Dein Code steht auf tausend fremden Schultern.
Atlas findet jede Abhängigkeit in deinen Repositories, Containern und Diensten, gleicht sie laufend mit CVE, OSV und der Liste aktiv ausgenutzter Lücken ab und meldet sich, sobald eine davon dich wirklich trifft.
GitHub verbinden, Lockfile hochladen oder per API aus der CI. Atlas liest nur Manifest-Dateien, dein Quellcode wird nicht gespeichert.
log4j-core 2.14.1
CVE-2021-44228 wird aktiv ausgenutzt. Transitiv über spring-boot.
Der Himmel über deiner Software wird jeden Tag voller.
Vielleicht zehn Prozent deines Produkts hast du selbst geschrieben. Der Rest kommt aus Paketen, die du nie gelesen hast, und aus deren Paketen. Jede einzelne davon kann morgen in einer Sicherheitsmeldung stehen.
0
CVEs wurden 2025 veröffentlicht. Rund 132 neue Schwachstellen pro Tag, auch am Wochenende.
Quelle: Jerry Gamblin, 2025 CVE Data Review0 %
der 2026 geprüften Codebasen enthielten mindestens eine bekannte Open-Source-Schwachstelle, 44 % sogar eine kritische.
Quelle: Black Duck, OSSRA Report 2026−0 Tage
betrug 2025 die durchschnittliche Zeit bis zur Ausnutzung. Angriffe begannen im Mittel eine Woche, bevor ein Patch existierte.
Quelle: Google Cloud, M-Trends 2026
Du kannst nicht schützen, was du nicht siehst.
Die Lücke steckt drei Ebenen tief.
Log4Shell traf Teams, die Log4j nie bewusst installiert hatten. Transitive Abhängigkeiten tauchen in keiner Excel-Liste und keinem Architekturdiagramm auf.
Der Scanner schreit bei allem.
Hunderte Funde, alle „kritisch“. Nach einer Woche liest sie niemand mehr, und genau dann rutscht die eine durch, die wirklich ausgenutzt wird.
Seit dem 11. September 2026 läuft die Uhr.
Der Cyber Resilience Act verpflichtet Hersteller digitaler Produkte, aktiv ausgenutzte Schwachstellen binnen 24 Stunden zu melden. NIS2 gilt in Deutschland seit dem 6. Dezember 2025. Ohne Inventar keine Meldung.
Atlas trägt den Himmel. Du behältst den Überblick.
Wie der Titan, der das Firmament auf seinen Schultern trägt, nimmt dir Atlas das ständige Beobachten ab. Jede Komponente wird kartiert, jede neue Meldung gegen dein Inventar geprüft, Tag und Nacht.
- 1
Verbinden
Installiere die GitHub-App, trage eine Repository-URL ein, lade ein ZIP, ein Lockfile oder eine SBOM hoch, oder erfasse Dienste wie nginx und PostgreSQL von Hand. Aus der CI geht es per API.
asko/checkout-service
GitHub · main · bei jedem Push
billing-legacy.zip
Upload · 14 Manifeste erkannt
nginx 1.24.0, PostgreSQL 15.4
Dienste · manuell erfasst
POST /api/v1/projects/…/uploads
CI-Pipeline · SBOM aus Syft
- 2
Kartieren
Atlas liest nur Manifest- und Lockfiles und baut daraus dein vollständiges Inventar: direkte und transitive Pakete mit exakter Version, aus npm, PyPI, Maven, Go, Cargo, NuGet, Composer, RubyGems und mehr.
49 Komponenten27 direkt9 ÖkosystemePaket Version Quelle Art spring-boot-starter-web 2.5.4 Maven direkt log4j-core 2.14.1 Maven transitiv next 14.0.0 npm direkt axios 0.21.1 npm transitiv django 3.2.0 PyPI direkt golang.org/x/net 0.17.0 Go transitiv openssl 3.0.11-1~deb12u1 Debian 12 Image - 3
Wachen
Bei jedem Push, jeden Tag gegen neue Advisories, alle zwei Stunden gegen die NVD. Wird eine Lücke in deinem Inventar aktiv ausgenutzt, erfährst du es per E-Mail, Slack oder Webhook.
Slack, #security, gerade ebenAktiv ausgenutzt: CVE-2021-44228
log4j-core 2.14.1 in checkout-service. In den CISA-KEV-Katalog aufgenommen. Fix: auf 2.17.1 aktualisieren.
Dein Atlas-Lagebericht, 07:00 Uhr
2 jetzt handeln, 9 zeitnah, 14 behoben seit gestern
finding.exploited → jira.example.de
Signiert mit HMAC-SHA256, 200 OK
Nicht jede CVE ist ein Notfall. Atlas sagt dir, welche es ist.
Schweregrad allein erzeugt Alarmmüdigkeit, denn die meisten kritischen CVEs werden nie ausgenutzt. Atlas verknüpft drei unabhängige Signale und sortiert danach, angelehnt an das SSVC-Modell der CISA. Jede Einstufung kommt mit Begründung.
- WirkungCVSS
- Wie schlimm wäre ein erfolgreicher Angriff?
- WahrscheinlichkeitEPSS von FIRST
- Wie wahrscheinlich ist ein Angriff in den nächsten 30 Tagen?
- BeweisCISA KEV
- Wird die Lücke bereits in freier Wildbahn ausgenutzt?
Demo-Scan eines Monorepos mit 49 Komponenten
- Jetzt handeln: Aktiv ausgenutzt, oder hoher Schweregrad mit EPSS ab 10 %
- Zeitnah beheben: Kritisch, oder hoch mit messbarem Exploit-Signal
- Einplanen: Hoher Schweregrad ohne Hinweis auf Ausnutzung
- Beobachten: Alles Übrige, inklusive reiner Entwicklungsabhängigkeiten
Passt in deinen Alltag, nicht umgekehrt.
- Alerts, wo du arbeitest
- E-Mail, Slack und signierte Webhooks. Pro Kanal legst du fest, ab welcher Dringlichkeit er sich meldet. Morgens um sieben kommt auf Wunsch ein Lagebericht.
- REST-API
- Projekte anlegen, Uploads aus der CI, Funde abfragen und Status setzen. Mit OpenAPI-Beschreibung und API-Schlüsseln pro Organisation.
- MCP für KI-Assistenten
- Dein Assistent kann Projekte, Funde und Advisories abfragen, Pakete prüfen und Scans starten, mit denselben Rechten wie dein API-Schlüssel.
- SBOM auf Knopfdruck
- CycloneDX 1.6 mit Komponenten und bekannten Schwachstellen, als Nachweis für Kunden, Audits und den Cyber Resilience Act.
Lockfile oder SBOM bei jedem Build prüfen. Der Aufruf wartet auf das Ergebnis und bricht den Build ab, wenn etwas sofort behoben werden muss.
curl -sf "$ATLAS_URL/api/v1/projects/$ATLAS_PROJECT/uploads?wait=120&fail_on=act" \
-H "Authorization: Bearer $ATLAS_API_KEY" \
-F "[email protected]"
# {"scan":{"status":"completed","stats":{"components":412,"findings":7}},
# "gate":{"failed":false,"fail_on":"act","matching":0}}Ein Sicherheitswerkzeug, dem du nicht blind vertrauen musst.
Nur lesen, was nötig ist
Die GitHub-App fordert ausschließlich Leserechte an. Aus jedem Archiv werden nur Manifest- und Lockfiles entpackt, dein Quellcode wird weder gespeichert noch analysiert.
Uploads verschwinden wieder
Hochgeladene Dateien werden direkt nach dem Scan gelöscht. Was bleibt, ist das Inventar: Paketname, Version, Fundort.
Nachvollziehbare Bewertung
Jede Einstufung nennt ihre Gründe und Quellen: OSV, NVD, CISA KEV, FIRST EPSS. Keine Blackbox, kein Bauchgefühl.
Auch im eigenen Rechenzentrum
Atlas läuft als Docker-Stack mit Supabase. Du entscheidest, wo deine Daten liegen.
Häufige Fragen
Braucht Atlas Zugriff auf meinen Quellcode?
Nein. Atlas wertet nur Dateien aus, die Abhängigkeiten beschreiben, etwa package-lock.json, poetry.lock, go.mod, pom.xml oder eine SBOM. Bei GitHub-Repositories wird das Archiv im Speicher gestreamt, alle anderen Dateien werden übersprungen.
Welche Sprachen und Ökosysteme werden unterstützt?
JavaScript und TypeScript (npm, Yarn, pnpm, Bun), Python (pip, Poetry, uv, Pipenv), Go, Rust, Java und Kotlin (Maven, Gradle), .NET, PHP, Ruby, Dart, Elixir, GitHub Actions sowie Container-Pakete aus Debian, Ubuntu und Alpine über CycloneDX- oder SPDX-SBOMs. Server-Software wie nginx, PostgreSQL oder FortiOS erfasst du als Dienst, sie wird über die NVD geprüft.
Wie oft prüft Atlas?
Repositories bei jedem Push auf den Standard-Branch und zusätzlich nachts. Dein Inventar wird täglich gegen alle neuen Advisories abgeglichen, die NVD alle zwei Stunden synchronisiert, der CISA-KEV-Katalog alle vier Stunden, EPSS täglich und Security-News alle 30 Minuten.
Was unterscheidet Atlas von Dependabot oder einem einzelnen Scanner?
Atlas betrachtet alle Repositories, Uploads und Dienste einer Organisation gemeinsam, führt doppelte Advisories zusammen und priorisiert nach tatsächlicher Ausnutzung statt nur nach Schweregrad. Alerts, Lagebericht, API und MCP sind für Teams gebaut, die viele Projekte gleichzeitig im Blick behalten müssen.
Hilft Atlas bei CRA und NIS2?
Atlas liefert, was beide Regelwerke voraussetzen: ein aktuelles Komponenteninventar (SBOM), laufende Überwachung auf Schwachstellen und eine dokumentierte Priorisierung. Die Meldung an Behörden und die rechtliche Bewertung bleiben bei dir, Atlas ersetzt keine Rechtsberatung.
Kann ich Atlas selbst betreiben?
Ja. Web-App und Worker sind als Docker-Images verfügbar und skalieren horizontal. Die Warteschlange liegt in Postgres, für den Start brauchst du nichts außer Supabase.
Heute erscheinen rund 132 neue CVEs. Finde heraus, welche dich betreffen.
Repository verbinden oder Lockfile hochladen. Das erste Ergebnis siehst du meist in unter einer Minute.