Cyber Resilience Act: Neue EU-Meldepflicht birgt Risiken für ältere Geräte

Security · 23.10.2026

Die neue EU-Meldepflicht für Sicherheitslücken greift bei älteren vernetzten Systemen zu kurz, was für Unternehmen im DACH-Raum erhebliche Risiken birgt.

Seit September gilt innerhalb der Europäischen Union eine neue Meldepflicht für Sicherheitslücken im Rahmen des Cyber Resilience Act (CRA). Diese Regulierung soll die IT-Sicherheit vernetzter Geräte nachhaltig stärken, weist jedoch eine kritische Schwachstelle bei älterer Hardware und Software auf. Hersteller sind demnach gesetzlich nicht in vollem Umfang verpflichtet, bereits im Markt befindliche Altgeräte nachträglich abzusichern, wodurch bekannte Sicherheitsrisiken legal bestehen bleiben können.

Warum ist das wichtig?

Für IT-Verantwortliche, Administratoren und anspruchsvolle Privatnutzer in der DACH-Region stellt diese Ausnahmeregelung ein erhebliches Sicherheitsrisiko dar. In vielen Unternehmensnetzwerken laufen vernetzte Geräte, deren Anschaffung Jahre zurückliegt, die jedoch weiterhin eine kritische Rolle in der täglichen Infrastruktur spielen. Da die strengen Pflichten des Cyber Resilience Act primär für neu in Verkehr gebrachte Produkte gelten, entsteht eine zweigeteilte Sicherheitslandschaft. Während Neugeräte durch strengere Vorgaben geschützt werden, verbleiben ältere Systeme in einer rechtlichen Grauzone. Angreifer nutzen solche ungepatchten Altgeräte erfahrungsgemäß besonders häufig als Einfallstor in geschäftliche Netzwerke, um sich lateral zu bewegen und sensible Daten abzugreifen.

Was Nutzer jetzt tun sollten

Um Sicherheitsrisiken durch diese regulatorischen Lücken zu minimieren, müssen IT-Abteilungen proaktiv handeln. Eine lückenlose Inventarisierung aller vernetzten Geräte im Netzwerk ist der erste notwendige Schritt. Dabei sollte das Lebensende (End of Life, EoL) sowie der Support-Status jedes Geräts erfasst werden.

• Segmentierung des Netzwerks: Isolieren Sie ältere, nicht mehr patchbare Systeme in separaten VLANs, um im Falle einer Kompromittierung den Zugriff auf das Kernnetzwerk zu verhindern.
• Gefährdungsbeurteilung durchführen: Prüfen Sie, ob für geschäftskritische Altgeräte alternative Schutzmaßnahmen wie Firewalls oder Intrusion Detection Systeme (IDS) vorgeschaltet werden können.
• Lifecycle-Management optimieren: Planen Sie den rechtzeitigen Austausch von Altsystemen und achten Sie bei Neuanschaffungen explizit auf die Einhaltung der CRA-Vorgaben sowie garantierte Update-Zeiträume.

Zudem sollten Software- und Betriebssystem-Lizenzen stets auf dem aktuellen Stand gehalten werden, um zumindest auf Softwareebene von den neuesten Sicherheitsfeatures zu profitieren.

Fazit

Der Cyber Resilience Act ist ein wichtiger Schritt für mehr IT-Sicherheit, bietet jedoch keinen lückenlosen Schutz für bestehende Infrastrukturen. Administratoren dürfen sich nicht auf gesetzliche Vorgaben verlassen, sondern müssen die Absicherung älterer Systeme weiterhin in Eigenregie durch strenge Sicherheitsarchitekturen sicherstellen.

Quelle: Golem Security