SBOM für Mobile Apps erstellen: CRA-konform für Flutter, KMP & nativ
In 30 Minuten verstanden, in 2 Tagen umgesetzt – als automatischer Schritt in eurer CI, nicht als jährliches Ritual.
Der Cyber Resilience Act verlangt von Herstellern eine Software Bill of Materials (SBOM): ein maschinenlesbares Verzeichnis der Software-Komponenten eures Produkts – mindestens der obersten Abhängigkeitsebene. Pflicht wird sie mit der vollen Geltung des CRA am 11.12.2027, gebraucht wird sie früher: Die Meldepflichten ab dem 11.09.2026 setzen voraus, dass ihr in Stunden wisst, ob eine CVE eure App betrifft. Für Mobile Apps gut machbar – mit Eigenheiten, über die Standard-Anleitungen aus der Web-Welt stolpern: vier Abhängigkeitsebenen statt einer, binäre Vendor-SDKs und zwei native Welten.
Was ist eine SBOM – und wozu dient sie wirklich?
Eine SBOM (Software Bill of Materials) ist die Stückliste eurer Software: jede Bibliothek, jedes SDK, jede Version – maschinenlesbar in CycloneDX oder SPDX, vom Cyber Resilience Act als Teil des Schwachstellenmanagements vorgeschrieben. Ihr wirklicher Wert zeigt sich aber erst im Ernstfall:
Morgen früh wird eine kritische CVE in einer verbreiteten Bluetooth-Bibliothek veröffentlicht. Die einzige Frage, die dann zählt: „Betrifft uns das?“
Ohne SBOM
Mit gepflegter SBOM
„Betrifft uns das?“
Tage
Code-Archäologie über vier Abhängigkeitsebenen
Sekunden
Ein Blick in die Stückliste des Releases
Betroffene Versionen
Handarbeit
Lockfiles, native Ebenen, SDK-Lieferant
Sofort identifiziert
SBOM je Release, Abgleich in Dependency-Track
24-h-Meldung
Nicht belastbar
Die Frist verstreicht beim Suchen
Machbar
Impact-Analyse läuft, Nachweis liegt vor
Genau diese Antwortfähigkeit setzen die Meldepflichten ab September 2026 voraus – ohne SBOM keine Impact-Analyse in Stunden, ohne Impact-Analyse keine belastbare Meldung.
Die 4 Abhängigkeitsebenen einer Mobile App – und warum Web-Anleitungen hier scheitern
Eine Mobile App hat nicht eine Abhängigkeitswelt, sondern bis zu vier gleichzeitig. Eure SBOM muss alle abdecken:
01
Framework-Ebene
pubspec.lock / GradleBei Flutter die Pakete aus pubspec.lock inklusive transitiver Abhängigkeiten, bei Kotlin Multiplatform die Gradle-Dependencies der Shared-Module.
02
Native Android-Ebene
build.gradleGradle-Abhängigkeiten der Android-Shell – auch die, die Flutter-Plugins transitiv hereinziehen, ohne dass sie je in eurer pubspec standen.
03
Native iOS-Ebene
Podfile.lock / Package.swiftCocoaPods- bzw. Swift-Package-Manager-Abhängigkeiten – dieselbe Logik wie bei Android, aber eigenes Tooling und eigene Fallstricke.
04
Vendor-SDKs
kein PaketmanagerBinäre SDKs eurer Chip- und Komponentenlieferanten (Nordic, Espressif & Co. für BLE/DFU) sowie Payment-, Analytics- und Push-SDKs – sicherheitstechnisch oft die relevantesten Komponenten.
So sieht es richtig aus – ein Vendor-SDK, das kein Paketmanager kennt, manuell als CycloneDX-Komponente erfasst:
{
"type": "library",
"name": "nordic-dfu-sdk",
"version": "2.5.1",
"supplier": { "name": "Nordic Semiconductor" },
"purl": "pkg:generic/nordic-dfu-sdk@2.5.1",
"properties": [
{ "name": "integration", "value": "binary / platform channel" }
]
}So werdet ihr CRA-konform: von der Bestandsaufnahme bis zum Betrieb
Ein PDF patcht keine App. Konform wird euer Produkt erst, wenn SBOM, Update-Fähigkeit und Meldeprozesse wirklich laufen.
- 01
Readiness-Check
Code-ReviewSBOM-ErzeugungBestandsaufnahme auf Lesezugriff: Code-Review der sicherheitsrelevanten Pfade, Manifest- und Konfigurationsanalyse, SBOM-Erzeugung. Am Ende steht ein Befund mit priorisiertem Maßnahmenkatalog – ohne Eingriffe in euren laufenden Betrieb.
- 02
SBOM in der CI verankern
CI/CDCVE-AbgleichDie Stückliste eurer App – die SBOM – entsteht als automatischer Pipeline-Schritt statt als Jahresprojekt: erzeugt je Ökosystem, zusammengeführt pro Release und laufend gegen CVE-Datenbanken abgeglichen.
- 03
Update-Fähigkeit & Meldeprozess
Release-Pipeline24-h-FrühwarnungDamit aus einer Schwachstelle ein Patch wird: eine Release-Pipeline, die ein Sicherheitsupdate in Tagen statt Monaten in beide Stores bringt – plus den Prozess für die Meldepflichten ab September 2026 mit 24-Stunden-Frühwarnung.
- 04
Betrieb über den Supportzeitraum
WartungsvertragPatch-SLADer CRA verlangt Sicherheitsupdates über den gesamten Supportzeitraum eures Produkts. Wir betreuen eure App mit Wartungsvertrag und Patch-SLA – damit die Update-Pflicht nicht mit dem Projektende endet.
- CRA-konform – belastbar dokumentiert, über den ganzen Supportzeitraum.
Festpreispaket: SBOM-Setup für eure App
Wir richten das einmal sauber ein – danach gehört das System euch und läuft automatisch mit jedem Release:
Inventur
Alle vier Abhängigkeitsebenen eurer App, inklusive der binären Vendor-SDKs eurer Chip- und Komponentenlieferanten.
CycloneDX-Generierung
Integriert in eure bestehende CI/CD-Pipeline – jede Release-Version kennt ab sofort ihre exakte Stückliste, automatisch.
Dependency-Track-Aufsetzung
Selbst gehostet oder in eurer Cloud, mit kontinuierlichem CVE-Abgleich und Alarmierung direkt an euer Team.
Doku & Übergabe-Session
Damit euer Team das System versteht und besitzt – keine Abhängigkeit von uns.
Typischer Umfang: 2 Tage für eine App mit einer CI-Pipeline. Den Festpreis nennen wir nach einem kurzen Blick in euer Repository.
Lieber erst der Gesamtüberblick? Die SBOM ist einer von mehreren CRA-Bausteinen. Wenn ihr wissen wollt, wo eure App insgesamt steht – Update-Fähigkeit, Meldeprozesse, Anhang-I-Anforderungen –, ist der Readiness-Check der bessere Einstieg. Die SBOM ist darin als Prüfpunkt enthalten.
Häufige Fragen zur SBOM für Apps
Kurze Antworten zu Pflicht, Format, Tooling und Kosten – für den Einzelfall gilt wie immer: keine Rechtsberatung.
Könntet ihr heute in einer Stunde sagen, ob die nächste kritische CVE eure App betrifft?
Sprich direkt mit James & Joanna – ohne Vertrieb, ohne Umwege.
25+
Jahre Erfahrung
40+
Apps live
10+
Top-Firmen vertrauen
MVP
~6 Wochen
Buche eine 15-minütige Erstberatung – kostenlos & unverbindlich.
SBOM-Setup für eure App anfragen – zum Festpreis
Schreib uns direkt.
Landet bei James & Joanna - nicht im Ticket-System. Antwort in 24–48 h.
Keine Weitergabe an Dritte — Datenschutz
Lieber direkt? info@flutterapps.agency
