Was ist eine aktiv ausgenutzte Schwachstelle?
Eine aktiv ausgenutzte Schwachstelle ist eine Schwachstelle, deren tatsächliche Ausnutzung in einem System durch einen böswilligen Akteur ohne Zustimmung des Systemeigners durch verlässliche Nachweise belegt ist.
Der Normwortlaut
Normtext – Artikel 3 Nummer 42 CRA:
„‚aktiv ausgenutzte Schwachstelle‘ eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat;“
Einordnung: Die Legaldefinition verlangt eine Schwachstelle, verlässliche Nachweise, eine tatsächlich erfolgte Ausnutzung durch einen böswilligen Akteur in einem System und die fehlende Zustimmung des Systemeigners.
Wann löst der Begriff die CRA-Meldepflicht aus?
Rechtslage: Nach Artikel 14 Absatz 1 CRA muss ein Hersteller jede in seinem Produkt mit digitalen Elementen enthaltene aktiv ausgenutzte Schwachstelle melden, von der er Kenntnis erlangt. Neben der Definition aus Artikel 3 Nummer 42 müssen daher das Enthaltensein im Produkt und die Kenntniserlangung durch den Hersteller vorliegen. Die Meldepflichten des Artikels 14 gelten gemäß Artikel 71 Absatz 2 ab dem 11. September 2026.
Für wen und für welche Produkte ist die Regel relevant?
Rechtslage: Artikel 14 richtet sich an Hersteller von Produkten mit digitalen Elementen, die in den Anwendungsbereich des CRA fallen. Die Ausnahmen nach Artikel 2 Absätze 2 bis 4 bleiben zu beachten. Sektorspezifisches Unionsrecht verdrängt den CRA nicht automatisch. Eine Einschränkung oder ein Ausschluss nach Artikel 2 Absatz 5 setzt den dort vorgesehenen delegierten Rechtsakt voraus, muss mit dem für die Produkte geltenden regulatorischen Gesamtrahmen vereinbar sein und erfordert, dass die sektorspezifischen Vorschriften ein gleiches oder höheres Schutzniveau gewährleisten. Unter den besonderen Voraussetzungen des Artikels 24 Absatz 3 gelten entsprechende Pflichten auch für Verwalter quelloffener Software.
Welche Meldefristen gelten?
Normgebundene Fristen: Liegen die Voraussetzungen des Artikels 14 Absatz 1 vor, muss der Hersteller unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung, eine Frühwarnung vorlegen. Die Schwachstellenmeldung folgt unverzüglich, spätestens binnen 72 Stunden nach Kenntniserlangung, soweit die einschlägigen Informationen nicht bereits vorgelegt wurden. Ein Abschlussbericht ist unter derselben Einschränkung spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme fällig.
Artikel 64 Absatz 10 Buchstabe a nimmt Kleinst- und Kleinunternehmen bei einem Verstoß gegen die 24-Stunden-Frist von den dort genannten Geldbußen aus. Die Meldepflicht und die Frist selbst bleiben bestehen.
Reicht ein verfügbarer Exploit oder ein Verdacht aus?
Nein. Bloße Ausnutzbarkeit im Sinne von Artikel 3 Nummer 41, verfügbarer Exploit-Code oder ein unbelegter Verdacht erfüllen Artikel 3 Nummer 42 nicht. Erforderlich sind verlässliche Nachweise der bereits erfolgten Ausnutzung durch einen böswilligen Akteur ohne Zustimmung des Systemeigners.
Ist ein KEV-Eintrag gleichbedeutend mit der CRA-Definition?
Technische Behördenpraxis: Der Known Exploited Vulnerabilities Catalog der US-amerikanischen CISA ist ein autoritativer Priorisierungsinput für Schwachstellen, die nach Erkenntnissen der Behörde tatsächlich ausgenutzt wurden. Ein Eintrag ist ein relevantes Indiz, aber weder notwendige noch hinreichende Voraussetzung der CRA-Definition und keine CRA-Meldung. Die rechtliche Einordnung erfolgt eigenständig nach Artikel 3 Nummer 42; für die Pflichtmeldung müssen zusätzlich die Voraussetzungen des Artikels 14 Absatz 1 erfüllt sein.
Welche Grenzen und Sonderfälle sind zu beachten?
Die Legaldefinition selbst enthält keine Ausnahme. Die Reichweite der Pflichtmeldung wird jedoch durch Artikel 2 und die Tatbestandsmerkmale des Artikels 14 Absatz 1 begrenzt. Freiwillige Meldungen nach Artikel 15 sind keine Pflichtmeldungen; nach Artikel 15 Absatz 5 dürfen sie der meldenden Person grundsätzlich keine zusätzlichen Pflichten auferlegen.
Ein Aufschub nach Artikel 16 Absatz 2 betrifft nur die Weiterverbreitung durch das koordinierende CSIRT. Er ist nur unter außergewöhnlichen Umständen, aus berechtigten Cybersicherheitsgründen und so lange zulässig, wie es unbedingt erforderlich ist; die Herstellerpflicht wird dadurch nicht aufgeschoben. Meldungen anderer natürlicher oder juristischer Personen nach Artikel 14 Absatz 7 ersetzen die Pflicht des Herstellers ebenfalls nicht.
Häufige Fehlannahmen
- „Jede ausnutzbare Schwachstelle ist aktiv ausgenutzt.“ Falsch: Die CRA-Definition verlangt verlässliche Nachweise einer tatsächlichen unbefugten Ausnutzung.
- „Veröffentlichter Exploit-Code genügt als Nachweis.“ Falsch: Seine Verfügbarkeit belegt für sich genommen keine erfolgte Ausnutzung durch einen böswilligen Akteur.
- „Jeder CISA-KEV-Eintrag löst automatisch eine CRA-Meldung aus.“ Falsch: Zusätzlich sind die eigenständige CRA-Prüfung, das Enthaltensein im Produkt, die Kenntniserlangung und der CRA-Anwendungsbereich erforderlich.
- „Eine Meldung durch Dritte ersetzt die Herstellerpflicht.“ Falsch: Artikel 14 Absatz 7 sieht die Unterrichtung des Herstellers vor, beseitigt aber dessen Pflicht aus Absatz 1 nicht.
- „Kleine Unternehmen haben keine 24-Stunden-Frist.“ Falsch: Artikel 64 Absatz 10 Buchstabe a begrenzt bestimmte Geldbußen, nicht die Pflicht oder die Frist.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine eigenständige gesetzliche Geschäftsleitungspflicht:
- Einen verbindlichen Eingangskanal für Hinweise auf tatsächliche böswillige Ausnutzung festlegen und Verantwortliche sowie Vertretungen benennen.
- Eine dokumentierte Bewertung etablieren, die verlässliche Nachweise, tatsächliche Ausnutzung, fehlende Zustimmung, Produktbezug, Kenntniserlangung und CRA-Anwendungsbereich getrennt prüft.
- Einen Eskalations- und Meldeprozess vorhalten, der ab dem 11. September 2026 unverzügliches Handeln sowie die Höchstfristen von 24 Stunden, 72 Stunden und 14 Tagen unterstützt.
- KEV-Daten als Priorisierungsinput nutzen, aber die CRA-Prüfung und die Entscheidung über eine Pflichtmeldung gesondert dokumentieren.
- Entscheidungen, Zeitpunkte, Informationsstände, Meldungsinhalte und Korrektur- oder Risikominderungsmaßnahmen nachvollziehbar nachweisen.
Für die Geschäftsleitung
Relevant ist nicht jede bekannte oder technisch ausnutzbare Schwachstelle, sondern die durch verlässliche Nachweise belegte unbefugte Ausnutzung im Sinne des CRA. Für eine Pflichtmeldung müssen außerdem Produktbezug, Kenntnis des Herstellers und Anwendungsbereich feststehen. Die Organisation sollte deshalb die Entscheidungskriterien, den Kenntniszeitpunkt, die fristgerechte Bearbeitung und die zugrunde liegenden Nachweise prüfbar dokumentieren.
Quellen
- EUR-Lex: Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), insbesondere Artikel 2, Artikel 3 Nummern 41 und 42, Artikel 14 bis 16, Artikel 24 Absatz 3, Artikel 64 Absatz 10 Buchstabe a und Artikel 71 Absatz 2.
- CISA: Known Exploited Vulnerabilities Catalog, autoritative technische Quelle zur Priorisierung tatsächlich ausgenutzter Schwachstellen.
