Ausnutzbare Schwachstelle

Eine ausnutzbare Schwachstelle ist nach Artikel 3 Nummer 41 des Cyber Resilience Acts (CRA) eine Schwachstelle, die ein unbefugter Dritter unter praktischen Betriebsbedingungen wirksam nutzen kann. Sie steht damit auf der mittleren von drei Stufen. Darunter liegt die Schwachstelle, darüber die aktiv ausgenutzte Schwachstelle.

Die Definition trägt zwei Einschränkungen, und beide sind wörtlich zu nehmen. Die erste betrifft den Handelnden. Es braucht jemanden, der die Schwachstelle gegen das Produkt einsetzt; eine Fehlfunktion, die im normalen Gebrauch von selbst auftritt, genügt nicht. Die zweite ist der Maßstab der praktischen Betriebsbedingungen. Entscheidend ist nicht, ob eine Ausnutzung denkbar ist, sondern ob sie im Feld funktioniert.

Beide Sprachfassungen der Verordnung sind gleichermaßen verbindlich, und sie setzen den Akzent unterschiedlich. Die deutsche spricht vom unbefugten Dritten, die englische von einem adversary, also von einem Gegner. Bei einem Innentäter mit legitimen Zugangsdaten führen die beiden Formulierungen nicht zwingend zum selben Ergebnis. Der CRA löst das nicht auf.

Was praktische Betriebsbedingungen bedeuten

Der CRA erläutert den Ausdruck nicht weiter. Aus dem Wortlaut lassen sich aber drei Fragen ableiten, die eine Einstufung tragen:

• Funktioniert die Ausnutzung in der Konfiguration, in der das Produkt ausgeliefert wird, oder nur in einem eigens präparierten Aufbau?
• Hat ein Außenstehender den Zugang, den sie voraussetzt, über das Netz, über eine Schnittstelle oder über physische Nähe?
• Erzielt sie eine tatsächliche Wirkung, oder bricht sie an einer weiteren Schutzschicht ab?

Fällt eine dieser Antworten negativ aus, bleibt der Befund eine Schwachstelle. Ausnutzbar im Sinne der Verordnung ist er dann nicht. Die Einstufung ist eine Entscheidung des Herstellers, und sie bleibt nicht formlos. Nach Artikel 13 Absatz 3 muss die Bewertung der Cybersicherheitsrisiken angeben, ob und in welcher Weise die Anforderungen aus Anhang I Teil I Nummer 2 auf das Produkt anwendbar sind.

Die eine Stelle, an der der Ausdruck rechtlich zählt

Außerhalb der Begriffsbestimmung verwendet die Verordnung ihn in einer verbindlichen Vorschrift genau einmal. Anhang I Teil I Nummer 2 Buchstabe a verlangt, dass Produkte ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt werden. Alle übrigen Fundstellen stehen in Erwägungsgründen und binden deshalb nicht: in der deutschen Fassung 9, 54, 66 und 76, in der englischen 54, 66 und 76, denn sie spricht in Erwägungsgrund 9 von vulnerability exploits.

An dieser einen Anforderung hängen drei Feinheiten:

• Sie erfasst nur bekannte Schwachstellen. Eine unentdeckte Lücke verletzt sie nicht.
• Sie greift auf Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, soweit sie zutrifft. Hält ein Hersteller sie für nicht anwendbar, verlangt Artikel 13 Absatz 4 eine klare Begründung in der technischen Dokumentation.
• Sie knüpft an die Bereitstellung auf dem Markt an, nicht an das erstmalige Inverkehrbringen.

Der dritte Punkt wird regelmäßig übersehen. Bereitstellung ist die entgeltliche oder unentgeltliche Abgabe eines Produkts zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Die Anforderung ist deshalb kein Tor, das man beim Marktstart einmal durchschreitet, sondern eine Bedingung, die bei jeder weiteren Auslieferung erneut erfüllt sein muss.

Melden muss man auf dieser Stufe nicht

Artikel 14 knüpft die Meldepflicht für Schwachstellen ausschließlich an die aktiv ausgenutzte Schwachstelle. Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Der zweite Auslöser desselben Artikels ist der schwerwiegende Sicherheitsvorfall. Für die bloße Ausnutzbarkeit sieht die Verordnung nichts davon vor, auch dann nicht, wenn ein öffentlicher Proof of Concept kursiert.

Was stattdessen greift, steht in Anhang I Teil II. Schwachstellen und Komponenten sind zu ermitteln und zu dokumentieren, unter anderem über eine Software-Stückliste, und im Hinblick auf die Risiken des Produkts unverzüglich zu behandeln und zu beheben. Diese Pflicht gilt für alle Schwachstellen. Die Ausnutzbarkeit entscheidet also nicht über das Ob, sondern über die Dringlichkeit.

Nach außen wirkt die Einstufung trotzdem, und zwar über die Lieferkette. Sobald ein Einführer oder ein Händler von einer Schwachstelle im Produkt erfährt, unterrichtet er unverzüglich den Hersteller. Birgt das Produkt ein erhebliches Cybersicherheitsrisiko, gehen die Angaben zusätzlich an die Marktüberwachungsbehörden der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde, so Artikel 19 Absatz 5 für Einführer und Artikel 20 Absatz 4 für Händler. Der Hersteller hat auf dieser Stufe keine Meldepflicht, seine Vertriebspartner unter Umständen schon.

Warum ein CVSS-Wert die Frage nicht beantwortet

Der Basiswert nach CVSS beschreibt eine Schwachstelle abstrakt, losgelöst von dem Produkt, in dem sie steckt. Der CRA fragt nach etwas anderem, nämlich nach der Wirksamkeit unter Ihren Betriebsbedingungen. Eine Bibliothek mit einem Basiswert von 9,8 kann in Ihrem Produkt unerreichbar sein, und eine Lücke mit mittlerem Wert kann bei Ihnen der direkte Weg hinein sein.

Für die begründete Gegenaussage „vorhanden, aber nicht ausnutzbar“ gibt es ein etabliertes Format, nämlich VEX. Damit lässt sich je Produkt und Version festhalten, dass eine Komponente betroffen ist, das Produkt aber nicht, samt Begründung. Die Einschätzung selbst gehört in die Bewertung der Cybersicherheitsrisiken und damit nach Artikel 13 Absatz 4 in die technische Dokumentation.

Woher das Merkmal „bekannt“ kommt

Bekannt ist nicht nur, was zufällig aufgefallen ist. Artikel 13 Absatz 5 verlangt die gebotene Sorgfalt bei der Integration fremder Komponenten. Erwägungsgrund 34 nennt als eines der Mittel dafür die Prüfung, ob eine Komponente frei von Schwachstellen ist, die in der europäischen Schwachstellendatenbank oder in anderen öffentlich zugänglichen Schwachstellendatenbanken registriert sind. Anhang I Teil II Nummer 3 verlangt zusätzlich, die Sicherheit des Produkts regelmäßig und wirksam zu testen und zu überprüfen.

Wer nicht sucht, verletzt damit zwar nicht Anhang I Teil I Nummer 2 Buchstabe a, wohl aber die Sorgfaltspflicht aus Artikel 13 Absatz 5. Nach Artikel 13 Absatz 7 sind zudem alle Schwachstellen, von denen der Hersteller Kenntnis erlangt, systematisch zu dokumentieren.