Die nachstehende Zusammenfassung wird aus der Perspektive eines erfahrenen Senior Analysts für Cybersicherheitsrecht und Software-Lieferkettenmanagement erstellt.
Abstract
Dieser Vortrag beleuchtet, wie der Cyber Resilience Act (CRA) der Europäischen Union das Potenzial hat, ein resilienteres Ökosystem für Freie und Open Source Software (FOSS) weltweit zu schaffen, indem er die Produktverantwortung auf digitale Komponenten und deren Lieferketten ausdehnt. Der Referent, Gregor Bransky, argumentiert, dass die CRA, die ab heute (14. September 2026) in eine kritische Phase tritt, Herstellern vorschreibt, Sicherheitsanforderungen zu erfüllen, Schwachstellen zu patchen und Vorfälle zu melden. Besonders wird hervorgehoben, dass die CRA auch Open Source Software reguliert, wenn sie kommerziell genutzt wird. Bransky schlägt vor, "Public Benefit Stewards" für digitale Gemeingüter zu etablieren, um die Rechenschaftspflicht und Finanzierung von FOSS-Projekten zu verbessern und so die "Tragedy of the Commons" zu überwinden. Die Diskussion vertieft die Herausforderungen bei der Erfassung von Software Bill of Materials (SBOMs), die Rolle von Versicherungen und Compliance bei der Risikobewertung sowie mögliche Auswirkungen auf die Nutzung von Software-Plattformen und die Finanzierung von FOSS-Projekten.
Wichtigste Punkte & Zeitstempel
0:26 Cyber Resilience Act (CRA) als Schlüssel: Der Referent, Gregor Bransky, präsentiert die These, dass die CRA ein Schlüssel zu einem resilienteren FOSS-Ökosystem ist, indem sie Regulierung und finanzielle Anreize verknüpft.
1:33 CRA-Ziele: Die CRA zielt darauf ab, Schwachstellen in digitalen Produkten zu reduzieren, die Cybersicherheit über den gesamten Produktlebenszyklus zu gewährleisten und Nutzern informierte Entscheidungen zu ermöglichen. Sie etabliert das Konzept der Produkthaftung für softwarehaltige Produkte und deren Lieferketten.
1:56 CRA-Kontext und Inkrafttreten: Die CRA ist Teil globaler Initiativen (z.B. US Executive Order 14028, NIST SSDF, Open SSF) und trat im Oktober 2024 (mit Inkrafttreten im Oktober 2021) als erste EU-Gesetzgebung für verpflichtende Cybersicherheitsanforderungen digitaler Produkte in Kraft.
2:35 CRA und Open Source: Die CRA reguliert auch FOSS, die kommerziell verfügbar gemacht oder zur Verteilung und Nutzung im Rahmen kommerzieller Aktivitäten bereitgestellt wird. Projekte mit mehr als zwei Personen sollten prüfen, ob sie unter die CRA fallen.
3:16 Log4j-Beispiel: Der Vorfall mit Log4j verdeutlicht die ubiquitäre Präsenz von FOSS, selbst in Geräten wie Kaffeemaschinen, und die Notwendigkeit ihrer Regulierung.
4:16 Produkthaftung für Hardware vs. Software: Die Präsentation vergleicht die etablierte Produkthaftung für physische Produkte (z.B. Kaffeemaschinen mit Stromanschluss) mit der neuen Herausforderung der digitalen Komponente, wo Lizenzmodelle und fehlende rechtliche Entitäten bei FOSS-Komponenten die Haftungskette unterbrechen.
6:10 Erste CRA-Phase: Ab dem heutigen Tag (14. September 2026) müssen Unternehmen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden an die Marktüberwachungsbehörden melden.
6:51 Herstellerpflichten ab Dezember: Ab dem 11. Dezember müssen Hersteller wesentliche Sicherheitsanforderungen erfüllen, Schwachstellen für mindestens fünf Jahre kostenlos patchen, Sicherheitsvorfälle melden und Fixes mit FOSS-Projekten teilen.
7:11 Cyber Manual Movement: Diese Initiative, deren Gründungsmitglied der Referent ist, setzt sich dafür ein, dass Cybersicherheits-Handbücher für Nutzer relevanter und verständlicher gestaltet werden.
8:04 Artikel 13(5) – Sorgfaltspflicht: Dieser Artikel der CRA besagt, dass Hersteller Sorgfalt walten lassen müssen, wenn sie FOSS-Komponenten in ihre Produkte integrieren; die Verantwortung liegt beim Hersteller.
11:37 Artikel 25 – Attestierungsprogramme: Um die Sorgfaltspflicht zu erleichtern, ermöglicht Artikel 25 freiwillige Sicherheitstestierungs-Programme für FOSS-Entwickler, um die Konformität mit Cybersicherheitsanforderungen zu bewerten.
12:57 Herausforderung der Vertragsgestaltung: Unternehmen wie die Deutsche Bahn, die über 100.000 FOSS-Projekte nutzen, stehen vor der unmöglichen Aufgabe, mit jedem Projekt Einzelverträge abzuschließen.
13:22 Definitionen: Hersteller vs. FOSS-Steward: Die CRA definiert "Hersteller" (Entwickler/Hersteller digitaler Produkte, die diese gegen Bezahlung, Monetarisierung oder kostenlos vermarkten) und "Open Source Software Stewards" (juristische Personen, die FOSS systematisch unterstützen und kostenlos vermarkten – eine komplementäre Definition).
14:27 Finanzierung von FOSS-Stewards: FOSS-Stewards können Beiträge in Form von Sachleistungen (z.B. Programmiererzeit), Mitgliedschaften in Organisationen oder Spenden erhalten, wobei die Ausgaben auf "angemessene Lebenshaltungskosten" begrenzt sind.
15:42 Public Benefit Stewards: Die Schaffung von "Public Benefit Stewards" für digitale Gemeingüter, die unter Aufsicht der Finanzämter stehen, könnte die Rechenschaftspflicht (gegenüber Stakeholdern, Mitgliedern und Finanzamt) und die Finanzierung von FOSS-Projekten verbessern, indem sie Attestierungen gemäß Artikel 25 ausstellen.
18:38 Rolle von Versicherungen und Compliance: Die Quantifizierung von Cybersicherheitsrisiken durch die CRA wird Versicherungen und Compliance-Vorschriften zu wichtigen Treibern für die Verbesserung der FOSS-Sicherheit machen. Insbesondere für mittelständische Unternehmen, die das Risiko nicht selbst tragen können, wird eine Versicherung unerlässlich.
19:07 Denial of Coffee-Beispiel: Ein Angriffsszenario auf eine Kaffeemaschine, die eine bekannte CVE in einer Python-Bibliothek nutzt, demonstriert die Konsequenzen mangelhafter Software-Lieferkettensicherheit.
20:13 Implementierungsherausforderungen: Die europäische Industrie hat etwa ein Jahr Zeit, um die notwendigen Open-Source-Stewardship-Produkte und -Strukturen zu etablieren, um die Anforderungen der CRA zu erfüllen.
21:14 Kontext zur Einhaltung: Die Erwartungen an die Sorgfaltspflicht der Industrie richten sich nach den Möglichkeiten; größere Unternehmen haben höhere Erwartungen als KMU. Die EU-Kommission adressiert diese Themen mit Initiativen wie dem Kaida Act (KI), der FOSS-Strategie und dem DCEIC.
24:34 Open SSF Community Day & Tooling: Im Oktober wird der Open SSF Community Day in Prag Workshops zur Einführung von Sicherheitsinformationen in die Software-Lieferkette anbieten (z.B. Security Insights YAML-Dateien), um die Dokumentation von FOSS-Projekten für CI/CD-Pipelines und Endkunden zugänglich zu machen.
25:40 Post-Quantum Kryptographie: Die Anforderungen an Kryptographie (z.B. Post-Quantum Kryptographie bis 2030 für kritische Infrastrukturen) zeigen die Notwendigkeit, dass Endnutzer die Konformität ihrer Produkte mit aktuellen Gesetzen überprüfen können.
27:02 Apache Foundation & IETF SKITT: Die Apache Foundation plant eine Softwarelösung für FOSS-Projekte zur Unterstützung der compliance-kritischen Kommunikation; die IETF SKITT-Arbeitsgruppe entwickelt Standards für diese Kommunikation in der Lieferkette.
28:51 SBOM-Sammlung und Datenschutz: Die Anforderung, SBOMs an nationale Sicherheitsbehörden zu senden, wirft Datenschutzbedenken auf. Es wird diskutiert, ob ein Sammeln von Hashes oder der Einsatz von datenschutzfreundlichen Technologien (z.B. Zero-Knowledge Proofs) für Statistiken besser wäre.
30:04 Kritik an zentraler Sammlung: Eine zentrale Sammlung von SBOMs oder Exploited-CVE-Vulnerabilities in Europa wird als riskantes Datentresor kritisiert, der ein attraktives Ziel für Angreifer darstellt.
34:00 Öffentliche Finanzierung: Öffentliche Finanzierung wird als Teillösung für die "Tragedy of the Commons" in FOSS betrachtet, sollte aber durch marktwirtschaftliche Mechanismen wie Versicherungen ergänzt werden, die Anreize zur Risikoreduzierung schaffen.
40:01 Plattform-Verschiebung: Es wird erwartet, dass es eine Verlagerung weg von der intensiven Nutzung von FOSS geben könnte, hin zu Managed Services großer Anbieter oder zu einer stärkeren Selbstorganisation der Industrie in prä-kompetitiven Bereichen.
41:17 US vs. EU Rechtsformen: Die EU-Länder haben einen strukturellen Nachteil gegenüber den USA, da es an geeigneten Rechtsformen wie 501(c)(3) oder 501(c)(6) für FOSS-Stewardship mangelt, was die Finanzierung und Organisation erschwert.
42:47 Herausforderungen für Finanzämter: Finanzbeamte sind nicht darauf geschult, den Unterschied zwischen einer "echten" FOSS-Stiftung und einem Softwareunternehmen zu erkennen oder die Auswirkungen kleiner Organisationen auf den digitalen Binnenmarkt zu beurteilen.
Glossar
Cyber Resilience Act (CRA): Eine Verordnung der Europäischen Union, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, um deren Sicherheit über den gesamten Lebenszyklus zu gewährleisten und die digitale Produkthaftung zu erweitern.
FOSS (Free and Open Source Software): Freie und quelloffene Software, deren Quellcode öffentlich zugänglich ist und die von jedem genutzt, geändert und verbreitet werden darf.
SBOM (Software Bill of Materials): Eine vollständige und detaillierte Liste aller Softwarekomponenten, Bibliotheken und Abhängigkeiten, die in einem Produkt enthalten sind.
Due Diligence: Die im Geschäftsverkehr erforderliche Sorgfalt, die ein Unternehmen bei der Auswahl, Integration und Nutzung von Softwarekomponenten, insbesondere FOSS, in seinen Produkten anwenden muss.
Attestierungsprogramme: Freiwillige Programme, die es FOSS-Entwicklern ermöglichen, die Konformität ihrer Software mit Cybersicherheitsanforderungen zu bewerten und zu bestätigen.
CI/CD-Pipeline (Continuous Integration/Continuous Delivery): Eine Reihe von automatisierten Prozessen, die Softwareentwickler nutzen, um Codeänderungen häufig und zuverlässig zu integrieren und bereitzustellen.
CVE (Common Vulnerabilities and Exposures): Ein standardisiertes System zur Identifizierung und Kategorisierung öffentlich bekannter Cybersicherheitslücken.
Public Benefit Entity (PBE): Eine juristische Person, die nicht primär kommerzielle Zwecke verfolgt, sondern sich dem Gemeinwohl widmet und daher oft steuerliche Vorteile genießt und staatlicher Aufsicht unterliegt (z.B. durch Finanzämter).
Tragedy of the Commons (Tragödie der Allmende): Ein ökonomisches Problem, bei dem individuelle Nutzer eines gemeinsamen Gutes dieses überbeanspruchen und schließlich zerstören, da die Kosten der Nutzung sozialisiert, die Vorteile aber privatisiert werden. Im Kontext von FOSS bezieht sich dies auf mangelnde Investitionen in die Sicherheit von weit verbreiteten, aber unterfinanzierten Komponenten.
GDPR (General Data Protection Regulation): Die Datenschutz-Grundverordnung der EU, die Regeln für die Verarbeitung personenbezogener Daten festlegt und hohe Strafen bei Nichteinhaltung vorsieht.
Post-Quantum Kryptographie: Kryptographische Algorithmen, die so konzipiert sind, dass sie auch von zukünftigen Quantencomputern nicht effizient gebrochen werden können.
Open SSF (Open Source Security Foundation): Eine Initiative, die sich der Verbesserung der Sicherheit der Open Source Software-Lieferkette widmet.
NIST SSDF (NIST Software Supply Chain Development Framework): Ein Rahmenwerk des National Institute of Standards and Technology der USA, das Best Practices für die sichere Entwicklung und Wartung von Software in der Lieferkette bietet.
IETF SKITT (Supply Chain Integrity, Transparency, and Trust): Eine Arbeitsgruppe der Internet Engineering Task Force, die an Standards für die Integrität, Transparenz und Vertrauenswürdigkeit von Software-Lieferketten arbeitet.