Verkauft und vergessen war gestern: Wie der Cyber Resilience Act das IoT-Geschäftsmodell zerlegt
Dirk Roebers
Veröffentlicht am 27. Juli 2026
Erinnert ihr euch noch an das Jahr 2022. In Brüssel feilte man an einem Papier mit dem sperrigen Namen Cyber Resilience Act (CRA). Die meisten IoT-Hersteller quittierten die ersten Entwürfe damals mit einem müden Lächeln, getreu dem Motto: EU-Bürokratie halt. Bis das gilt, vergehen Jahre, und am Ende wird es eh nicht so heiß gegessen, wie es gekocht wird.
- Der Cyber Resilience Act verpflichtet IoT-Hersteller zu Security-by-Design und einer Update-Pflicht über die gesamte erwartete Produktlebensdauer, mindestens aber fünf Jahre.
- Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA und das zuständige nationale CSIRT melden.
- Wer weiterhin auf billige Hardware ohne dauerhafte Software-Pflege setzt, riskiert mit den ab Ende 2027 greifenden CRA-Pflichten den Ausschluss vom EU-Markt.
Mittlerweile sind diese Jahre fast vorübergezogen. Wir schreiben den Sommer 2026 – und aus dem Brüsseler Papiertiger ist ein scharfes Gesetzesschwert geworden, dessen Übergangsfristen gnadenlos ablaufen. Plötzlich herrscht in den Entwicklungsabteilungen und Vorstandsetagen der Hardware-Hersteller das große Zähneklappern. Denn der CRA verlangt etwas, das im klassischen Consumer-IoT bisher als geschäftlicher Ruin galt: Nachhaltige Verantwortung für die eigene Software.
Das goldene Zeitalter des Wegwerf-IoT ist vorbei
Das bisherige Erfolgsrezept vieler IoT-Anbieter war denkbar simpel: Man nehme einen spottbilligen Mikrocontroller aus Fernost, klatsche eine zusammengezimmerte Firmware drauf, verpacke das Ganze in hübsches Plastik und verkaufe es für 19,99 Euro im Baumarkt, Discounter oder auf Amazon. War das Gerät erst einmal beim Kunden, galt das Motto: Auge zu und durch. Sicherheitsupdates? Zu teuer. Schwachstellen-Management? Nicht vorgesehen.
Wenn die Firmware nach zwei Jahren ein Scheunentor für Botnetze wurde, brachte man einfach die „Version 2.0″ auf den Markt und ließ das alte Modell am ausgestreckten Arm verhungern. Mit dieser munteren Praxis macht der Cyber Resilience Act nun kurzen Prozess. Die Kernforderung lautet schlicht: Security by Design und eine garantierte Update-Pflicht über die gesamte erwartete Lebensdauer des Produkts (mindestens aber fünf Jahre). Wie wenig Petitesse das ist, zeigt exemplarisch dieser Fall – auch wenn er nach heutiger Rechtslage noch keinen Verstoß darstellt, sondern genau die Grauzone offenlegt, die erst mit Inkrafttreten der Update-Pflicht schließt.
Der Albtraum im Serverraum: Das Over-The-Air-Dilemma
Klingt für Verbraucher und IT-Sicherheitsexperten wie ein Traum, ist für viele Hersteller aber ein organisatorischer und finanzieller Totalschaden. Plötzlich müssen Unternehmen, die sich bisher als reine Plastik- und Hardware-Schrauber verstanden haben, komplexe Software-Infrastrukturen aufbauen: Sichere OTA-Updates: Wie rollt man kryptographisch signierte Firmware-Patches zuverlässig auf Millionen von verstreuten Smart-Home-Komponenten aus, ohne dass das Gerät beim ersten Verbindungsabbruch zum unbrauchbaren Briefbeschwerer mutiert?
24-Stunden-Meldepflicht: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA und das zuständige nationale CSIRT gemeldet werden. Haben Sie schon mal versucht, an einem Sonntagmorgen um 03:00 Uhr ein Notfall-Patching-Team für ein 15-Euro-Smart-Relais aufzustellen – wohl wissend, dass diese Uhr schon bald scharf tickt? Die Kostenfalle: Die einmalige Marge beim Verkauf des Geräts ist nach zwei Monaten aufgebraucht. Die Kosten für die ständige Pflege der Software-Lieferkette (BOM) laufen aber jahrelang weiter.
Wenn Regulierer zu Software-Architekten werden
Die Ironie der Geschichte: Ausgerechnet die oft gescholtene EU-Bürokratie zwingt die Tech-Branche zu einer Disziplin, die sie aus eigenem Antrieb nie aufgebracht hätte. Der CRA sortiert den Markt radikal um. Wer künftig vernetzte Hardware in der EU verkaufen will, muss Software-Kompetenz wie ein Hauptprodukt behandeln. Die Zeiten, in denen IoT-Geräte als digitale Wegwerfartikel die Netzwerke fluteten, sind gezählt.
Für die Hersteller bedeutet das: Entweder sie lernen verdammt schnell, wie man professionelle Software-Lebenszyklen organisiert – oder sie werden vom Markt verschwinden. Mitleid muss man damit nicht haben. Denn wer im Jahr 2026 noch überrascht davon ist, dass vernetzte Hardware auch abgesichert werden muss, hat den Schuss schlichtweg vor vier Jahren zwar gehört… aber komplett ignoriert.
PS: Und die nächste EU-Vorgabe steht schon in den Startlöchern: die – bislang als Roadmap der Mitgliedstaaten formulierte – Migration kritischer Systeme auf quantensichere Kryptographie bis 2030. Vielleicht lernen die Hersteller ja etwas aus 2022 …
Der Cyber Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Er verpflichtet Hersteller zu Security-by-Design, zu Schwachstellenmanagement und zu Software-Updates über die gesamte erwartete Produktlebensdauer.
Die Meldepflicht für aktiv ausgenutzte Schwachstellen greift ab dem 11. September 2026. Hersteller müssen solche Vorfälle binnen 24 Stunden an ENISA und das zuständige nationale CSIRT melden.
Der CRA verlangt Updates über die gesamte erwartete Produktlebensdauer, mindestens jedoch fünf Jahre. Diese Frist gilt unabhängig davon, ob das Produkt am Markt bereits durch ein Nachfolgemodell ersetzt wurde.
Hersteller müssen Infrastruktur für sichere OTA-Updates, ein laufendes Schwachstellenmanagement und Meldeprozesse aufbauen. Diese Kosten fallen dauerhaft über die Produktlebensdauer an, während die Marge aus dem Verkauf meist schon nach wenigen Monaten aufgebraucht ist.
Produkte, die die CRA-Anforderungen nicht erfüllen, dürfen ohne entsprechende Konformitätserklärung nicht mehr mit CE-Kennzeichnung in der EU verkauft werden. Für Hersteller, die keine Software-Lebenszyklen aufbauen, droht damit faktisch der Ausschluss vom EU-Markt.
Auch lesenswert
