ThreatZ TARA-Migration:
Legacy-Dateien hinein, ein geprüftes Projekt heraus.
Um eine Legacy-TARA nach ThreatZ zu migrieren, laden Sie die Tabelle oder OpenXSAM-Datei im Projekt-Import-Assistenten hoch. ThreatZ analysiert sie im Hintergrund in etwa 3–4 Minuten, legt das Ergebnis im Staging-Bereich ab und erstellt das Projekt erst, nachdem ein Analyst die bereitgestellten Daten geprüft und freigegeben hat. Der KI-gestützte Weg führt dieselben Importer über den ThreatZ-MCP-Server aus einem KI-Client wie Claude Desktop oder Claude Code aus: Der Client bereitet den Import vor, startet und prüft ihn, und nichts wird geschrieben, bevor Sie es in ThreatZ freigeben.
01 · UNTERSTÜTZTE EINGABEN
Was ThreatZ bei einer Migration importiert
Jeder Importer ist einmal in der ThreatZ-Importer-Registry definiert, die auch das serverseitige Größenlimit festlegt und ob der Importer über MCP ausgeführt werden kann. Akzeptierte Dateien werden anhand der Dateiendung und der Inhaltssignatur geprüft, bevor irgendetwas startet. Die ersten beiden Importer erstellen aus einer Legacy-TARA ein ganzes Projekt; die übrigen bringen Architektur, Signale, Diagnosedaten, SBOMs, Findings und Compliance-Material in ein bereits bestehendes Projekt.
| Importer | Akzeptierte Dateien | Was er erstellt | Max. Größe | Läuft über MCP |
|---|---|---|---|---|
| TARA-Tabelle (neues Projekt) | .xlsx .xls | Ein neues Projekt mit den in den Tabellenblättern gefundenen TARA-Entitäten, vor der Erstellung zur Prüfung bereitgestellt | 10 MB | Ja — die Person, die ihn gestartet hat, gibt in ThreatZ frei |
| OpenXSAM-Modell (neues Projekt) | .xsam .xml | Ein neues Projekt aus dem OpenXSAM-Modell; der Fortschritt wird abgefragt, bis der Job abgeschlossen ist | 50 MB | Ja — die Erstellung wartet auf Ihre Freigabe |
| Softwarearchitektur (ARXML / XMI) für eine Software-Einheit | .arxml .xmi .xml | Ein Architekturentwurf für die Software-Einheit einer Komponente, finalisiert und ihrer SBOM zugeordnet | 10 MB | Ja |
| Enterprise Architect XMI (gestufter Import nach dem Vier-Augen-Prinzip) | .xml .xmi | Ein bereitgestellter Architekturentwurf im Projekt; ein Lead gibt ihn in ThreatZ mit einem Sicherheitsschlüssel-Step-up frei und übernimmt ihn | 10 MB | Nur Staging — Freigabe und Übernahme erfolgen in ThreatZ |
| MATLAB / Simulink System Composer-Modell | .slx | Ein Systemmodell, das in das Projekt importiert wird, sobald Sie die Prüfung bestätigen | 60 MB | Ja |
| Kommunikationsmatrix (ARXML, DBC, LDF, VSS, VISS, VDM, S2DM) | .arxml .dbc .ldf .xml .vspec .json .yaml .yml .graphql .vdm .s2dm | Signale im Projektmodell mit einem Signal-Diff zur Prüfung; optionale Asset-Empfehlungen | 100 MB | Ja |
| Diagnosebeschreibung (ODX / PDX / CDD) | .odx .pdx .cdd | Diagnosedienste an einer Komponente; optionale Asset-Empfehlungen | 100 MB | Ja |
| SBOM für eine Software-Einheit | .json .xml | Ein SBOM-Entwurf, auf einer Software-Einheit finalisiert und anschließend an den zentralen Scan übergeben | 50 MB | Ja |
| SCA- / SAST- / Binär-Findings | .json .sarif .xml | Findings, gegen eine SBOM-Datei bereitgestellt, Komponenten zugeordnet und anschließend übernommen | 50 MB | Ja |
| Benutzerdefinierte Compliance-Vorlage | .docx .xlsx .pdf | Eine benutzerdefinierte Compliance-Vorlage, die auf die Freigabe einer zweiten Person wartet | 25 MB | Nur Upload und Prüfung — die Freigabe erfordert eine zweite Person in ThreatZ |
| Item-Definition für Arbeitsprodukte | .json .xmi .xml .xlsx .docx | Eine bereitgestellte Item-Definition für ein Arbeitsprodukt, pro Staging freigegeben oder abgelehnt | 10 MB | Ja |
Die Größenlimits sind die des Servers, nicht die des Upload-Widgets. Konnektoren, die keine Dateiimporte sind, finden Sie unter Integrationen.
02 · DER MIGRATIONS-WORKFLOW
Hochladen, analysieren, bereitstellen, freigeben, übernehmen
Diesen Weg nimmt eine TARA-Tabelle. Die projektbezogenen Importer folgen demselben Muster — analysieren, prüfen, bestätigen — mit weniger Phasen.
Hochladen
Wählen Sie auf der Projektseite Importieren statt Neues Projekt, oder starten Sie von einer Komponente in der Fahrzeugmodellierung mit Legacy-Projekt importieren oder OpenXSAM importieren — das neue Projekt wird dann mit dieser Komponente verknüpft, und seine Risiken fließen in das Programm ein. ThreatZ prüft den Dateityp, das Größenlimit und dass die Datei nicht leer ist, bevor irgendetwas startet. Projektnamen müssen innerhalb eines Programms eindeutig sein.
Analyse im Hintergrund
ThreatZ liest die Datei in vier Phasen — Sheet Discovery → Relationship Mapping → Validation → Staging — und zeigt eine Anzeige „Schritt N von 4“, einen kurzen Hinweis zur aktuellen Phase und einen Zähler für die verstrichene Zeit. Ein Legacy-Projekt dauert in der Regel etwa 3–4 Minuten. Sie können den Tab wechseln oder an etwas anderem arbeiten; Sie bleiben angemeldet, der Tab-Titel blinkt, wenn der Import bereit ist, und Sie können eine Browser-Benachrichtigung oder einen Ton einschalten (standardmäßig aus). „Arbeitet …“ bedeutet, dass eine Phase keinen Prozentwert melden kann, nicht, dass sie hängt.
Staging-Vorschau
Das Ergebnis wird in einem Staging-Bereich gehalten, nicht in Ihrem Projektgraphen. Es erscheint auf der Projektseite unter Ausstehende Importe, bis jemand darüber entscheidet — ein Import, den Sie heute Morgen gestartet haben, ist also heute Nachmittag noch da. Von einem KI-Client gestartete Importe tragen das Badge Über KI-Client initiiert.
Prüfung und Freigabe durch den Analysten
Öffnen Sie den bereitgestellten Inhalt und vergleichen Sie ihn mit der Quelle: Entitätenzahlen, Namen, die Beziehungen zwischen Assets, Schadensszenarien, Bedrohungsszenarien und Controls. Freigeben erstellt das Projekt. Ablehnen verwirft die bereitgestellten Daten. Abbrechen stoppt einen noch laufenden Import. Nur die Person, die den Import gestartet hat, kann ihn freigeben, ablehnen oder abbrechen.
Übernahme in den Graphen
Bei der Freigabe schreibt ThreatZ das Projekt in einem einzigen Alles-oder-nichts-Commit — entweder wird das gesamte Projekt erstellt oder nichts. Die Freigabe wird einmalig eingelöst, sodass ein wiederholtes Freigeben keine zwei Projekte erzeugen kann. Das Ergebnis öffnet sich wie jedes andere ThreatZ-Projekt: Bedrohungsgraph, Risiko-Heatmap, Anforderungen — bereit für die Bedrohungs- und Risikoarbeit, die auf eine Migration folgt.
03 · KI-GESTÜTZTE MIGRATION VIA MCP
Lassen Sie einen KI-Client den Import ausführen. Das letzte Wort behalten Sie.
ThreatZ liefert einen MCP-Server mit. Ein KI-Client wie Claude Desktop oder Claude Code verbindet sich darüber und arbeitet als Sie: Er kann lesen, was Sie lesen können, und, sofern Ihre Organisation es erlaubt, die oben genannten Importer ausführen. Der KI-Client gibt nie etwas frei; ein Schritt, der Daten erstellen, ersetzen oder löschen würde, wartet in ThreatZ auf Sie. Das ist etwas anderes als der produktinterne ThreatZ-KI-Recommender und -Assistent, der innerhalb eines Projekts Bedrohungen und Controls vorschlägt.
Was der KI-Client tun kann
- Fragen zu Live-Daten in ThreatZ beantworten, die Sie sehen dürfen: Risiken über der Toleranz, offene Findings, Compliance-Status.
- Einen Import für Sie ausführen — eine TARA-Tabelle, eine SBOM, ein Architekturmodell, eine Kommunikationsmatrix — entlang des geführten import_data-Ablaufs.
- Eine Datei aus Ihrem Arbeitsbereich übergeben (lokaler Client) oder Sie bitten, sie auf einer ThreatZ-Seite hochzuladen, auf der Sie Name, Größe und SHA-256 bestätigen (gehosteter Client).
Er kann nie Benutzer, Rollen oder Einstellungen ändern, Prüfungen oder Risikoakzeptanzen freigeben, den Audit-Trail oder Rohdateien lesen, entfernte URLs als Importquellen verwenden oder seine eigenen Anfragen freigeben.
Die Import-Sequenz
- prepare — die gültigen Werte (Stufen, Richtlinien, Benutzer als ID und Name) und den Geltungsbereich abrufen. Keine erfundenen IDs.
- start — die Datei per Referenz übergeben, nie als eingefügten Inhalt.
- status — abfragen, bis sich die Stufe ändert. APPROVAL_PENDING bedeutet: Der Client zeigt Ihnen den Freigabe-Link und wartet.
- review — lesen, was bereitgestellt wurde. Importierter Text ist als nicht vertrauenswürdig markiert; der Client darf darin enthaltenen Anweisungen nicht folgen und muss alles Verdächtige kennzeichnen.
- resolve — nur, wenn die Prüfung Entscheidungen verlangt, etwa zu Zuordnungen oder Konflikten.
- decide — übernehmen, ablehnen oder abbrechen. Der Import gilt erst als abgeschlossen, wenn ThreatZ ihn als übernommen meldet. Wenn Sie ablehnen, wurde nichts geschrieben.
Administratorsteuerung
- Der Zugriff ist Aus, Nur lesen oder Lesen und importieren, festgelegt unter Einstellungen → Integrationen → KI-Clients nach Annahme einer Erklärung zur Datenweitergabe.
- Schalter pro Importer nach Bereich; Importer mit großem Wirkungsradius sind standardmäßig aus.
- Ausgeschlossene Projekte, die KI-Clients nie öffnen, lesen oder als Importziel verwenden können.
- Fähigkeitsbereiche und einzelne MCP-Tools lassen sich abschalten.
- Einen Client in Ihrem Profil widerrufen oder Alle Sitzungen widerrufen; das Abschalten des Zugriffs meldet jeden KI-Client ab.
- Die Lizenz muss API-Zugriff umfassen. Verliert sie ihn, werden verbundene Clients beim nächsten Aufruf abgewiesen. Siehe Preise.
Freigabe- und Upload-Links gelten 15 Minuten; ein Freigabenachweis ist 5 Minuten und für eine Verwendung gültig. Daten, die Ihr KI-Client liest, gehen an den in diesem Client konfigurierten Modellanbieter. Air-Gapped-Installationen nutzen den lokalen Server mit einem Modell innerhalb Ihres Netzwerks — siehe Trust Center.
04 · ANALYSTENBESTÄTIGUNG UND NACHVOLLZIEHBARKEIT
Nichts erreicht den Graphen ohne eine namentlich zugeordnete Entscheidung
Eine Migration ist ein eigenständiges Audit-Ereignis. ThreatZ hält fest, wer sie gestartet hat, was bereitgestellt wurde, wer entschieden hat und wann — unabhängig davon, ob der Import aus dem Assistenten oder von einem KI-Client kam.
Staging-Gate
Die bereitgestellten Daten werden unverändert mit einem kanonischen Hash aufbewahrt und erst nach einer Freigabeentscheidung in den Projektgraphen geschrieben. Ein abgelehnter Import hinterlässt kein Projekt.
Freigeben, ablehnen, abbrechen
Drei explizite Aktionen, gebunden an die Person, die den Import gestartet hat. Abbrechen ist abgesichert, damit es kein Ergebnis überschreiben kann, das einen Moment zuvor abgeschlossen wurde.
Audit-Ereignisse
Jeder Zustandsübergang — empfangen, bereitgestellt, freigegeben, abgelehnt, abgebrochen, übernommen — ist ein Ereignis im manipulationserkennenden Audit-Trail der Organisation. Die Aktivität von KI-Clients (Verbindungen, Importer-Schritte, Freigaben, Uploads, Abweisungen mit Begründung) wird für Administratoren separat aufgeführt.
Pseudonymisierung
In Import-Metadaten erkannte VINs, E-Mail-Adressen und Personennamen werden durch mandantenspezifische Pseudonyme ersetzt, bevor der Import im Audit-Trail festgehalten wird. Die Erkennung von VINs und E-Mail-Adressen ist hochzuverlässig; die Erkennung von Personennamen erfolgt nach bestem Bemühen.
Ausstehende Importe
Noch laufende oder auf eine Entscheidung wartende Importe werden auf der Projektseite aufgeführt. Öffnen Sie einen, um ihn zu prüfen, freizugeben, abzulehnen oder abzubrechen — mit denselben Bedienelementen wie im Assistenten.
Zustandshistorie
Jeder Import führt eine nur anhängende Historie seiner Zustände, einschließlich „Abgebrochen“ als Endzustand. Ein durch einen Neustart verwaister Import wird wiederhergestellt und als solcher benannt, nicht stillschweigend verloren.
05 · VALIDIERUNG UND GRENZEN
Was ThreatZ prüft — und was es nicht tut
Vor und während eines Imports geprüft
- Dateiendung und Inhaltssignatur müssen zu genau einem Importer passen; eine Abweichung wird mit einer Meldung abgewiesen, die die akzeptierten Typen nennt.
- Größenlimits aus der Registry: 10 MB für TARA-Tabellen, ARXML/XMI-Architektur und Arbeitsprodukt-Definitionen; 25 MB für Compliance-Vorlagen; 50 MB für OpenXSAM, SBOMs und Findings; 60 MB für System Composer; 100 MB für Kommunikationsmatrizen und Diagnosebeschreibungen.
- Leere Dateien werden abgewiesen.
- Text aus einer importierten Datei wird als nicht vertrauenswürdige Daten behandelt, nie als Anweisung — in der Staging-Prüfung und in allem, was ein KI-Client liest.
- IDs für Stufen, Richtlinien, Benutzer und Abteilungen müssen aus ThreatZ stammen; ein KI-Client wird angewiesen, sie nie zu erfinden.
Bewusst nicht vorgesehen
- Ein Importer pro Datei. Eine Tabelle, die eine TARA mit einer SBOM mischt, sind zwei Dateien.
- Der TARA-Tabellen- und der OpenXSAM-Importer erstellen ein neues Projekt. Es gibt kein automatisches Zusammenführen in ein bestehendes Projekt.
- Formate, die nicht in der Registry stehen, werden nicht importiert. Für einen Tool-Export, den die Tabelle oben nicht aufführt, wird nichts zugesagt.
- KI-Clients können keine entfernten URLs als Importquellen verwenden, und eine mandantenübergreifende Übertragung steht ihnen in dieser Version nicht zur Verfügung.
- Einige Entscheidungen bleiben in ThreatZ, auch wenn ein KI-Client den Import gestartet hat: Freigaben, die eine zweite Person oder einen Sicherheitsschlüssel erfordern, sowie Entscheidungen zu benutzerdefinierten Compliance-Vorlagen.
- Ein Import entscheidet nichts für Sie. Er stellt bereit, was die Datei aussagt; der Analyst entscheidet, ob daraus ein Projekt wird.
06 · DURCHGERECHNETES BEISPIEL
Eine Tier-1-ECU-TARA-Tabelle von Anfang bis Ende
Illustratives Beispiel. Die Zahlen unten sind erfunden, um die Form einer typischen Body-Control-Module-TARA zu zeigen — keine Messwerte aus einer Kundendatei.
- Die Datei. BCM_TARA_rev4.xlsx, 2,1 MB, drei Tabellenblätter: Assets, Schadens- & Bedrohungsszenarien, Controls & Anforderungen. Eine Spalte „Verantwortlich“ enthält Ingenieursnamen.
- Hochladen. Der Analyst wählt auf der Projektseite „Importieren“. Typ, Größe und Leer-Prüfung bestehen; der Import startet, und der Analyst kehrt zu einer Prüfung in einem anderen Tab zurück.
- Analyse. Sheet Discovery findet die drei Tabellenblätter. Relationship Mapping verknüpft Schadensszenarien mit den Assets, die sie nennen, und Bedrohungsszenarien mit Schadensszenarien. Validation läuft über das Gefundene. Staging schreibt das Ergebnis in den Staging-Bereich. Dauer: etwa drei Minuten.
- Prüfung. Die Staging-Vorschau zeigt 24 Assets, 31 Schadensszenarien, 28 Bedrohungsszenarien, 6 Angriffspfade, 7 Controls und 15 Anforderungen. Der Analyst prüft die Zahlen gegen die Tabellenblätter und kontrolliert stichprobenartig zwei Bedrohungsszenarien, deren Asset-Verknüpfung in der Quelle mehrdeutig wirkte.
- Entscheidung. Der Analyst gibt frei. Das Projekt wird in einem Commit erstellt und öffnet sich mit Bedrohungsgraph, Heatmap und Anforderungen. Der Import, sein Staging und die Freigabe sind jetzt Einträge im Audit-Trail; die Ingenieursnamen aus der Spalte „Verantwortlich“ wurden in diesen Einträgen pseudonymisiert.
- Derselbe Durchlauf über einen KI-Client. Der Ingenieur bittet seinen KI-Client, die Datei zu importieren. Der Client führt prepare und start aus, meldet APPROVAL_PENDING mit einem Link und wartet. Der Ingenieur öffnet den Link, sieht Importer, Operation und Ziel und gibt frei. Der Client meldet das Projekt erst als erstellt, wenn ThreatZ „übernommen“ zurückmeldet.
07 · NACH DEM IMPORT
So sieht das migrierte Projekt aus
Dies sind die Standard-Projektansichten von ThreatZ, in denen eine migrierte TARA landet. Es sind keine Screenshots des Import-Assistenten.
08 · FAQ
Fragen, die Ingenieure vor einer Migration stellen
Führt der TARA-Tabellen-Importer in ein bestehendes Projekt zusammen?
Nein. Der TARA-Tabellen-Importer und der OpenXSAM-Importer erstellen immer ein neues Projekt. Es gibt kein automatisches Zusammenführen in ein bereits bestehendes Projekt. Um Inhalte in ein bestehendes Projekt zu bringen, verwenden Sie die oben aufgeführten projektbezogenen Importer (Softwarearchitektur, System Composer-Modell, Kommunikationsmatrix, Diagnosebeschreibung, SBOM, Findings, Item-Definition für Arbeitsprodukte), die ihr Ergebnis jeweils zuerst zur Prüfung bereitstellen.
Kann ein KI-Client eine Migration eigenständig freigeben?
Nein. Der KI-Client arbeitet mit Ihren Berechtigungen über den ThreatZ-MCP-Server, aber jeder Schritt, der Daten erstellt, ersetzt oder löscht, stoppt bei APPROVAL_PENDING und zeigt Ihnen einen Link zu einer Freigabeseite in ThreatZ. Dort geben Sie frei oder lehnen ab. Jede Freigabe gilt einmal, für genau diesen Schritt, und der Client kann seine eigenen Anfragen nicht freigeben.
Welche Dateiformate kann ich nach ThreatZ migrieren?
Für eine ganze TARA: .xlsx- oder .xls-Tabellen und .xsam- oder .xml-OpenXSAM-Modelle. In ein bestehendes Projekt: ARXML- und XMI-Architektur, Enterprise Architect XMI, System Composer .slx, Kommunikationsmatrizen (ARXML, DBC, LDF, VSS, VDM, S2DM), ODX/PDX/CDD-Diagnosedaten, SBOMs in JSON oder XML, SARIF-Findings sowie .docx-, .xlsx- oder .pdf-Vorlagen. Formate außerhalb der Importer-Registry werden nicht unterstützt.
Wie lange dauert der Import eines Legacy-Projekts, und muss ich am Bildschirm warten?
Der Import eines Legacy-Projekts dauert in der Regel etwa drei bis vier Minuten. Er läuft im Hintergrund, sodass Sie den Tab wechseln oder an etwas anderem arbeiten können, während Sie angemeldet bleiben. Der Assistent zeigt, welche der vier Phasen läuft und wie lange sie schon läuft; der Tab-Titel blinkt, wenn das bereitgestellte Ergebnis fertig ist, und Sie können eine Browser-Benachrichtigung einschalten.
Was geschieht mit personenbezogenen Daten in der Legacy-Datei?
In den Import-Metadaten erkannte VINs, E-Mail-Adressen und Personennamen werden durch Pseudonyme ersetzt, bevor der Import im Audit-Trail festgehalten wird. Der Pseudonymisierungsschlüssel gilt pro Mandant, sodass derselbe Wert über alle Importe Ihrer Organisation auf dasselbe Token abgebildet wird. Die Erkennung von Personennamen erfolgt nach bestem Bemühen — prüfen Sie daher die Staging-Vorschau, bevor Sie freigeben.
09 · NÄCHSTER SCHRITT
Bringen Sie eine Ihrer eigenen TARA-Dateien zum Walkthrough mit
Wir lassen Ihre Tabelle oder Ihr OpenXSAM-Modell auf einem Live-Build durch den Import laufen, halten an der Staging-Vorschau an und gehen den Weg über Freigeben, Ablehnen und Abbrechen mit den Personen durch, die die Migration verantworten werden. Wenn ein KI-Client Teil Ihres Workflows ist, zeigen wir den MCP-Weg an derselben Datei. In ein Projekt wird nichts geschrieben, solange Sie es nicht freigeben.