Ihre SBOMs überleben Ihre Pipeline nicht. Bomkeeper bewahrt sie auf.
Der Nachweis-Tresor für Software-Stücklisten (SBOMs): manipulationssicher, signiert und zehn Jahre lang aufbewahrt. In Ihrem eigenen Speicher oder als Managed Service.
SBOMs zu erstellen ist gelöst. Sie aufzubewahren nicht. Die meisten Teams erzeugen sie als Build-Artefakte – in einem System, das dafür ausgelegt ist, Artefakte zu löschen.
Artefakte verfallen
CI-Systeme löschen Build-Artefakte nach Tagen oder Wochen. Die SBOM des Vorjahres-Releases ist längst verschwunden.
Kein Nachweis
Eine JSON-Datei in einem Bucket beweist nichts. Niemand kann belegen, dass sie unverändert ist und genau zu dem gehört, was Sie ausgeliefert haben.
Langsame Antworten
Ein Kunde, Auditor oder eine Behörde fragt nach einem Release von vor drei Jahren. Die Antwort dauert Tage – wenn es überhaupt eine gibt.
Was der Cyber Resilience Act von Herstellern verlangt
11. September 2026Meldepflichten für aktiv ausgenutzte Schwachstellen beginnen, einschließlich einer Frühwarnung innerhalb von 24 Stunden.
11. Dezember 2027Vollständige Anwendung: Eine maschinenlesbare SBOM ist Teil der technischen Dokumentation jedes Produkts.
+10 JahreDie technische Dokumentation muss nach dem Inverkehrbringen zehn Jahre oder – falls länger – für die Dauer des Supportzeitraums aufbewahrt werden.
Verordnung (EU) 2024/2847. Dies ist eine Zusammenfassung und keine Rechtsberatung.
So funktioniert es
Ein CI-Step. Zehn Jahre belastbare Nachweise.
Erzeugen Sie SBOMs weiterhin mit Syft, Trivy oder cdxgen. Binden Sie Bomkeeper direkt danach ein, damit jedes Release sofort bei der Auslieferung archiviert wird.
.github/workflows/release.yml
$ bomkeeper push sbom.cdx.json \
--product controller-x200 --release 3.2.1
✓ SHA-256 über die Originaldatei berechnet
✓ Signiert und mit Zeitstempel versehen (RFC 3161)
✓ Bis 2037-12-11 unveränderbar im WORM-Speicher abgelegt
→ jederzeit offline prüfen: bomkeeper verify
01
ÜbermittelnEin Schritt nach Ihrem SBOM-Generator. Bomkeeper übernimmt die Datei bytegenau zusammen mit Produkt und Release.
02
VersiegelnEin SHA-256-Hash der Originaldatei, eine Signatur und ein vertrauenswürdiger RFC-3161-Zeitstempel.
03
AufbewahrenBis zum Ende der Aufbewahrungsfrist unveränderbar gespeichert – mit S3 Object Lock oder unveränderbaren Azure-Blobs. Niemand kann die Daten ändern oder löschen.
04
PrüfenJeder kann ein Paket mit dem Open-Source-Prüfwerkzeug offline verifizieren – auch in zehn Jahren und ohne uns.
10 JahreMindestaufbewahrungsfrist für SBOMs gemäß CRA
0Lösch-Endpunkte. Auch nicht für Administratoren.
1Schritt in Ihrer Pipeline
Bomkeeper + Dependency-Track
Dependency-Track für heute. Bomkeeper für den Nachweis.
Dependency-Track analysiert, was Sie aktuell einsetzen, und entfernt alte Versionen, um schnell zu bleiben. Bomkeeper bewahrt jedes ausgelieferte Release auf und übermittelt es bei Bedarf erneut an Dependency-Track.
AnalyseOWASP Dependency-Track
—Kontinuierliche Überwachung von Schwachstellen und Richtlinien
—Fokus auf aktuelle, aktive Versionen
—Inaktive Versionen werden nach Ablauf der Aufbewahrungsfrist entfernt
Bei Übermittlung weiterleiten jedes Release erneut einspielen
NachweisBomkeeper
✓Jedes ausgelieferte Release – zehn Jahre und länger
✓Originaldatei versiegelt und gesperrt
✓Dependency-Track jederzeit aus dem Archiv wiederherstellen
Bomkeeper ist ein unabhängiges Projekt und weder mit der OWASP Foundation verbunden noch von ihr unterstützt.
Offener Kern
Offen, wo Vertrauen zählt.
Alles, was Sie benötigen, um Ihre Nachweise ohne uns zu lesen und zu prüfen, ist Open Source. Für den zusätzlichen Komfort zahlen Sie.
Open SourceApache-2.0
✓Format und Spezifikation der Nachweispakete
✓CLI: push, get, verify
✓Speicheradapter für S3 Object Lock und unveränderbare Azure-Blobs
✓GitHub Action für Ihren Release-Workflow
Bomkeeper-ServerKommerziell
+Produkte, Versionen und Releases mit Inverkehrbringungsdaten
+Eine Komponente über alle ausgelieferten Releases hinweg suchen
+Weiterleitung an Dependency-Track und erneute Übermittlung
+Zeitlich begrenzte Audit-Freigaben mit manipulationssicherem Zugriffsprotokoll
Ausstiegsgarantie: Sollte Bomkeeper einmal nicht mehr verfügbar sein, bleiben Ihre Nachweise erhalten. Jedes Paket bleibt mit den Open-Source-Werkzeugen lesbar und prüfbar.
Selbstbetrieb oder Cloud
Ihr Speicher oder unserer. Ihre Nachweise bleiben.
Betreiben Sie Bomkeeper in Ihrem eigenen Cloud-Konto oder überlassen Sie den Betrieb uns – mit den Paketen in Ihrem Bucket oder in EU-Rechenzentren.
Der Open-Source-Kern ist für Anfang 2027 geplant, eine Cloud-Beta mit Designpartnern für Frühjahr 2027. Tragen Sie sich ein und gestalten Sie mit, was zuerst entwickelt wird.
Häufige Fragen
Macht Bomkeeper unser Unternehmen CRA-konform?
Nein, kein Werkzeug kann das. Bomkeeper unterstützt die Aufbewahrungspflichten des CRA für SBOMs und technische Dokumentation. Zur Compliance gehören auch sichere Entwicklung, Schwachstellenmanagement und Meldeprozesse.
Wir nutzen bereits Dependency-Track. Warum zusätzlich Bomkeeper?
Dependency-Track ist für die Analyse des aktuellen Stands ausgelegt. Bomkeeper bewahrt die unveränderten Originale jedes ausgelieferten Releases zehn Jahre lang auf, weist ihre Unverändertheit nach und kann sie erneut an Dependency-Track übermitteln.
Was passiert, wenn Bomkeeper eingestellt wird?
Das Paketformat und das Prüfwerkzeug sind Open Source. Ihre Nachweise bleiben auch ohne uns lesbar und prüfbar – insbesondere, wenn sie in Ihrem eigenen Speicher liegen.
Wo werden unsere Daten gespeichert?
In Ihrem eigenen S3- oder Azure-Konto mit aktiviertem Object Lock oder bei Nutzung des Cloud-Dienstes in EU-Rechenzentren.
Welche SBOM-Formate werden unterstützt?
CycloneDX und SPDX. Bomkeeper speichert die Datei bytegenau so, wie Ihr Generator sie erstellt hat.