Produktsicherheit
und der EU Cyber Resilience Act

Worauf Sie sich verlassen können

Die Zusagen auf dieser Seite sind diejenigen, nach denen ein Compliance-Prüfer normalerweise fragen muss. Sie stehen hier, damit Sie sie direkt zu den Akten nehmen können.

Wo ProEssentials in Ihren CRA-Pflichten steht

Nach dem Cyber Resilience Act ist das Unternehmen, das ein fertiges Produkt auf dem EU-Markt in Verkehr bringt, dessen Hersteller, und Artikel 13(5) verpflichtet diesen Hersteller zur Sorgfaltspflicht bei den von ihm integrierten Komponenten Dritter, damit diese Komponenten die Sicherheit des fertigen Produkts nicht beeinträchtigen. Wenn Sie eine Anwendung ausliefern, die ProEssentials enthält, liegt diese Pflicht bei Ihnen, und ProEssentials ist eine dieser Komponenten.

Praktisch bedeutet das: Ihre Auditunterlagen müssen belegen, dass Sie ProEssentials bewertet haben und dass hinter dem Lieferanten ein echter Prozess zur Behandlung von Schwachstellen steht. Diese Seite ist als genau dieser Nachweis geschrieben. Alles Folgende ist klar genug formuliert, um zitiert zu werden, und wir bestätigen jeden Punkt schriftlich auf Firmenbriefpapier, falls Ihr Verfahren eine unterzeichnete Lieferantenerklärung verlangt.

Artikel 13(6) verpflichtet Sie außerdem, uns zu informieren, wenn Sie eine Schwachstelle in einer von Ihnen integrierten Komponente finden. Wir verpflichten uns zur gleichen Pflicht in umgekehrter Richtung und hören lieber früh als spät von Ihnen. Meldungen gehen an support@gigasoft.com.

Der wichtigste Punkt: Es gibt fast nichts zu auditieren

Der größte Aufwand einer modernen Software-Lieferkettenprüfung entfällt auf Abhängigkeiten. Eine Diagrammbibliothek, die Dutzende Pakete mitbringt, überträgt Ihnen Dutzende Komponenten, die nun Ihnen gehören: Jede muss in Ihrer Stückliste erscheinen, jede muss auf neue CVEs überwacht werden, und jede kann eine ungeplante Veröffentlichung erzwingen, wenn upstream eine Schwachstelle auftaucht.

ProEssentials funktioniert nicht so. In jeder unterstützten Version ist der gesamte ProEssentials-Code proprietär und wurde von Gigasoft geschrieben, ohne Open-Source-Bibliotheken, ohne NuGet- oder npm-Pakete von Dritten und ohne übernommenen Fremdcode. Die gesamte Klasse der Lieferketten-Vorfälle, das Log4Shell-Muster, erreicht Sie nicht über uns. Das ist keine Behauptung, die Sie uns einfach glauben müssen: Wir haben es durch Untersuchung der ausgelieferten Binärdateien verifiziert.

Drei weitere Eigenschaften senken Ihr Risiko auf nahezu null:

• Keine Netzwerk-E/A. Die Komponente initiiert und terminiert keine Netzwerkverbindungen. Es gibt keine Telemetrie, keine Lizenzprüfung, keinen Update-Ping und keinerlei ausgehenden Datenverkehr.
• Keine Datenverarbeitung durch Gigasoft. Ihre Daten werden in Ihrem eigenen Prozess auf Ihrem eigenen Rechner dargestellt. Gigasoft überträgt, empfängt und speichert davon zur Laufzeit nichts.
• Kein Konto, keine Aktivierung, kein Laufzeitdienst. Die Bereitstellung ist ein Dateikopiervorgang. Es gibt keine Cloud-Abhängigkeit zu bewerten und keinen Drittanbieterdienst im Datenpfad.

Eine Grenze sei ausdrücklich genannt, weil Auditoren danach fragen: Die Verschlüsselung während der Übertragung aller Daten, die Ihre Anwendung über ein Netzwerk bewegt, liegt in der Verantwortung Ihrer Anwendung. ProEssentials sieht nie ein Netzwerk und kann Daten während der Übertragung daher weder schützen noch gefährden.

Stückliste

Da eine unterstützte Version keine Komponenten Dritter enthält, ist unsere Stückliste kurz genug, um sie vollständig abzudrucken. Eine ProEssentials-Bereitstellung besteht aus der von Gigasoft entwickelten Rendering-Engine, der von Gigasoft entwickelten Steuerelement-Assembly für Ihr gewähltes Framework und sonst nichts. Alles Weitere, was Ihre Anwendung lädt, ist entweder Ihr eigener Code oder integrierter Bestandteil des Betriebssystems beziehungsweise der .NET- oder Windows App SDK-Laufzeit, die Sie ohnehin ausliefern.

Drittanbieter-Bibliotheken in Version 8 und früher

Frühes ProEssentials band drei Open-Source-Bibliotheken statisch ein, ausschließlich zum Schreiben von Bilddateien: zlib zur Komprimierung, libpng für PNG-Ausgabe und libjpeg für JPEG-Ausgabe. Damals war das übliche Praxis, da Windows noch keine eigenen Bildkodierer bereitstellte.

In keiner Version von ProEssentials wurde uns jemals ein Sicherheitsexploit gemeldet.

Nochmals: Diese Bibliotheken wurden nie zum Lesen oder Dekodieren einer Datei verwendet, und genau dort liegt diese Klasse von Schwachstellen; es wurde nie etwas dekomprimiert, und keine ProEssentials-API hat je einem Aufrufer einen Dekodierpfad zugänglich gemacht. Es besteht keine realistische Schwachstelle in der Art, wie frühere ProEssentials-Versionen diese Bibliotheken genutzt haben.

Unsere Empfehlung lautet, auf Version 11 zu wechseln. Version 8 und früher sind abgekündigt und werden nicht mehr aktualisiert. Die API wurde über die Hauptversionen hinweg bewusst stabil gehalten, die Portierung ist einfach.

CRA-Zeitplan und was er für Sie bedeutet

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, gilt in Stufen. Wir nennen Ihnen lieber die Termine als eine pauschale Zusicherung.

Gigasoft liegt bei diesen Terminen im Plan. Der Kern dessen, was die Verordnung von einer Komponente wie unserer verlangt, ist bereits vorhanden und auf dieser Seite beschrieben: keine unkontrollierte Abhängigkeitsfläche, ein definierter Supportzeitraum, kostenlose Sicherheitsupdates, ein veröffentlichter Meldekanal und signierte Distributionen. Die bis Dezember 2027 verbleibende Arbeit besteht aus formaler Dokumentation und Konformitätsunterlagen, nicht aus einer Änderung daran, wie das Produkt gebaut wird.

Wir halten diese Seite aktuell, während sich der Rahmen weiterentwickelt, einschließlich der harmonisierten Normen, die noch finalisiert werden.

Wie ProEssentials unter dem CRA eingestuft wird

Die Verordnung behandelt eine Softwarekomponente, die separat in Verkehr gebracht wird, als eigenständiges Produkt mit digitalen Elementen. ProEssentials fällt daher eigenständig in den Anwendungsbereich und ist nicht bloß ein Bestandteil Ihres Produkts.

ProEssentials ist ein Produkt der Standardkategorie. Es entspricht keiner der neunzehn Kategorien von Anhang III Klasse I und keiner der vier Kategorien von Anhang III Klasse II, und es ist kein kritisches Produkt nach Anhang IV. Eine Diagramm- und Datenvisualisierungsbibliothek für Entwickler erfüllt keine der Kernfunktionen, die ein Produkt in diese Klassen einordnen, und wir haben unsere Einstufung anhand der technischen Definitionen in der Durchführungsverordnung (EU) 2025/2392 der Kommission geprüft.

Die praktische Folge für Sie: ProEssentials folgt dem Konformitätsbewertungsverfahren der internen Kontrolle nach Artikel 32(1) und Anhang VIII Modul A. Es ist keine notifizierte Stelle beteiligt, und für eine Komponente dieser Art ist keine Bewertung durch Dritte erforderlich. Fällt Ihr eigenes Produkt in eine höhere Klasse, ergibt sich diese Einstufung aus der Funktion Ihres Produkts, nicht aus unserer.

Unterstützte Versionen und Supportzeitraum

Der Cyber Resilience Act erwartet von einem Hersteller, einen Supportzeitraum anzugeben und dessen Ende zu veröffentlichen, statt ihn offen zu lassen. Unserer beträgt mindestens fünf Jahre je Hauptversion, gerechnet ab dem Datum der allgemeinen Verfügbarkeit dieser Version. Wir sagen Ihnen außerdem lieber, was eine Version tatsächlich erhält, als alles gleichermaßen als unterstützt zu bezeichnen. Die Tabelle unterscheidet daher aktive Entwicklung, Wartung und ausschließlich kritische Sicherheitskorrekturen.

ProEssentials v11 erreichte die allgemeine Verfügbarkeit am 21. Juli 2026 und v10 am 23. Januar 2025, sodass ihre veröffentlichten Supportzeiträume mindestens bis zum 21. Juli 2031 beziehungsweise 23. Januar 2030 laufen. Version 9 erschien erstmals im April 2018 und liegt damit außerhalb dieses Fünfjahresfensters; wir geben dafür keine terminliche Zusage ab und würden nur bei einem kritischen Sicherheitsproblem tätig. Kunden mit Version 9 sollten einen Wechsel auf Version 11 planen.

Eine Schwachstelle melden, und was dann geschieht

Wenn Sie glauben, eine Sicherheitsschwachstelle in ProEssentials gefunden zu haben, senden Sie sie an support@gigasoft.com. Bitte geben Sie Produktversion, Framework und Plattform sowie genügend Details zur Reproduktion an. Ein Proof of Concept hilft, ist aber nicht erforderlich.

Wozu wir uns verpflichten:

• Wir bestätigen eine Meldung innerhalb von zwei Werktagen.
• Wir bewerten sie und teilen Ihnen innerhalb von zehn Werktagen mit, ob wir sie reproduzieren können, mit einer ersten Einschätzung des Schweregrads.
• Wir beheben bestätigte Schwachstellen unverzüglich, priorisiert nach Schweregrad, und nennen Ihnen den geplanten Zeitrahmen, statt Sie im Ungewissen zu lassen.
• Sicherheitskorrekturen sind für jede unterstützte Version kostenlos und werden getrennt von Funktionsreleases ausgeliefert, wo das den Kunden besser dient.
• Wir benachrichtigen betroffene Kunden direkt und veröffentlichen die Korrektur über die üblichen Update-Kanäle.
• Wir nennen Sie auf Wunsch als Melder und gehen nicht gegen gutgläubige Sicherheitsforschung vor. Wir bitten lediglich darum, uns vor einer Veröffentlichung eine angemessene Gelegenheit zur Behebung zu geben.

Wir sind ein kleines, direktes Unternehmen. Eine Meldung an diese Adresse erreicht die Menschen, die den Code geschrieben haben, keine Ticket-Warteschlange.

Wie Patches und Updates zu Ihnen gelangen

Sicherheits- und Wartungskorrekturen werden über dieselben Kanäle verteilt wie gewöhnliche Releases, es gibt also keinen separaten Prozess, den Sie lernen müssten.

• Wartungspatches werden auf unserer Downloadseite zum direkten Download bereitgestellt.
• NuGet-Pakete werden für die .NET-Varianten WinUI, WPF und WinForms aktualisiert.
• Vollständige Installer werden für Kunden aktualisiert, die über Setup bereitstellen.

Da ProEssentials als Dateikopie ohne Aktivierung und ohne Laufzeitdienst bereitgestellt wird, besteht ein Update darin, die Binärdateien zu ersetzen, die Sie ohnehin ausliefern. Es gibt nichts zu reaktivieren und keinen Lizenzserver, mit dem etwas abzustimmen wäre.

Integrität der Distribution und Codesignierung

Jeder Kanal, über den wir veröffentlichen, ist signiert, damit Sie prüfen können, dass Sie das erhalten haben, was wir gebaut haben:

• Installer sind als Gigasoft, Inc. Authenticode-codesigniert. Signiert wird mit SHA-256 und vertrauenswürdigem Zeitstempel nach RFC 3161; der Uninstaller ist ebenfalls signiert.
• NuGet-Pakete tragen eine Autorensignatur von Gigasoft, Inc. Sie können sie selbst mit den Standardwerkzeugen prüfen: Führen Sie dotnet nuget verify für das Paket aus und prüfen Sie, dass die Autorensignatur auf Gigasoft, Inc. lautet.

Eine Einschränkung, die wir lieber selbst nennen, als sie Sie entdecken zu lassen. Die einzelnen Binärdateien innerhalb einer Distribution sind nicht separat Authenticode-signiert. Das ist bewusst so und technisch bedingt: Die kundenspezifische Lizenzstempelung schreibt bei der Installation Ihres Produkts Bytes innerhalb der Engine um, was jede zuvor auf diese Datei angewandte Signatur ungültig machen würde. Die Integrität ist daher auf Paketebene gesichert, wo die Signatur die gesamte Distribution abdeckt, und nicht je Datei. Falls Ihr Compliance-Prozess ausdrücklich Signaturen je Datei verlangt, sprechen Sie uns an, und wir besprechen, was wir für Ihren Fall tun können.

Sichere Entwicklung und Unternehmenspraxis

Gigasoft ist ein kleines, fokussiertes Unternehmen, und wir beschreiben unsere Praxis lieber genau, als das Vokabular eines großen Sicherheitsprogramms zu übernehmen.

• Sicherheit ist Chefsache. Der Firmeninhaber ist persönlich für Sicherheitsentscheidungen verantwortlich. Nichts wird an eine Funktion delegiert, die es nicht gibt.
• Der gesamte Produktcode ist unser eigener. Jede Zeile wird im Haus geschrieben und geprüft, weshalb es keine Abhängigkeitskette zu überwachen gibt.
• Eingaben werden validiert und Datenbankzugriffe parametrisiert. Das betrifft die Unternehmenssysteme rund um das Produkt, etwa Registrierung und Downloads.
• Unternehmenssysteme sind mehrschichtig gehärtet. Dazu gehören Website und Webserver, E-Mail-Authentifizierung und Endpunktschutz. E-Mail ist durch SPF, DKIM und eine durchsetzende DMARC-Richtlinie geschützt, was Sie unabhängig anhand unserer DNS-Einträge prüfen können. Unsere konkreten Konfigurationen veröffentlichen wir nicht, weil das einem Angreifer mehr helfen würde als Ihnen.
• Serverprotokolle werden auf Missbrauchsmuster geprüft. Zusätzlich greifen Missbrauchskontrollen auf Webserver-Ebene.
• Endgeräte laufen unter aktuellem Windows mit Microsoft Defender.

Ebenso klar sagen wir, was wir nicht sind. Wir betreiben keine Unternehmensnetzinfrastruktur, daher gehören Kontrollen wie Deep Packet Inspection oder Intrusion Detection auf verschlüsseltem Verkehr nicht zu unserem Profil und wären reines Theater, wenn wir sie behaupteten. Wir speichern keine Kundendaten für das Produkt, weil das Produkt uns keine sendet. Fragt ein Fragebogen nach einer Kontrolle, die für einen kleinen Komponentenanbieter, dessen Produkt vollständig in der Umgebung des Kunden läuft, nicht zutrifft, sagen wir das und erklären warum, statt der Vorlage zu folgen.

Was wir für Ihre Auditunterlagen liefern

Auf Anfrage an support@gigasoft.com, kostenlos:

• Eine maschinenlesbare SBOM im SPDX- oder CycloneDX-Format für Ihre Version.
• Eine unterzeichnete Lieferanten-Sicherheitserklärung auf Firmenbriefpapier, die die Zusagen dieser Seite bestätigt.
• Schriftliche Antworten auf Ihren eigenen Lieferanten-Sicherheitsfragebogen.
• Bestätigung des Enddatums des Supportzeitraums und der aktuellen Supportstufe für die von Ihnen eingesetzte Version.
• Unsere Zusagen zur koordinierten Offenlegung von Schwachstellen, wie oben dargelegt.

Wir haben Sicherheitsbewertungen für Kunden aus regulierten Branchen durchlaufen und wissen, was der Prozess benötigt. Fragen Sie nach dem, was Ihr Prüfer verlangt, und wir stellen es bereit.

Häufig gestellte Fragen

Sprechen Sie uns an

Sicherheitsfragen, Fragebögen, Dokumentenanfragen und Schwachstellenmeldungen gehen alle an support@gigasoft.com und erreichen die Menschen, die das Produkt entwickeln.

Diese Seite wurde zuletzt am 30. Juli 2026 überprüft und wird gepflegt, während sich der CRA-Rahmen weiterentwickelt.

Diese Seite beschreibt die Produktsicherheitspraxis von Gigasoft und unser Verständnis davon, wie der Cyber Resilience Act auf ProEssentials anzuwenden ist. Sie dient der Unterstützung Ihrer eigenen Compliance-Arbeit und stellt keine Rechtsberatung dar. Ihre Pflichten für das Produkt, das Sie in Verkehr bringen, ergeben sich aus Ihrem Produkt, Ihrem Markt und Ihrer eigenen Bewertung.