Cyber Resilience Act: Ab nächster Woche müssen Lücken gemeldet werden

Nächste Woche, am 11. September, wird eine Regel scharf gestellt, von der die meisten Käufer nie etwas hören werden, die aber mehr über die Sicherheit vernetzter Geräte entscheidet als jedes Häkchen im Einrichtungsmenü: Hersteller müssen aktiv ausgenutzte Sicherheitslücken in ihren Produkten künftig den Behörden melden, und zwar innerhalb von Stunden. Grundlage ist der Cyber Resilience Act der EU, kurz CRA.

Was der CRA überhaupt regelt

Die Verordnung ist seit Dezember 2024 in Kraft und betrifft, was im Amtsdeutsch „Produkte mit digitalen Elementen“ heißt. Das ist bewusst weit gefasst: Software zählt dazu, aber eben auch jedes Stück Hardware, das mit einem Netz sprechen kann. Der Router, die Überwachungskamera, das Babyfon, der smarte Lautsprecher, die Waschmaschine mit App. Bislang war das ein weitgehend regelfreier Raum. Ein Gerät musste elektrisch sicher sein und durfte den Funkverkehr nicht stören, aber niemand verlangte, dass die Firmware halbwegs solide gebaut ist oder dass Lücken jemals geschlossen werden.

Der CRA wirkt in zwei Schritten. Der erste ist die Meldepflicht, die jetzt greift. Der zweite, deutlich größere, sind die eigentlichen Produktanforderungen: Sie gelten ab dem 11. Dezember 2027 und entscheiden dann darüber, ob ein Gerät überhaupt noch eine CE-Kennzeichnung bekommt und in der EU verkauft werden darf.

Die 24-Stunden-Uhr

Konkret gilt ab kommender Woche: Erfährt ein Hersteller, dass eine Schwachstelle in seinem Produkt tatsächlich angegriffen wird, hat er 24 Stunden Zeit für eine erste Frühwarnung an die zuständige Stelle. Dasselbe gilt für schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts betreffen. Innerhalb von 72 Stunden muss eine ausführlichere Meldung folgen, später ein Abschlussbericht. Adressat sind die nationalen Computer-Notfallteams und die EU-Agentur ENISA.

Der Sinn dahinter ist weniger Bestrafung als Frühwarnung. Bisher war es üblich, dass ein Hersteller von einem laufenden Angriff auf seine Kameraserie wusste, still ein Update vorbereitete und die Öffentlichkeit Wochen später über einen dürren Changelog-Eintrag informierte. In der Zwischenzeit liefen Zehntausende Geräte weiter offen im Netz. Mit einer zentralen Meldung können Behörden Betroffene warnen, bevor die Lücke breit ausgenutzt wird.

Was daran für Privatleute zählt

Die Meldepflicht selbst merkt man als Käufer nicht. Interessanter ist das, was 2027 folgt, weil es ein altes Ärgernis angeht: den Support-Zeitraum. Hersteller müssen künftig festlegen und angeben, wie lange sie ein Produkt mit Sicherheitsupdates versorgen. Als Richtwert nennt die Verordnung fünf Jahre, kürzer darf es nur sein, wenn das Produkt erwartbar kürzer lebt. Sicherheitsupdates müssen zudem kostenlos sein und dürfen nicht mit Funktionsupdates verkoppelt werden, mit denen man sich eine neue Oberfläche oder zusätzliche Werbung ins Wohnzimmer holt.

Das ist der Punkt, an dem ich zum ersten Mal seit Langem etwas Optimismus habe. Wer schon einmal ein vier Jahre altes Smart-Home-Gerät hatte, für das der Hersteller kommentarlos die Cloud abgeschaltet hat, kennt das Grundproblem: Es gab schlicht kein Versprechen, das man hätte einfordern können. Ein aufgedruckter Support-Zeitraum verwandelt eine vage Erwartung in eine Zusage, die beim Kauf vergleichbar wird, ähnlich wie die Energieeffizienzklasse.

Wo ich skeptisch bleibe

Papier ist geduldig, und der CRA hat drei erkennbar schwache Stellen. Erstens die Durchsetzung: Die Marktüberwachung liegt bei den Mitgliedstaaten, und wer schon verfolgt hat, wie zügig etwa unsichere Billigelektronik aus dem Direktversand aus dem Verkehr gezogen wird, macht sich keine Illusionen über Personalstärke und Tempo. Zweitens die Herkunft: Ein No-Name-Gerät, das über eine Plattform direkt aus Fernost verschickt wird, hat oft keinen greifbaren Verantwortlichen in der EU. Genau dort sitzen die Geräte mit den schlimmsten Standardpasswörtern.

Drittens die Übergangszeit. Bis Ende 2027 kommt weiter Ware in die Regale, die nichts davon erfüllt, und diese Geräte werden danach noch jahrelang laufen. Ein Türschloss, das heute gekauft wird, fällt in aller Regel noch unter das alte Regime. Der CRA ist eine Wette auf die nächste Gerätegeneration, nicht auf die im Haus.

Was sich daraus für den nächsten Kauf ergibt

Praktisch heißt das für die kommenden ein bis zwei Jahre: weiter selbst nachsehen. Wie lange gibt es für das Modell bereits Firmware-Updates, und wann kam die letzte? Ein Blick auf die Support-Seite des Herstellers vor dem Kauf sagt mehr als jedes Werbeversprechen. Geräte, die ohne Cloud-Konto funktionieren, überleben ihren Hersteller. Und was nicht ins Internet muss, gehört auch nicht dorthin.

Dass Support-Enden real wehtun, hat zuletzt der Ausstieg aus Windows 10 gezeigt, wo immerhin ein bekanntes Datum und ein bezahlbarer Aufschub existierten. Bei den meisten vernetzten Geräten im Haushalt gibt es beides bis heute nicht. Ab 2027 soll wenigstens das Datum auf der Packung stehen. Das ist kein großer Wurf, aber es ist mehr, als wir bisher hatten.