Cyber Resilience Act: Smarte Geräte werden meldepflichtig

Die EU beschreibt den Cyber Resilience Act, kurz CRA, als Regelwerk für Produkte mit digitalen Elementen. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Die Meldelogik sieht eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht vor. Quelle: EU-Kommission zu CRA-Berichtspflichten (externer Link, öffnet in neuem Tab).

Die Zusammenfassung des Gesetzes nennt außerdem: Der CRA ist am 10. Dezember 2024 in Kraft getreten. Hauptpflichten gelten ab dem 11. Dezember 2027; Berichtspflichten starten früher. Quelle: EU-Kommission: CRA Summary (externer Link, öffnet in neuem Tab). Das klingt technisch. In Wahrheit ist es Alltagsinfrastruktur. Wer einen Router betreibt, eine Smart-Home-Zentrale installiert oder ein vernetztes Schloss an der Haustür hat, fällt in den Anwendungsbereich.

Dass es überhaupt so weit kommen musste, hat eine Vorgeschichte. Die EU hatte bereits 2019 mit dem Cybersecurity Act die Grundlage für ein europäisches Zertifizierungsframework geschaffen, aber ohne verbindliche Herstellerpflichten. Das Ergebnis war ernüchternd: Zertifizierungen blieben freiwillig, viele Hersteller ignorierten sie, und der Markt für billige vernetzte Geräte wurde von Produkten überschwemmt, die nie ein Sicherheitsaudit gesehen hatten. Der Mirai-Botnet-Angriff 2016, der große Teile des amerikanischen Internets lahmlegte, war möglich geworden, weil Millionen von billigen IP-Kameras und Routern Standardpasswörter hatten, die niemand ändern konnte. Das war der Moment, in dem klar wurde, dass Freiwilligkeit im Bereich der Gerätesicherheit nicht funktioniert. Der CRA ist die politische Antwort auf dieses Versagen, und er kommt spät, aber nicht zu spät.

Smarte Geräte als Grenzübergänge

Fast jeder versteht inzwischen: Geräte sind nicht mehr nur Geräte. Eine Kamera sendet Daten. Ein Auto bekommt Updates. Ein Fitnessgerät sammelt Körperdaten. Ein Router entscheidet, was in dein Zuhause hinein und hinausgeht. Der Merksatz lautet: Smarte Geräte sind kleine Grenzübergänge.

Sie verbinden Innenraum und Außenraum, Körperdaten und Anbieter, Haushalt und Updatepolitik. Deshalb ist der CRA mehr als ein Branchenthema. Er betrifft die Frage, ob Alltagsgeräte langfristig sicher, verständlich und reparierbar bleiben. Wer sich fragt, warum ein Gesetz für ein Babyphone relevant sein soll, sollte sich fragen, was passiert, wenn jemand über das Babyphone zuhört oder das Gerät als Teil eines Botnetzes missbraucht wird.

Die EU sagt im Kern: Wenn ein digitales Produkt auf dem Markt ist, muss Sicherheit von Anfang an mitgedacht werden. Hersteller sollen Schwachstellen behandeln, Informationen für Nutzer verständlich bereitstellen und Sicherheitsvorfälle melden. Das verschiebt Verantwortung vom Nutzer allein zurück zum Hersteller. Das ist sinnvoll. Wer Geräte verkauft, die dauerhaft mit Netzwerken verbunden sind, verkauft nicht nur Hardware. Er verkauft Angriffsfläche. Der starke Punkt: Cybersicherheit wird nicht mehr als Zusatzfunktion behandelt, sondern als Voraussetzung für Marktzugang.

Bisher war es gängige Praxis, dass Geräte mit bekannten Schwachstellen verkauft wurden, Updates oft nur kurz nach dem Kauf erschienen und Nutzer am Ende allein verantwortlich waren. Der CRA dreht diese Logik um. Nicht der Nutzer muss sich schützen, sondern der Hersteller muss liefern, was er verkauft. Das ist ein Paradigmenwechsel, auch wenn er im Behördendeutsch des Gesetzestextes kaum sichtbar wird.

Betrachtet man die Marktrealität, wird deutlich, wie notwendig dieser Wechsel war. Eine Untersuchung der Europäischen Agentur für Cybersicherheit (ENISA) aus dem Jahr 2020 kam zu dem Ergebnis, dass der überwiegende Teil der untersuchten IoT-Geräte keine regelmäßigen Sicherheitsupdates erhielt und viele Hersteller keine klare Richtlinie hatten, wie lange sie überhaupt Updates bereitstellen würden. In einigen Fällen waren die Geräte ab Werk mit hartcodierten Zugangsdaten versehen, die sich weder ändern noch entfernen ließen. Ein Gerät, das heute für fünfzig Euro im Elektronikmarkt steht, bringt möglicherweise eine Schwachstelle mit, die der Hersteller kennt, die aber nie behoben wird, weil der wirtschaftliche Anreiz fehlt. Der CRA schafft diesen Anreiz, indem er Marktzugang an Sicherheitsanforderungen koppelt. Wer nicht liefert, darf nicht mehr verkaufen.

Die andere Seite

Gleichzeitig entsteht eine neue Melde- und Aufsichtsarchitektur. Ein Vorfall bleibt nicht nur beim Hersteller. Er läuft über Meldeplattformen, CSIRTs und ENISA-Strukturen. Das kann schnelle Reaktion ermöglichen. Es bedeutet aber auch: Sicherheitsinformationen werden zentraler, koordinierter und regulatorisch verwertet. Der sachliche Einwand lautet: Das kann nötig sein, weil Angriffe nicht an Landesgrenzen enden. Aber man sollte verstehen, was passiert. Der Alltag wird sicherer, weil er formalisierter wird.

Wer das begrüßt, sollte sich auch fragen, wer die zentralen Stellen kontrolliert und was mit den gemeldeten Daten passiert. Eine Meldepflicht, die Schwachstellen offenlegt, kann auch Angreifern dienen, wenn die Informationen nicht richtig geschützt werden. Transparenz und Sicherheit stehen hier in einem Spannungsverhältnis, das der Gesetzestext nicht auflöst.

Im SIGMACODE ist digitale Souveränität nie nur „weniger Bildschirmzeit". Es geht darum, welche Systeme Zugriff auf dein Leben bekommen. Bei Digitaler Souveränität ging es um Aufmerksamkeit und Geräteverhalten. Beim CRA geht es um die technische Unterseite derselben Frage.

Wenn dein Gerät nicht sicher ist, ist deine Ordnung nicht privat. Dann hängt sie an fremder Updatepolitik, fremder Lieferkette und fremder Reaktionsgeschwindigkeit. Wer nicht kontrolliert, wann sein Gerät Updates bekommt, kontrolliert auch nicht, wann es unsicher wird.

„Ich habe nichts zu verbergen" bei smarten Geräten

Dieser Satz ist bei smarten Geräten besonders schwach. Geheimnisse sind nur ein Aspekt. Zugriff, Manipulation, Botnetze, Identitätsdiebstahl, Erpressung, Bewegungsmuster, Gesundheitsdaten, Ton, Bild und Gewohnheiten sind genauso relevant. Ein unsicheres Gerät kann dich betreffen, auch wenn du nichts Wichtiges darauf speicherst. Es kann Teil eines Angriffs werden. Es kann andere Systeme gefährden. Es kann Daten liefern, die einzeln banal und zusammen aussagekräftig sind.

Ein kompromittierter Router kann den gesamten Datenverkehr eines Haushalts umleiten. Eine gehackte Kamera kann Bewegungsprofile erstellen. Ein unsicheres Smart-TV-Mikrofon kann Gespräche aufzeichnen, ohne dass der Besitzer es bemerkt. Es kommt weniger darauf an, ob du etwas zu verbergen hast, als darauf, ob du kontrollierst, wer Zugang zu deinem Leben hat.

Diese Szenarien sind nicht theoretisch. Sicherheitsforscher haben wiederholt demonstriert, wie einfach sich bestimmte Smart-Home-Geräte übernehmen lassen. Im Jahr 2023 zeigte eine Forschergruppe, dass vernetzte Türklingeln mit Standardzugängen innerhalb weniger Minuten kompromittiert werden konnten, mit Werkzeugen, die frei im Internet verfügbar sind. Ein anderes Beispiel: Medizinprodukte wie Insulinpumpen, die über Bluetooth mit Apps kommunizieren, wurden in mehreren Studien als manipulierbar nachgewiesen. Wenn solche Geräte Teil eines Botnetzes werden oder ihre Sensordaten an unbekannte Server senden, ist der Schaden nicht mehr nur digital, sondern physisch. Der CRA ist die erste europäische Regelung, die diesen Nexus zwischen digitaler Schwachstelle und physischer Konsequenz systematisch adressiert.

Wenn ein Gerät vernetzt ist, sollte die Kaufentscheidung nicht nur nach Preis, Design oder Funktionsliste gehen. Frag künftig, wie lange es Sicherheitsupdates gibt und wer für Schwachstellen verantwortlich ist. Frag, welche Daten das Gerät sammelt und ob es auch ohne dauernde Cloud-Anbindung funktioniert. Und frag, ob du es zurücksetzen, reparieren oder sicher entsorgen kannst.

So wird Cybersicherheit konkret. Nicht erst beim großen Angriff, sondern beim kleinen Gerät, das jeden Tag in deinem Raum steht. Wer diese Fragen vor dem Kauf stellt, zwingt Hersteller und Händler, Antworten zu geben. Und wer keine Antworten bekommt, sollte das Gerät stehen lassen.

Updates als Vertrauensfrage

Ein vernetztes Gerät altert anders als ein analoges Gerät. Es wird nicht nur mechanisch schlechter, sondern sicherheitlich riskanter, wenn Updates ausbleiben. Darum ist die Update-Dauer künftig fast so wichtig wie die Garantie. Ein Hersteller, der ein Produkt verkauft, aber nach kurzer Zeit keine Sicherheitskorrekturen mehr liefert, überlässt den Nutzer einer wachsenden Angriffsfläche. Das betrifft nicht nur Premiumtechnik. Gerade billige Alltagsgeräte können in großen Mengen zum Risiko werden, wenn sie nie gepflegt werden.

Der CRA macht sichtbar, dass digitale Produktqualität nicht beim Kauf endet. Sie endet erst, wenn Sicherheit über den Lebenszyklus mitgedacht wird. Kurz gesagt: Ein smartes Gerät ohne Update-Perspektive ist kein Schnäppchen, sondern eine spätere Rechnung. Wer beim Kauf nur auf den Preis schaut, zahlt später mit seiner Sicherheit.

Dieser Gedanke lässt sich auf die gesamte Geräteökonomie eines Haushalts ausweiten. Ein durchschnittlicher Haushalt in Mitteleuropa verfügt heute über ein bis zwei Dutzend vernetzte Geräte, Tendenz steigend. Jedes davon hat eine eigene Update-Politik, einen eigenen Hersteller und ein eigenes End-of-Life-Datum. Wer nicht aktiv mitverfolgt, welche Geräte noch Updates bekommen und welche nicht, trägt ein wachsendes Risiko in seiner eigenen Wohnung, ohne es zu bemerken. Der CRA zwingt Hersteller, diese Informationen transparent zu machen. Aber er zwingt nicht den Nutzer, sie zu lesen. Die Regelung verbessert die Ausgangslage, aber sie ersetzt nicht die eigene Aufmerksamkeit.

Der Cyber Resilience Act ist kein sexy Thema. Deshalb ist er wichtig. Er zeigt, wie die EU digitale Alltagstechnik in Sicherheitslogik übersetzt. Das kann Nutzer schützen. Es macht aber auch sichtbar, dass selbst kleine Geräte Teil größerer Infrastruktur sind. Wer die Regelung ignoriert, weil sie nach Bürokratie klingt, übersieht, dass sie sein Wohnzimmer betrifft.

Wer digital souverän sein will, fragt künftig nicht nur: Was kann dieses Gerät? Er fragt: Wer muss es sichern, wer meldet seine Schwachstellen, und wie lange bleibt es updatefähig? Als Anschluss passt Lawful Access, weil dort die andere Seite digitaler Sicherheit beginnt: Zugriff durch den Staat.

Die Leseprobe zeigt dir den Ton. Der Vergleich zeigt dir die Tiefe.