Ein klassisches Auto besteht aus 30.000 physischen Teilen, die exakt im ERP erfasst sind. Im modernen SDV fliessen Millionen Zeilen Code von Hunderten Software-Lieferanten ein. Ohne maschinenlesbare Software Bills of Materials (SBOMs) ist der Hersteller bei neuen Zero-Day-Luecken voellig blind.
Zulieferer verweigern oft die Herausgabe von Quellcode und liefern nur kompilierte ELF-Binaries. PSIRT-Ingenieure setzen auf Binaere Software Composition Analysis (SCA): Disassembler analysieren Maschinencode, identifizieren Compiler-Signaturen und vergleichen Symboltabellen mit riesigen Datenbanken. Selbst ohne Symbole rekonstruiert die SCA-Engine die CycloneDX-SBOM mit 98 % Trefferquote.