Penetrationstests und Schwachstellenerkennung für Edge-Geräte, sowohl für die Hersteller als auch für die Betreiber dieser Geräte.
Wir testen die Hardware, die Firmware, die Funkverbindungen, die Begleit-App, die Cloud-API und die geräteinterne KI vernetzter Geräte, entweder in unserem Labor oder aus der Ferne, gemäß den „Rules of Engagement“, die Ihr Unternehmen zuvor unterzeichnet hat.
Wir haben CVE-2026-24148 in NVIDIA Jetson entdeckt.
Das NIST stuft sie mit 9,4 als „kritisch“ ein, während NVIDIA als CVE-Nummerierungsbehörde sie mit 8,3 als „hoch“ einstuft. Wir haben sie an NVIDIA gemeldet, und sie wurde in Jetson Linux 35.6.4 und 36.5 behoben.
Was wir testen
Hardware und Firmware
Debug-Ports wie UART, JTAG und SWD, die vom Gerät ausgelesene und analysierte Firmware, Secure Boot, die Art und Weise, wie Updates signiert werden, sowie die auf der Platine gespeicherten Schlüssel und Passwörter.
Netzwerk und Funk
Die Dienste, die das Gerät im Netzwerk bereitstellt, sowie seine WLAN-, Bluetooth Low Energy-, Mobilfunk- und sonstigen Funkverbindungen.
Begleit-App und Cloud-API
Die mobile App, die das Gerät steuert, und die dahinterstehende Cloud-API, einschließlich der Frage, ob das Konto eines Kunden Zugriff auf die Geräte eines anderen Kunden hat.
Geräteinterne KI-Modelle
Ob das Modell vom Gerät kopiert, durch manipulierte Eingaben getäuscht, bei Sprachmodellen durch Prompt-Injektion gesteuert oder gegen eine manipulierte Datei ausgetauscht werden kann.
Vom ersten Anruf bis zur Wiederholung des Tests
Festlegung des Umfangs
Wir vereinbaren, welche Geräte, Firmware-Versionen, Apps und Cloud-Dienste getestet werden und was davon ausgenommen bleibt.
Vertrag und Geheimhaltungsvereinbarung
Eine Geheimhaltungsvereinbarung, gefolgt von einem Vertrag, in dem Preis, Haftung und Versicherung festgelegt werden.
Unterzeichnete „Rules of Engagement“
Umfang, Testzeiträume, die zulässigen Techniken, Ansprechpartner sowie das Verfahren zur Beendigung des Tests, unterzeichnet von einer Person, die die Befugnis über alle im Umfang enthaltenen Geräte besitzt. Kein Test beginnt, bevor dies geschehen ist.
Testen
In unserem Labor an Geräten, die Sie uns zusenden, wobei der Vorgang vom Eintreffen bis zur Rücksendung protokolliert wird, oder aus der Ferne über eine von Ihnen bereitgestellte Verbindung, stets innerhalb der vereinbarten Zeitfenster. Ein kritischer Befund wird Ihnen umgehend gemeldet.
Der Bericht
Für jeden Befund: dessen Schweregrad, die Nachweise, die Schritte zur Reproduktion sowie die Behebungsmaßnahmen. Anschließend findet ein Treffen statt, um den Bericht durchzugehen.
Wiederholung des Tests und Offenlegung der Sicherheitslücke
Die erneute Prüfung der von Ihnen behobenen Schwachstelle ist im Preis inbegriffen. Ein Fehler in der Komponente eines anderen Unternehmens wird mit Ihrer Zustimmung an diesen Anbieter gemeldet.
Die unterzeichneten „Rules of Engagement“
Was getestet wird, was nicht und wann
Die Geräte, Firmware-Versionen, Adressen, Apps und Cloud-Dienste, die in den Testumfang fallen, die davon ausgenommenen sowie die Tage und Stunden, an denen der Test durchgeführt werden darf.
Was wir tun dürfen und was nicht
Pro Technik eine Zeile, gekennzeichnet als „erlaubt“, „nicht erlaubt“ oder „nur mit Ihrer schriftlichen Genehmigung zum jeweiligen Zeitpunkt“. Tests, die ein Gerät beschädigen können, werden ausschließlich auf Geräten durchgeführt, die Sie dafür vorgesehen haben.
Wer kann den Test abbrechen und wie?
Jede Seite kann den Test durch einen Anruf beim Notfallkontakt der anderen Seite unterbrechen. Der Test wird erst nach Ihrer schriftlichen Bestätigung fortgesetzt.
Eine Person, die die Kontrolle über alle Geräte im Testumfang hat
Das Testen eines Systems ohne die Zustimmung seines Eigentümers kann gemäß dem britischen „Computer Misuse Act 1990“ und dem türkischen Strafgesetzbuch eine Straftat darstellen; daher beginnen die Arbeiten erst, nachdem diese Vereinbarung unterzeichnet wurde. Wenn ein Gerät oder ein Dienst jemand anderem gehört, beispielsweise einem Cloud-Anbieter oder einem Ihrer Kunden, ist auch dessen Zustimmung erforderlich.
Fragen, die Käufer stellen
Wer muss die „Rules of Engagement“ unterzeichnen?
Eine Person in Ihrem Unternehmen, die die Befugnis über alle Geräte und Dienste im Untersuchungsumfang besitzt, in der Regel ein Geschäftsführer oder der Sicherheitsleiter. Wenn ein Dienst bei einem Cloud-Anbieter betrieben wird oder ein Gerät einem Ihrer Kunden gehört, holen wir vor dem Test dessen Zustimmung ein.
Können Tests unsere Geräte beschädigen?
Bei einigen Hardwaretests ist dies möglich. Sie werden ausschließlich auf Geräten durchgeführt, die Sie in den „Rules of Engagement“ dafür vorgesehen haben, während alle anderen Tests so durchgeführt werden, dass das Gerät weiterhin funktionsfähig bleibt.
Was geschieht, wenn Sie eine Schwachstelle in einem Chip oder einer Komponente entdecken, die nicht von uns hergestellt wurde?
Wir informieren Sie als Erstes. Mit Ihrer Zustimmung melden wir den Befund vertraulich an den Hersteller der Komponente und beantragen eine CVE-Kennung. Der Name Ihres Unternehmens wird in keiner Veröffentlichung genannt, es sei denn, Sie stimmen dem zu.
Steht dies im Zusammenhang mit dem EU-Gesetz zur Cyber-Resilienz?
Seit dem 11. September 2026 sind Hersteller, die in der EU verkaufen, verpflichtet, aktiv ausgenutzte Sicherheitslücken in ihren Produkten innerhalb von 24 Stunden zu melden; die vollständigen Anforderungen des Gesetzes gelten ab dem 11. Dezember 2027. Unser Bericht dokumentiert, was getestet wurde, was festgestellt wurde und was behoben wurde.
Teilen Sie uns bitte mit, welches Gerät Sie testen lassen möchten.
Wir senden Ihnen einen kurzen Fragebogen zur Festlegung des Untersuchungsumfangs sowie einen Entwurf der „Rules of Engagement“ zur Prüfung zu, bevor eine Unterzeichnung erfolgt.
Sprechen Sie mit uns