Warum wir einen Fernseher nicht für einen Computer halten und was der CRA daran ändern wird – die Sicht eines ethischen Hackers

Wir haben zwei Artikel über den Cyber Resilience Act geschrieben: einen Überblick über die Pflichten und eine detaillierte Analyse der Meldepflicht. Beide erklären, was die Verordnung vorgibt. In diesem Artikel geht es um etwas anderes – darum, was wir nach Jahren der Analyse vernetzter Geräte davon halten. Kam der CRA rechtzeitig? Wird er für gewöhnliche Nutzer etwas verändern? Und wo wird es bei der praktischen Umsetzung am meisten haken?

Dieser Beitrag ist eine Meinungsäußerung und keine Auslegung der Verordnung. Wenn Sie wissen möchten, was der CRA vorschreibt und für wen er gilt, beginnen Sie mit unserem Überblick über den Cyber Resilience Act. Wenn Sie sich mit der ab dem 11. September geltenden Meldepflicht befassen, finden Sie dazu einen eigenen Artikel.

Kam der CRA zu spät oder zu früh?

Aus Managementsicht zu spät, in der Praxis zu früh.

Zu spät: Das Problem ist mehr als zehn Jahre alt

Als das Mirai-Botnetz im Jahr 2016 mithilfe von Heimkameras und Routern mit werkseitig eingestellten Passwörtern Teile des Internets lahmlegte, wurde klar, dass sich die Sicherheit vernetzter Geräte nicht durch den guten Willen der Hersteller gewährleisten lässt. Standardpasswörter, die administrativen Zugriff auf Router oder Kameras ermöglichen, begegnen uns bis heute.

Die Regulierung hat diese Realität eingeholt, allerdings mit mehr als zehn Jahren Verspätung. Zudem führt der CRA größtenteils Vorgaben zusammen, die bereits in fragmentierter Form existierten: Das Vereinigte Königreich hat PSTI, die EU den delegierten Rechtsakt zur Funkanlagenrichtlinie und die Norm EN 18031.

Zu früh: Die Regeln gelten, aber die Normen sind noch nicht fertig

Mit Stand vom 9. August 2026 war im Amtsblatt der Europäischen Union noch keine einzige harmonisierte Norm zum CRA zitiert. Das bedeutet, dass die Konformitätsvermutung gemäß Artikel 27 für keine Produktkategorie verfügbar ist. Unternehmen entwickeln ihre Produkte derzeit auf Grundlage von Normentwürfen, deren Wortlaut sich noch ändern kann. Im Juli 2026 schlug die Kommission zudem vor, die Fristen für die Bereitstellung der Normen um zwei Monate zu verschieben.

Trotzdem halte ich den CRA nicht für überflüssig. Er bringt etwas mit sich, das bisher gefehlt hat – Konsequenzen. Bislang hing die Produktsicherheit davon ab, ob ein Hersteller bereit war, sich darum zu kümmern. Künftig ist sie eine Voraussetzung dafür, dass ein Produkt überhaupt auf den Markt gebracht werden darf.

Warum wir einen Fernseher nicht für einen Computer halten

Der Unterschied liegt darin, was Menschen als Computer wahrnehmen. Ein Smartphone und einen Laptop schon – diese Geräte werden aktualisiert. Fernseher, Router und Uhren gelten in ihren Köpfen als Haushaltsgeräte. Niemand beschäftigt sich damit, welche Firmware in der eigenen Waschmaschine läuft.

Der Router: ein Gerät, für das niemand verantwortlich ist

Der Router ist das Eingangstor zum gesamten Heimnetzwerk und gleichzeitig das häufigste Ziel von Angreifern, die in das interne Netzwerk eindringen wollen. Zugleich ist er ein Gerät, bei dem sich ein durchschnittlicher Nutzer während der gesamten Nutzungsdauer kein einziges Mal anmeldet.

Verantwortlich fühlt sich trotzdem niemand: Der Nutzer geht davon aus, dass sich der Betreiber darum kümmert, der ihm das Gerät geliefert hat. Der Betreiber wiederum betrachtet es als Gerät des Kunden.

Unterhaltungselektronik ist überproportional anfällig

Laut einem Bericht von Bitdefender und NETGEAR aus dem Jahr 2025 sind Streaming-Geräte (25,9 %), Smart-TVs (21,3 %) und IP-Kameras (8,6 %) die am häufigsten angegriffenen Kategorien. Zusammen machen sie mehr als die Hälfte aller erkannten IoT-Schwachstellen aus.

Interessanter wird es, wenn man diese Zahlen einander gegenüberstellt. Smart-TVs machen 9,5 % der vernetzten Geräte in Haushalten aus, sind aber für 21,3 % der Schwachstellen verantwortlich. Streaming-Geräte stellen 7,3 % der Geräte, auf sie entfallen jedoch 25,9 % der Schwachstellen. Der Grund liegt also nicht darin, dass es besonders viele dieser Geräte gibt. Sie sind vielmehr überproportional anfällig – häufig nicht gepatcht und werden nur selten aktualisiert.

Und 99,4 % der Angriffe auf IoT-Geräte zielen auf bereits bekannte Schwachstellen, für die der Hersteller längst eine Fehlerbehebung veröffentlicht hat. Das Problem sind daher nicht unbekannte Fehler, sondern ausbleibende Aktualisierungen.

Es geht nicht um Unwissenheit, sondern um Informationsasymmetrie

Selbst ein motivierter Käufer kann heute beim Kauf eines Fernsehers nicht herausfinden, wie lange dieser Sicherheitsupdates erhalten wird. Diese Information steht schlichtweg nicht auf der Verpackung. Dabei nutzen Menschen ihren Fernseher üblicherweise fünf bis acht Jahre – also noch lange, nachdem die Bereitstellung von Updates eingestellt wurde. Genau das ändert der CRA, indem er die Angabe des Unterstützungszeitraums vorschreibt.

Bei Smartwatches haben die Menschen vor dem Falschen Angst

Menschen fragen sich, wohin ihre Daten übertragen werden. Die tatsächlichen Schwachstellen finden wir jedoch häufig an anderer Stelle – in der mobilen Anwendung oder in der Cloud-API, über die auf fremde Konten zugegriffen werden kann, oder bei der Bluetooth-Kopplung ohne Authentifizierung.

Die Lösung besteht nicht darin, die Nutzer besser aufzuklären. Das wird seit zwanzig Jahren versucht und funktioniert nicht. Die Lösung besteht darin, die Verantwortung auf die Hersteller zu übertragen – und genau das tut der CRA.

Was der CRA tatsächlich verbessern wird

Die größte Stärke der Verordnung liegt nicht in einer bestimmten technischen Anforderung, sondern darin, dass die Produktsicherheit erstmals direkte wirtschaftliche Konsequenzen hat. Ohne Konformität gibt es keine CE-Kennzeichnung, und ohne CE-Kennzeichnung keinen Zugang zum EU-Markt. Bislang war Sicherheit lediglich ein Kostenfaktor ohne messbaren Nutzen.

1. Nicht die Behörde, sondern der Abnehmer wird die Anforderungen durchsetzen

Große Hersteller geben die Anforderungen bereits heute, lange vor Ablauf der gesetzlichen Frist, vertraglich an ihre Lieferketten weiter und verlangen von ihren Lieferanten Bestätigungen über die Konformität mit dem CRA. Dieser Mechanismus ist schneller und härter als jede behördliche Kontrolle: Verliert ein kleines Unternehmen einen Auftrag, reagiert es innerhalb von Wochen und nicht erst nach Jahren.

2. Der Unterstützungszeitraum als Wettbewerbsfaktor

Die Pflicht zur Angabe des Unterstützungszeitraums bedeutet, dass Hersteller künftig nicht nur über den Preis, sondern auch über die Lebensdauer ihrer Geräte konkurrieren werden. Sie schafft erstmals ein echtes Gegengewicht zu kurzlebigen IoT-Geräten, die bereits ein Jahr nach dem Kauf keine Updates mehr erhalten. Dadurch werden Dinge möglich, die heute kaum umsetzbar sind – sinnvolle Sicherheitskriterien bei öffentlichen Ausschreibungen oder der Vergleich zweier Anbieter anhand anderer Kriterien als ihrer Marketingversprechen.

3. Endlich gibt es eine Anlaufstelle für die Meldung von Schwachstellen

Aus Sicht unserer Arbeit ist die Pflicht zur Einführung eines Verfahrens für die koordinierte Offenlegung von Schwachstellen am wichtigsten. Das größte Hindernis bei der Meldung von Sicherheitslücken besteht heute darin, dass die Person, die sie entdeckt, keinen Ansprechpartner hat. Der Bericht landet unbeantwortet in einem allgemeinen Vertriebs-Postfach – oder es folgt ein Anwaltsschreiben, in dem Ihnen ein Angriff auf das Gerät vorgeworfen wird.

Die Verordnung wird sowohl eine Kontaktstelle als auch ein festgelegtes Verfahren vorschreiben. In der Praxis bedeutet das vor allem eines: Ein größerer Anteil der gemeldeten Schwachstellen wird tatsächlich behoben.

Und schließlich wird die 24-stündige Meldefrist Unternehmen dazu zwingen, entsprechende Erkennungsfähigkeiten aufzubauen. Sie können nichts melden, von dem Sie nichts wissen.

Wo es haken wird

1. Die Regeln sind noch nicht vollständig

Es wurde noch keine harmonisierte Norm zitiert, die Konformitätsvermutung ist nicht verfügbar und Fristen werden verschoben. Unternehmen entwickeln auf Grundlage von Entwürfen und tragen dabei das Risiko, dass sich deren Wortlaut noch ändert.

2. Unternehmensgröße im Verhältnis zu den Konformitätskosten

Das Unternehmen, das die Anforderungen erfüllen soll, hat häufig fünf Entwickler und keinen einzigen Sicherheitsspezialisten. Vergleicht man die Kosten für die Konformität einer gesamten Produktlinie mit der Marge eines Geräts für vierzig Euro, werden einige Produkte schlichtweg vom EU-Markt verschwinden. Eine geringere Auswahl und höhere Preise sind Teil der Rechnung.

3. Ältere Produktportfolios ohne Aktualisierungskanal

Die Meldepflicht gilt auch für Geräte, die vor acht Jahren entwickelt wurden und über keinen Mechanismus für Fernaktualisierungen verfügen. Einem bereits verkauften Gerät lässt sich ein solcher Aktualisierungsmechanismus nicht nachträglich hinzufügen.

4. Lieferketten und binäre Blobs

Für einen binären Blob eines Chipsatzherstellers, der dessen Inhalt nicht offenlegt, können Sie keine SBOM erstellen. Das schwächste Glied ist häufig ein Zulieferer in der dritten Ebene der Lieferkette, der noch nie vom CRA gehört hat.

5. Compliance-Theater

Aus unserer Sicht ist dies das größte fachliche Risiko der gesamten Verordnung: ein Gerät mit CE-Kennzeichnung, ordnungsgemäßer Dokumentation und derselben Schwachstelle, die wir bereits vor einem Jahr darin gefunden haben.

Was folgt daraus?

Der CRA allein wird die Sicherheitsprobleme vernetzter Geräte nicht lösen. Er löst jedoch ein Problem, das bisher bestand: Die Sicherheit wird nicht länger davon abhängen, ob der Hersteller bereit ist, sich darum zu kümmern. Bei einem Problem, das zehn Jahre lang mit Appellen angegangen wurde, ist das eine wesentliche Veränderung.

Alles Weitere wird davon abhängen, ob Unternehmen das kommende Jahr nutzen, um die Fähigkeit zur technischen Überprüfung ihrer Produkte aufzubauen – oder um eine Dokumentation zu erstellen, die behauptet, dass sie diese überprüft haben.

Autor: Denis, Penetrationstester bei Citadelo