Seit dem 11. September hat ein Hersteller 24 Stunden für die Frühwarnung, auch wenn die ausgenutzte Lücke aus dem Bauteil eines Zulieferers stammt.

Das Stück der Woche, weil es klärt, wo die Uhr läuft. Die Leitlinien der Kommission zum CRA, am 27. Juli veröffentlicht, mit 67 Praxisbeispielen, sagen es in einem Satz: „Where a product with digital elements contains an actively exploited vulnerability originating from a third-party component, the manufacturer of the product with digital elements is required to notify that actively exploited vulnerability.“ Die 24 Stunden beginnen, wenn der Hersteller Kenntnis erlangt, und die Leitlinien bestimmen diesen Zeitpunkt: Ein Kunde, eine Behörde, die Presse oder irgendein Einzelner weist auf etwas hin, der Hersteller prüft „immediately“, und Kenntnis hat er, sobald er nach dieser ersten Prüfung „a reasonable degree of certainty“ hat, dass eine Schwachstelle in seinem Produkt ausgenutzt wird. Zwei Grenzen halten das verhältnismäßig. Eine Lücke in einem Bauteil, die im eigenen Produkt nicht erreichbar ist oder dort nicht ausgenutzt wurde, muss dieser Hersteller nicht melden. Und die Information fließt auch nach oben: Nach Artikel 13 Absatz 6, der ab Dezember 2027 gilt, meldet der Hersteller die Schwachstelle dem, der das Bauteil herstellt oder pflegt, und gibt eine eigene Korrektur weiter. Von Verwaltern quelloffener Software erwarten die Leitlinien, dass sie von einer Ausnutzung meist über Meldungen aus nachgelagerten Produkten erfahren. Die Leitlinien sind nicht verbindlich, und sie sind das älteste Stück dieser Woche. Die übrigen hängen an ihnen.

Die Sicht aus dem Vertrag. Thomas Kahl und Teresa Kirschner, beide im Frankfurter Büro von Taylor Wessing, schreiben für die Automobilindustrie, und ihr erster Punkt ist, dass die Ausnahme für Fahrzeuge enger ist, als ihr Spitzname vermuten lässt. Sie gilt für Produkte unter der Verordnung (EU) 2019/2144, nicht für die Wallbox mit Cloud-Anbindung, das Diagnosegerät in der Werkstatt, den OBD-Dongle oder die Fahrzeug-App, und nicht für eine OTA-Plattform, die als eigenes Produkt angeboten wird. Die Meldepflicht gilt auch für Produkte, die schon im Markt sind, und für ein Unternehmen außerhalb der EU können schon OTA-Updates den Bezug zum EU-Markt herstellen. Brauchbar ist ihre Liste für die Vorbereitung: klare Herstellerrollen in Konzern-, White-Label- und Partnermodellen, eine Eskalation, die „at night, on weekends, and when facts are incomplete“ funktioniert, und Zulieferer, die vertraglich verpflichtet sind, „to immediately disclose vulnerability, exploit, SBOM, and incident information“. Sie zählen auch, was ein einziger Vorfall zugleich auslösen kann: CRA, NIS2, DSGVO und bei Fahrzeugen R155 und R156. Die Uhr läuft beim Hersteller, und ob seine 24 Stunden reichen, entscheidet sich früher, im Zuliefervertrag. Offen lässt die Liste den Preis. Ein Zulieferer, der binnen Stunden melden soll, wird fragen, was er dafür bekommt, und das ist vor dem ersten Vorfall leichter zu vereinbaren als währenddessen.

Der Weg von oben nach unten in einem einzigen Advisory. Am 17. August machte Red Hat eine kritische Lücke in Keycloak öffentlich, dem quelloffenen Server für Identitäten und Zugriffe, gemeldet von James Paremain: Ein nicht angemeldeter Angreifer konnte beim Zurücksetzen des Passworts die Bestätigung per E-Mail überspringen und jedes Konto übernehmen (CVE-2026-18963, CVSS 9,1). Korrigierte Builds von Red Hat kamen am Tag darauf. Keycloak läuft in Siemens Industrial Edge Management. Siemens hat die Cloud-Version am 26. August mit Firewall-Regeln abgeschirmt, am 2. September korrigiert und das Advisory am 8. September veröffentlicht; CISA hat es am 22. September übernommen. Nutzer der Cloud mussten nichts tun. Wer die Version Pro oder Virtual selbst betreibt, muss auf V1.15.20, V2.2.2 oder V2.9.1 aktualisieren oder bis dahin den direkten Internetzugang sperren oder das Zurücksetzen des Passworts abschalten. Keine öffentliche Quelle berichtet von einer Ausnutzung, und im CISA-Katalog ausgenutzter Schwachstellen steht die Lücke nicht. Nach dem CRA gab es damit nichts zu melden, und als Siemens das Advisory veröffentlichte, galt die Pflicht noch nicht. Wäre die Lücke in Siemens’ Produkt ausgenutzt worden, läge die Meldung nach den Leitlinien der Kommission bei Siemens als Hersteller, und das Update hinge trotzdem an jedem, der eine eigene Instanz betreibt. Ein Zuliefervertrag hätte hier wenig geholfen: Keycloak ist quelloffen, und die Antwort des CRA darauf ist die Meldung nach oben, nicht eine Frist beim Lieferanten.

Dieselbe Arbeitsteilung bei einem Fahrzeugrückruf. Chrysler, in der Akte als FCA US, ruft in den USA 844.027 Fahrzeuge der Modelljahre 2026 und 2027 zurück, vom Jeep Wrangler bis zum Dodge Charger, weil die Radio-Software das Bild der Rückfahrkamera beim Rückwärtsfahren unterdrücken kann. Die Akte nennt den Hersteller des Bauteils, Harman Becker Automotive Systems; der Rückruf ist Chryslers. Die Chronologie liest sich gut neben dem CRA: Untersuchung eröffnet am 7. Mai, Problem erkannt am 15. Juli, Verstoß gegen die Norm festgestellt am 6. August, Bericht bei der NHTSA eingegangen am 13. August. So sieht „Kenntnis erlangen“ aus, wenn ein Gremium sie feststellt, in einem anderen Regelwerk mit einem anderen Auslöser, einer Sicherheitsnorm statt einer ausgenutzten Schwachstelle. Übertragen lässt sich die Abhilfe. Stellantis kündigte an, die Kunden „will receive an over-the-air radio software update across all affected brands“, und Fox Business übernahm das. In der Akte kommt das Update „via firmware Over-The-Air, if capable/available, or via USB at the dealer“, und wie viele Fahrzeuge es über die Luft empfangen können, steht dort nicht.

Und der deutsche Ausgangspunkt, veröffentlicht am Tag vor dem Stichtag. Bitkom hat im Frühjahr, vor den Leitlinien der Kommission, 1.003 Unternehmen ab zehn Beschäftigten befragt: 67 Prozent ist der CRA ein Begriff, 29 Prozent wissen, was er für das eigene Unternehmen bedeutet, 38 Prozent haben davon gehört, können das aber nicht einschätzen, 28 Prozent kennen ihn gar nicht. Die Überschrift macht aus den 29 Prozent „vorbereitet“, und danach wurde nicht gefragt: Wer weiß, was ein Gesetz bedeutet, ist deshalb noch nicht darauf vorbereitet, und befragt wurden Unternehmen aller Branchen, nicht nur Hersteller vernetzter Produkte. Bitkom-Präsident Ralf Wintergerst hält den CRA grundsätzlich für wichtig und sagt, es hapere noch an der praxistauglichen Umsetzung. Dass sich niemand vorab auf der Meldeplattform registrieren konnte, wiegt weniger, als es klingt; die ENISA rät ohnehin, sich erst zu registrieren, wenn es etwas zu melden gibt. Für diese Woche ist die Umfrage andersherum nützlich. Die 24 Stunden des Herstellers hängen an Zulieferern, die wissen, was sie ihm sagen müssen, und nichts in diesen Zahlen spricht dafür, dass Zulieferer mehr wissen als alle anderen.