CRA Security by Default: Sichere Produkte ab Werk

Security by Default nach dem CRA bedeutet, dass digitale Produkte ab Werk mit den sichersten verfuegbaren Konfigurationen ausgeliefert werden muessen. Konkret schreibt der CRA vor: keine schwachen Standardpasswoerter, verschluesselte Kommunikation als Standardeinstellung, automatische Installation von Sicherheitsupdates (mit Opt-out-Moeglichkeit) und Deaktivierung nicht benoetigter Dienste. Das BSI formuliert dies als Konfigurationsgrundsatz: Standardeinstellungen muessen aktiv zur Erhoehung der Produktsicherheit beitragen.

Die CRA-Anforderungen treten gestaffelt in Kraft: Ab September 2026 muessen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA und das zustaendige CSIRT melden. Die vollstaendigen Security by Default Anforderungen nach Anhang I gelten ab Dezember 2027 fuer alle neuen Produkte mit digitalen Elementen, die im EU-Binnenmarkt bereitgestellt werden.

Security by Design bezieht sich auf die Integration von Sicherheit in den gesamten Entwicklungsprozess eines Produkts von Anfang an. Security by Default betrifft die Auslieferungskonfiguration: Das Produkt muss beim Endnutzer ohne zusaetzliche Massnahmen sicher konfiguriert sein. Der CRA verlangt beides: Sicherheit muss in die Architektur eingebaut sein (by Design) und die Standardeinstellungen muessen maximale Sicherheit bieten (by Default).

Der CRA verlangt unter anderem: Verbot von generischen oder schwachen Standardpasswoertern, automatische Sicherheitsupdates mit Opt-out-Option fuer Nutzer, Trennung von Sicherheits- und Funktionsupdates wenn moeglich, verschluesselte Kommunikation als Standard, minimale Angriffsflaeche durch Deaktivierung nicht benoetigter Schnittstellen und Dienste, sichere Authentifizierungsmechanismen und Zugangskontrollen ab Werk.

Bei Nichterfuellung der wesentlichen Cybersicherheitsanforderungen inklusive Security by Default drohen Bussgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Zusaetzlich koennen Marktaufsichtsbehoerden den Rueckruf nicht-konformer Produkte anordnen oder deren Bereitstellung auf dem EU-Markt untersagen.

Ja, Security by Default gilt fuer alle drei CRA-Produktkategorien: Standardprodukte, wichtige Produkte (Klasse I und II) und kritische Produkte. Der Unterschied liegt im Konformitaetsbewertungsverfahren: Standardprodukte koennen eine Selbstbewertung nach Modul A durchfuehren, waehrend wichtige und kritische Produkte eine Drittanbieterpruefung benoetigen. Die Security by Default Anforderungen selbst sind identisch.

ADVISORI begleitet Hersteller von der Gap-Analyse bis zur CRA-konformen Implementierung: Wir bewerten bestehende Standardkonfigurationen gegen CRA Anhang I, entwickeln sichere Default-Profile, unterstuetzen bei der Implementierung automatischer Update-Mechanismen, fuehren Penetration Tests der Werkseinstellungen durch und erstellen die technische Dokumentation fuer die EU-Konformitaetserklaerung.