Vernünftigerweise vorhersehbare Fehlanwendung

Die vernünftigerweise vorhersehbare Fehlanwendung ist der Gebrauch eines Produkts, der seiner Zweckbestimmung nicht entspricht und mit dem der Hersteller trotzdem rechnen muss. Der Cyber Resilience Act (CRA) definiert sie in Artikel 3 Nummer 25. Wer den Begriff durch den Verordnungstext verfolgt, bemerkt schnell, wie sparsam er verwendet wird: Außerhalb der Definition kommt er genau einmal vor, in Anhang II Nummer 5.

Die Definition setzt zwei Merkmale. Das erste ist der Widerspruch zur Zweckbestimmung: Die Verwendung entspricht ihr nicht. Das zweite benennt die Quellen, aus denen sie sich ergeben kann, nämlich vernünftigerweise vorhersehbares menschliches Verhalten oder eine vernünftigerweise vorhersehbare Interaktion mit anderen Systemen.

Der Unterschied zur vorhersehbaren Verwendung

Nummer 24 und Nummer 25 stehen im selben Artikel nebeneinander und werden regelmäßig verwechselt. Drei Unterschiede tragen die Abgrenzung:

• Verhältnis zur Zweckbestimmung. Die vernünftigerweise vorhersehbare Verwendung entspricht ihr „nicht unbedingt“, darf sich mit ihr also decken. Die Fehlanwendung entspricht ihr nicht.
• Schwelle. Nummer 24 verlangt, dass sich die Verwendung wahrscheinlich ergibt. Nummer 25 lässt genügen, dass sie sich ergeben kann.
• Quellen. Nummer 24 nennt menschliches Verhalten, technische Vorgänge und Wechselwirkungen. Nummer 25 nennt menschliches Verhalten und die Interaktion mit anderen Systemen, technische Vorgänge dagegen nicht.

Beide Begriffe stehen damit nebeneinander, nicht ineinander: Die Fehlanwendung setzt die niedrigere Schwelle an, greift aber nur außerhalb der Zweckbestimmung und lässt die technischen Vorgänge aus. Und sie trägt die schmalere Rechtsfolge. Das ist kein Versehen, sondern die Systematik der Verordnung: An die vorhersehbare Verwendung knüpfen Anwendungsbereich und Risikobewertung an, an die Fehlanwendung eine Informationspflicht.

Die eine Stelle: Anhang II Nummer 5

Anhang II zählt die Informationen und Anleitungen auf, die dem Produkt beiliegen müssen. Nummer 5 verlangt alle bekannten oder vorhersehbaren Umstände im Zusammenhang mit der Zweckbestimmung des Produkts oder dessen vernünftigerweise vorhersehbaren Fehlanwendung, die zu erheblichen Cybersicherheitsrisiken führen können.

In diesem Satz stecken zwei Begrenzungen. Verlangt sind Umstände, keine Verhaltensweisen: gefragt ist, unter welchen Bedingungen etwas schiefgeht, nicht eine Aufzählung möglicher Bedienfehler. Und die Schwelle liegt bei einem erheblichen Cybersicherheitsrisiko nach Artikel 3 Nummer 38, also einem Risiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führen wird, der schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte. Was darunter bleibt, gehört nicht in diese Aufzählung.

Die Form gibt Artikel 13 Absatz 18 vor: klar, verständlich, deutlich und lesbar, in einer Sprache, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann, und geeignet, die sichere Installation, den sicheren Betrieb und die sichere Verwendung zu ermöglichen. Verfügbar zu halten sind die Angaben mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.

Über Anhang VII Nummer 1 Buchstabe d gehören die Informationen und Anleitungen für die Nutzer zugleich in die technische Dokumentation. Was zur Fehlanwendung geschrieben wurde, ist damit nach Artikel 13 Absatz 13 auch für die Marktüberwachungsbehörden bereitzuhalten.

Die Interaktion mit anderen Systemen

Der zweite Zweig der Definition wird leicht übersehen, weil „Fehlanwendung“ nach einem Bedienfehler klingt. Erfasst ist ebenso der Fall, dass ein anderes System das Produkt in einer Weise anspricht, die dessen Zweckbestimmung nicht vorsieht. Etwa eine Schnittstelle, die für ein Wartungswerkzeug gedacht war und von einer Automatisierung im Minutentakt abgefragt wird. Oder ein Gerät, das in eine Anlage eingebaut wird, für deren Netzsegment es nie vorgesehen war.

Die deutsche Fassung wiederholt hier „vernünftigerweise vorhersehbar“ vor der Interaktion und bindet die Einschränkung damit an beide Quellen. Die englische Fassung („reasonably foreseeable human behaviour or interaction with other systems“) lässt offen, ob sie auch die Interaktion erfasst. Viel hängt daran nicht, weil Anhang II Nummer 5 ohnehin nur bekannte oder vorhersehbare Umstände verlangt.

Was der CRA nicht an die Fehlanwendung knüpft

Zwei Vorschriften, in denen man den Begriff erwarten würde, nennen ihn nicht:

• Der Anwendungsbereich. Artikel 2 Absatz 1 stellt auf den bestimmungsgemäßen Zweck oder die vernünftigerweise vorhersehbare Verwendung ab. Eine Fehlanwendung, die eine Datenverbindung herstellen würde, zieht ein Produkt also nicht in den Anwendungsbereich hinein.
• Die Risikobewertung. Artikel 13 Absatz 3 zählt als Mindestinhalt die Zweckbestimmung und die vernünftigerweise vorhersehbare Verwendung auf. Die Fehlanwendung steht dort nicht.

Aus der zweiten Lücke folgt trotzdem keine Entlastung. Wer nach Anhang II Nummer 5 angeben muss, welche Umstände einer Fehlanwendung zu erheblichen Cybersicherheitsrisiken führen können, muss diese Umstände zuvor ermittelt und bewertet haben. Der Weg dorthin ist die Bewertung der Cybersicherheitsrisiken. Der CRA verlangt nur nicht ausdrücklich, dass die Fehlanwendung dort als eigener Abschnitt geführt wird.

Wie weit die Verantwortung reicht

Artikel 6 Buchstabe a erlaubt die Bereitstellung auf dem Markt nur, wenn das Produkt den Anforderungen in Anhang I Teil I genügt, und zwar unter der Bedingung, dass es ordnungsgemäß installiert, gewartet und bestimmungsgemäß oder unter vernünftigerweise vorhersehbaren Umständen verwendet wird und gegebenenfalls die erforderlichen Sicherheitsaktualisierungen installiert wurden. „Vernünftigerweise vorhersehbare Umstände“ ist eine dritte Formulierung, die der CRA nicht definiert. Sie greift weiter als beide Legaldefinitionen, weil sie von Umständen spricht und nicht von einer Verwendung. Ob die vorhersehbare Fehlanwendung darunterfällt, sagt die Verordnung nicht ausdrücklich, der Wortlaut spricht aber dafür.

Praktisch heißt das: Der Warnhinweis ist die zweite Antwort, nicht die erste. Anhang I Teil I Nummer 2 verlangt, soweit zutreffend, eine sichere Standardkonfiguration mit der Möglichkeit, das Produkt zurückzusetzen (Buchstabe b), Schutz vor unbefugtem Zugriff (Buchstabe d) und möglichst geringe Angriffsflächen auch bei externen Schnittstellen (Buchstabe j). Eine Fehlanwendung, die sich durch eine Voreinstellung ausschließen lässt, wird nicht dadurch hinnehmbar, dass die Anleitung von ihr abrät.

Was offenbleibt

Wann eine Fehlanwendung „vernünftigerweise“ vorhersehbar ist, legt die Verordnung nicht fest. Es gibt keine Kriterien, keine Beispiele, und die Erwägungsgründe führen den Begriff nicht weiter aus. Auch die Grenze zum Angriff bleibt offen, denn Nummer 25 spricht von einer Verwendung und nicht von einer Ausnutzung.

Belastbar wird die Einschätzung durch Material aus dem Betrieb: Supportfälle über Konfigurationen, die niemand vorgesehen hatte, Rückläufer im Auslieferungszustand, Einsatzszenarien, von denen der Vertrieb weiß und die Entwicklung nicht. Wer dieses Material sichtet, kann die gezogene Grenze begründen, und mehr verlangt der CRA an dieser Stelle nicht.