Praxisfall · CISA, November 2023
Ein Standardpasswort als meldepflichtige Schwachstelle
Ein echter Fall aus der Wasserversorgung zeigt, dass eine Schwachstelle im Sinne der Verordnung auch eine unsichere Werkseinstellung sein kann.
Was geschehen ist
Eine weit verbreitete Baureihe speicherprogrammierbarer Steuerungen trug ab Werk ein Standardpasswort und lauschte auf einem festen Port. Viele Geräte hingen direkt am Internet.
Ende November 2023 übernahm eine Gruppe solche Steuerungen. Betroffen war unter anderem eine kommunale Wasserversorgung, deren Drucküberwachung an einer Pumpstation in fremde Hand geriet. Die US-Behörde CISA warnte am 28. November 2023, kurz darauf folgte eine gemeinsame Empfehlung mehrerer Behörden.
Warum das die Definition erfüllt
Es war keine klassische Programmierlücke mit CVE-Nummer, und genau deshalb ist der Fall lehrreich. Eine Schwachstelle ist nach Artikel 3 Nummer 40 auch eine Schwäche oder Anfälligkeit, und ein Standardpasswort ab Werk ist eine Schwäche des Produkts, keine Fehlbedienung des Kunden.
Verlässliche Nachweise lagen vor, ein böswilliger Akteur war benannt, die Ausnutzung fand ohne Zustimmung der Betreiber statt. Damit sind alle Voraussetzungen der Nummer 42 erfüllt.
Was ein Maschinenbauer daraus mitnimmt
Sie bauen solche Steuerungen nicht, Sie verbauen sie. Der Steuerungshersteller meldet für sein Produkt, Sie melden für Ihres, weil Ihre Anlage das Produkt ist, das Sie unter Ihrem Namen in Verkehr gebracht haben.
Und die Frage, welche Ihrer Kunden betroffen sind, kann Ihnen der Steuerungshersteller nicht beantworten. Er kennt Ihre Auslieferungen nicht.
Der Vorbehalt
Der Fall stammt aus 2023, der CRA galt noch nicht. Richtig ist deshalb nicht "der Hersteller hätte melden müssen", sondern: Ein solcher Fall wäre heute meldepflichtig.
Folge
Nebenbei verbietet der CRA künftig genau die Ursache: Produkte müssen mit einer sicheren Standardkonfiguration ausgeliefert werden. Prüfen Sie, ob Ihre Anlagen ab Werk ein Standardpasswort tragen.
Stand August 2026. Massgeblich ist der Wortlaut im Amtsblatt der Europäischen Union. Dieser Beitrag ersetzt keine Rechtsberatung.
Weitere Beiträge
Die Meldepflicht gilt auch für Maschinen von 2019
Der Punkt, den die meisten übersehen: Für Bestandsprodukte greifen die Produktanforderungen erst nach einer wesentlichen Änderung. Die Meldepflichten nimmt die Verordnung davon ausdrücklich aus.
Bekannt ist nicht ausgenutzt: die drei Stufen einer Schwachstelle
Der häufigste Irrtum im Gespräch: Nicht jede bekannte Lücke löst eine Meldung aus. Die Verordnung unterscheidet drei Stufen, und nur die dritte startet die 24 Stunden.
Wem meldet ein Hersteller ohne Niederlassung in der Union?
Für Schweizer und andere Hersteller aus Drittstaaten ist das die erste Frage, und sie muss vor dem Ernstfall beantwortet sein.