Eine bekannte Schwachstelle findet jede betroffene Umgebung.

Schwachstellen kommen aus offenen Datenbanken und Hinweisen der Hersteller: OSV mit ihrem eigenen Austauschformat, die National Vulnerability Database zu den CVE-Kennungen und Hinweise im Format CSAF 2.0 der OASIS, wie sie Hersteller und das BSI veröffentlichen. Jeder Eintrag nennt die betroffenen Komponenten und Versionsbereiche.

HERMES gleicht sie mit den Stücklisten ab. Eine Komponente ist über ihre Package URL gekennzeichnet, und der Abgleich prüft, ob ihre Version in einen betroffenen Bereich fällt. Die Kette danach steht schon im System: Die Komponente steckt in einer Version, die Version läuft in Umgebungen, und das Inventar nennt sie. Das Ergebnis ist eine Liste von Umgebungen mit der betroffenen Version, nicht ein allgemeiner Hinweis.

Der Abgleich läuft fortlaufend und nicht nur beim Bau. Eine Komponente, die gestern unbedenklich war, kann heute betroffen sein, und die Stückliste einer ausgelieferten Version ändert sich dadurch nicht, ihre Bewertung schon.

Viele gemeldete Schwachstellen betreffen Code, der in einem Produkt nie läuft: die Funktion wird nicht aufgerufen, die Komponente ist nur als Abhängigkeit im Bau enthalten, eine Einstellung schaltet sie ab. Ein Abgleich, der jede davon als Alarm meldet, wird bald nicht mehr gelesen. Für diese Unterscheidung gibt es VEX, den Austausch über die Ausnutzbarkeit von Schwachstellen. Eine VEX-Aussage nennt je Produkt und Schwachstelle einen Status: nicht betroffen, betroffen, behoben oder in Untersuchung.

Ein Status nicht betroffen trägt eine Begründung aus einem festen Vokabular, etwa dass der verwundbare Code nicht im Ausführungspfad liegt (vulnerable_code_not_in_execute_path). Die Aussage ist eine signierte Anlage am Digest, geschrieben und verantwortet von einem Menschen. HERMES setzt keinen Status auf nicht betroffen, weil es eine Komponente nicht sieht, oder wegen eines Verdachts; ohne belegte Aussage gilt eine Komponente im betroffenen Bereich als betroffen.

Die Dringlichkeit ergibt sich aus mehreren Angaben: dem Schweregrad nach CVSS, dem Hinweis, dass die Schwachstelle ausgenutzt wird, wie ihn der KEV-Katalog der CISA führt, der Wahrscheinlichkeit nach EPSS, der Erreichbarkeit im Produkt und der Bedeutung der Umgebung. HERMES zeigt sie nebeneinander und rechnet sie nicht zu einer einzigen Zahl zusammen, die eine Entscheidung vortäuscht.

Eine Korrektur ist eine neue Version mit eigenem Digest, reproduzierbar gebaut, mit neuer Stückliste und Signatur. Die Stückliste belegt die Behebung: Die Komponente liegt jetzt außerhalb des betroffenen Bereichs, und derselbe Abgleich, der sie gefunden hat, meldet sie als behoben. Für ältere gepflegte Linien wird die Korrektur übernommen, je Linie als eigener Digest.

Der Weg zu den Umgebungen ist der übliche: Kanäle, Wellen, Signale, Rücknahme. Für Sicherheitskorrekturen kann ein Kanal eine kürzere Beobachtungszeit haben, als Einstellung mit Freigabe und nicht als Ausnahme im Einzelfall. Die Reihenfolge der Umgebungen richtet sich nach der Dringlichkeit: Was von außen erreichbar ist, kommt zuerst.

Ist noch keine Korrektur verfügbar, gibt es Maßnahmen am Soll: eine Funktion abschalten, eine Netzregel setzen, eine Einstellung ändern. Sie laufen als Version der Konfiguration durch dieselben Wellen und stehen im Verlauf mit dem Hinweis, wozu sie dienen und wann sie wieder entfallen.

Eine abgeschottete Umgebung erfährt von neuen Schwachstellen nicht selbst. Die Daten kommen als signiertes Paket in die Umgebung, gespiegelt am Rand aus den offenen Quellen und mit ihrem Stand versehen, und der Abgleich läuft innen gegen diesen Spiegel. So bleibt der Weg derselbe wie bei Paketen: bauen und prüfen außen, einseitig hinein, prüfen innen.

Das Ergebnis trägt den Stand der Daten. Kein Befund heißt dort kein Befund gegen den Stand vom Zeitpunkt der letzten Lieferung, und die Anzeige sagt das. Ein Abgleich, der ohne Datum Entwarnung gäbe, wäre irreführend.

Zu jeder Betroffenheit gehören ein Zuständiger, eine Frist und ein Status. Der Nachweis der Behebung ist keine Erklärung, sondern ein Abgleich: Der Digest der Umgebung und die Stückliste dieses Digests zeigen, dass die Komponente behoben ist. Der Verlauf hält fest, wann das so wurde.

Das stützt Pflichten, die an der Behandlung von Schwachstellen hängen. Die Richtlinie (EU) 2022/2555 zählt in Artikel 21 Absatz 2 das Schwachstellenmanagement zu den Maßnahmen des Risikomanagements. Die Verordnung (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen, Schwachstellen zu behandeln und aktiv ausgenutzte zu melden; die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. HERMES liefert dafür die Daten, welche Produkte und Umgebungen betroffen sind. Die Meldung selbst und ihre Bewertung bleiben Sache der Pflichtigen.