Was ist eine ausnutzbare Schwachstelle?
Eine ausnutzbare Schwachstelle ist nach dem CRA eine Schwachstelle, die ein unbefugter Dritter unter praktischen Betriebsbedingungen wirksam nutzen kann.
Entscheidend ist damit die reale Nutzungsmöglichkeit. Ein bereits erfolgter Angriff muss nicht nachgewiesen sein.
Der Normwortlaut
„ausnutzbare Schwachstelle“ eine Schwachstelle, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann;
Quelle: Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA), Artikel 3 Nummer 41. Der einleitende Satz des Artikels 3 bestimmt, dass die Begriffsbestimmungen für die Zwecke dieser Verordnung gelten.
Wie grenzt der CRA Schwachstelle, Ausnutzbarkeit und aktive Ausnutzung voneinander ab?
Der Normtext bildet in Artikel 3 Nummern 40 bis 42 drei Stufen: Eine Schwachstelle ist eine bei einer Cyberbedrohung ausnutzbare Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen. Ausnutzbar ist sie, wenn ein unbefugter Dritter sie unter praktischen Betriebsbedingungen wirksam nutzen kann. Aktiv ausgenutzt ist sie erst, wenn verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners tatsächlich ausgenutzt hat.
Die technische Einordnung lautet daher: Möglichkeit, Nachweis und tatsächliche Ausnutzung sind unterschiedliche Sachverhalte. Auch die bloße Bekanntheit einer Schwachstelle belegt nicht automatisch die Bedingungen der Ausnutzbarkeit oder der aktiven Ausnutzung.
Für welche Produkte ist der Begriff relevant?
Die Begriffsbestimmung gilt innerhalb des CRA. Nach Artikel 2 Absatz 1 erfasst die Verordnung Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden, sofern ihr bestimmungsgemäßer Zweck oder ihre vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Welche Pflichten daraus entstehen, richtet sich nach der konkreten Vorschrift und dem jeweiligen Wirtschaftsakteur; die Definition begründet allein noch keine eigenständige Pflicht.
Vorbehalten bleiben sämtliche Ausschlüsse und Begrenzungen des Artikels 2 Absätze 2 bis 7. Dazu zählen die dort bezeichneten Medizinprodukte, Kraftfahrzeugprodukte, Luftfahrtprodukte und Schiffsausrüstungen. Eine Einschränkung oder ein Ausschluss für anderweitig unionsrechtlich geregelte Risiken nach Absatz 5 setzt einen delegierten Rechtsakt, Vereinbarkeit mit dem allgemeinen Rechtsrahmen und ein gleiches oder höheres Schutzniveau voraus. Ebenfalls ausgenommen sind die in Absatz 6 beschriebenen identischen Ersatzteile sowie Produkte nach Absatz 7, die ausschließlich für nationale Sicherheit, Verteidigung oder zur Verarbeitung von Verschlusssachen entwickelt oder geändert wurden.
Wann ist eine Schwachstelle ausnutzbar?
Für die Einordnung müssen drei Merkmale zusammenkommen: Es liegt eine Schwachstelle im Sinne von Artikel 3 Nummer 40 vor, ein unbefugter Dritter kann sie wirksam nutzen und dies ist unter praktischen Betriebsbedingungen möglich. Eine beobachtete Attacke ist nicht erforderlich. Das ist eine Auslegung der definierten Merkmale, keine zusätzliche gesetzliche Schwelle.
Löst eine ausnutzbare Schwachstelle automatisch eine CRA-Meldepflicht aus?
Nein. Artikel 14 Absatz 1 knüpft nicht an bloße Ausnutzbarkeit an. Der Hersteller muss vielmehr Kenntnis von einer in seinem Produkt mit digitalen Elementen enthaltenen aktiv ausgenutzten Schwachstelle erlangen. Dafür verlangt Artikel 3 Nummer 42 verlässliche Nachweise, dass ein böswilliger Akteur die Schwachstelle in einem System ohne Zustimmung des Systemeigners tatsächlich ausgenutzt hat.
Welche Fristen gelten bei aktiver Ausnutzung?
Für die bloße Einordnung als ausnutzbare Schwachstelle gibt es keine allgemeine CRA-Frist oder Meldeschwelle. Bei Kenntnis des Herstellers von einer im Produkt enthaltenen aktiv ausgenutzten Schwachstelle gilt Artikel 14 ab dem 11. September 2026: Die Frühwarnung ist unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung abzugeben. Die Schwachstellenmeldung folgt unverzüglich, spätestens binnen 72 Stunden nach Kenntniserlangung, soweit die betreffenden Informationen nicht bereits vorgelegt wurden. Der Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme einzureichen, wiederum soweit die Informationen nicht bereits vorgelegt wurden.
Artikel 64 Absatz 10 Buchstabe a nimmt Kleinst- und Kleinunternehmen begrenzt von den dort bezeichneten Geldbußen wegen eines Verstoßes gegen die 24-Stunden-Frist aus. Die Meldepflicht selbst entfällt dadurch nicht.
Wann gelten die weiteren Herstellerpflichten?
Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026. Die übrigen Herstellerpflichten des CRA gelten grundsätzlich ab dem 11. Dezember 2027. Ob eine konkrete Pflicht greift, ist anhand des Produkts, des Wirtschaftsakteurs, des Anwendungsbereichs und der jeweiligen Vorschrift zu prüfen.
Häufige Fehlannahmen
- „Ausnutzbar“ bedeutet „bereits angegriffen“. Falsch: Ausnutzbarkeit verlangt eine wirksame Nutzungsmöglichkeit unter praktischen Betriebsbedingungen, keinen Nachweis eines Angriffs.
- Jede ausnutzbare Schwachstelle ist aktiv ausgenutzt. Falsch: Aktive Ausnutzung setzt zusätzlich verlässliche Nachweise voraus, dass ein böswilliger Akteur die Schwachstelle in einem System ohne Zustimmung des Systemeigners tatsächlich ausgenutzt hat.
- Jede ausnutzbare Schwachstelle muss binnen 24 Stunden gemeldet werden. Falsch: Artikel 14 knüpft an Kenntnis von einer im Produkt enthaltenen aktiv ausgenutzten Schwachstelle an.
- Die Ausnahme für kleine Unternehmen beseitigt die Meldepflicht. Falsch: Artikel 64 Absatz 10 Buchstabe a betrifft nur die dort bezeichneten Geldbußen wegen eines Verstoßes gegen die 24-Stunden-Frist.
- Die Definition gilt unabhängig vom CRA-Anwendungsbereich. Falsch: Sie gilt für die Zwecke der Verordnung; die Ausschlüsse und Begrenzungen aus Artikel 2 Absätze 2 bis 7 bleiben vorbehalten.
Was die Geschäftsleitung tun sollte
Die folgenden Punkte sind Praxisempfehlungen für die Geschäftsleitung eines Herstellers von CRA-erfassten Produkten mit digitalen Elementen und keine Wiedergabe zusätzlicher gesetzlicher Pflichten. Für andere Wirtschaftsakteure sind die Pflichten nach ihrer jeweiligen Rolle gesondert zu prüfen.
- Für CRA-erfasste Produkte Verantwortlichkeiten festlegen und die Bewertung der Cybersicherheitsrisiken dokumentieren sowie erforderlichenfalls aktualisieren.
- Während des Unterstützungszeitraums einen nachvollziehbaren Prozess zur Behandlung und Priorisierung von Schwachstellen betreiben.
- Sichere Wege für Korrekturen und Aktualisierungen einrichten und deren Funktionsfähigkeit organisatorisch überwachen.
- Hinweise auf eine tatsächliche aktive Ausnutzung unverzüglich an Recht, Produktsicherheit und Incident Response eskalieren.
- Den Meldeprozess so vorbereiten, dass ab dem 11. September 2026 die Auslöser sowie die 24-Stunden-, 72-Stunden- und 14-Tage-Fristen eingehalten werden können.
Für die Geschäftsleitung
Für die Geschäftsleitung eines Herstellers von CRA-erfassten Produkten mit digitalen Elementen gilt: Der Begriff betrifft innerhalb des CRA die praktische Ausnutzbarkeit einer Schwachstelle; er belegt weder einen Angriff noch löst er für sich allein die Meldung nach Artikel 14 aus. Entscheidend ist, Ausnutzbarkeit und aktive Ausnutzung getrennt zu bewerten. Nachweisbar sein sollten die Risikobewertung, die Schwachstellenbehandlung, sichere Aktualisierungswege, die Entscheidung über eine Eskalation und – bei Kenntnis aktiver Ausnutzung – die fristgerechte Meldung. Für andere Wirtschaftsakteure sind die Pflichten anhand ihrer jeweiligen Rolle zu prüfen.
Quellen
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), insbesondere Artikel 2, Artikel 3 Nummern 40 bis 42, Artikel 13, Artikel 14, Artikel 64 Absatz 10 Buchstabe a, Artikel 71 Absatz 2 und Anhang I Teil II.
