und Build bleiben identisch.
Für Ihr Change-Management bedeutet das: Eine Versionserhöhung im vierten Segment ist gezielt auf eine konkrete Sicherheitsmeldung zugeschnitten und enthält keine funktionalen Anpassungen. Sie können solche Updates ohne erneuten Funktionstest in Ihrer Produktivumgebung einspielen.
Service-Stufen
Drei Stufen rund um Ihre Sicherheitsinformation.
Sicherheitspatches sind während des Unterstützungszeitraums für alle Nutzer kostenlos verfügbar — das ist CRA-Pflicht und unsere Position. Darüber hinaus bieten wir zwei Service-Stufen, die Ihnen aktive Information und Unterstützung bringen.
Tier 1 Free
kostenlos
| Tier 2 Security Services
10 % p.a.
| Tier 3 Lifecycle Services
25 % p.a.
| |
|---|---|---|---|
Ihre CRA-Basis Compliance erfüllt — kostenlos | |||
| Sicherheitspatches im 5-Jahres-Zeitraum | |||
| SBOM in jedem Release (SPDX 2.3) | |||
| Öffentliche Security Advisories mit RSS-Feed | |||
| Sicherheitskontakt psirt@traeger.de | |||
Ihr Sicherheits-Vorsprung Risiken im Blick | |||
| E-Mail-Benachrichtigung bei Schwachstellen | — | ||
| Vorab-Information vor geplanten Security-Releases | — | ||
| Technischer Support zu Sicherheitsmeldungen | — | ||
Ihre Produkt-Sicherheit Investition langfristig geschützt | |||
| SBOM-Changelog mit jedem Release per Mail | — | — | |
| Jährlicher Security-Status-Report je lizenziertem Produkt | — | — | |
| Individuelle Beratung zu Ihren Einsatz-Szenarien | — | — | |
| Technischer Support für Integration und Konfiguration | — | — | |
| Funktionale Updates und neue Features | — | — | |
| Kompatibilitäts-Updates für neue Betriebssysteme und Plattformen | — | — | |
| Partnerschaft an der Produkt-Weiterentwicklung | — | — | |
Abo-Lizenz
Tier 3 automatisch enthalten
Bei einer Abo-Lizenz ist der Support- und Update-Service (Tier 3) Bestandteil — Service-Vertrag und Lizenzlaufzeit laufen synchron.
Schwachstelle melden
Wenn Sie eine mögliche Sicherheitslücke in unseren Produkten finden.
Direkter Meldekanal
Sicherheitsmeldungen richten Sie bitte direkt an unseren PSIRT-Kanal. Dieser ist von unserem allgemeinen Support getrennt — so stellen wir sicher, dass eine Meldung sofort den richtigen Personenkreis erreicht.
PSIRT-Kontakt psirt@traeger.de
Was wir zusagen
Wir bestätigen den Eingang Ihrer Meldung innerhalb der genannten Zielzeiten. Während der Bearbeitung halten wir Sie über den Stand auf dem Laufenden — von der ersten Bewertung über die Entwicklung des Fixes bis zur Veröffentlichung der Advisory. Auf Wunsch nennen wir Sie als Melder in der veröffentlichten Advisory; auf Wunsch behandeln wir die Meldung anonym.
Was wir nicht tun
Wir betreiben kein Bug-Bounty-Programm und zahlen keine finanziellen Anreize für Schwachstellenmeldungen. Bei einer Meldung im Rahmen unserer Coordinated Vulnerability Disclosure Policy verzichten wir auf rechtliche Schritte gegen Sie als Melder — die vollständigen Bedingungen finden Sie in der CVD Policy.
Weitere Fragen
Sie brauchen mehr Detail als
auf dieser Seite steht?
- Sicherheitsmeldungen
- psirt@traeger.de PGP-verschlüsselt verfügbar
- Compliance-Anfragen
- info@traeger.de
- Service-Vertrag, Tier-Wahl
- sales@traeger.de
- Telefon
- +49 961 48 23 0-0
„Lieferantenfragebögen, technische Auskünfte zu unseren Sicherheitspraktiken oder Anpassungen der Service-Stufe — sprechen Sie uns direkt an.“