Die Cyberrisikobewertung nach der TARA-Methodik ist mit der ISO/SAE 21434 seit Jahren gesetzter Standard in der globalen Automobilindustrie und Fahrzeugentwicklung. Das zugehörige TARA-Tooling war dabei lange eine Herausforderung: Enterprise-Preise, langwierige Sales-Prozesse, aufwendiges Onboarding. Doch die Marktanforderungen haben sich gewandelt. Es muss schnell gehen, erschwinglich sein und trotzdem compliance-konform funktionieren. Genau dafür haben wir CYMETRIS Lite entwickelt, die weltweit erste TARA-Self-Service-Plattform.
Philipp Veronesi
Jahrelang ist professionelles TARA-Tooling einem einzigen kommerziellen Modell gefolgt: großer Vertrag, langer Sales-Zyklus, Enterprise-Preise, vielschichtiges Onboarding. Für die Kunden, bei denen Software-Anschaffungen ein komplexes Thema sind, macht das Sinn. OEMs, große Tier-1-Zulieferer, Organisationen mit Einkaufsabteilungen, juristischen Prüfzyklen und dedizierten Budgets – dort muss alles abteilungsübergreifend zusammenpassen.
Aber in der vielschichtigen Automotive-Branche und ihrer verschachtelten Wertschöpfungskette findet man zunehmend eine andere Art von Kunden.
Kein Gespräch mit einem Procurement Manager. Keine Lieferantenbewertung, keine Vorstandsrunde abzuwarten. Sondern ganz alltägliche Szenarien, in denen Spezialisten mit der Erledigung der ISO/SAE 21434-TARA konfrontiert sind.
Zum Beispiel:
- Ein Cybersecurity-Engineer bei einem Mobility-Startup, dem gerade für ein Partnerprojekt eine OEM-TARA-Anforderung ins Postfach geflattert ist
- Ein freiberuflicher Automotive-Security-Consultant, drei Wochen vor Projektdeadline
- Ein Tier-3-Zulieferer mit einem security-affinen Engineer im Team und einer Compliance-Lücke, die jetzt geschlossen werden muss
- Ein Technologieanbieter, der EV-Ladeinfrastruktur (o.Ä.) entwickelt und UN R155-Readiness nachweisen muss — ohne Zeit und Budget für eine monatelange Enterprise-Evaluierung.
Diese Berührpunkte mit der TARA sind keine Randerscheinungen mehr. Sie sind fast die Mehrheit.
Zeit also, den Markt für TARA-Tooling und UN R155- und ISO/SAE 21434-konforme Cybersicherheitsbewertungen aufzuwirbeln.
Und zwar hiermit:
Vorhang auf für CYMETRIS Lite, die weltweit erste TARA-Self-Service-Plattform
Mit CYMETRIS Lite erweitert sich das Produktportfolio der CYMETRIS Cyber-Risiko-Bewertungs- und TARA-Plattform um einen neuen Baustein: ein Self-Service-Angebot, mit dem Teams sofort loslegen können.
Keine abgespeckte Version. Kein Trial. Kein feature-limitiertes Freemium-Modell, das nur darauf ausgelegt ist, den Nutzer zum Upgrade zu drängen.
CYMETRIS Lite ist ein eigenständiges SaaS-Produkt, gebaut für Teams, die wissen was sie brauchen, die TARA-Methodik bereits zum großen Teil verstehen und sofort loslegen wollen. Ohne Sales-Gespräche zwischen ihnen und dem Tool.
Der vollständige methodische Kern der CYMETRIS-TARA-Plattform ist in der Lite-Variante enthalten:
- der geführte ISO/SAE 21434-Workflow,
- automatische Konsistenzprüfungen,
- Angriffspfad-Visualisierung,
- KI-gestützte Features via MCP-Integration
- und state-of-the-art-TARA-Exporte für ISO/SAE 21434 und UN R155.
Wer CYMETRIS kennt, bereits evaluiert hat oder einfach weiß, wie ein professioneller TARA-Prozess aussehen soll: Los geht‘s.
CYMETRIS Lite ist ab sofort verfügbar zum Preis net EUR 99 pro Monat (jährliche Abrechnung).
Per Kreditkarte aktiviert in unter fünf Minuten.
Für wen eignet sich CYMETRIS Lite?
CYMETRIS Lite ist gemacht für Cybersecurity Engineers und Teams, die professionelle TARA-Arbeit ohne Excel-Workarounds und ohne Enterprise-Procurement-Prozess zeitnah erledigen wollen. Aus den vielen Evaluierungsgesprächen rund um CYMETRIS Enterprise sind uns drei wiederkehrende Rahmenbedingungen begegnet, für die wir CYMETRIS Lite gebaut haben:- Teams, die kaufbereit sind, aber noch nicht bereit für einen Enterprise-Prozess. Die die Plattform bereits schätzen gelernt haben, vielleicht die vielen interaktiven Touren der echten Software-Oberfläche im Platform Overview ↗ durchgesehen haben und nun mit einem eigenem TARA-Projekt sofort starten wollen. CYMETRIS Lite ist der schnellste Weg von der Entscheidung zur ersten TARA.
- Organisationen, für die Enterprise-Licensing derzeit schlicht nicht passt. Eine spezialisierte Cybersecurity-Beratung. Ein Startup im ADAS-, E-Mobility- oder Connected-Vehicle-Bereich. Ein Tier-2- oder Tier-3-Zulieferer, der ISO/SAE 21434-Anforderungen vom OEM erhält, aber kein dediziertes Tooling-Budget hat. Hier ist CYMETRIS Lite kein Kompromiss. Es ist die Lösung.
- Die vielen Einzelkämpfer, Automotive-Berater, externe FuSa- und Cybersecurity-Experten, die die TARA-Verantwortung persönlich tragen. Der Senior Security Engineer, der gleichzeitig Teamleiter, Compliance-Owner und Audit-Ansprechpartner ist. Der Consultant, der TARAs für Kunden liefert und ein praktisches Tool braucht, das professionell genug ist, um vor einem OEM zu bestehen. CYMETRIS Lite wurde für genau diese Experten entwickelt.
Regulatorischen Cybersecurity-Druck, der längst den Long Tail erreicht: Fokus auf effiziente und gute TARAs
Die regulatorische Begründung, TARA-Arbeiten ernst zu nehmen, ist in der Branche seit mehreren Jahren weltweit omnipräsent. So erhält die systematische Erarbeitung der TARA-Work-Products, wie sie die ISO/SAE 21434:2021-Compliance einfordert, heute eine weitaus höhere Priorität als noch zu Anfangszeiten des Vehicle-Cybersecurity-Engineerig-Standards. Es gilt sich immer wieder klar zu machen: Die UN R155, seit Juli 2022 verpflichtend für neue Fahrzeugtypen und seit Juli 2024 für alle neu zugelassenen Fahrzeuge gültig, beschränkt Cybersecurity-Anforderungen nicht auf den OEM oder den Tier-1-Zulieferer. OEMs müssen nachweisen, dass ihr Cybersecurity-Management in die gesamte Lieferkette reicht. Diese Anforderung landet in der Praxis bei jedem Zulieferer, dessen Komponente eine security-relevante Schnittstelle trägt. Die ISO/SAE 21434 (und damit die Erarbeitung der TARA) ist der de-facto Engineering-Standard in OEM-Lieferantenanforderungen, unabhängig davon, ob der Zulieferer formal ein Tier-1 ist oder mehrere Ebenen tiefer sitzt. Das bedeutet, auch die Audit-Erwartungen sind letztlich dieselben. Und diese verschärfen sich weltweit, wie die Korea Vehicle Security Regulierung zeigt. Gleichzeitig sind nicht mehr nur E/E-Komponenten und Systeme, die direkt im Fahrzeug landen, betroffen. Mit dem EU Cyber Resilience Act (s. auch hierzu CRA vs ISO/SAE 21434) geraten weitaus mehr Organisationen und ihre Produkte/Lösungen, auch aus dem erweiterten Automotive-Ecosystem, in die Pflicht einer systematischen Cyberrisiko-Bewertung. Davon betroffen sind IoT-Hersteller, Entwickler industrieller Systeme und Embedded-Hardware-Produzenten (so wie viele weitere!), die bislang keinen regulatorischen Anlass hatten, sich mit einem Cyberrisikobewertungsansatz wie der TARA-Methodik zu befassen. Die regulatorische Fläche hat sich also vergrößert. Das verfügbare Tooling für kleinere Teams hat bis dato nicht mitgehalten. Genau diese Lücke adressiert CYMETRIS Lite.Was die TARA-Self-Service-Plattform CYMETRIS Lite konkret enthält
Der geführte TARA-Workflow nach ISO/SAE 21434 ist in CYMETRIS Lite vollständig enthalten. So ist eine komplette TARA ohne Einschränkungen möglich: Asset-Identifikation, Threat-Scenario-Definition, Attack-Path-Analyse, Damage-Scenario-Bewertung, Risikobestimmung und Risk Treatment. Die intuitive Struktur der TARA-Modellierung ermöglicht auch Erstnutzern, eine methodisch korrekte TARA zu erstellen, ohne im Vorfeld zu wissen, wie das Ergebnis aussehen soll. Dies ist ein fundamentaler Vorteil gegenüber einem Excel-Sheet. Besonders nutzerfreundlich darüber hinaus: automatische Konsistenz- und Logikprüfungen laufen kontinuierlich mit, während die TARA aufgebaut wird. Angriffspfade werden interaktiv visualisiert. Nach Abschluss der Analyse bietet sich die Möglichkeit, über die state-of-the-art-Exportfunktion Nachweise für ISO/SAE 21434 und UN R155 zu generieren. Im Zugriff auf die CYMETRIS-Lite-Subscription ist ein vorgefertigtes Demo-Projekt enthalten: eine realistische, vollständig aufgebaute TARA, die erkundet, kopiert und angepasst werden kann. So führt der erste Login nicht auf einen leeren Bildschirm. (Hinweis: Demo-Projekte stehen voraussichtlich ab 08/2026 zur Verfügung.)Wenn es über eine einfache TARA hinausgeht: Wann ist CYMETRIS Enterprise die richtige Wahl?
CYMETRIS Lite ist auf den methodischen Kern einer vollständigen TARA ausgelegt. Für viele kleinere Teams und Anwendungsszenarien ist das heutzutage genau das Richtige. Es gibt aber Anforderungen, die darüber hinausgehen und in der Regel mit anderen organisatorischen Rahmenbedingungen einhergehen. Größere Security-Teams, komplexere Entwicklungslandschaften, formalisierte Tooling-Workflows und -Prozesse und nicht zuletzt einer Verortung von Product-Security auf Abteilungs- oder Unternehmensebene. Und auch schnelle Online-Buchungen via Kreditkarte sind hier eher nicht die Regel. Für diese Szenarien ist CYMETRIS Enterprise gebaut. Nur zusammenfassend ist nachfolgend aufgelistet, was CYMETRIS Enterprise abdeckt, das funktional über CYMETRIS Lite hinausgeht:- Vertikale TARA-Integration für mehrschichtige TARAs über Organisationsgrenzen hinweg, mit Damage Scenarios als strukturiertem Übergabepunkt zwischen OEM- und Supplier-Analyse (ideal auch für Varianten-Management)
- Kontinuierliches Vulnerability Management im Product-Lifecycle, das CVE-Findings nativ und laufend gegen die TARA abgleicht — statt als separater/manueller Prozess.
- Organisationsübergreifender Review-Zugang: Externe Partner, Auditoren oder OEM-Kontakte können mit Read-only-Zugang eingeladen werden. Sie können einsehen und kommentieren (Feature in Finalisierung), ohne Bearbeitungsrechte und ohne einen Nutzer-Slot zu belegen.
- Toolchain-Integrationen zu Jira, Codebeamer, Enterprise Architect und weiteren Umgebungen, sowie API-Zugriff für PLM-, ALM- und MBSE-Verbindungen.
- Import organisationsspezifischer Kataloge und Customization für unternehmensweite Standards (ideal für Custom- statt Schema-F-TARAs)
- Unbegrenzte Nutzer und TARA-Projekte sowie ein dedizierter Proof-of-Concept-Prozess für komplexe Deployment-Szenarien.
