Ein Gerät ist am Netzwerk, hat digitale Ein- und Ausgänge, verarbeitet oder überträgt Daten – schon fällt es unter den Cyber Resilience Act (CRA). Die EU-Verordnung regelt seit ihrem Inkrafttreten Ende 2024 stufenweise die Cybersicherheit vernetzter Geräte und wird bis zum 11. Dezember 2027 vollständig gelten. Was nach einer reinen IT-Angelegenheit klingt, hat längst auch die professionelle Broadcast-Technik erreicht – ein Thema, das laut Claudio Becker-Foss, CTO beim Audio-Spezialisten DirectOut, in der Branche bislang kaum auf dem Schirm ist.
Seit dem 11. September 2026 gilt bereits eine erste verbindliche Pflicht aus dem CRA: Hersteller müssen eine zentrale Anlaufstelle bereitstellen, über die ihnen aktiv ausgenutzte Sicherheitslücken gemeldet werden können. Geht eine solche Meldung ein, muss der Hersteller reagieren, sie der EU melden und mitteilen, wie er vorgeht – im Idealfall mit einem Patch, andernfalls mit Übergangsmaßnahmen wie dem Blockieren eines bestimmten Ports.
Komplett compliant ist DirectOut nach eigenen Angaben noch nicht. "Wir sind auf dem Weg dahin, komplett compliant sind wir aber noch nicht – das ist, glaube ich, auch kein anderer", sagt Becker-Foss. Er beschreibt das Feld als heterogen: Manche Hersteller haben sich mit dem Thema noch gar nicht befasst, andere arbeiten bereits an signierten Firmware-Updates und verschlüsselten Betriebssystemen – Maßnahmen, die verhindern sollen, dass sich ein Gerät kapern lässt.
Was der CRA im Detail verlangt, umreißt Anhang I der Verordnung: Geräte sollen unter anderem ab Werk sicher konfiguriert sein, unautorisierten Zugriff über Authentifizierungsmechanismen abwehren und auch nach einem Sicherheitsvorfall ihre wichtigsten Funktionen aufrechterhalten. Hinzu kommt die Pflicht, ein maschinenlesbares Verzeichnis aller verbauten Softwarekomponenten zu führen – ein sogenanntes Software Bill of Materials.
Broadcast als kritische Infrastruktur
Der CRA staffelt seine Anforderungen nach Kritikalität: Fällt eine Kaffeemaschine aus, ist das ärgerlich, mehr nicht. Bei kritischer Infrastruktur wie Atomkraftwerken gelten dagegen deutlich schärfere Vorgaben. Wo Broadcast in dieser Hierarchie steht, daran lässt Becker-Foss keinen Zweifel: "Broadcast kann man durchaus als kritische Infrastruktur sehen: Im Katastrophenfall muss verlässliche Information transportiert werden können, sie darf nicht ausfallen, und sie sollte idealerweise authentifizierbar sein – also verifizierbar, dass niemand Streaminhalte per Spoofing verändert." Mit wachsenden KI-Möglichkeiten, Falschinformationen zu erzeugen, wächst aus seiner Sicht auch die Notwendigkeit, so etwas vom Ausstrahlungsweg fernzuhalten.
Für DirectOut ist der CRA deshalb auch ein Anlass, mit Kunden ins Gespräch zu kommen: Welche Sicherheitsanforderungen sind für Broadcaster tatsächlich relevant, wo reicht schon der Verzicht auf ein Default-Passwort? Die Antworten fließen in die Priorisierung der eigenen Entwicklung ein. Verpflichtend wird der CRA ab Dezember 2027 zunächst nur für Geräte, die dann neu auf den Markt kommen, oder für bestehende Produkte, die ein grundlegend neues Nutzungsverhalten mit sich bringen – ein zehn Jahre altes Gerät ohne nennenswerte Maintenance bleibt davon unberührt.
Dass der Umsetzungsdruck wächst, ohne kurzfristig zusätzlichen Umsatz zu bringen, macht das Thema für viele Hersteller unbequem. Becker-Foss rechnet trotzdem damit, dass sich das bald ändert: "Ich sehe kommen, dass in den nächsten zwölf Monaten Stück für Stück alle plötzlich wach werden."
