Rebaze DNA
Software Supply Chain Security.
Als Fähigkeit.
Rebaze DNA ist unsere Methode hinter rebaze Pilot, rebaze Lagebild und rebaze Mandat: Technik, Prozesse und Menschen zusammen denken statt nur ein weiteres Tool einzuführen.
Der Ansatz
Mehr als Tools — eine Fähigkeit
Die meisten SSCS-Initiativen scheitern nicht an der Technik. Sie scheitern, weil Prozesse, Verantwortlichkeiten und Wissenstransfer fehlen. Genau dafür steht unsere Methode.
Technik
SBOM-Pipelines, Vulnerability Scanner, Dependency Tracking, AI-Dependency-Monitoring — integriert in Ihre CI/CD-Landschaft. Open-Source-Tools, keine Vendor-Abhängigkeit.
Prozesse
Security Hygiene als gelebte Praxis. Governance-Workflows, Incident-Playbooks, Freigabeprozesse — nicht als Dokument, sondern als Routine in Ihren Teams.
Menschen
Wissenstransfer, Schulung, Coaching. Ihre Teams verstehen das Warum — und können eigenständig handeln. Kein Berater-Abo, keine Abhängigkeit.
Der Ablauf
Vier Meilensteine zur Fähigkeit
Strukturiert, dokumentiert — mit vollständigem Wissenstransfer.
Reifegradanalyse
Wo stehen Sie? Reifegradanalyse Ihrer Software-Lieferkette über alle drei Dimensionen: Technik, Prozesse, Menschen. Gap-Analyse und Roadmap.
Infrastruktur & Integration
Hands-on Aufbau: SBOM-Pipelines, Vulnerability Management, AI-Dependency-Tracking. Integriert in Ihre CI/CD-Umgebung. Keine PowerPoint-Präsentationen.
Befähigung
Security Hygiene als Praxis etablieren. Governance-Prozesse, Incident-Playbooks, Schulungen. Ihr Team übernimmt schrittweise den Betrieb.
Handover & Eigenständiger Betrieb
Übergabe an Ihren internen Betrieb. Dokumentierte Prozesse, nachweisbare Fähigkeiten, Compliance-Readiness. Sie operieren eigenständig — ohne Berater-Abhängigkeit.
Die nächste Grenze
Von SBOM über Build-Integrität zum Capability Manifest
Drei Fragen, drei Schichten: Was steckt in Ihrer Software? (SBOM) → Wurde sie korrekt und unverfälscht gebaut? (SLSA) → Was kann sie zur Laufzeit tun? (Capability Manifest)
SBOM — Zutatenliste
Inventar aller Komponenten: Bibliotheken, Frameworks, transitive Abhängigkeiten. Formate wie CycloneDX und SPDX dokumentieren Zusammensetzung.
Build-Integrität — SLSA
Kryptografischer Nachweis, dass ein Artefakt aus dem deklarierten Quellcode in einer definierten Umgebung gebaut wurde. Sigstore für Signaturen, in-toto für Attestierungen.
Capability Manifest — Laufzeitverhalten
Deklaration von Systemressourcen, Netzwerkzugriffen und Berechtigungen. Eine Abhängigkeit mit bekannter Schwachstelle aber ohne Netzwerkzugriff — ein völlig anderes Risikoprofil.
Wo das Konzept heute schon existiert
Android & iOS
Permission Manifests deklarieren Kamera-, Standort- und Netzwerkzugriff — das bekannteste Capability-Modell im Consumer-Bereich.
Deno & WASI
Explizites Capability-Modell: kein Dateizugriff, kein Netzwerk, keine Umgebungsvariablen — es sei denn, ausdrücklich erlaubt.
Kubernetes
Pod Security Standards definieren erlaubte Capabilities, Volumes und Netzwerkpolicies pro Workload.
OpenSSF & CISA
Aufkommende Tools wie Capslock (Google) und socket.dev analysieren Laufzeitverhalten von Abhängigkeiten. Noch kein CycloneDX/SPDX-Standard.
Ehrliche Einordnung: SLSA-Attestierungen und Capability Manifests sind aufkommende Konzepte auf unterschiedlichem Reifegrad — SLSA ist produktionsreif, Capability Manifests noch kein fertiger Standard. Wir denken Build-Integrität bereits mit und bereiten Ihre Infrastruktur auf beide Erweiterungen vor.
Scope
Die gesamte Lieferkette — nicht nur Code
Moderne digitale Lösungen bestehen nicht nur aus Code. KI-Modelle, Cloud-Services, Container-Images — alles sind Abhängigkeiten, die Sie kennen und bewerten müssen.
Software-Abhängigkeiten
Open-Source-Bibliotheken, Frameworks, transitive Abhängigkeiten. Vollständige Inventur mit SBOM-Generierung bei jedem Build. Perspektivisch ergänzt um Capability-Analyse: Was können diese Komponenten zur Laufzeit?
AI & ML-Modelle
Basis-Modelle, Fine-Tuning-Daten, API-Abhängigkeiten. Wer liefert Ihre KI-Komponenten? Welche Lizenzen gelten? Welche Risiken bestehen?
Infrastruktur & Container
Base-Images, Runtime-Versionen, Plattform-Abhängigkeiten. Container-Scanning und Image-Provenance für Ihre gesamte Deployment-Landschaft.
Compliance-Nachweise
NIS2, CRA, BSI Grundschutz, DORA. Audit-fähige Dokumentation über Ihre gesamte Lieferkette — nicht nur für Code, sondern für alle Abhängigkeitstypen.
Der Unterschied
Warum ein Programm — kein Projekt?
Typischer Ansatz
- Tool-Beschaffung ohne Prozessanpassung
- Einmaliges Audit, danach Stillstand
- Compliance-Checkbox statt gelebter Praxis
- Fokus nur auf Code-Abhängigkeiten
- Wissen geht mit dem Berater
Rebaze DNA
- Technik, Prozesse und Menschen — alle drei Dimensionen
- Security Hygiene als fortlaufende Praxis
- Gesamtes Spektrum: Code, AI, Infrastruktur, Services
- SBOM + Build-Integrität heute — Capability Manifests als nächster Schritt
- Eigenständiger Betrieb nach Handover
Die Methode verstanden. Jetzt zu den Formaten.
Wenn Sie wissen wollen, wie wir daraus rebaze Pilot, rebaze Lagebild oder rebaze Mandat machen, finden Sie dort den direkten Einstieg.
Zu den Leistungen