Provetry oder Dependabot: Reicht GitHub für den CRA?
Auf dieser Seite
Wenn Ihr Code auf GitHub liegt, haben Sie wahrscheinlich bereits Dependabot: Es liest Ihre Manifeste und Lock-Dateien, warnt Sie, wenn eine Abhängigkeit eine bekannte Schwachstelle hat, und kann den Pull Request öffnen, der sie aktualisiert. Es kostet nichts. Braucht ein Hersteller für den Cyber Resilience Act also noch etwas anderes? Diese Seite beschreibt, was Dependabot und GitHub abdecken, was sie Ihnen überlassen und wo Provetry ins Spiel kommt, Stand November 2026. Provetry öffnet im November 2026; Dependabot ist heute verfügbar.
In einem Satz
Dependabot hält die Abhängigkeiten jedes Repositorys aktuell und warnt Sie vor bekannten Schwachstellen darin. Provetry begleitet die Produkte, die Sie verkaufen, Version für Version, und die Pflichten, die der CRA daran knüpft: eine SBOM pro Version, die Überwachung ausgenutzter Schwachstellen, die Meldungen an die ENISA nach Artikel 14, die Strategie für die koordinierte Offenlegung von Schwachstellen und die technische Dokumentation.
Im Vergleich
Bei Provetry steht der Tarif, der eine Funktion enthält, in Klammern. Preise ohne Mehrwertsteuer.
| GitHub (Dependabot und Abhängigkeitsdiagramm) | Provetry | |
|---|---|---|
| Verfügbarkeit | Verfügbar | Öffnet im November 2026 |
| Preis | In GitHub enthalten | Kostenlos für ein Produkt, danach 49 €, 149 € oder 399 € pro Monat |
| Arbeitseinheit | Ein Repository und sein Standardbranch | Ein Produkt und jede seiner Versionen, womöglich aus mehreren Repositorys gebaut |
| Warnungen | Zu geprüften Hinweisen der GitHub Advisory Database | Auf Basis von OSV.dev (das die GitHub-Hinweise enthält), ausgenutzte Schwachstellen zuerst; täglich in den kostenpflichtigen Tarifen, wöchentlich im kostenlosen |
| Upgrades | Pull Requests für Sicherheits- und Versionsupdates | Keine automatischen Pull Requests; Tickets in GitHub, Jira oder Linear (Pro und Consultant) |
| SBOM | Export des Abhängigkeitsdiagramms in SPDX, für den aktuellen Stand des Repositorys | CycloneDX 1.6 (alle Tarife; bis zu 3 Versionen im kostenlosen); SPDX 2.3 und 3.0.1 (kostenpflichtige Tarife); eine SBOM pro Version aufbewahrt |
| Versionen, die noch im Einsatz sind | Warnungen folgen dem Standardbranch | Jede als unterstützt markierte Version wird geprüft |
| Ausgenutzte Schwachstellen | EPSS-Werte in den Warnungen | CISA KEV und die EU-Liste der ENISA (EUVD), dann EPSS |
| Bewertungen | Eine Warnung mit Begründung schließen | VEX-Bewertungen, die in spätere Versionen übernommen und als OpenVEX exportiert werden (alle Tarife); öffentlicher VEX-Feed (kostenpflichtige Tarife) |
| Meldungen an die ENISA nach Artikel 14 | Nein | Meldefall ab dem Zeitpunkt der Kenntnisnahme, Fristen-Countdown, Entwürfe entlang der Felder der ENISA-Plattform (kostenpflichtige Tarife) |
| Offenlegung | Sicherheitsrichtlinie SECURITY.md; private Schwachstellenmeldung und Repository-Hinweise für öffentliche Repositorys; kein CSAF |
Offenlegungsstrategie, Kontaktadresse für Meldungen (zum Beispiel security.txt), CSAF-Hinweise und eine öffentliche Sicherheitsseite pro Produkt (kostenpflichtige Tarife) |
| Technische Dokumentation nach dem CRA | Nein | Geführtes Dossier und Entwurf der EU-Konformitätserklärung (Pro und Consultant) |
Wann Dependabot den Bedarf deckt
- Ihr Produkt ist ein einziges Repository, Sie liefern vom Standardbranch aus, und nur die neueste Version ist im Einsatz. Dependabot deckt dann die Verfolgung verwundbarer Abhängigkeiten ab; sind Sie Hersteller im Sinne des CRA, bleiben die Melde- und Dokumentationspflichten, welches Werkzeug Sie auch nutzen.
- Sie sind kein Hersteller im Sinne des CRA, zum Beispiel weil Ihr Produkt reines SaaS ist. Abhängigkeiten aktuell zu halten ist dann gute Hygiene, und Dependabot macht das gut.
- Sie pflegen ein Open-Source-Projekt außerhalb jeder kommerziellen Tätigkeit. Der CRA behandelt Sie in der Regel nicht als Hersteller, und die Sicherheitsrichtlinie, die private Schwachstellenmeldung und die Hinweise von GitHub geben Ihnen einen sauberen Offenlegungskanal. Siehe Der CRA und Open Source.
Wo Provetry etwas hinzufügt
- Mehrere Versionen sind im Einsatz. Der CRA verlangt, dass Sie Schwachstellen während des gesamten angekündigten Unterstützungszeitraums behandeln. Kunden auf Version 2.1 schützt keine Korrektur, die in den Hauptbranch von Version 3 gemergt wurde. Provetry bewahrt die SBOM jeder Version auf und prüft jede unterstützte, täglich in den kostenpflichtigen Tarifen.
- Sie müssen wissen, was ausgenutzt wird, und innerhalb von 24 Stunden handeln. Eine Warnung sagt, dass eine Abhängigkeit verwundbar ist. Artikel 14 setzt Fristen ab dem Moment, in dem Sie Kenntnis erlangen, dass eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird. Provetry stellt die Listen von CISA und ENISA an den Anfang, lässt Sie ab diesem Moment einen Meldefall eröffnen, zählt die Fristen herunter und entwirft Frühwarnung, Meldung und Abschlussbericht.
- Ein Produkt ist mehr als ein Repository: eine Firmware, eine mobile App und ein Backend, oder ein Container-Image, das durch eine SBOM aus einem Werkzeug wie Syft beschrieben wird. Provetry beschreibt das Produkt, nicht das Repository.
- Sie brauchen die Dokumente, nach denen eine Behörde fragen wird: die technische Dokumentation nach Anhang VII, ein Nachweisjournal Ihrer Entscheidungen, einen Entwurf der EU-Konformitätserklärung.
Beide nutzen
Das ist der häufigste Fall. Behalten Sie Dependabot für das, was es am besten kann: Abhängigkeiten in dem Code zu aktualisieren, den Sie gerade schreiben. Nutzen Sie Provetry, um die CRA-Unterlagen jedes Produkts und jeder Version zu führen, die Sie in Verkehr bringen. Der SPDX-Export von GitHub kann statt der Lock-Dateien in Provetry hochgeladen werden; das funktioniert am besten aus einem Repository mit Lock-Dateien, da Abhängigkeiten ohne exakte Version weggelassen werden.
Was Sie vor der Wahl prüfen sollten
- Fällt Ihr Produkt unter den CRA? Der kostenlose Check sagt es Ihnen in wenigen Minuten.
- Wie viele Versionen unterstützen Sie gleichzeitig? Wenn es mehr als eine ist, lässt ein Werkzeug, das nur den Standardbranch beobachtet, Lücken.
- Wer schreibt die Meldungen an die ENISA? Diese Pflicht gilt seit dem 11. September 2026, welches Werkzeug Sie auch nutzen.
GitHub und Dependabot sind Marken von GitHub, Inc. Provetry ist nicht mit GitHub verbunden. Die obigen Angaben wurden im November 2026 anhand der unten genannten Quellen geprüft; wenn sich etwas geändert hat, schreiben Sie uns an hello@provetry.com, und wir korrigieren es.