24-Stunden-Frist für Sicherheitslücken: Was die neue CRA-Meldepflicht für alle Geräte bedeutet

Hersteller digitaler Produkte stehen vor einer gewaltigen Wende: Nach dem neuen Cyber Resilience Act (CRA) gilt künftig eine strikte 24-Stunden-Frist, um aktiv ausgenutzte Sicherheitslücken an die Behörden zu melden. Wer diese Frist verpasst, riskiert drastische Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Egal ob smarter Saugroboter, WLAN-Router oder Steuer-App: Nahezu jedes vernetzte Gerät in deutschen Wohnzimmern ist von den neuen EU-Sicherheitsregeln direkt betroffen.

Was steckt hinter der neuen Meldepflicht beim Cyber Resilience Act?

Bisher konnten Unternehmen bekannte Sicherheitslecks oft monatelang im Stillen patchen, ohne dass Kunden oder Behörden jemals davon erfuhren. Damit ist bald endgültig Schluss.

Die EU-Verordnung zwingt Hersteller dazu, gravierende Sicherheitsvorfälle und Schwachstellen sofort transparent zu machen. Sobald ein Angriff auf eine Lücke in freier Wildbahn bemerkt wird, läuft der Countdown.

Meldungen gehen künftig direkt an die zuständigen nationalen Stellen (wie das BSI in Deutschland) sowie die EU-Cybersicherheitsagentur ENISA.

Welche Fristen müssen Hersteller jetzt einhalten?

Die EU unterscheidet bei der Meldepflicht einen mehrstufigen Zeitplan, der Entwickler und IT-Teams massiv unter Druck setzt.

• Frühwarnung nach 24 Stunden: Das Unternehmen muss innerhalb eines Tages melden, dass eine aktive Schwachstelle existiert.
• Ausführlicher Bericht nach 72 Stunden: Innerhalb von drei Tagen müssen erste Details zur Schwere und zu möglichen Auswirkungen vorliegen.
• Schlussbericht nach 14 Tagen: Spätestens zwei Wochen nach Bereitstellung eines Sicherheits-Updates muss die vollständige Analyse stehen.

Welche Geräte und Programme sind konkret betroffen?

Die Faustregel der EU ist simpel: Alles, was mit dem Internet oder einem Netzwerk verbunden werden kann, fällt unter den CRA.

Dazu zählen alltägliche Smart-Home-Komponenten wie smarte Thermostate, Überwachungskameras und Fernseher genauso wie Betriebssysteme, VPN-Dienste und Apps auf deinem Smartphone.

Ausgenommen sind lediglich Spezialbereiche wie medizinische Geräte oder Fahrzeuge, da für sie bereits eigene, strenge Sicherheitsgesetze gelten.

Schritt-für-Schritt: So finden Nutzer heraus, ob ihre Geräte sicher sind

Verbraucher profitieren direkt von den neuen Vorgaben, müssen aber auch selbst aktiv bleiben, um geschützt zu sein.

• 1. Automatische Updates aktivieren: Prüfe in den Einstellungen deines Routers und Smartphones, ob Sicherheitsupdates sofort ohne Nachfrage installiert werden.
• 2. Support-Zeitraum prüfen: Hersteller müssen künftig klar deklarieren, wie viele Jahre ein Gerät garantiert mit Patches versorgt wird.
• 3. Warnmeldungen ernst nehmen: Sobald ein Hersteller über eine behobene Schwachstelle informiert, sollte das Update noch am selben Tag aufgespielt werden.

Was bedeutet das neue Gesetz für deinen Geldbeutel?

Hersteller müssen ihre gesamte Software-Entwicklung umkrempeln, um den bürokratischen und technischen Anforderungen gerecht zu werden. Das bedeutet höheren Entwicklungsaufwand für fast jedes Produkt.

Experten rechnen damit, dass extrem billige No-Name-Geräte aus Fernost nach und nach vom europäischen Markt verschwinden, weil sich die dauerhafte Absicherung für Billighersteller schlicht nicht rechnet.

Auf der anderen Seite steigt die Lebensdauer von Markenprodukten, da Kunden deutlich länger verlässliche Sicherheitsupdates erhalten.