p PatchFirst

Sicherheit beginnt mit Prioritäten

Wissen, welche Patches
zuerst anstehen.

PatchFirst gleicht die Software Ihres Servers mit weltweiten CVEs und Hinweisen auf deren Ausnutzung ab. Die kostenlose Prüfung liefert eine Bewertung und hebt betroffene Stacks hervor, ohne einzelne Befunde offenzulegen. Konkrete Schwachstellen und Patchprioritäten gehören zur bezahlten Überwachung.

Server kostenlos prüfen →So funktioniert es ↓

Eine kostenlose, einmalige Prüfung Ihres eigenen Servers. Die Überwachung ist kostenpflichtig. Bei jährlicher Zahlung sparen Sie 20%: ein Server kostet für ein Jahr $28,80 statt $36,00. Erste 5 Server: je $3,00 pro Monat; ab Server 6: $2,00; ab Server 26: $1,50.

Ein Server sendet Komponenteninformationen an eine Bewertungsanzeige neben einer geordneten Aufgabenliste.

Was wir prüfen

Derzeit: Betriebssystempakete, exakte Abhängigkeitsversionen und erkannte Produkte. Die Abdeckung hängt von Agentenrechten und verfügbaren Daten ab.

Bereits verfügbar

  • Betriebssystempakete: Debian, Ubuntu, Alpine, RHEL-Familie (Rocky Linux, AlmaLinux), openSUSE und SLES.
  • PHP: composer.lock.
  • Node.js: npm (package-lock.json), Yarn v1 und Berry (yarn.lock), pnpm (pnpm-lock.yaml).
  • Python: poetry.lock, Pipfile.lock, uv.lock, requirements*.txt mit festen Versionen durch ==; installierte Pakete in gefundenen venv/site-packages.
  • Laufzeit- und Dienstversionen, die über den Produktkatalog erkannt werden.
  • Container-Images nach Name und Tag; die Image-Inhalte werden nicht untersucht und bleiben eine Prüflücke. Unbekannte Images und nicht festgelegte Tags müssen manuell geprüft werden.

Direkte und transitive Abhängigkeiten sind enthalten; Entwicklungsabhängigkeiten werden gekennzeichnet. Die Erfassung ist durch Rechte, Zeit sowie Datei- und Paketanzahl begrenzt. Ungenaue Versionen und erreichte Grenzen erscheinen als Prüflücken.

Als Nächstes geplant

  • Ruby: Gemfile.lock.
  • Go: go.sum und Build-Informationen aus Binärdateien.
  • Rust: Cargo.lock.
  • Java: Maven-/Gradle-Lockdateien und JAR-Manifeste.

Diese Ökosysteme werden noch nicht geprüft.

Für wen ist PatchFirst?

Eine Prüfung. Unterschiedliche Fragen.

Wählen Sie Ihren Einstieg: von technischen Details bis zum Gespräch mit Ihrem Dienstleister.

Für DevOps und SRE →

CVE-Meldungen einordnen, Backports berücksichtigen und die wichtigsten Maßnahmen erkennen.

Für Vibe-Coder →

Den Stack Ihres VPS verstehen und erkennen, welche Komponenten Aufmerksamkeit brauchen.

Vom Inventar
zu konkreten Schritten.

Der Agent erfasst Daten auf Ihrem Server. PatchFirst sieht die verwendete Software und ihre Versionen, nicht Ihre Anwendungsdaten.

01 / IHR SERVER

Erfassen und anonymisieren

Der Agent besteht aus einer Datei und benötigt keine Root-Rechte. Python ist optional. Er erfasst Softwareversionen und Hinweise auf die Erreichbarkeit von Diensten. Vor dem Senden ersetzt er Namen durch UUIDs und HMAC-Kennungen sowie IP-Adressen durch ein Kennzeichen für öffentliche Adressen. Bei aktivierter Namensverschlüsselung wird das Namensverzeichnis separat verschlüsselt.

02 / PatchFirst-DIENST

Mit Bedrohungen abgleichen

CVE.org und OSV helfen, bekannte Schwachstellen zu erkennen. CISA KEV, EPSS und Exploit-Informationen liefern Kontext: Nachweise einer Ausnutzung und die geschätzte Angriffswahrscheinlichkeit.

03 / IHR BERICHT

Die nächste Maßnahme wählen

Das Risiko setzt sich aus Schweregrad, Ausnutzbarkeit und Erreichbarkeit zusammen. Die kostenlose Prüfung liefert eine Bewertung von 0 bis 100, hervorgehobene Stacks und allgemeine Prüflücken. Die bezahlte Überwachung ergänzt detaillierte Befunde und P0–P3-Prioritäten zur Planung Ihrer Updates.

Ihre Namen
bleiben Ihre Sache.

Anonymisierung verbirgt Namen und Adressen; eine Liste von Softwareversionen bleibt dennoch sensibel. Hier verlaufen die Grenzen.

Was der Dienst sieht

Betriebssystem- und Paketversionen, erkannte öffentliche Images, Informationen über laufende Komponenten, Diensttypen und geschätzte Erreichbarkeit. Hosts erscheinen als UUIDs, verborgene Werte als Kennungen.

Das genügt zum Abgleich mit CVEs. Der Dienst speichert anonymisierte Inventare und Berichte lesbar in PostgreSQL, um sie zu durchsuchen und bei geänderten Schwachstelleninformationen neu auszuwerten.

Was der Agent zurückhält

Direkte IP-Adressen, ursprüngliche Hostnamen, Pfade, Portnummern und von der Anonymisierung erfasste private Namen. Ohne Namensverschlüsselung sendet der Agent kein Namensverzeichnis. Ist sie aktiviert, ordnet ein separates verschlüsseltes Verzeichnis Kennungen den Namen zu; sein Anzeigeschlüssel wird nie an den Dienst gesendet.

Namensverschlüsselung ist optional. Ihr Namenspasswort ist vom Anmeldepasswort unabhängig. Namen werden im Browser des Eigentümers entschlüsselt. Die Verbindungs-IP dient ausschließlich im Arbeitsspeicher dem Schutz vor Passwortangriffen und wird nicht aufbewahrt.

Eine Datenbankkopie legt den anonymisierten technischen Stack offen. Der Dienst liest ihn für Suche und Neuberechnung; ein kompromittierter Browser oder Server des Eigentümers kann Namen und Schlüssel offenlegen. Mehr zu Daten und Grenzen →

Sie können Namen ungesetzt lassen: Die Übersicht zeigt dann „Server 01“. Alternativ können Sie einen Alias wie web-1 vergeben; er wird offen gespeichert. Geben Sie keine Domain, IP-Adresse, Firmen- oder Kundennamen ein. Aktivieren Sie zum Schutz die Namensverschlüsselung im Benutzerkonto: Ihr Browser verschiebt vorhandene Namen in ein verschlüsseltes Verzeichnis und der Dienst löscht die offenen Kopien.

Eine Bewertung gibt Orientierung.
Sie entscheiden.

PatchFirst hilft, bekannte Probleme im Blick zu behalten. Es ersetzt weder Audit noch Penetrationstest oder die Prüfung von Konfiguration und Anwendungslogik.

Der Kontext bestimmt die Priorität

Eine Schwachstelle in einem von außen erreichbaren Dienst ist gewöhnlich wichtiger als dieselbe Schwachstelle in einer lokalen Komponente. Die Erreichbarkeit wird aus erfassten Hinweisen abgeleitet und kann von der tatsächlichen abweichen.

Die Version ist ein Teil der Antwort

Distributionspakete werden über OSV geprüft, einschließlich zurückportierter Fehlerbehebungen. Zuordnungsfehler und verzögerte Quellen bleiben möglich. Prüfen Sie Befunde, bevor Sie Änderungen vornehmen.

Prüflücken brauchen Aufmerksamkeit

Unbekannte Images oder nicht festgelegte Tags liefern keine verlässliche Version. Diese Komponenten müssen manuell geprüft werden. Eine hohe Bewertung schließt unbekannte Schwachstellen oder übersehene Komponenten nicht aus.

Ein Server oder Ihr gesamter Bestand.

Beginnen Sie mit einer einmaligen Bestandsaufnahme. Verbinden Sie einen Agenten, um regelmäßig Inventare zu senden und Veränderungen zu verfolgen.

Einmalige Prüfung

Ein Server

Kostenlos

Führen Sie einen Befehl aus oder fügen Sie anonymisiertes JSON ein. Das kostenlose Ergebnis enthält eine Bewertung, betroffene Stacks, Befundanzahlen, Risikohinweise und allgemeine Prüflücken. Komponentennamen, Versionen und CVEs bleiben verborgen.

Ihren Server prüfen →

Der Link funktioniert 7 Tage lang. Der Server speichert den Bericht verschlüsselt und bewahrt den Schlüssel nicht auf: Dieser steckt ausschließlich in Ihrem Link.

Laufende Überwachung

Pro Server bezahlen

Bei jährlicher Zahlung sparen Sie 20%: ein Server kostet für ein Jahr $28,80 statt $36,00.

Ein Abrechnungsmonat hat 30 Tage
ServerpositionenPro Server / Monat
1–5$3,00
6–25$2,00
26+$1,50

Jeder Preis gilt nur für die Server der jeweiligen Stufe; die Beträge werden addiert. Beispielsweise kosten 10 Server 5 × $3,00 + 5 × $2,00 = $25,00 pro Monat.

Die erste Zahlung eines eingeladenen Kontos bringt dem Einladenden +1 Servermonat. Boni verfallen nach 12 Monaten; siehe Nutzungsbedingungen.

Der Agent meldet sich alle 6 Stunden; Schwachstellenfeeds werden alle paar Stunden aktualisiert. Detaillierte Befunde und Patchprioritäten stehen in Ihrer Übersicht. Die bezahlte Überwachung unterstützt Webhooks, die Sie unter Benachrichtigungen einrichten.

Überwachung starten →

Bei jährlicher Zahlung sparen Sie 20%: ein Server kostet für ein Jahr $28,80 statt $36,00. Erste 5 Server: je $3,00 pro Monat; ab Server 6: $2,00; ab Server 26: $1,50. Bezahlen Sie in der Übersicht über verfügbare Zahlungsseiten von Paddle, YooKassa und CoinsSend. CoinsSend bietet USDT, BTC, ETH, TON, USDC und weitere Währungen; wählen Sie Währung und Netzwerk auf dessen Seite und übernehmen Sie die Netzwerkgebühr. Es gibt keine automatische Abbuchung.

Beispielbericht herunterladen (PDF)

Vor Ihrer ersten Prüfung

Praktische Fragen.

Prüft PatchFirst npm, pip und poetry?

Ja: PHP-Pakete aus composer.lock, Node.js-Abhängigkeiten aus npm, Yarn und pnpm sowie Python-Pakete aus pip und poetry, sofern exakte Versionen vorliegen. Direkte und transitive Abhängigkeiten werden geprüft; Entwicklungsabhängigkeiten bleiben gekennzeichnet im Bericht. Ruby, Go, Rust und Java werden noch nicht unterstützt.

Für Node.js liest der Agent package-lock.json, yarn.lock und pnpm-lock.yaml; für Python poetry.lock, Pipfile.lock, uv.lock, requirements*.txt-Einträge mit == sowie Metadaten installierter Pakete in gefundenen venv/site-packages. Fehlende oder nicht festgelegte Versionen lassen sich nicht prüfen. Die Erfassung ist durch Rechte, Zeit sowie Datei- und Paketanzahl begrenzt; erreichte Grenzen erscheinen als Prüflücken.

Scannt PatchFirst fremde Server?

Nein. PatchFirst scannt nie von außen: Der Agent liest ausschließlich Pakete und lauschende Dienste auf dem Server, auf dem er ausgeführt wird. Installieren Sie ihn nur auf eigenen Servern oder solchen, die Sie prüfen dürfen.

Wie wird die Bewertung berechnet?

Jeder Befund erhält einen Risikowert aus Schweregrad, Ausnutzungshinweisen und Erreichbarkeit. Daraus ergeben sich P0–P3-Prioritäten und Abzüge vom Ausgangswert 100. Bei einem P0-Befund ist die Bewertung auf 49 begrenzt. Dies ist ein Priorisierungsmodell, keine Einbruchswahrscheinlichkeit.

Was bedeutet „anonymisiert“?

Namen und Adressen werden vor dem Hochladen ersetzt. Softwareversionen und technische Merkmale bleiben erhalten, weil der Schwachstellenabgleich sie benötigt. Ihre Kombination kann erkennbar sein; Anonymisierung verspricht daher keine vollständige Anonymität.

Kann ich sehen, was der Agent sendet?

Ja. Im Probelauf können Sie Daten vor dem Senden prüfen. Bei einer einmaligen Prüfung zeigt die JSON-Option zuerst das anonymisierte Inventar, das Sie anschließend in die Prüfseite einfügen können.

Benötige ich personenbezogene Daten für ein Konto?

Nein. Melden Sie sich mit erfundenem Benutzernamen und Passwort an, ohne Name, E-Mail-Adresse oder Telefonnummer. Speichern Sie den Wiederherstellungscode: Nur damit lässt sich ein vergessenes Anmeldepasswort zurücksetzen. Ohne Passwort und Code verlieren Sie den Zugang.

Zahlungsanbieter erhalten Bestellnummer und Betrag ohne Benutzername oder Zahlerdaten. CoinsSend ist ein verwahrender Dienst und führt eigene Geldwäscheprüfungen durch. Bei Kontakt mit dem Betreiber wird Ihre Absenderadresse bekannt. Anbieterangaben und Löschfristen für Korrespondenz finden Sie in den Datenschutzhinweisen.

Was passiert, wenn ich das Namenspasswort vergesse?

Bei aktivierter Namensverschlüsselung kennt der Dienst das Passwort nicht und kann Namen nicht wiederherstellen. Sie müssen Namensverzeichnisse zurücksetzen und die Agenten neu konfigurieren. Anmeldepasswort und Namenspasswort haben unterschiedliche Aufgaben.

Bedeutet ein unauffälliger Bericht, dass mein Server sicher ist?

Nein. Quellen können verzögert sein, Software kann unerkannt bleiben und eine Versionsanalyse erfasst keine Konfigurations- oder Anwendungsfehler. PatchFirst garantiert weder Vollständigkeit noch Richtigkeit; für Updates bleibt der Eigentümer verantwortlich. Nutzungsbedingungen.