Sehen Sie, welchen Lieferanten Sie ausgesetzt sind und wer mit ihnen ausfällt.

Jeder Lieferant erhält einen Score von 0 bis 100, seine Abhängigkeiten liegen in einem Graphen, und die Konzentrationen, die kein einzelner Lieferant offenbart, werden sichtbar. Fragebögen, CVEs (veröffentlichte Schwachstellen) und Entscheidungen teilen sich einen Datensatz.

Für: Lieferanten- und TPRM-Verantwortliche sowie der CISO, der gegenüber Vorstand und Aufsicht für die Lieferkette einsteht.

Demo anfragen Konzepte in der Dokumentation lesen

Sie deklarieren die Abhängigkeiten; die Propagation reicht 3 Hops weit
Scans erfolgen periodisch und nutzen externe Quellen, nicht in Echtzeit

AbhängigkeitskartePortfolio

Beispieldaten

Konzentration (HHI): 3.420 / 10.000
Blast-Radius: 3 Lieferanten innerhalb von 3 Hops

Lieferant C

Zusammengesetzter Score71 / 100Hoch

Externer Scan2 offene Befunde
FragebogenVon einem Analysten validiert
Bekannte CVEs1 in KEV

Beispieldaten: Lieferanten, Scores und Zahlen sind fiktiv.

Wo es im Zyklus sitzt

Diese Lösung durchläuft alle vier Phasen, mit dem Lieferanten als Arbeitseinheit.

SENSE · Nachweise sammeln
Externes Lieferanten-Scanning, Fragebögen über ein Portal und ein täglicher CVE-Abgleich.
PREDICT · quantifizieren und simulieren
Score von 0 bis 100, FAIR/ALE-Exposition in Euro mit simuliertem Unsicherheitsband (unkalibriert), Szenariosimulator und HHI-Konzentration.
ACT · vorschlagen und genehmigen
HodeiAI schlägt einen Eintrag im Risikoregister vor, und eine Person mit Schreibrolle genehmigt ihn. Warnungen werden an Ihre eigenen Systeme geleitet.
ATTEST · Dritten gegenüber belegen
Das Trust Center fasst Ihren Reifegrad je Rahmenwerk zusammen; es legt nie Scores, Beträge oder Lieferantendetails offen.

Vom Onboarding zur Entscheidung: das Leben eines Lieferanten

Derselbe Weg für Lieferant Nummer 5 und Lieferant Nummer 500. Jeder Schritt hinterlässt seine Spur im Datensatz.

Sie nehmen den Lieferanten auf und legen seine Kritikalität fest
Jeder Lieferant lebt in einem je Organisation isolierten Register. Seine Kritikalität (kritisch, hoch, mittel, niedrig) gewichtet seinen Score und bestimmt, wie oft er erneut gescannt wird.
Sie deklarieren, wovon er abhängt
Sie deklarieren die Abhängigkeiten (kritisch, operativ, unterstützend, Unterauftragsverarbeiter, Wiederverkäufer). HodeiShield propagiert das Risiko nach Gewicht, findet Single Points of Failure und berechnet Konzentration (HHI) und Blast-Radius.
Geltungsbereich. Die Erkennung von n-ten Parteien aus SBOMs existiert, läuft aber nicht planmäßig: Sie ist keine automatische Karte.
Er wird aus verschiedenen Signalen bewertet
Der zusammengesetzte Score vereint den externen Scan, den Fragebogen und bekannte CVEs und wird dann nach Zugriffsebene, Propagation und Konzentration angepasst. Jeder Befund verweist auf seinen Nachweis.
Geltungsbereich. Die Scandaten stammen von Shodan und Have I Been Pwned, orchestriert mit n8n: periodisch, nicht in Echtzeit.
Der Lieferant antwortet über ein Portal
Er erhält einen einmalig verwendbaren Link, antwortet ohne Kontoerstellung und lädt seine Nachweise hoch. Erinnerungen gehen automatisch hinaus, und ein Analyst validiert oder hinterfragt jede Antwort.
Geltungsbereich. Bis ein Analyst sie validiert, ist eine Antwort die Selbstbewertung des Lieferanten.
Eine neue CVE taucht beim Lieferanten auf
Der CVE-Abgleich läuft täglich (NVD, CISA KEV und EPSS, die Ausnutzungswahrscheinlichkeit). Aktiv ausgenutzte CVEs wiegen im Score stärker und lösen eine Warnung aus, wenn Sie eine Routing-Regel haben.
Geltungsbereich. Die E-Mail-Benachrichtigung an den Lieferanten wird manuell ausgelöst.
Sie entscheiden, und es ist festgehalten
Onboarding, Verlängerung, Prüfung nach einem Vorfall, periodische Prüfung oder Offboarding: Jede Entscheidung durchläuft definierte Status, mit Angabe, wer sie getroffen hat und welcher Nachweis sie gestützt hat.
Geltungsbereich. Es ist ein prüfbarer Datensatz; er ersetzt weder Ihren Beschaffungsprozess noch gilt er als rechtliche Unterschrift.

Was es leistet, mit Beleg und Geltungsbereich

Jede Aussage trägt am Rand, wo man sie prüfen kann und wo sie endet. Die Phasen sind die des Zyklus; hier aus Sicht des Lieferanten.

Quelle des Belegs

Öffentliche Dokumentation
Open Source
In der Demo

Geltungsbereich: was die Aussage nicht abdeckt

SENSE · Nachweise sammeln

Signale zum Lieferanten aus drei Quellen: was von außen sichtbar ist, was er selbst antwortet und die Schwachstellen, die ihn betreffen.

Externes Scanning jedes Lieferanten auf offene Ports, CVEs und bekannte Datenpannen, mit Daten von Shodan und Have I Been Pwned.1
Doku · Risiko-Engine (öffnet sich in einem neuen Tab)
Geltungsbereich. Wiederholte Scans nach der Kritikalität des Lieferanten. Kein eigener Scanner und keine kontinuierliche Überwachung.
Fragebogenportal über einen einmalig verwendbaren Link: Der Lieferant antwortet ohne Konto, lädt Nachweise hoch, und ein Analyst validiert jede Antwort.2
Doku · Lieferanten-Leitfaden (öffnet sich in einem neuen Tab)
Geltungsbereich. Ein nicht validierter Fragebogen ist die Selbstbewertung des Lieferanten.
Täglicher CVE-Abgleich (NVD, CISA KEV und EPSS, die Ausnutzungswahrscheinlichkeit) mit den deklarierten Assets jedes Lieferanten.3
In der Demo · Karte des Lieferanten
Geltungsbereich. Kennzeichnet aktiv ausgenutzte CVEs; es schreibt dem Lieferanten nicht, solange Sie es nicht auslösen.

Gilt inLieferkette und SBOM Endpoint-Sicherheit

PREDICT · quantifizieren und simulieren

Macht aus den Signalen Risiko, das Sie über Lieferanten hinweg vergleichen können, in Punkten und in Euro, über Ihren Abhängigkeitsgraphen.

Ein zusammengesetzter Score von 0 bis 100 je Lieferant, mit seinem Schweregradband und den Befunden, die ihn erklären, jeweils mit ihrem Nachweis verknüpft.4
Doku · Grundkonzepte (öffnet sich in einem neuen Tab)
FAIR/ALE-Exposition in Euro pro Lieferant und für das Portfolio: eine parametrische Punktschätzung mit simuliertem Unsicherheitsband (unkalibriert).5
Doku · Risiko-Engine (öffnet sich in einem neuen Tab)
Geltungsbereich. Verwendet die Branchenparameter des Modells, nicht Ihre Schadensdaten. Das Portfolio addiert Erwartungswerte; es gibt keine Portfolio-Perzentile.
Ein deterministischer Simulator mit 7 Szenariotypen: Er propagiert die Auswirkung durch den Graphen und liefert betroffene Lieferanten, Score-Änderungen und Pfade.6
Doku · Simulator (öffnet sich in einem neuen Tab)
Geltungsbereich. Liefert Score-Änderungen, keine Euro-Beträge. Keine KI: Das Szenario in natürlicher Sprache ist ein Schlagwort-Abgleich.
HHI-Konzentration und ein Blast-Radius über 3 Hops auf den von Ihnen deklarierten Abhängigkeiten, mit Erkennung von Single Points of Failure.7
In der Demo · Konzentrationsansicht
Geltungsbereich. Es sieht nur deklarierte Abhängigkeiten; es entdeckt nicht von selbst Ihre gesamte Kette.

Gilt inMulti-Rahmenwerk-Compliance DORA: Konzentration und IKT-Dienstleister

ACT · vorschlagen und genehmigen

Macht die Entscheidung zu einer festgehaltenen Tatsache, mit einer verantwortlichen Person für jeden Schritt.

HodeiAI schlägt einen Eintrag im Risikoregister vor; nur eine Person mit Schreibrolle legt ihn an, über eine einmalig verwendbare Genehmigung mit 15 Minuten Gültigkeit, gebunden an den Hash des Vorschlags.8
In der Demo · Vorschlag und Genehmigung
Geltungsbereich. Sie ist heute die einzige ausführbare Aktion. Sie isoliert keine Hosts, kontaktiert keine Lieferanten und eröffnet keine Tickets.
Warnungen werden nach Ihren Regeln an ServiceNow, Jira, Slack, Teams, E-Mail, einen signierten Webhook, SIEM, PagerDuty und Opsgenie geleitet.9
Doku · Konnektoren (öffnet sich in einem neuen Tab)
Geltungsbereich. Es benachrichtigt oder legt das Ticket in Ihrem System an; es behebt nichts.
Ein Register der Lieferantenentscheidungen mit Typen (Onboarding, Verlängerung, Prüfung, Offboarding), definierten Status und dem Nachweis, der jede gestützt hat.10
Doku · Entscheidungsregister (öffnet sich in einem neuen Tab)
Geltungsbereich. Es ersetzt weder Ihren Beschaffungsprozess noch gilt es als rechtliche Unterschrift.

Gilt inHodeiAI

ATTEST · Dritten gegenüber belegen

Was Sie nach außen zeigen können, ohne Ihr Lieferantenportfolio zu zeigen.

Das Trust Center stellt auf Anfrage eine mit ML-DSA-65 signierte Attestierung Ihres Reifegrads je Rahmenwerk aus, die jeder offline prüfen kann.11
Open Source · ATTEST-Verifizierer (öffnet sich in einem neuen Tab)
Geltungsbereich. Nur Bänder je Rahmenwerk: nie Scores, Euro-Beträge oder Lieferantendetails. Sie belegt Integrität, Herkunft und Zeitpunkt, nicht Wahrheit, und ersetzt kein Audit.

Gilt inTrust Center und ATTEST

SENSE speist PREDICT; PREDICT priorisiert, was ACT vorschlägt; ATTEST belegt es gegenüber Dritten.

Was es nicht leistet

Damit Sie mit dem genauen Geltungsbereich vor Augen entscheiden.

Es ist kein eigener Scanner und überwacht nicht in Echtzeit: Die Lieferantendaten stammen aus externen Quellen mit wiederholten Scans.
Es zeichnet nicht von selbst Ihre gesamte Kette: Abhängigkeiten sind die, die Sie deklarieren, und die SBOM-basierte Erkennung läuft nicht planmäßig.
Das FAIR-Unsicherheitsband ist simuliert und unkalibriert; es ist keine Wahrscheinlichkeit einer Datenpanne.
Es ersetzt den Fragebogen nicht: Es führt ihn durch und verknüpft ihn mit dem Score und dem Entscheidungsregister.
Es kontaktiert Ihre Lieferanten nicht von selbst und führt keine Behebungen aus.

Wie es mit den anderen Lösungen zusammenhängt

Der Lieferant ist der Kreuzungspunkt: Die anderen Lösungen gehen von ihm aus oder enden bei ihm.

Fragen von Verantwortlichen für die Lieferanten

Die üblichen Einwände, so beantwortet, wie es ist.

Ersetzt es meinen Lieferantenfragebogen?

Nein. Es führt ihn durch (Zustellung per Link, Erinnerungen, Nachweise und Validierung durch Analysten) und verknüpft ihn mit dem Score des Lieferanten und dem Entscheidungsregister. Sie können weiterhin Ihre eigenen Fragen verwenden.

Scannt es meine Lieferanten in Echtzeit?

Nein. Das externe Scanning nutzt Quellen wie Shodan und Have I Been Pwned, orchestriert mit n8n, mit wiederholten Scans nach der Kritikalität des Lieferanten. Der CVE-Abgleich läuft täglich. HodeiShield hat keinen eigenen Scanner.

Entdeckt es die Lieferanten meiner Lieferanten von selbst?

Nicht automatisch. Konzentration und Blast-Radius werden über die von Ihnen deklarierten Abhängigkeiten berechnet. Die Erkennung von n-ten Parteien aus SBOMs existiert, läuft aber noch nicht planmäßig, daher stellen wir sie nicht als vollständige Karte dar.

Wie wird die Exposition in Euro berechnet?

Mit FAIR/ALE: eine parametrische Punktschätzung des jährlich erwarteten Verlusts in Euro plus ein simuliertes, reproduzierbares Unsicherheitsband (unkalibriert). Es verwendet die Branchenparameter des Modells, nicht Ihre Schadensdaten. Das Band hilft beim Vergleich von Lieferanten und bei der Priorisierung; es sagt keine Datenpanne voraus.

Was kann HodeiAI mit einem Lieferanten tun?

Einen Eintrag im Risikoregister vorschlagen. Eine Person mit Schreibrolle genehmigt ihn (einmalig verwendbare Genehmigung mit 15 Minuten Gültigkeit, gebunden an den Hash des Vorschlags), und erst dann wird er angelegt. Heute führt es keine andere Aktion aus.

Hilft das bei DORA und NIS2?

Ja, auf der Drittparteienseite: Lieferantenregister, Konzentration, Nachweise und Entscheidungen. Die Audit-Bereitschaft hängt von Ihren Nachweisen ab, nicht vom Werkzeug. Details finden Sie im jeweiligen Anwendungsfall der Vorschrift.

Sehen Sie Ihre Lieferanten auf der Karte

In der Demo gehen wir Graph, Score und Entscheidungsregister an einem Lieferanten aus Ihrem Portfolio durch.

Konzepte, Risiko-Engine und Simulator stehen in der öffentlichen Dokumentation.

Demo anfragen Dokumentation lesen