Der Cyber Resilience Act einfach erklärt – sicherere Software für alle

Software und vernetzte Geräte sind überall – im Büro, in der Praxis und zu Hause. Mit dem Cyber Resilience Act (CRA) sorgt die EU dafür, dass solche Produkte von Anfang an sicherer werden und Sicherheitslücken schnell behoben werden. Für dich als Nutzer:in ist das eine richtig gute Nachricht.

Was regelt der CRA?

Der CRA ist eine EU-Verordnung, die Ende 2024 in Kraft getreten ist und schrittweise wirksam wird. Sie gilt für „Produkte mit digitalen Elementen" – also Software und Geräte, die mit anderen Geräten oder dem Internet verbunden sind. Die wichtigsten Punkte:

• Sicherheit von Anfang an: Produkte sollen sicher entwickelt und ausgeliefert werden.
• Sicherheitsupdates: Hersteller müssen für einen angemessenen Zeitraum Updates bereitstellen.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwere Vorfälle müssen Hersteller melden. Diese Pflichten gelten ab September 2026.
• Transparenz: Nutzer:innen sollen erfahren, wie lange es Updates gibt.

Die vollständigen Anforderungen greifen dann ab Ende 2027.

Wen betrifft der CRA?

Die Pflichten liegen bei Herstellern, Importeuren und Händlern. Wenn du Software oder Geräte nur nutzt, musst du nichts melden. Du profitierst aber davon:

• Du bekommst klarere Informationen zu Updates.
• Sicherheitslücken werden schneller geschlossen.
• Beim Kauf kannst du besser vergleichen.

Und Open Source?

Der CRA nimmt auf Open Source Rücksicht. Wer Open-Source-Software ohne kommerzielle Absicht entwickelt und teilt, fällt in der Regel nicht unter die vollen Herstellerpflichten. Für Stiftungen und Organisationen, die Open-Source-Projekte dauerhaft unterstützen, gibt es eine eigene Rolle mit leichteren Pflichten. Viele große Open-Source-Projekte haben ohnehin schon gute Abläufe, um Sicherheitslücken zu melden und zu beheben.

Was kannst du konkret tun?

1. Überblick verschaffen: Welche Programme und vernetzten Geräte nutzt du?
2. Updates einschalten: Wo möglich automatisch, sonst regelmäßig.
3. Beim Kauf nachfragen: Wie lange gibt es Sicherheitsupdates?
4. Alte Geräte ersetzen: Wenn es keine Updates mehr gibt, ist es Zeit für etwas Neues.

Wie Open Source dabei hilft

Bei Open-Source-Software wie Nextcloud, Element oder Vaultwarden kannst du die Sicherheitshinweise und Updates öffentlich nachverfolgen. Und weil du selbst bestimmst, wo die Software läuft, hast du die Updates auch selbst in der Hand – oder lässt sie von deinem Dienstleister einspielen. Weitere Alternativen findest du unter Alternativen.

Kurz erklärt: ein paar Begriffe

• Produkt mit digitalen Elementen: Software oder Hardware, die mit anderen Geräten oder Netzen verbunden werden kann.
• Schwachstelle: Ein Fehler in der Software, den Angreifer ausnutzen könnten.
• Aktiv ausgenutzte Schwachstelle: Eine Lücke, bei der es Hinweise gibt, dass sie bereits für Angriffe verwendet wird.
• Support-Zeitraum: Die Zeitspanne, in der der Hersteller Sicherheitsupdates liefert.
• SBOM (Software Bill of Materials): Eine Stückliste, aus welchen Bausteinen eine Software besteht.

Worauf du beim nächsten Kauf achten kannst

Ob Router, Drucker, Kamera oder Software – ein paar Fragen helfen bei der Auswahl:

Gerade bei günstigen vernetzten Geräten lohnt sich dieser Blick – denn ein Gerät ohne Updates kann zur Schwachstelle im ganzen Netzwerk werden.

Fazit

Der Cyber Resilience Act macht Software und Geräte für alle sicherer. Für dich heißt das vor allem: auf Updates achten und beim Kauf nach dem Support-Zeitraum fragen. Wenn du dazu eine Einschätzung möchtest, schau bei Beratung vorbei.

Wenn du das auch ausprobieren magst, helf ich dir gern dabei – schreib mir einfach.