Jochwacht: die Stückliste entsteht im Build
Seit dem 11. September 2026 gilt die Meldepflicht aus Artikel 14 des Cyber Resilience Act. Für die Frühwarnung bleiben 24 Stunden ab Kenntnis. Die Frage ist dann nicht, wie schlimm die Lücke ist. Sie lautet: steckt die betroffene Komponente in einem Stand, den wir ausgeliefert haben — und in welcher Version?
Jochwacht erzeugt die Antwort dort, wo sie entsteht — beim Übersetzen.
Die Herausforderung
C und C++ haben kein Manifest
Werkzeuge aus der Webwelt lesen Paketverzeichnisse. Statisch gelinkte Bibliotheken, einkopierte Fremdquellen und lokal gepatchte Upstream-Versionen stehen in keinem solchen Verzeichnis. Ein nachträglicher Scan rät an diesen Stellen.
Ein Lauf ohne Fehlermeldung ist kein Beleg
Wir haben zwei verbreitete offene Werkzeuge über dasselbe Projekt laufen lassen, libwebsockets. Das eine lieferte drei Einträge — allesamt Schritte aus der CI-Konfiguration. Das andere 260, davon 222 eigene Bauziele des Projekts. Keiner der Läufe brach ab, beide erzeugten eine gültige Datei.
Die Frist fragt nach der Komponente
24 Stunden ab Kenntnis lassen keine Inventur zu. Wer seine Stücklisten erst zum Audit erzeugt, verbringt die erste Nacht mit Suchen statt mit Bewerten.
Lieferant und Lizenz fehlen oft
In zugelieferten Stücklisten sind beide Felder häufig leer. Ohne Lieferant weiß man nicht, wen man fragt; ohne Lizenz nicht, was man weitergeben darf. Die BSI-Richtlinie TR-03183-2 verlangt beide.
Wie Jochwacht arbeitet
Aus dem Build, nicht aus einem Scan
Gelesen werden CMake, Meson, Autotools, Yocto, Buildroot, Zephyr und vcpkg. Was das Bausystem weiß, muss nicht geraten werden.
Anreicherung aus einer eigenen Datenbank
Fehlende Felder werden nachgetragen. Gemessen an einer zugelieferten Stückliste mit 1.907 Komponenten: das Lieferantenfeld stieg von 0 auf 1.907. Die Lizenz von 214 auf 1.905.
Abgleich gegen zwei Listen aktiv ausgenutzter Schwachstellen
Der CISA-KEV-Katalog und die EU-Datenbank EUVD werden stündlich eingelesen. Beide zählen verschieden, deshalb beide.
Ungeprüft ist nicht unbedenklich
Das Feld für aktive Ausnutzung kennt drei Werte: ausgenutzt, nicht ausgenutzt, nicht geprüft. Eine grüne Ampel für Ungeprüftes wäre wertlos.
Drei Grenzen gehören dazu. Jochwacht macht kein Produkt konform — das wird es durch die Bewertung seines Herstellers. Es verspricht keine Vollständigkeit: beim Erzeugen aus eigenen Builds trägt das Lieferantenfeld im Mittel neun von zehn Komponenten, bei Yocto weniger. Wo eine Angabe fehlt, steht das in der Datei, statt geraten zu werden. Und die Meldepflicht bleibt beim Hersteller.
Selbst ausprobieren
Der erste Check ist kostenlos: ein Befehl im Projektordner, binnen 24 Stunden ein Bericht. Der Sammler ist offen einsehbar, und vorher lässt sich anzeigen, was gesendet würde.