Sicherheit entsteht
im Code.
Application und Product Security begleitet Software vom Code bis zum Betrieb und zum ausgelieferten Produkt. Statische, dynamische und Komponentenanalysen finden unterschiedliche Fehler. Für Hersteller von Produkten mit digitalen Elementen kommt je nach Markt und Regulierung, etwa dem EU Cyber Resilience Act, die Anforderung hinzu, Komponenten und Schwachstellen über den ganzen Lebenszyklus zu kennen und zu kommunizieren.
Drei Ebenen, 12 Werkzeugklassen.
Eine Plattform kann mehrere Ebenen abdecken. Für die Auswahl zählt, welche Aufgabe sie verlässlich erfüllt und wer die Ergebnisse verantwortet.
Fehler früh finden.
SAST, Code Security und Secrets Scanning prüfen Quellcode. SCA sowie SBOM und VEX machen Fremdkomponenten und deren Schwachstellen sichtbar.
Die laufende Anwendung prüfen.
DAST und IAST testen das Verhalten der Anwendung. API Security prüft Schnittstellen. Firmware Analysis untersucht Gerätesoftware.
Angriffe auf Anwendungen abwehren.
WAF und Runtime Protection schützen im Betrieb. Product Security verbindet diese Arbeit mit Schwachstellenmeldungen und Updates für Kunden.
Alle Werkzeugklassen im Gebiet.
SAST
SAST-Werkzeuge im Vergleich: Static Application Security Testing zur frühen Erkennung von Codeschwachstellen.
DAST
DAST prüft eine laufende Webanwendung oder API von aussen und sucht nach ausnutzbaren Fehlern im tatsächlich bereitgestellten System.
IAST
IAST beobachtet eine laufende Anwendung von innen, während Tests oder reale Transaktionen Codepfade ausführen.
SCA
SCA-Werkzeuge im Vergleich: Software Composition Analysis zur Erkennung von Risiken in Open-Source-Komponenten.
SBOM und VEX
Eine Software Bill of Materials beschreibt Komponenten eines konkreten Releases. VEX dokumentiert, ob eine bekannte Schwachstelle dieses Produkt tatsächlich betrifft.
API Security
API-Security-Plattformen entdecken Schnittstellen, prüfen Spezifikationen und Implementierungen und erkennen Missbrauch im produktiven Datenverkehr.
WAF
Eine WAF kontrolliert HTTP- und HTTPS-Anfragen vor Webanwendungen und APIs. Sie blockiert bekannte Angriffsmuster, missbräuchliche Requests und auffällige Automatisierung.
Runtime Protection
Runtime-Schutz beobachtet die Codeausführung innerhalb oder unmittelbar neben der Anwendung und kann einen Angriff an der gefährlichen Operation stoppen.
Secrets Scanning
Secrets Scanner suchen Zugangsdaten, Schlüssel und Tokens in Quellcode, Historien, Build-Artefakten und Kollaborationssystemen.
Code Security
Code-Security-Plattformen bündeln mehrere Prüfarten im Entwicklungsfluss und führen Befunde aus eigenem Code, Abhängigkeiten, Secrets und Infrastrukturdefinitionen zusammen.
Firmware Analysis
Firmware Analysis zerlegt Images und Binärdateien, identifiziert Komponenten, bekannte Schwachstellen, unsichere Konfigurationen, Schlüssel und verdächtige Funktionen.
Product Security
Product Security Plattformen verbinden Produktvarianten, Softwarekomponenten, Schwachstellen, Security Tests, Freigaben und Vorfälle über den Lebenszyklus.
CIO und CISO entscheiden nicht dasselbe.
CISO: Schutzwirkung
Der CISO braucht belastbare Aussagen, welche Schwachstellen in ausgelieferter Software stecken.
- Welche Befunde blockieren ein Release?
- Wie schnell werden Komponenten mit bekannten Schwachstellen ersetzt?
- Wer beantwortet Schwachstellenmeldungen von aussen?
CIO: Betriebsfähigkeit
Der CIO verantwortet Entwicklungsplattform, Tempo und Wartbarkeit.
- Wie viele Werkzeuge laufen in der Pipeline?
- Wie viele Fehlalarme bremsen die Teams?
- Wer pflegt Regeln und Ausnahmen?
Was dieses Gebiet nicht abdeckt.
Application Security prüft eigene und eingekaufte Software. Cloud Security deckt die Plattform ab, Third Party und Supply Chain die Lieferkette als Ganzes, und Security Testing die Angriffssimulation gegen das Gesamtsystem.
Orientierung, keine Produktempfehlung.
Die Einordnung stützt sich auf Standards, Rahmenwerke und Rechtsgrundlagen. Produktangaben stehen auf den einzelnen Werkzeugseiten.
Stand: 10. Oktober 2026 · Nächste planmässige Prüfung: 10. Januar 2027 · Produktangaben und regulatorische Anwendbarkeit sind vor einer konkreten Entscheidung erneut zu prüfen.