»Made in Europe« als Sicherheitsgarantie: Wie Unternehmen den CRA umsetzen

Es ist eine Szene, die sich in einer trashigen Science-Fiction-Dystopie abspielen könnte: Eine junge Frau geht ins Badezimmer, um zu duschen. Kamerawechsel und ein Blick von schräg unten auf die sich Entkleidende. Langsam fährt die Kamera um ihre Füße herum, bis die Linse ein geschocktes, auf den Boden gerichtetes Gesicht fokussiert: Die junge Frau hat den Staubsaugerroboter doch gar nicht eingeschaltet – er scheint ein Eigenleben zu führen!

Mit mehr krimineller Energie hätte Sammy Azdoufal diese Szene Anfang des Jahres Realität werden lassen können, wie t3n berichtet. Eigentlich wollte er lediglich seinen eigenen DJI-Staubsaugerroboter umprogrammieren, um ihn mit einem PS5-Controller zu steuern. Tatsächlich aber erhielt er von Frankreich aus Zugriff auf Tausende Geräte in Europa, China und den USA, inklusive Live-Kamerabild.

Über 100 neue Sicherheitsschwachstellen in Softwareprodukten sind laut Dr. Matthias Meyer im Jahr 2024 durchschnittlich am Tag bekannt geworden, »Schwachstellen, die von Hackern genutzt werden können«, so der Bereichsleiter Softwaretechnik & IT-Sicherheit am Fraunhofer-Institut für Entwurfstechnik Mechatronik IEM. In einem Youtube-Video erläutert er die Hintergründe zum Cyber Resilience Act (CRA), der diese »Einfallstore für erfolgreiche Cyberangriffe« verschließen soll, und liefert Hinweise zur Umsetzung der EU-Richtlinie für Unternehmen.

CE-Kennzeichnung nur mit CRA-Konformität

Ausgerichtet ist der CRA auf vernetzte Produkte, die innerhalb des europäischen Wirtschaftsraums (EWR) verkauft werden. Er gilt für alle Artikel, die über digitale Elemente verfügen, »von Baby-Monitoren bis hin zu Smartwatches, von Apps bis hin zu Computerprogrammen«, wie es auf der Internetseite der Europäischen Kommission heißt. Außerdem fallen laut Meyer die meisten Maschinen und Anlagen unter den CRA.

Zukünftig ist eine CE-Kennzeichnung an die Erfüllung der Richtlinie gebunden, und ohne Kennzeichnung ist ein Verkauf ab dem 11. Dezember 2027 untersagt. Wer gegen das Gesetz verstößt, muss mit Strafzahlungen in Millionenhöhe rechnen. Konkret können bis zu 15 Millionen Euro beziehungsweise bis zu zweieinhalb Prozent des Vorjahresumsatzes verhängt werden.

Sicherheit ab Werk

Da ab dem 11. September 2026 bereits die Meldepflicht für aktiv genutzte Schwachstellen und Sicherheitsvorfälle greift, sei jetzt Zeit zu handeln, so Meyer: »Ganz explizit fordert der CRA, die Cybersicherheitsrisiken des Produkts zu bewerten, diese zu dokumentieren und, daran angepasst, die grundlegenden Cybersicherheitsanforderungen, die der CRA an die Produkte stellt, zu erfüllen.«

Zukünftig ist eine CE-Kennzeichnung an die Erfüllung der Richtlinie gebunden, und ohne Kennzeichnung ist ein Verkauf ab dem 11. Dezember 2027 untersagt.

Diese Vorgabe gilt für den vollständigen Produktlebenszyklus, von der Planung des Produkts bis zu dessen Nutzung. So muss jedes Unternehmen die Angriffsfläche seiner Produkte von Beginn an minimieren, indem es etwa unnötige Ports abschaltet und Schnittstellen unzugänglich macht. Grundlegend ist die frühzeitige Verwendung sicherer Zugangsdaten. »Wenn das Produkt das Werk verlässt, darf es keine bekannten ausnutzbaren Schwachstellen enthalten«, erklärt der IT-Sicherheitsfachmann. »Secure by Default« ist hier das ausschlaggebende Stichwort.

Gleichzeitig muss das Unternehmen bis zu diesem Zeitpunkt die technische Dokumentation über den sicheren Entwicklungsprozess fertigstellen. Sie ist der Nachweis über die Erfüllung der gesetzlichen Anforderungen. Kommt es zu einer behördlichen Prüfung, müssen Hersteller die vollständige Dokumentation vorlegen können.

Schwachstellenmanagement und Updates

An den Auslieferungszeitpunkt schließt sich eine verpflichtende »Support-Period« von mindestens fünf Jahren an, abhängig von der erwarteten Nutzungsdauer des Produkts und den Festlegungen der technischen Dokumentation. Um dieser Vorgabe nachzukommen, sind Unternehmen dazu verpflichtet, eine »Software-Bill of Materials« (SBOM), das heißt eine Liste über die verwendete Fremdsoftware, zu ihren Produkten zu führen. Diese müssen sie immer wieder mit Schwachstellendatenbanken abgleichen, um Risiken frühzeitig erkennen und anhand von kostenlosen Security-Updates beheben zu können.

PSIRT und Gap-Analyse

Für hilfreich erachtet Matthias Meyer einen CRA-Workshop im Unternehmen. Im besten Fall kristallisiert sich dabei ein »Product Security Incident Response Team« (PSIRT) heraus, das zwar nicht explizit vorgeschrieben ist, aber den obligatorischen Single Point of Contact darstellen kann. Wird eine Schwachstelle bekannt, muss jemand deren Folgen einschätzen und gegebenenfalls die Kommunikation mit Behörden übernehmen. Auch kann das Team die unternehmensinterne Umsetzung des CRA vorantreiben.

Diese beginnt bereits bei einer Gap-Analyse. Eine Rolle können hier beispielsweise Standards wie der IEC 65443 für Industrial Control-Systems spielen, deren Erfüllung bereits eine hohe Abdeckung des CRA sicherstellt. Derzeit befinden sich weitere Standards in der Erarbeitung, die im Rahmen der Richtlinie eine relevante Position einnehmen werden. Auf deren Publikation ausruhen können sich Unternehmen jedoch nicht, weil sie zeitlich nicht mit dem Inkrafttreten des CRA übereinstimmt.

Der CRA als Wettbewerbsvorteil

Ab September muss ein Unternehmen, das von einer aktiv ausgenutzten Schwachstelle eines seiner Produkte erfährt, innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine Schwachstellenmeldung an die Agentur der Europäischen Union für Cybersicherheit (Enisa) übermitteln. Nach 14 Tagen muss der Enisa ein Abschlussbericht vorliegen. Außerdem gilt es zu eruieren, ob und wenn ja, wann die Nutzenden über die Schwachstelle informiert werden müssen.

Diese Notwendigkeit zu vermeiden, liegt im ureigenen Interesse eines jeden Wirtschaftsunternehmens. Daraus folgt umgekehrt, dass der CRA europäischen Unternehmen einen Wettbewerbsvorteil verschafft. »Sichere Produkte made in Europe« dürften laut Matthias Meyer schon bald auf dem Weltmarkt in besonderer Weise nachgefragt werden. So könne die Richtlinie zu einem gesamtgesellschaftlichen Impact führen – für den gesamten europäischen Wirtschaftsraum.