Cyber Resilience Act: Was Unternehmen bei Open-Source-Software beachten müssen

Der Cyber Resilience Act (CRA) ist ein neues EU-Gesetz, das ab 2025 gelten wird und Unternehmen dazu verpflichtet, die Cybersicherheit ihrer digitalen Produkte zu gewährleisten. Das betrifft auch die Nutzung von Open-Source-Software – also kostenloser Software, deren Quellcode öffentlich einsehbar und veränderbar ist. Doch was bedeutet das konkret für Firmen, die solche Programme einsetzen?

Was ist Open-Source-Software?

Open-Source-Software (OSS) ist Software, deren Code frei verfügbar ist und von der Community weiterentwickelt wird. Beispiele sind das Betriebssystem Linux, der Browser Firefox oder das E-Mail-Programm Thunderbird. Viele Unternehmen nutzen OSS, weil sie oft kostengünstig, flexibel und gut unterstützt ist. Allerdings birgt sie auch Risiken: Da der Code öffentlich ist, können Schwachstellen schneller entdeckt – aber auch ausgenutzt werden.

Die Pflichten unter dem CRA

Der CRA verlangt von Herstellern und Nutzern digitaler Produkte, dass sie Sicherheitsrisiken minimieren und Schwachstellen aktiv managen. Für Unternehmen, die Open-Source-Software einsetzen, bedeutet das:

1. Risikobewertung: Sie müssen prüfen, welche Open-Source-Komponenten in ihren Produkten oder Systemen verwendet werden und welche Sicherheitsrisiken damit verbunden sind.
2. Schwachstellenmanagement: Unternehmen sind verpflichtet, bekannte Schwachstellen zu beobachten und schnell zu beheben. Das gilt auch für Open-Source-Bibliotheken, die in eigenen Anwendungen integriert sind.
3. Dokumentation: Es muss nachvollziehbar sein, welche Open-Source-Software genutzt wird und wie mit Sicherheitslücken umgegangen wird.
4. Meldung von Vorfällen: Bei schweren Sicherheitsvorfällen müssen diese an die zuständigen Behörden gemeldet werden.

Warum ist das wichtig?

Cyberangriffe werden immer raffinierter. Ein aktuelles Beispiel: Durch manipulierte Links in ChatGPT konnten Angreifer autonome KI-Agenten mit gestohlenen Zugriffsrechten in Firmennetzwerken installieren. Solche Vorfälle zeigen, wie wichtig es ist, alle Software-Komponenten – auch Open-Source-Programme – im Blick zu behalten. Der CRA soll hier für mehr Transparenz und Sicherheit sorgen.

Was bedeutet das konkret für Ihr Unternehmen?

Für Sie als Unternehmer oder Mitarbeiter bedeutet das: Sie müssen künftig genauer prüfen, welche Open-Source-Software in Ihrer IT-Infrastruktur, Ihren Produkten oder Dienstleistungen verwendet wird. Das betrifft nicht nur selbst entwickelte Anwendungen, sondern auch Standardprogramme wie E-Mail-Clients oder CRM-Systeme. Erstellen Sie eine Übersicht aller genutzten Open-Source-Komponenten und legen Sie fest, wie Sie mit Sicherheitsupdates umgehen. So vermeiden Sie nicht nur Bußgelder, sondern schützen auch Ihre Daten und die Ihrer Kunden.

Aktuelle Entwicklungen bei Open-Source-Software

Ein positives Beispiel für die Weiterentwicklung von Open-Source-Software ist der E-Mail-Client Thunderbird. Die neue Version 153 „Meadow“ bietet erstmals native Unterstützung für Microsoft Exchange – eine Funktion, die bisher nur in kostenpflichtigen Programmen verfügbar war. Das zeigt, wie Open-Source-Software immer leistungsfähiger wird und Unternehmen flexible Alternativen bietet.

Was das für Nutzer bedeutet

Die Groupware-Funktionen von xynap umfassen unter anderem E-Mail (IMAP/SMTP) und Kalender (CalDAV). Wenn Sie Open-Source-Komponenten in Ihrer Instanz nutzen, müssen Sie diese unter dem CRA ebenfalls in Ihre Risikobewertung einbeziehen. Achten Sie darauf, dass alle genutzten Module regelmäßig auf Sicherheitsupdates geprüft und aktualisiert werden.