Angriffsfläche

Die Angriffsfläche eines Produkts ist die Summe aller Stellen, an denen ein Angreifer mit ihm in Kontakt treten kann: offene Ports und Netzdienste, Programmierschnittstellen, Bedienoberflächen, Wechselmedien, Steckverbinder, Funkschnittstellen und jede Funktion, die Eingaben von außen entgegennimmt. Der Cyber Resilience Act (CRA) definiert den Begriff nicht, macht seine Begrenzung aber zu einer verbindlichen Produktanforderung.

Die Fundstelle ist Anhang I Teil I Nr. 2 Buchst. j. Produkte mit digitalen Elementen müssen danach so konzipiert, entwickelt und hergestellt werden, dass sie möglichst geringe Angriffsflächen bieten, ausdrücklich auch bei externen Schnittstellen.

Eine Anforderung an das Produkt, nicht an den Prozess

Der Wortlaut knüpft an Konzeption, Entwicklung und Herstellung an. Verlangt ist damit eine Eigenschaft des ausgelieferten Produkts und keine Verfahrensbeschreibung. Die Anforderung steht deshalb in Teil I des Anhangs I, dessen Erfüllung der Hersteller nach Artikel 13 Absatz 1 beim Inverkehrbringen gewährleisten muss. Die Anforderungen an die Behandlung von Schwachstellen in Teil II sind davon getrennt zu betrachten.

Was als Schnittstelle zählt

Der CRA arbeitet mit einem weiten Verbindungsbegriff, und jede Verbindung ist ein möglicher Zugang. Eine physische Verbindung zwischen elektronischen Informationssystemen oder Komponenten wird mit physikalischen Mitteln hergestellt, etwa über elektrische, optische oder mechanische Schnittstellen, Drähte oder Funkwellen. Eine logische Verbindung ist die virtuelle Darstellung einer Datenverbindung über eine Softwareschnittstelle. Eine indirekte Verbindung kommt nicht unmittelbar zustande, sondern als Teil eines größeren Systems, das seinerseits direkt verbunden werden kann.

Erwägungsgrund 9 nennt als Beispiele für logische Verbindungen Netzwerksockets, Pipes, Dateien und Anwendungsprogrammierschnittstellen. Er begründet zugleich, warum die Anforderung nicht nur offensichtlich exponierte Produkte trifft. Auch als weniger kritisch geltende Hardware und Software kann die erste Kompromittierung eines Geräts oder Netzes erleichtern, und Cyberbedrohungen können sich über mehrere Produkte hinweg ausbreiten, ehe sie ihr eigentliches Ziel erreichen.

Der Vorbehalt „soweit zutreffend“

Nummer 2 des Anhangs I Teil I gilt nur, „soweit zutreffend“, und verweist ausdrücklich auf die Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2. Nach Artikel 13 Absatz 3 muss diese Bewertung angeben, ob und gegebenenfalls in welcher Weise die Sicherheitsanforderungen aus Nummer 2 auf das Produkt anwendbar sind und wie sie umgesetzt werden. Für Buchstabe j folgt daraus, dass zunächst Ihre eigene dokumentierte Bewertung das zumutbare Maß bestimmt und nicht eine Behörde.

Hält Ihre Bewertung eine Anforderung für nicht anwendbar, verlangt Artikel 13 Absatz 4 eine klare Begründung in der Technische Dokumentation. Die Bewertung selbst gehört nach Artikel 13 Absatz 4 und Anhang VII Nummer 3 ebenfalls dorthin und ist nach Artikel 13 Absatz 3 während des Unterstützungszeitraums zu dokumentieren und gegebenenfalls zu aktualisieren.

Abgrenzung zu den Nachbaranforderungen

Buchstabe j steht neben drei Anforderungen, die leicht mit ihm verwechselt werden:

• Buchstabe a verlangt, das Produkt ohne bekannte ausnutzbare Schwachstellen bereitzustellen. Das betrifft die bekannten Fehler an der Angriffsfläche, nicht deren Größe.
• Buchstabe b verlangt eine sichere Standardkonfiguration. Sie bestimmt, welcher Teil der vorhandenen Fläche im Auslieferungszustand tatsächlich offen steht.
• Buchstabe j verlangt, die Fläche selbst klein zu halten.
• Buchstabe k verlangt, die Auswirkungen eines Sicherheitsvorfalls durch geeignete Mechanismen und Techniken zur Minderung der möglichen Ausnutzung zu verringern. Diese Anforderung greift erst, wenn ein Angreifer die Fläche bereits erreicht hat.

Die vier Buchstaben lassen sich als Reihenfolge lesen: möglichst wenige Wege hinein, davon möglichst wenige offen, keine bekannten ausnutzbaren Schwachstellen darin und begrenzter Schaden, wenn doch etwas durchkommt.

Neue Funktionen vergrößern die Fläche

Die Angriffsfläche ist der Grund, aus dem der CRA neue Funktionen kritisch betrachtet. Erwägungsgrund 39 hält fest, dass die Hinzufügung neuer Funktionen in der Regel zu einer größeren Angriffsfläche führt und damit das Cybersicherheitsrisiko erhöht. Eine Funktionsaktualisierung, die die ursprünglich beabsichtigten Funktionen oder die Art oder Leistung des Produkts verändert und die dort genannten weiteren Kriterien erfüllt, kann deshalb eine wesentliche Änderung sein und eine erneute Konformitätsbewertung auslösen.

Als Beispiel nennt derselbe Erwägungsgrund ein neues Eingabeelement in einer Anwendung, für das der Hersteller eine adäquate Eingabevalidierung sicherstellen muss. Eine reine Sicherheitsaktualisierung fällt nicht darunter, solange sie die Zweckbestimmung unberührt lässt.

Was der CRA offen lässt

Eine Kennzahl gibt es nicht. Der CRA nennt weder ein Verfahren, mit dem die Angriffsfläche erhoben wird, noch einen Schwellenwert, ab dem sie als hinreichend begrenzt gilt. Der Maßstab „möglichst geringe Angriffsflächen“ ist an das Risiko gekoppelt und nicht an eine absolute Zahl.

Belastbar wird die Anforderung erst auf der Nachweisebene. Eine Aufstellung der Schnittstellen des Produkts schreibt der CRA nicht vor; sie ist aber der übliche Weg, um für jede Schnittstelle zu belegen, warum sie vorhanden ist, in welchem Zustand sie ausgeliefert wird und wie die Risikobewertung sie einordnet. Harmonisierte Normen können diesen Rahmen später konkretisieren; bis dahin trägt allein die eigene Begründung.