EU Cyber Resilience Act: Was das für Asset Tracking bedeutet

Cybersicherheit bei vernetzter Hardware war früher eine Folie am Ende der Präsentation: ein Feature, das man erwähnte, wenn ein Interessent danach fragte, aber selten der Grund, warum ein Auftrag gewonnen wurde. Der EU Cyber Resilience Act (CRA), offiziell die Cyberresilienz-Verordnung, ändert das. Er ist das erste horizontale EU-Gesetz, das Cybersicherheitsanforderungen über den gesamten Lebenszyklus von „Produkten mit digitalen Elementen“ vorschreibt, und er gilt praktisch für alles mit einem Chip, einer Verbindung und einem Kunden in Europa – von Industriesensoren und intelligenten Zählern bis zu Asset Trackern auf Mehrwegbehältern.

Wie Talking IoT es formulierte, markiert der CRA eine neue Ära für Gerätehersteller: Sicherheit ist nicht länger optional, sondern muss nachgewiesen werden. Bei Sensolus bauen wir Tracker, die jahrelang im Feld stehen und die ganze Zeit mit der Cloud verbunden bleiben – diesen Wandel kennen wir gut. Unser VP Engineering, Steven Van Hoof, hat unseren Ansatz in seinem Whitepaper „Sleep Like a Baby Thanks to IoT: Security at Every Level“ dargelegt. Zeile für Zeile verlangt die Verordnung Dinge, die wir bei Sensolus längst als Standard behandeln.

Nimmt man die Rechtssprache weg, beruht der CRA auf einem einfachen Gedanken: Hersteller müssen ein vernetztes Produkt über die gesamte Einsatzdauer sicher halten – vom Tag der Auslieferung bis zur Außerbetriebnahme. Konkret bedeutet das:

1. Sicherheit, die von Anfang an eingebaut ist: keine bekannten ausnutzbaren Schwachstellen bei Auslieferung und keine größere Angriffsfläche, als das Produkt tatsächlich braucht.

1. Ein Verfahren zum Umgang mit Schwachstellen über die erwartete Lebensdauer des Produkts, einschließlich einer Software-Stückliste (SBOM) und kostenloser Sicherheitsupdates.

1. Schnelle Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb von 14 Tagen (bei Vorfällen innerhalb eines Monats).

1. Die Unterlagen zum Nachweis: technische Dokumentation, Benutzerhinweise, CE-Kennzeichnung und eine EU-Konformitätserklärung.

Die Verordnung trat am 10. Dezember 2024 in Kraft, der Rest wird über drei Jahre hinweg schrittweise wirksam:

1. 11. Juni 2026: Die Regeln für die Benennung der notifizierten Stellen, die Konformitätsbewertungen durch Dritte durchführen, gelten ab diesem Datum.

1. 11. September 2026: Die Meldepflichten für Schwachstellen und Sicherheitsvorfälle werden verbindlich.

1. 11. Dezember 2027: Die übrigen Hauptbestimmungen des CRA werden verbindlich, einschließlich der eigenen Konformitätsbewertungspflichten der Hersteller.

Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Das liegt knapp unter der DSGVO-Obergrenze von 20 Millionen Euro oder 4 %.

Produkte der CRA-Kategorie „wichtig“ werden strenger geprüft: Klasse I (Passwortmanager, VPNs, Betriebssysteme für allgemeine Zwecke) erlaubt eine Selbstbewertung, sofern harmonisierte Normen angewendet werden. Klasse II (Firewalls, Angriffserkennungssysteme) erfordert immer eine Bewertung durch Dritte, und „kritische“ Produkte (Smart-Meter-Gateways, Sicherheitselemente) benötigen von vornherein eine Zertifizierung. Die meisten vernetzten Geräte, Tracker eingeschlossen, fallen nicht in diese Kategorien und folgen dem Standardweg der Selbstbewertung. Die Kernpflichten rund um sichere Gestaltung, Schwachstellenmanagement und Vorfallmeldung gelten jedoch unabhängig davon, in welche Kategorie ein Produkt fällt. Es gibt keine Stufe, auf der „wir patchen das irgendwann“ eine akzeptable Antwort wäre.

Asset Tracker sind ein anschauliches Beispiel für das, was dem CRA Sorge macht: gebaut, um jahrelang unbeaufsichtigt im Feld zu stehen, nach der Installation leicht zu vergessen und dauerhaft mit einer Cloud-Plattform verbunden, die echte Betriebsdaten enthält. Diese Kombination aus langer Einsatzdauer, geringer Sichtbarkeit und ständiger Konnektivität entspricht genau dem Profil, das der CRA abdecken will.

Die Verordnung erreicht zwei Zielgruppen gleichzeitig. Gerätehersteller, deren Tracker und Firmware exakt jene „Produkte mit digitalen Elementen“ sind, die die Verordnung beschreibt. Und die Betreiber, die diese Tracker kaufen und einsetzen (Logistik, Industrie, Luft- und Raumfahrt) und die von ihren eigenen Auditoren zunehmend nachweisen müssen, dass ihre vernetzte Hardware dem Standard entspricht. Einkaufsteams, die früher fragten „funktioniert es?“, fragen inzwischen „können Sie mir Ihr Verfahren zum Umgang mit Schwachstellen zeigen?“. Ein Anbieter, der darauf keine Antwort hat, wird in dem Moment zum Risiko, in dem er angeschlossen wird.

An dieser Stelle lohnt sich Stevens Whitepaper von vorne bis hinten: Seine drei Leitlinien decken sich weitgehend mit dem, was der CRA standardisieren will.

1. Secure by design.Kein Zusatzmodul, sondern der Standardzustand jedes Trackers ab dem Moment, in dem er die Produktion verlässt: Daten verschlüsselt bei der Übertragung und im Ruhezustand, jedes Gerät mit eigener Identität und eigenem Schlüsselmanagement statt einer gemeinsamen Zugangskennung. Sensolus hostet seine Plattform in der EU auf AWS, mit getrennten Umgebungen pro Kunde und dedizierten Tenants, wo sie gebraucht werden (etwa in der Luft- und Raumfahrt), und produziert seine Hardware ebenfalls in der EU, bei Partnern wie Alps Alpine in Irland. Wie Steven es formuliert, gibt diese Kombination Kunden „klare vertragliche Absicherungen, eine schnellere Due Diligence und eine einfachere Freigabe durch Compliance-Teams“ – fast wörtlich das, wonach ein CRA-bewusstes Einkaufsteam heute sucht.
2. Plattform-Governance.Single Sign-on, Multi-Faktor-Authentifizierung und rollenbasierte Zugriffskontrolle halten die Anmeldung für Nutzer einfach und darunter trotzdem streng. Jede Aktion wird protokolliert, sodass Fragen wie „wer hat das letzte Firmware-Update ausgerollt?“ oder „wer hat diese Geozone geändert?“ immer eine Antwort haben. Die erste besonders, denn ein Update ist genau die Art von Änderung, die eine Schwachstelle einbringen kann. Das zählt, sobald man unter einer Verordnung arbeitet, die 24 Stunden zur Meldung eines Vorfalls einräumt, gerechnet ab dem Zeitpunkt der Kenntnisnahme. Derselbe Audit-Trail hilft auch während der Reaktion selbst: Zu wissen, was sich wann und durch wen geändert hat, ist es, was einem Team erlaubt, den Schaden einzugrenzen und zurückzunehmen – und nicht nur, den Bericht rechtzeitig abzugeben.
3. Sicherheit, die dauerhaft funktioniert.Firmware ist ab der ersten Installation verschlüsselt und authentifiziert, Updates werden geprüft, bevor ihnen vertraut wird, und eindeutige Geräte-IDs erlauben Sensolus, ein Gerät zu erkennen, das nicht dazugehört, bevor es hineinkommt. Ein gutes Beispiel: Ein US-Autohaus meldete einmal ein Datenschutzproblem, weil ein Tracker versehentlich in einem verkauften Fahrzeug geblieben war. Die Lösung von Sensolus wurde zum Standardfeature: Geozones können einen Tracker jetzt dazu bringen, das Logging außerhalb eines vereinbarten Bereichs zu stoppen oder zu begrenzen. Das ist der Unterschied zwischen Sicherheit als Häkchen und Sicherheit als Routine: jedes Jahr unabhängige Penetrationstests, jedes Mal von einem anderen Partner durchgeführt, mit Ergebnissen, die mit Kunden geteilt und ins Produkt zurückgeführt werden.

Der CRA verpflichtet Hersteller, ein Produkt so lange sicher zu halten, wie vernünftigerweise mit seiner Nutzung zu rechnen ist. Neue Funktionen, die Jahre später hinzukommen, müssen daher demselben Standard entsprechen wie das, was am ersten Tag ausgeliefert wurde. Das ist der Test, den KI-Funktionen im gesamten IoT gerade stellen. Sensolus nutzt KI bereits, um Anomalien zu erkennen – ein Asset, das deutlich länger stillsteht als üblich, oder eines, das aus seiner Zone gewandert ist – und um die Standortgenauigkeit zu verbessern, immer innerhalb der bestehenden Zugriffsrechte eines Nutzers: Jede Aktion wird protokolliert und über dieselben SSO-, MFA- und RBAC-Kontrollen durchgesetzt, die auch für menschliche Nutzer gelten. Wie Steven es sagt: „zuerst Datenqualität und Datenschutz, dann KI. Sonst macht man Fehler nur schneller.“ Eine treffende Zusammenfassung dessen, was der CRA in jedem vernetzten Produkt zum Standard machen will.

Es ist verlockend, den CRA als Compliance-Steuer zu betrachten: ein Audit mehr, ein Dokument mehr, bevor ein Auftrag zustande kommt. Die nützlichere Lesart, und die, auf die Steven im Fazit seines Whitepapers hinausläuft, ist diese: Richtig gemachte Sicherheit ist im Alltag unsichtbar und im Ergebnis offensichtlich – Sorgenfreiheit, Planbarkeit und eine Due Diligence, die schneller läuft, weil die Antworten schon stimmten, bevor jemand gefragt hat.

Genau darin liegt die Chance für Unternehmen, die vernetzte Assets in ganz Europa verwalten. Anbieter, die Ende-zu-Ende-Verschlüsselung, EU-Hosting, strikte Zugriffs-Governance und eine echte Routine im Umgang mit Schwachstellen längst aufgebaut haben, müssen nicht improvisieren, wenn die Meldepflichten greifen. Sie übergeben einfach Unterlagen, nach denen die Auditoren ihrer Kunden schon heute fragen. Für alle anderen in der Lieferkette ist das genau die Frage, die man seinen Anbietern jetzt stellen sollte – lange bevor die Uhr zu laufen beginnt.

Steven hat sein Whitepaper „Sleep Like a Baby Thanks to IoT“ nicht ohne Grund so genannt: Wenn sichere Gestaltung, EU-Hosting und eine echte Incident-Response-Routine schon vorhanden sind, ist der CRA nichts mehr, wovon man wach liegt.