Herausforderungen beim EU Cyber Resilience Act EU-Sicherheits­anforderungen für digitale Produkte

Anbieter zum Thema

Cato Networks (EU) B.V

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Mit dem EU Cyber Resilience Act (CRA) will die EU-Kommission zukünftig die Anforderungen an die Sicherheit von Produkten mit digitalen Komponenten verbindlich regeln. Die dazu notwendigen Gesetze und Vorgaben wurden in Zusammenarbeit mit der Wirtschaft entwickelt.

Das ambitionierte Ziel des EU Cyber Resilience Act ist es, Bürger, aber auch Unternehmen, Behörden und Organisationen besser vor Cyberangriffen zu schützen. Dazu soll zum einen ein einheitlicher, kohärenter Rahmen für die Einhaltung der Cybersicherheitsvorschriften in der EU geschaffen werden. Zum anderen erhöht der CRA die Anforderungen hinsichtlich der Transparenz von Cybersicherheitspraktiken und -eigenschaften bei Produkten und seitens der Hersteller. Dazu sollen diese in Zukunft sicherstellen, dass Produkte mit digitalen Bestandteilen weniger Schwachstellen aufweisen. Außerdem bleiben die Anbieter während des gesamten Lebenszyklus eines Produktes für dessen Sicherheit verantwortlich, und sie müssen gleichzeitig dafür sorgen, dass Endverbraucher die Produkte so sicher wie möglich betreiben können.

Während in der Vergangenheit viele Regeln und Gesetze vor allem den Schutz von Unternehmen, Behörden und Organisationen im Blick hatten, soll der EU Cyber Resilience Act gezielt auch im privaten Umfeld greifen, um EU-Bürger besser vor Cyberattacken zu schützen. Es gibt mehr und mehr vernetzte und digitalisierte Produkte, die vor allem in privaten Haushalten zum Einsatz kommen. Allerdings sind sie kaum jemals so konzipiert, dass sie ausreichend Schutz vor Cyberattacken bieten. Beispiele dafür sind vor allem Überwachungskameras im Home-Bereich, Babyphons, digitale Türschlösser oder unsichere Smart-Home-Steuerungen, die Cyberkriminellen Zugang zu praktisch allen Bereichen des alltäglichen Lebens verschaffen.

Das Internet of Things – wo Licht ist, da ist auch Schatten

Geräte im Internet of Things schaffen nicht nur im privaten Umfeld ein riesiges Potenzial, sondern haben auch etliche Risiken im Gepäck. Mittlerweile nutzen auch über ein Drittel aller Unternehmen Geräte, die über das Internet of Things ferngesteuert werden. Sie übernehmen vielfältige Aufgaben und kommen als Technologien zum Energiemanagement, zur Wartung von Maschinen, zum Nachverfolgen des Kundenverhaltens und in Produktionsprozessen zum Einsatz.

Gleichzeitig nutzt über ein Drittel aller Privathaushalte vernetzte Geräte zur Steuerung der Beleuchtung für Alarmanlagen, digitale Schließanlagen und zur Videoüberwachung. Heizungsanlagen sind ebenfalls oft mit dem Internet verbunden. Die CRA-Kategorien „Standard“ und „Klasse 1“ umfassen mit über 90 Prozent in diesem Bereich besonders viele Geräte. Alle Produkte dieser Kategorie müssen zwingend eine Selbstüberprüfung durchführen. Für die Klassen 1 bis 3 kommt ein Konformitätshinweis durch Anwendung eines Standards oder eine Bewertung durch Dritte hinzu.

Statistiken deuten darauf hin, dass bereits bis 2025 mehr als 75 Milliarden IoT-Geräte im Einsatz sein werden. Diese Zahlen zeigen deutlich, dass das Internet of Things im Speziellen, aber auch die Digitalisierung im Allgemeinem gesamtgesellschaftlich einen hohen Durchdringungsgrad erreicht haben – und damit verbunden ein entsprechendes Risikopotenzial.

Die Anforderungen an Produkte steigen

Der CRA enthält Anforderungen, die Unternehmen bei der Produktion von Geräten beachten müssen, um die Sicherheit von digitalen Lösungen in sämtlichen Bereichen zu gewährleisten. Dabei soll bereits beim Design und der Gestaltung der Produkte die Sicherheit im Vordergrund stehen. Bei der Herstellung muss zudem darauf geachtet werden, dass Hard- und Software maximal sicher eingesetzt werden können (Security by Design).

Der CRA geht aber noch einen Schritt weiter. Die Cybersicherheit der Produkte muss über den gesamten Lebenszyklus hinweg aufrechterhalten werden. Für Firmen ist das mit einigem Aufwand verbunden. Denn hierzu zählen das Schließen von Sicherheitslücken innerhalb einer Software sowie das komplette Schwachstellen-Management inklusive dem Bereitstellen und einfachen Installieren von Updates auf den Endgeräten. Das Schwachstellen-Management soll gewährleisten, dass Sicherheitslücken schnell erkannt und genauso schnell geschlossen werden. Vorgaben zur Überwachung der Geräte auf Angriffe aus dem Cyberspace spielen ebenfalls eine Rolle. Man wagt zu prognostizieren, dass mit diesem Anforderungsprofil nicht nur die Nutzer, sondern auch die Hersteller überlastet sein werden.

Das Gefahrenpotenzial wächst, die Gesellschaft muss als Ganzes reagieren

Die neuen Anforderungen seitens des EU Cyber Resilience Act, setzen eine Infrastruktur voraus, mit der sich Geräte auch aus dem Internet und im Internet schützen lassen. Eine verbesserte Firmware für Babyphons und smarte Thermostate allein kann das nicht regeln. Ein Beispiel ist Stalkingware. Bei Stalkingware handelt es sich um Schadprogramme, die sich auf Geräten des Opfers installiert und danach den Zugriff auf alle Funktionen und Daten freigibt. Nicht nur in Deutschland steigt die Nutzung rapide an. Allein für diese Art von Schadprogramm verzeichneten Experten zuletzt einen Nutzungsanstieg von über 77 Prozent. Daneben lauern unzählige weitere Gefahren, vor denen die EU ihre Bürger, Unternehmen, Behörden und Organisationen schützen will. Die Frage ist allerdings, ob die Vorgaben des CRA dafür ausreichen.

Herausforderungen beim EU Cyber Resilience Act

Alle Beteiligten stehen vor nicht ganz geringen Herausforderungen. Schließlich geht es nicht nur um die Sicherheit der Produkte. Es geht auch um den sicheren Datenverkehr im Internet und den Zugriff auf die einzelnen Geräte aus Internet und Cloud. Die Devices und die Kommunikation digitaler Produkte lässt sich kaum über bessere Firmware oder eine sichere Produktgestaltung allein garantieren, auch wenn dies unabdingbare Komponenten sind. Es sind zusätzliche Ansätze gefragt, die mit den aktuellen Herausforderungen zurechtkommen.

Dazu dienen Lösungen, welche die Kommunikation und Zugriffe zwischen Anwendern und Geräten in Echtzeit schützen und die da positioniert sind, wo die Kommunikation stattfindet. Also im globalen Internet, der Cloud und innerhalb der Netzwerke, die bei der jeweiligen Kommunikation eine Rolle spielen. Dieser Sachverhalt ist im EU Cyber Resilience Act nicht deutlich genug herausgearbeitet. Er ist aber eine wichtige Basis für das ambitionierte Ziel: Mehr Sicherheit für alle EU-Bürger und Geräte im Cyberspace.

Die Geräte kommunizieren in der Cloud und im globalen Internet. Dort tauschen sie Daten aus, und von dort aus greifen die Anwender auf die Geräte zu. Leider ist es auch genau der Ort, an dem die entsprechenden Angriffe stattfinden. Aus diesem Grund ist es sinnvoll, den Schutz vor Cyberkriminellen, Hackern, Malware und anderen Gefahren ebenfalls dort zu positionieren und aus der Cloud heraus den Schutz der Strukturen aufzubauen. Deshalb stuft die CRA diese Lösungen in die oben erwähnten Kategorien der Klassen 1 und 2 ein.

Ein Ansatz ist SASE, kurz für Secure Access Service Edge, ein modernes Sicherheitskonzept für Netzwerkinfrastrukturen. Ein Dienstleister kümmert sich um sämtliche Sicherheitsleistungen und Funktionen eines Cloud-Netzwerkes. Bei SASE handelt es sich weniger um eine neue Technologie als vielmehr um einen ganzheitlichen Ansatz. Nach der Definition von Gartner aus dem Jahr 2019 verbindet und sichert SASE alle Unternehmenseinheiten - Zweigstellen, Rechenzentren, Remote-Benutzer, IaaS- und SaaS-Ressourcen. Sicherheit und Netzwerkverarbeitung laufen primär in der SASE-Cloud, wobei jeder "Edge" auf die entsprechende Technologie angewiesen ist, um sich mit der SASE-Cloud zu verbinden.

Das modular aufgebaute Netzwerk bietet einen Einstiegspunkt für die Anwender, die nach erfolgreichem Zugriff die verschiedenen Clouddienste nutzen, die durch den SASE-Dienst geschützt werden. Das gilt für Produktionsanlagen wie für digitale Türschlösser und smarte Thermostate. Unternehmen, die digitale Produkte herstellen, müssen in Zukunft dafür sorgen, dass die Geräte so gut wie möglich in der Cloud geschützt sind. Außerdem muss die Agentur der Europäischen Union für Cybersicherheit (ENISA) innerhalb von 24 Stunden nach Bekanntwerden „einer aktiv ausgenutzten Schwachstelle in einem Produkt mit digitalen Elementen“ oder „eines Vorfalls, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt“, durch den Hersteller des Produktes informiert werden. Unternehmen sollten sich darüber im Klaren sein, dass sie bei Verstößen eine Geldstrafe von bis zu 15 Millionen Euro riskieren.

SASE ist genau der richtige Ansatz, und er passt perfekt zum Konzept des EU Cyber Resilience Act. Nur der Rundumschutz durch sichere Entwicklung, sichere Hard- und Software und sichere Kommunikation hält, was der EU Cyber Resilience Act verspricht. Mittels SASE werden Sicherheit und Netzwerk in die Cloud verlagert, zusammen mit den Benutzern, Anwendungen und Daten. Der Schutz wird dort aufgebaut, wo die Angriffe entstehen, im Cyberspace.

Über den Autor: Andreas Bandel ist Area Director DACH und EE bei Cato Networks.

(ID:49197951)