EU Cyber Resilience Act: Neue Anforderungen für Produkte mit digitalen Elementen

Am 10. Oktober 2024 wurde der EU Cyber Resilience Act (CRA) offiziell veröffentlicht. Diese wegweisende Regulierung verpflichtet Hersteller, Importeure und Distributoren von Produkten mit digitalen Elementen – sei es Hardware oder Software –, innerhalb von drei Jahren die CRA-Konformität sicherzustellen. Doch was bedeutet das konkret für Unternehmen und die Sicherheit von Produkten?

Warum der Cyber Resilience Act wichtig ist

Mit dem CRA rückt die Cyber Resilienz von Produkten verstärkt in den Fokus. Während bisher oft die Funktionalität im Vordergrund stand, die direkt vom Kunden wahrgenommen wird, gewinnen Themen wie Cybersecurity und digitale Sicherheit immer mehr an Bedeutung. Die zunehmende Digitalisierung bringt nämlich nicht nur Chancen, sondern auch Risiken mit sich.

Steigende Bedrohung durch Cyberkriminalität

Organisierte Kriminalität hat längst erkannt, dass Produkte mit digitalen Komponenten attraktive Ziele sind. Durch Angriffe auf Hardware, Software und digitale Lieferketten können Kriminelle Schäden verursachen, Daten stehlen oder Geräte manipulieren. Dabei profitieren sie von der zunehmenden Vernetzung im B2B- und B2C-Bereich, die oft unzureichend abgesichert ist.

Geopolitische Risiken

Neben der organisierten Kriminalität steigt auch die Gefahr geopolitisch motivierter Angriffe auf kritische Infrastrukturen. Sektoren wie Energie, Telekommunikation und Verkehr sind besonders gefährdet. Solche Angriffe können nicht nur wirtschaftlichen Schaden verursachen, sondern auch die öffentliche Sicherheit gefährden.

Die Ziele des Cyber Resilience Acts

Der CRA soll nicht nur Produkte sicherer machen, sondern auch Vertrauen in digitale Technologien stärken. Zu den zentralen Zielen der Regulierung gehören:

• Erhöhung der Produktsicherheit: Schwachstellen in Produkten sollen frühzeitig erkannt und behoben werden.
• Schutz digitaler Lieferketten: Sicherheitslücken in Software-Update-Systemen oder Drittanbieter-Komponenten werden adressiert.
• Stärkung der nationalen Infrastruktur: Angriffe auf kritische Systeme wie Energie- oder Kommunikationsnetzwerke sollen verhindert werden.

Konkrete Anforderungen des CRA

Je nach Klassifizierung des Produkts müssen Unternehmen verschiedene Maßnahmen umsetzen, darunter:

• Cybersecurity by Design: Sicherheit muss von der Produktentwicklung bis zum End-of-Life (EoL) gewährleistet sein.
• Risikobewertung und Dokumentation: Unternehmen sind verpflichtet, Sicherheitsrisiken zu analysieren und transparent zu dokumentieren.
• Absicherung der Lieferketten: Produkte mit Komponenten aus Drittländern benötigen spezielle Schutzmaßnahmen.
• Bereitstellung von Sicherheits-Updates: Unternehmen müssen eine Infrastruktur für regelmäßige Updates schaffen, um Sicherheitslücken zu schließen.

Wie wird der CRA umgesetzt?

Der CRA bietet der Industrie die Möglichkeit, aktiv an der Entwicklung von Normen und Standards mitzuwirken. Unternehmen sollten sich frühzeitig auf die neuen Anforderungen vorbereiten, um Strafen zu vermeiden und gleichzeitig ihre Wettbewerbsfähigkeit zu steigern. Hierbei spielen technische Lösungen, interne Prozesse und externe Partnerschaften eine wichtige Rolle.

Fazit: Einheitliche Regeln für eine sichere digitale Zukunft

Der EU Cyber Resilience Act setzt neue Maßstäbe für die Sicherheit von Produkten mit digitalen Elementen. Er schafft eine einheitliche Rechtsgrundlage, die nicht nur Unternehmen, sondern auch Endverbrauchern zugutekommt. Die Implementierung der Anforderungen ist ein wichtiger Schritt, um die digitale Zukunft sicherer zu gestalten.

Möchten Sie wissen, wie Ihr Unternehmen CRA-konform wird?
Kontaktieren Sie uns – wir unterstützen Sie bei der Umsetzung der neuen Anforderungen!

Warum provisionieren?

Digital Twin Anwendungen und AI lassen gegenwärtig die Anzahl der IoT Geräte exponentiell ansteigen. Gerade bei Anwendungen mit vielen IoT Knoten und kostensensitiver Hardware, die ohne Betriebssystem und TLS Stack auskommen muss, kann ein Provisionierungs-Prozess anspruchsvoll sein. Denn bevor ein IoT Knoten seine Daten an seinen digitalen Zwilling senden kann, muss er eine verschlüsselte Kommunikation aufbauen und sich gegenüber dem IoT Device Management Backend authentifizieren können.

Für diesen Vorgang wird auf dem Device Management Backend in der Regel ein dedizierter Provisionierungs-Service mit geschützter API verwendet, an dem das neue, unprovisionierte IoT Device angemeldet werden muss, um IoT ID und verschiedene Schlüssel zu erhalten. Diese müssen dann auf eine sichere Art und Weise in den geschützten Keystore des IoT Endnodes gelangen. Selbstredend ist die Provisionierung ein sicherheitskritischer Prozess, der sorgfältig implementiert werden muss.

Better safe than sorry: Sicherheit beginnt vor der Startlinie

In Anbetracht der schieren Menge von IoT Geräten rächt sich Nachlässigkeit bei der Netzwerk-Provisionierung besonders hart. Folgende Fragestellungen sind daher essentiell:

• Stammen die Daten wirklich vom ausgelieferten Gerät? 
• Ist Verlass darauf, dass die Meldungen nicht manipuliert wurden? 
• Bleiben die Daten privat? 

Können diese Fragen nicht zweifelsfrei mit ja beantwortet werden, besteht Handlungsbedarf, denn kompromittierte IoT Geräte können eine Kette von nachgelagerten Prozessen auslösen und hohe Kosten nach sich ziehen. Falls Hacker sich die IoT Geräte “zur Brust” nehmen und Sicherheitslücken finden, kann ein Flächenbrand drohen, der die ganze IoT Flotte betrifft. Das kriminelle Spektrum der Angreifer ist breit und beginnt bei der Datenmanipulation, Übernahme der IoT Geräte bis zu Erpressungsversuchen. Eine sichere und robuste Umsetzung der Provisionierung lohnt sich daher zweifellos.

Doch welches Konzept lässt sich unkompliziert zwischen Herstellung und Betrieb eines IoT Produktes integrieren und ist dennoch sicher? Wir sehen klare Vorteile darin, die Provisionierung vor der Auslieferung in einer sog. “Secure Area” durchzuführen. Denn ist ein IoT Gerät erst einmal ausgeliefert, gestaltet sich der Prozess sicherheitstechnisch um einiges komplizierter.

Das Konzept: Test, Konfiguration und Provisionierung in einem Zug

Üblicherweise muss die Elektronik eines IoT Device programmiert, getestet, kalibriert und konfiguriert werden. Dazu wird das IoT Device mittels eines Nadel-Test Adapters kontaktiert. Die Kontaktierung erlaubt einen direkten Zugriff auf die Hardware Peripherie.  Es liegt daher nahe, die Provisionierung an diesen Prozess anzuhängen. Sind Programmierung und Test abgeschlossen, wird die Provisionierung gestartet. Nach Abschluss des Vorgangs wird geprüft, ob der Endnote mit dem IoT Backend Daten austauschen kann.

Automatische Provisionierung: sicher einfach und schnell

Für die Schlüssel-Erzeugung sendet das Testsystem einen Hardware Fingerprint an das Device Management Backend. Das Backend erzeugt daraus alle notwendigen Schlüssel für Authentifizierung und Kommunikation und sendet diese über einen geschützten Kanal an das Testsystem zurück. Mittels eines Programmier Adapters werden die IoT Schlüssel direkt in den Mikrocontroller eingelagert. Noch auf dem Testadapter werden die Microcontroller spezifischen Security Fuses konfiguriert. Nach diesem Vorgang sind die Schlüssel sicher verwahrt und ein Zugriff von aussen ist nicht mehr möglich. 

Auf Hardware-Ebene kann ein zusätzlicher Schutz erreicht werden, indem ein Tamper Protection Layer im Halbleiter genutzt wird. So wird selbst die physische Freilegung der Schlüssel im Halbleiter verunmöglicht. 

Die individuellen Schlüssel sind an die spezifische Hardware gebunden. Selbst im unwahrscheinlichen Fall hätte eine Schlüssel Kompromittierung keinen Flächenbrand zur Folge, da die Schlüssel nicht auf einer anderen baugleichen Hardware verwendet werden können. 

Das sichere Verfahren erfolgt vollautomatisch, ohne jegliche Intervention und dauert nur wenige Sekunden.

Alle Schritte integriert und rückverfolgbar 

Die vorgestellte Lösung integriert neben dem oben beschriebenen auch das Software Deployment. Vor jeder Programmierung wird eine Verbindung zum GIT Software Repository des Produkt-Herstellers aufgebaut und die aktuelle Software für Mikrocontroller und Kommunikationsmodule des IoT End Nodes geladen. So sind die ausgelieferten Produkte immer auf dem letztmöglichen Stand. 

Jeder Prozessschritt wird aufgezeichnet und die Daten werden fortlaufend an einen Server für die Qualitätssicherung gesendet. Die Rückverfolgbarkeit auf Baugruppen, Mikrocontroller- bzw. Modul-Ebene ist jederzeit gewährleistet. Dadurch trägt das System entscheidend zur Einhaltung der EN ISO 9001:2015 bei.

Zusammenfassung

Ein durchdachtes Provisionierungs-Konzept spart Zeit und Kosten und gibt Hackern von Anfang an keine Chancen. Die hier vorgestellte Lösung eignet sich sehr gut für massgeschneiderte IoT Anwendungen mit kostensensitiven Endnodes, die ohne Betriebssystem und TLS Stack auskommen müssen. Sie erfüllt die Anforderungen an die IoT Sicherheit und lässt sich nahtlos in bestehende Produktionsprozesse integrieren.

Durch die Konnektivität vom ersten Moment an entfallen auch kundenseitig aufwändige und Support intensive Prozessabläufe. Das IoT Gerät ist startbereit für seinen Einsatz.

Interesse geweckt? Prüfen Sie uns jetzt

Mit über 25 Jahren Expertise im Bereich Embedded Systeme und IoT Lösungen gibt es kaum ein Thema, das uns noch nicht begegnet ist.

Mein Name ist Daniel Baumann und ich leite die Hitron GmbH. Kontaktieren Sie mich unverbindlich, damit wir uns über Ihr Projekt austauschen können. Gerne werde ich Ihnen mögliche Lösungsvorschläge aufzeigen. Ich freue mich auf Ihren Anruf.

Büro Luzern (Horw)
041 282 40 40