EU verlangt 24-Stunden-Warnung von Geräteanbietern

Seit dem 11. September muss jedes Unternehmen, das in der EU ein vernetztes Gerät oder kommerzielle Software unter eigenem Namen verkauft, Behörden binnen 24 Stunden informieren, sobald es erfährt, dass Angreifer eine darin entdeckte Schwachstelle ausnutzen. Die Pflicht gilt auch für Produkte, die bereits auf dem Markt sind, selbst wenn sie längst verkauft wurden (Verordnung, Europäische Kommission). Was ein Unternehmen über einen Angriff weiß, kann damit binnen eines Tages die Cyberbehörden in der gesamten EU erreichen. Eine Meldung an die Behörden bringt allerdings noch kein Update auf die Geräte.

Die Meldepflicht ist der erste Teil des Cyberresilienzgesetzes der EU, der in Kraft tritt. Die Vorschriften zur Sicherheit beim Entwurf und bei der Entwicklung von Produkten gelten erst ab dem 11. Dezember 2027 (ENISA).

Wann die Frist beginnt

Zwei Arten von Ereignissen lösen eine Meldepflicht aus. Die erste ist eine aktiv ausgenutzte Schwachstelle: Es gibt verlässliche Hinweise darauf, dass jemand eine Sicherheitslücke ohne Erlaubnis des Betreibers für einen Angriff genutzt hat. Die zweite ist ein schwerwiegender Vorfall, der die Sicherheit des Produkts beeinträchtigt, auch wenn keine konkrete Schwachstelle nachgewiesen wurde. Eine vertrauliche Mitteilung eines Forschers über einen Fehler löse ohne Hinweise auf einen Angriff keine Meldepflicht aus, heißt es in den Leitlinien des niederländischen nationalen Zentrums für Cybersicherheit (Dutch NCSC).

Die Frist beginnt, sobald der Hersteller von dem Problem erfährt. Sie läuft weder ab dem ersten Angriff noch erst nach Bereitstellung einer Fehlerbehebung. Eine erste Warnung ist binnen 24 Stunden fällig, eine ausführlichere Meldung binnen 72 Stunden. Beide Fristen laufen ab demselben Zeitpunkt, nicht ab der ersten Meldung (ENISA-FAQ).

Ein Abschlussbericht folgt später. Seine Frist hängt davon ab, ob eine ausgenutzte Schwachstelle oder ein anderer Sicherheitsvorfall die Meldung ausgelöst hat. Außerdem muss der Hersteller die betroffenen Nutzer darüber informieren, wie sie sich schützen können (Verordnung).

Wohin die Meldung geht

Alle Meldungen laufen über die zentrale Meldeplattform, die von ENISA, der EU-Agentur für Cybersicherheit, betrieben wird. Der Hersteller richtet seinen Bericht an das CSIRT des Landes, in dem sich sein Hauptsitz in der EU befindet. Ein CSIRT ist das nationale Team für Cybernotfälle, das Meldungen über Sicherheitsvorfälle entgegennimmt. Es leitet den Bericht an die entsprechenden Stellen in allen Ländern weiter, in denen das Produkt verkauft wird (ENISA).

Die Berichte werden nicht veröffentlicht. Manche beschreiben Schwachstellen, für die es noch keine Fehlerbehebung gibt. In Ausnahmefällen kann das koordinierende Team die Weitergabe deshalb zurückhalten; die Fristen für den Hersteller gelten trotzdem (Verordnung). Dahinter steht ein einfaches Risiko: Je weiter sich Einzelheiten einer ungepatchten Schwachstelle verbreiten, desto gefährlicher werden sie.

Wer vorbereitet sein muss

Als Hersteller gilt, wer ein Produkt unter eigenem Namen verkauft. Weder der Unternehmenssitz noch die Größe der Firma spielen eine Rolle. Darunter fallen etwa die Steuerung für die Fernwartung eines deutschen Maschinenbauers und die kommerzielle App eines irischen Unternehmens, auch wenn diese kostenlos heruntergeladen werden kann (Silicon Republic).

Die größte Belastung liegt im betrieblichen Ablauf. Eine befugte Person muss einen Angriff erkennen, einordnen und auch an einem Sonntagabend eine Meldung einreichen können. Am 11. September mahnte der deutsche Fachverband VDE für Elektrotechnik die Hersteller, Verfahren zur Erkennung und Weitergabe solcher Fälle einzurichten (VDE).

Kurz vor dem Start berichtete ZDNet France, Meldungen müssten manuell eingereicht werden; eine Schnittstelle für automatische Übermittlungen gebe es nicht (ZDNet France). Damit hängt jede Meldung davon ab, dass eine zuständige Person verfügbar ist, sobald die Frist beginnt.

Wer die Fristen versäumt, muss sich vor den nationalen Marktüberwachungsbehörden verantworten. Diese prüfen, ob Produkte die Vorschriften erfüllen, und können bei Verstößen Geldbußen verhängen. Sie können bis zu 15 Mio. EUR oder 2,5 Prozent des weltweiten Umsatzes betragen (Verordnung). Die Mitteilungen zum Start beschreiben das Verfahren, nennen aber keine Zahl eingegangener Meldungen (ENISA, Europäische Kommission).

Europa hat nun einen zentralen Meldeweg, über den die Kenntnis eines Herstellers von einem Angriff an die Cyberteams aller Länder gelangt, in denen das Produkt verkauft wird. Das gilt auch für ältere Produkte, die noch genutzt werden. Der neue Kanal verkürzt die Zeit, bis Behörden von einem Angriff erfahren. Nutzer sind erst geschützt, wenn ein funktionierendes Update ihr Gerät erreicht.

ENISA und die Europäische Kommission können zeigen, ob schnellere Meldungen auch zu schnelleren Fehlerbehebungen führen. Dafür müssten sie zwei Zahlen veröffentlichen: wie viele Meldungen eingehen und wie lange Nutzer auf ein Update warten.