Schwachstelle

Schwachstelle ist eine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die ein Angreifer ausnutzen kann. Sie ist der Grundbegriff, auf dem Schwachstellenbehandlung und Meldepflicht des Cyber Resilience Act aufbauen.

Definition in der Verordnung

Artikel 3 Nummer 40 der Verordnung (EU) 2024/2847 definiert den Begriff:

eine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann

Artikel 3 Nummer 40 CRA

Darauf bauen zwei engere Begriffe auf. Eine ausnutzbare Schwachstelle nach Nummer 41 kann "von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden". Eine aktiv ausgenutzte Schwachstelle nach Nummer 42 ist eine, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat. Nur diese dritte Stufe ist nach Artikel 14 Absatz 1 meldepflichtig.

Was das für Hersteller bedeutet

Für alle Schwachstellen gilt die Schwachstellenbehandlung nach Anhang I Teil II: unverzüglich behandeln und beheben, Sicherheitsupdates bereitstellen (Nummer 2), nach dem Update Informationen über die beseitigte Schwachstelle veröffentlichen (Nummer 4) und eine Kontaktadresse für Meldungen angeben (Nummer 6). Liegt die Schwachstelle in einer zugekauften Komponente, meldet der Hersteller sie nach Artikel 13 Absatz 6 an den Komponentenhersteller. Diese Pflichten gelten ab dem 11. Dezember 2027. Ein Eintrag in einer Schwachstellendatenbank oder ein Scanner-Fund bedeutet noch nicht, dass die Schwachstelle im eigenen Produkt ausnutzbar ist; die Kommissionsleitlinie C(2026) 5252 stellt das in Randnummer 230 bis 235 ausdrücklich klar.

Verwandte Begriffe

• Aktiv ausgenutzte Schwachstelle
• CVE
• CVSS
• Sicherheitsupdate
• Coordinated Vulnerability Disclosure (CVD)

Vertiefung

• Aktiv ausgenutzte Schwachstelle: Was meldepflichtig ist und was nichtDie Abgrenzung zwischen Schwachstelle, Ausnutzbarkeit und Ausnutzung mit Beispielen.