Ab dem 11. September 2026 räumt das EU-Gesetz zur Cyber-Resilienz (CRA) Herstellern 24 Stunden Zeit ein, um eine aktiv ausgenutzte Sicherheitslücke zu melden. In OT-Umgebungen (Operational Technology) werden die Vorfälle, die diese Frist am ehesten auslösen, meist auf einem „ USB “-Laufwerk gespeichert, und die meisten Betreiber können immer noch nicht sagen, wohin dieses Laufwerk anschließend gelangt ist.
Eine 24-Stunden-Uhr ist eigentlich ein Sichtbarkeitstest.
Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Komponenten, die in der EU verkauft werden, aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle melden. Der Zeitplan ist streng: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme für aktiv ausgenutzte Sicherheitslücken verfügbar ist, bzw. innerhalb eines Monats bei schwerwiegenden Vorfällen.
Beachten Sie, worauf sich die Uhr stützt: das Erkennen. Jede Frist in der Verordnung setzt voraus, dass Sie das Ereignis erkennen, den Hergang rekonstruieren und die Korrekturmaßnahme beschreiben können. Das ist ein Dokumentations- und Telemetrieproblem, lange bevor es zu einem rechtlichen Problem wird. Und die Verpflichtung gilt sowohl rückwirkend als auch vorausschauend, da sie auch Produkte umfasst, die bereits auf dem EU-Markt sind, und nicht nur solche, die nach dem vollständigen Inkrafttreten der CRA im Dezember 2027 ausgeliefert werden.
Für alle, die industrielle und OT-Umgebungen betreiben oder mit ihnen arbeiten, offenbart dies eine beunruhigende Lücke. Der Weg, der im OT am ehesten zu einem meldepflichtigen Vorfall führt, ist zugleich der Weg, der am wenigsten überwacht wird: Wechseldatenträger. Die gute Nachricht ist, dass es sich hierbei um ein lösbares technisches Problem handelt, für das es drei gut bekannte Kontrollmaßnahmen gibt: einen obligatorischen Kontrollpunkt am Perimeter, eine durch die Hardware erzwungene Einwegübertragung zwischen Zonen und eine verwaltete Übertragung, bei der jede Bewegung protokolliert wird. Alle drei Maßnahmen sind erforderlich, und die Reihenfolge ist entscheidend.
Problem Nr. 1: Die Bedrohung, die einfach durch das Tor spaziert
Die Untersuchungen von Honeywell zur Cybersicherheit in der Industrie ergaben, dass 51 % der analysierten Malware darauf ausgelegt war, sich über Geräte mit dem „ USB “ zu verbreiten – ein Anstieg gegenüber 9 % vor fünf Jahren. Der Bedrohungsbericht für 2025 zeigte, dass jeder vierte Vorfall, der von dem Reaktionsteam bearbeitet wurde, mit einem Plug-and-Play-Vorgang über „ USB “ zusammenhing – typischerweise schloss jemand ein Laufwerk an, das dann Malware in der Umgebung verbreitete. Wechselmedien sind zu einem der zuverlässigsten Vektoren für den Erstzugang in ICS-Umgebungen (Industrial -Control-Systems) geworden, gerade weil sie alle Netzwerkkontrollen umgehen, in die ein Betreiber investiert hat.
Normungsgremien haben bereits vor Jahren darauf hingewiesen. NIST SP 800-82 Rev. 3, der Leitfaden zur Sicherheit operativer Technologien (OT), behandelt den Schutz von Datenträgern genau aus diesem Grund als eigenständige Kontrollgruppe, und die Zonen- und Leitungsmodelle der IEC 62443 gehen davon aus, dass Datenträger, die in eine Zone gelangen, geprüft wurden. Die Richtlinie selbst ist selten das Problem. Die meisten Anlagen verfügen über eine Richtlinie für Wechseldatenträger, die irgendwo in einem Ordner schlummert. Die Durchsetzung ist jedoch der Knackpunkt: Eine Richtlinie, die darauf setzt, dass ein Auftragnehmer freiwillig zu einer Scan-Station geht, liefert keinen Nachweis für den Tag, an dem er stattdessen daran vorbeigeht.
Die erste Kontrollmaßnahme ist somit ein obligatorischer Kontrollpunkt an der physischen Perimetergrenze: eine Scan-Station, die jeder Laptop eines Lieferanten, jede Festplatte eines Technikers und jedes Firmware-Update passieren muss, wo Dateien mit mehreren Scan-Engines überprüft, rekonstruiert werden, um eingebettete Bedrohungen zu entfernen, und protokolliert werden. Zwei Ergebnisse sind gleichermaßen wichtig: Infizierte Datenträger gelangen niemals ins System, und jeder Datenträger, der ins System gelangt ist, wird protokolliert. Das zweite Ergebnis bildet die Grundlage für die 72-Stunden-Benachrichtigung.
Problem Nr. 2: Was passiert hinter dem Tor?
Die Überprüfung der Medien am Eingang beantwortet eine Frage: Was kommt herein? Wie die Daten anschließend weiterverarbeitet werden, ist ein anderes Problem.
Sobald eine Datei bereinigt ist, muss sie noch von der Unternehmensseite zum Kontrollnetzwerk gelangen, und in den meisten Anlagen erfolgt dies über eine Firewall-Regel. Firewalls sind Software; sie sind von ihrer Konzeption her bidirektional und konfigurierbar, was bedeutet, dass sie auch falsch konfiguriert werden können. Eine Firewall, die eingehende Dateiübertragungen zulässt, stellt naturgemäß einen Rückweg dar, den ein Angreifer zu nutzen versuchen könnte.
Die architektonische Lösung besteht darin, den Rückweg physisch statt logisch zu unterbinden. Einrichtungsgateways und Datendioden erzwingen den einseitigen Datenfluss auf Hardware-Ebene: Daten können von der Seite mit geringer Vertrauensstufe zur Seite mit hoher Vertrauensstufe gelangen (oder für Historian- und Analyse-Anwendungsfälle ins Unternehmensnetz), und kein Protokoll, keine Regeländerung und keine kompromittierten Anmeldedaten können diesen Fluss umkehren. Es gibt nichts, was falsch konfiguriert werden könnte, da es von vornherein nichts zu konfigurieren gibt.
Dies ist für die regulatorische Position ebenso von Bedeutung wie für die Sicherheit. Anhang I der CRA schreibt vor, dass Produkte die Vertraulichkeit und Integrität von Daten während der Übertragung schützen und gegen unbefugte Manipulationen von Befehlen, Programmen und Konfigurationen gewappnet sein müssen. Die durch „ Hardware “ erzwungene Richtungsabhängigkeit ist eine der wenigen Eigenschaften, die ein Anbieter auf einem Prüfstand nachweisen kann, anstatt sie lediglich in einem Datenblatt zu behaupten – was durchaus von Bedeutung ist, wenn man eine technische Dokumentation zusammenstellt oder einem Prüfer gegenüber sitzt.
Problem Nr. 3: Es so gestalten, dass die Menschen es tatsächlich bedienen können
An dieser Stelle kommen die meisten Projekte zur sicheren Datenübertragung ins Stocken. Ein Sanitizing-Checkpoint und ein Einweg-Gateway beschreiben eine Grenze. Sie beschreiben jedoch keinen Arbeitsablauf, und die Beschaffungsteams stellen schon früh die praktische Frage: „Gut und schön, aber wie bekommt ein Ingenieur in Rotterdam an einem beliebigen Tag eine validierte SPS-Konfiguration (speicherprogrammierbare Steuerung) in ein Werk in Polen?“
Wenn die Lösung darin besteht, dass jemand eine Strecke von USB zu einem Kiosk zurücklegen muss, hat die Architektur das Problem, das sie eigentlich lösen sollte, wieder eingeführt.
Der Managed File Transfer umgeht dieses Problem. Standardmechanismen wie SFTP, REST-APIs und vermittelte Workflows ermöglichen den Austausch von Dateien zwischen Zonen, ohne dass ein Mitarbeiter diese manuell weiterleiten muss, und jeder Datenaustausch durchläuft dieselben Mehrfachscans und die Deep CDR™-Technologie, die die Datei auch am Kiosk durchlaufen würde. Bei jeder Übertragung wird zudem ein Sitzungsprotokoll erstellt: wer sie initiiert hat, was gesendet wurde, was der Scan ergeben hat, wo die Datei angekommen ist und wann. Dieser Prüfpfad ist die operative Antwort auf die Meldefristen der CRA. Wenn doch einmal etwas schiefgeht, hängt der Unterschied zwischen der Einreichung einer Frühwarnung innerhalb von 24 Stunden und dem Verpassen dieser Frist in der Regel davon ab, ob das Protokoll bereits vorliegt oder erst anhand von Befragungen rekonstruiert werden muss.
Drei Probleme, eine Pipeline
Die Anbieter verkaufen den Checkpoint, das Gateway und die Transfer-Schicht als drei separate Produkte. Sie nehmen drei Punkte auf einem einzigen Pfad ein:
Bühne | Frage, auf die es eine Antwort gibt | Steuerung |
Eintrag | Kann man dieses Medium bedenkenlos mitbringen? | Obligatorischer Kontrollpunkt für das Scannen und die Bereinigung von Dateien |
Überquerung | Kann irgendetwas wieder zurückkommen? | Hardware- erzwungene unidirektionale Übertragung |
Operation | Wie wenden wir das im Alltag an – mit Belegen? | Verwaltete, protokollierte und protokollbasierte Dateiübertragung |
Löst man nur den Einstieg, erhält man eine saubere Datei ohne sicheren Weg ins Innere. Löst man nur die Kreuzung, erhält man eine gehärtete Grenze, die die Leute umgehen. Löst man nur die Operationen, erhält man hervorragende Aufzeichnungen über die Bewegung ungeprüfter Dateien. Der Wert liegt in der vollständigen Abfolge.
Ein Hinweis zum Geltungsbereich
Es lohnt sich, genau zu klären, was die Frist im September bewirkt und was nicht. Die CRA ist eine Produktverordnung: Die Meldepflichten gelten für Hersteller, Importeure und Vertreiber von Produkten mit digitalen Elementen, nicht für Anlagenbetreiber als solche. Betreiber kritischer Infrastrukturen in der EU unterliegen eher direkt der NIS2-Richtlinie, die eigene Meldepflichten bei Vorfällen vorsieht.
In der Praxis laufen beide jedoch auf dieselbe Anforderung hinaus. Unabhängig davon, ob die Verpflichtung Ihnen als Hersteller gemäß dem CRA oder als systemrelevantes Unternehmen gemäß NIS2 auferlegt wird, werden Sie aufgefordert, ein Ereignis schnell zu erkennen, den Datenfluss nachzuvollziehen und die vorhandenen Kontrollmaßnahmen nachzuweisen. Eine mit Überwachungsfunktionen ausgestattete Datenpipeline erfüllt alle drei Anforderungen. Ein Richtliniendokument, so sorgfältig es auch verfasst sein mag, erfüllt keine davon.
Wo soll man anfangen?
Wenn der 11. September in Ihrem Kalender vermerkt ist, verzichten Sie auf die Lückenanalyse anhand des Verordnungstextes und führen Sie stattdessen einen Durchlauf durch: Wählen Sie eine reale Datei aus, beispielsweise ein Firmware-Update, einen Hersteller-Patch oder ein aktualisiertes Batch-Rezept, und verfolgen Sie deren gesamten Weg vom Laptop eines Lieferanten bis zum Controller. Notieren Sie jeden Punkt, an dem eine menschliche Entscheidung an die Stelle einer vorgeschriebenen Kontrolle tritt, sowie jeden Punkt, an dem die Spur abbricht.
Die meisten Organisationen stellen immer wieder dieselben drei Lücken fest, und zwar in derselben Reihenfolge.
OPSWAT arbeitet mit Betreibern kritischer Infrastrukturen und OEMs genau an dieser Pipeline: MetaDefender Kiosk™ für die Sicherheit von Wechseldatenträgern am Perimeter, MetaDefender Unidirectional Security Gateway für hardwaregestützte Einwegübertragungen zwischen Zonen und MetaDefender Managed File Transfer für die verwaltete Datenübertragung mit vollständiger Sitzungsprotokollierung. Wenn Sie Ihren eigenen Datenpfad im Hinblick auf die CRA- und NIS2-Berichterstattung nachverfolgen möchten, wenden Sie sich bitte an unser Team.
