Wann liegen „verlässliche Nachweise“ vor?

Der CRA definiert das nicht näher. In der Praxis sind es Belege, die eine tatsächliche Ausnutzung zeigen: Log-Einträge mit passendem Angriffsmuster, forensische Befunde auf einem betroffenen System, eine glaubwürdige Meldung eines Kunden oder eines CSIRT. Ein bloßer Verdacht genügt nicht, eine bestätigte Kompromittierung ist aber auch nicht erforderlich.

Zählt ein öffentlich verfügbarer Proof of Concept schon als aktive Ausnutzung?

Nein. Ein veröffentlichter Exploit macht eine Schwachstelle ausnutzbar, nicht aktiv ausgenutzt. Erst wenn Nachweise vorliegen, dass jemand sie ohne Zustimmung des Systemeigners tatsächlich eingesetzt hat, greift die Meldepflicht. Praktisch sollte ein öffentlicher Proof of Concept trotzdem die Dringlichkeitsstufe erhöhen, denn die Wahrscheinlichkeit, dass der zweite Schritt folgt, steigt damit erheblich.

Was gilt, wenn die Ausnutzung bei einem Kunden stattfindet und nicht bei uns?

Die Definition stellt auf die Schwachstelle im Produkt ab, nicht auf den Ort des Vorfalls. Wird Ihre Software beim Kunden angegriffen, ist die Schwachstelle aktiv ausgenutzt, und die Frist läuft ab Ihrer Kenntnisnahme. Deshalb gehört zu einem belastbaren Prozess, dass Hinweise von Kunden intern schnell die richtige Stelle erreichen.

Cyber Resilience Act

Aktiv ausgenutzte Schwachstelle

Legaldefinition Art. 3 Nr. 42 CRA

„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“

Verordnung (EU) 2024/2847, Art. 3 Nr. 42 CRA

Die aktiv ausgenutzte Schwachstelle ist der einzige Schwachstellenzustand, an den der Cyber Resilience Act (CRA) eine Meldefrist knüpft. Die Definition verlangt drei Dinge gleichzeitig: verlässliche Nachweise, einen böswilligen Akteur und eine Ausnutzung ohne Zustimmung des Systemeigners.

Das letzte Merkmal grenzt Penetrationstests und beauftragte Sicherheitsprüfungen sauber ab: Dort erfolgt die Ausnutzung mit Zustimmung. Eine Meldepflicht entsteht nicht.

Was daran hängt

Der CRA knüpft daran eine gestufte Meldepflicht. Erlangt ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle in seinem Produkt, meldet er sie gleichzeitig dem als Koordinator benannten CSIRT und der ENISA, und zwar über die einheitliche Meldeplattform. Der Ablauf ist dreistufig:

unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, eine Frühwarnung mit Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt nach Kenntnis des Herstellers bereitgestellt wurde
unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, eine Meldung mit allgemeinen Informationen, soweit verfügbar, zum Produkt, zur Art der Ausnutzung und zu bereits ergriffenen Maßnahmen
spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, ein Abschlussbericht, der mindestens die Schwachstelle mit Schweregrad und Auswirkungen beschreibt, verfügbare Angaben zum böswilligen Akteur enthält und die bereitgestellte Sicherheitsaktualisierung nennt

Maßgeblich für den Fristbeginn ist die Kenntniserlangung, nicht der Zeitpunkt des Angriffs. Wer erst nach Wochen von einem Vorfall erfährt, für den beginnt die Frist erst in diesem Moment. Die 24 Stunden sind dabei die Höchstdauer und kein Zeitbudget, denn gemeldet wird unverzüglich.

Warum 24 Stunden organisatorisch anspruchsvoll sind

Die Frist läuft kalendarisch, nicht in Arbeitstagen. Ein Hinweis am Freitagabend bedeutet eine Meldung bis Samstagabend. Das lässt sich nur einhalten, wenn drei Dinge vorab geklärt sind: Wer darf eine Meldung auslösen? Wer erreicht diese Person außerhalb der Geschäftszeiten? Und liegen die Produktangaben, die in die Frühwarnung gehören, griffbereit vor?

Der eigentliche Engpass ist selten die Technik, sondern die Entscheidung. Wer erst im Ernstfall klärt, ob ein Befund die Schwelle erreicht, verliert genau die Stunden, die die Frist ausmachen.

Abgrenzung zum Sicherheitsvorfall

Der CRA kennt eine zweite Meldepflicht für schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts beeinträchtigen. Die Fristen sind ähnlich aufgebaut, der Abschlussbericht ist dort aber innerhalb eines Monats nach der 72-Stunden-Meldung fällig.

Beide Pflichten können denselben Sachverhalt betreffen: Eine aktiv ausgenutzte Schwachstelle, die zu einer Kompromittierung geführt hat, ist zugleich ein Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit. Die Meldungen ersetzen einander nicht.

Fragen aus der Praxis

: Der CRA definiert das nicht näher. In der Praxis sind es Belege, die eine tatsächliche Ausnutzung zeigen: Log-Einträge mit passendem Angriffsmuster, forensische Befunde auf einem betroffenen System, eine glaubwürdige Meldung eines Kunden oder eines CSIRT. Ein bloßer Verdacht genügt nicht, eine bestätigte Kompromittierung ist aber auch nicht erforderlich.
: Nein. Ein veröffentlichter Exploit macht eine Schwachstelle ausnutzbar, nicht aktiv ausgenutzt. Erst wenn Nachweise vorliegen, dass jemand sie ohne Zustimmung des Systemeigners tatsächlich eingesetzt hat, greift die Meldepflicht. Praktisch sollte ein öffentlicher Proof of Concept trotzdem die Dringlichkeitsstufe erhöhen, denn die Wahrscheinlichkeit, dass der zweite Schritt folgt, steigt damit erheblich.
: Die Definition stellt auf die Schwachstelle im Produkt ab, nicht auf den Ort des Vorfalls. Wird Ihre Software beim Kunden angegriffen, ist die Schwachstelle aktiv ausgenutzt, und die Frist läuft ab Ihrer Kenntnisnahme. Deshalb gehört zu einem belastbaren Prozess, dass Hinweise von Kunden intern schnell die richtige Stelle erreichen.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.