Wenn funktionierende Software zum Sicherheitsrisiko wird
Die Software funktioniert, die Prozesse laufen zuverlässig. Doch dann wird eine Sicherheitslücke entdeckt. Ein Update? Gibt es nicht mehr. Die betroffene Komponente wird längst nicht mehr unterstützt.
Solche Situationen können Unternehmen vor erhebliche Herausforderungen stellen. Denn Sicherheitsrisiken entstehen nicht nur bei neuen digitalen Produkten, sondern auch in Anwendungen, die seit Jahren im Einsatz sind.
Besonders schwierig wird es, wenn veraltete Komponenten fest in bestehende Systeme eingebunden sind und sich nicht ohne Weiteres austauschen lassen. Mit dem Cyber Resilience Act rückt deshalb auch die langfristige Sicherheit von Software stärker in den Fokus.
Was ändert sich durch den Cyber Resilience Act?
Mit dem Cyber Resilience Act (CRA) stellt die EU neue Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Das betrifft unter anderem vernetzte Maschinen, Smart-Home-Geräte und eigenständige Softwareprodukte. Für Unternehmen rückt damit auch die Frage in den Fokus, wie sicher ihre bestehende Softwarelandschaft ist und welche Maßnahmen langfristig notwendig werden.
Der CRA schafft einheitliche Sicherheitsanforderungen für Produkte mit digitalen Elementen. Hersteller müssen Sicherheitsrisiken bereits bei der Entwicklung berücksichtigen und während des vorgesehenen Unterstützungszeitraums Schwachstellen angemessen behandeln. Dazu gehören auch geregelte Updates und eine nachvollziehbare Sicherheitsdokumentation.
Zwei Termine sind besonders wichtig:
- September 2026: Seitdem gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle.
- Dezember 2027: Ab dann gelten die umfassenden Sicherheitsanforderungen für neu in Verkehr gebrachte Produkte mit digitalen Elementen.
Für bereits in Verkehr gebrachte Produkte gelten Übergangsregeln. Die Meldepflichten können jedoch auch diese betreffen. Rein intern eingesetzte Unternehmenssoftware fällt nicht automatisch unter die CRA-Pflichten.
Acht Handlungsfelder für mehr Cybersicherheit
Um die Anforderungen des CRA umzusetzen, müssen Hersteller unterschiedliche Bereiche der Produktsicherheit berücksichtigen. Besonders relevant sind dabei acht Handlungsfelder:
- Risikoanalyse und Bestandsaufnahme: Sicherheitsrisiken identifizieren und eingesetzte Softwarekomponenten erfassen.
- Schwachstellenmanagement: Sicherheitslücken erkennen, bewerten und angemessen behandeln.
- Update- und Patchmanagement: Sicherheitsupdates bereitstellen und ihre Verteilung organisieren.
- Lifecycle Management: Software während ihres vorgesehenen Lebenszyklus sicher betreuen und weiterentwickeln.
- Sichere Softwareentwicklung: Sicherheitsanforderungen bereits bei der Konzeption und Entwicklung berücksichtigen.
- Softwaretransparenz (SBOM): Eingesetzte Komponenten und ihre Abhängigkeiten nachvollziehbar dokumentieren.
- Monitoring und Incident Management: Sicherheitsvorfälle erkennen, untersuchen und erforderliche Reaktionen einleiten.
- Dokumentation und Konformitätsbewertung: Sicherheitsmaßnahmen nachvollziehbar dokumentieren und die Einhaltung der gesetzlichen Anforderungen nachweisen.
Entscheidend ist dabei nicht nur, einzelne Sicherheitsmaßnahmen einzuführen. Sie müssen auch langfristig funktionieren und aufeinander abgestimmt sein.
Wenn Bestandssoftware zum Problem wird
Gerade bei gewachsener Bestandssoftware treffen häufig mehrere Herausforderungen aufeinander. Über Jahre wurden Anwendungen erweitert, Schnittstellen ergänzt und Komponenten angepasst. Dadurch entstehen technische Abhängigkeiten, die im laufenden Betrieb kaum auffallen.
Werden jedoch Sicherheitslücken entdeckt oder neue Sicherheitsanforderungen relevant, zeigt sich häufig, wie wichtig klare Verantwortlichkeiten sind. Wer kennt die betroffenen Systeme und ihre Zusammenhänge? Wer ist für die Wartung und Sicherheitsupdates zuständig? Und ist das notwendige Wissen überhaupt noch im Unternehmen vorhanden?
Besonders schwierig wird es, wenn Zuständigkeiten nicht eindeutig geregelt sind oder sich das Wissen über die Software auf wenige Personen konzentriert. Hinzu kommen technische Hürden: Veraltete Softwarekomponenten, fehlende Update-Möglichkeiten oder schwer nachvollziehbare Anpassungen können die Behebung von Schwachstellen verzögern. So kann eine Anwendung im Alltag weiterhin zuverlässig funktionieren, während notwendige Sicherheitsmaßnahmen zunehmend aufwendiger werden.
Was Unternehmen jetzt tun können
Der CRA bedeutet nicht, dass bestehende Software grundsätzlich ersetzt werden muss. Vielmehr sollten Unternehmen zunächst prüfen, wo tatsächlich Handlungsbedarf besteht.
Auf dieser Grundlage lassen sich gezielte Maßnahmen ableiten. Dazu gehören beispielsweise der Austausch veralteter Komponenten, die Überarbeitung von Schnittstellen oder die Verbesserung bestehender Wartungsprozesse.
Ein strukturiertes Lifecycle Management beispielsweise, hilft dabei, solche Maßnahmen langfristig zu organisieren. Regelmäßige Überprüfungen, geplante Updates und schrittweise Anpassungen sorgen dafür, dass bestehende Anwendungen auch bei veränderten Anforderungen wartbar bleiben
Hosting als zusätzlicher Sicherheitsfaktor
Neben der Software selbst spielt auch die Hosting-Umgebung eine wichtige Rolle für die Cybersicherheit. Veraltete Server, offene Netzwerkzugänge oder unzureichend geschützte Datenbanken können zusätzliche Angriffsflächen schaffen.
Ein sicheres Hosting-Konzept setzt deshalb auf regelmäßig aktualisierte Serversysteme, klar geregelte Zugriffsrechte und die Überwachung d er Infrastruktur. Ergänzend helfen Backups und Wiederherstellungspläne dabei, die Auswirkungen möglicher Sicherheitsvorfälle zu begrenzen.
Gerade bei Bestandssoftware sollte deshalb auch geprüft werden, ob die bestehende Infrastruktur noch den aktuellen Sicherheitsanforderungen entspricht. Sicheres Hosting ergänzt die Maßnahmen an der Software, ersetzt diese jedoch nicht.
Fazit: Sicherheit endet nicht mit der Entwicklung
Der Cyber Resilience Act zeigt, dass Cybersicherheit keine einmalige Aufgabe ist. Hersteller betroffener digitaler Produkte müssen Sicherheitsanforderungen auch nach und während der Entwicklung berücksichtigen.
Gerade Bestandssoftware kann hierbei ein besonderes Geschäftsrisiko darstellen. Durch die feste Einbindung in bestehende Geschäftsprozesse und über Jahre gewachsene Strukturen lassen sich notwendige Sicherheitsmaßnahmen häufig nicht ohne Weiteres umsetzen. Umso wichtiger ist es, bestehende Anwendungen regelmäßig zu überprüfen und ihre langfristige Wartbarkeit sicherzustellen.