Dein Router bekommt ein Mindesthaltbarkeitsdatum

Der älteste Router, den ich dieses Jahr in einem Wohnzimmer gefunden habe, hat sein letztes Sicherheitsupdate 2019 bekommen. Er stand hinter dem Fernseher, blinkte freundlich vor sich hin, und die Besitzerin hatte keinen Anlass, an ihm zu zweifeln. Er funktionierte ja. Genau darin liegt die Gemeinheit von Sicherheitslücken in vernetzten Geräten: du merkst nichts. Kein Warnton, keine rote Lampe, keine Fehlermeldung. Das Gerät tut weiter genau das, was du von ihm willst, und nebenbei tut es das, was jemand anders von ihm will.

Bisher war das dein Pech. Käufer*innen, die sich vor dem Kauf nicht durch Foren gelesen hatten, die nicht wussten, dass ein bestimmter Hersteller seine Geräte nach achtzehn Monaten liegen lässt, hatten eben Pech gehabt. Das ändert sich gerade. Die Europäische Union hat mit dem Cyber Resilience Act, kurz CRA, aus deinem Pech ein Rechtsproblem des Herstellers gemacht. Und am 27. Juli 2026 hat die EU-Kommission zum ersten Mal offiziell aufgeschrieben, wie dieses Gesetz in der Praxis gemeint ist.

Sicherheitsupdates sind keine Freundlichkeit mehr

Der CRA, formell die Verordnung (EU) 2024/2847, ist seit Dezember 2024 in Kraft und gilt in vollem Umfang ab dem 11. Dezember 2027. Er betrifft alles, was in der EU verkauft wird und digitale Elemente hat: Router, Überwachungskameras, Smart-Home-Zentralen, Türklingeln mit Kamera, Saugroboter, Smartphones, dazu reine Softwareprodukte.

Was der Hersteller solcher Geräte künftig leisten muss, listet das Bundesamt für Sicherheit in der Informationstechnik auf seiner Themenseite zum CRA auf. Geräte müssen von Anfang an sicher gebaut und sicher voreingestellt sein, der Hersteller muss eine Konformitätserklärung abgeben, er muss Sicherheitslücken aktiv melden, und er muss über den gesamten Supportzeitraum kostenlose Sicherheitsupdates liefern.

Lies den letzten Halbsatz noch einmal. Kostenlos. Über den gesamten Supportzeitraum. Das ist der Punkt, an dem sich das Kräfteverhältnis zwischen dir und dem Hersteller deiner Überwachungskamera verschiebt. Ein Update gehört damit zum Produkt wie der Stecker am Kabel. Hoffen musst du darauf nicht mehr.

Ein Mindesthaltbarkeitsdatum für dein Heimnetz

Der zweite Teil ist mindestens genauso wichtig und wird gerade in der Berichterstattung oft übersehen: Der Hersteller muss sagen, wie lange er unterstützt, und er muss dieses Enddatum deutlich kommunizieren. Wie lange dieser Zeitraum sein muss, ist die Stelle, an der du in vielen Texten gerade eine falsche Zahl liest. Das BSI schreibt, der Supportzeitraum betrage in der Regel fünf Jahre. Die EU-Kommission selbst nennt in ihrer eigenen Zusammenfassung des Gesetzes gar keine Mindestdauer. Sie schreibt nur die Pflicht fest, überhaupt einen Zeitraum zu bestimmen und ihn öffentlich zu machen. Fünf Jahre sind also eine BSI-Einordnung der üblichen Praxis. Eine harte europäische Untergrenze, an der du einen Hersteller messen könntest, gibt es bislang nicht.

Trotzdem verändert schon die reine Pflicht zur Angabe alles. Auf jeder Packung Milch steht ein Datum. Bei einem Gerät, das rund um die Uhr in deinem Netzwerk hängt, deine Wohnung filmt oder deine Heizung steuert, stand bisher keins. Ab Dezember 2027 muss es dort stehen, und du kannst es vor dem Kauf lesen wie den Preis. Gute Hersteller nennen es übrigens schon heute. Wenn du fragst und keine Antwort bekommst, hast du damit auch eine Antwort.

Wer eigentlich prüft, ob ein Gerät sicher ist

An dieser Stelle kommt ein Kürzel ins Spiel, das du seit Jahrzehnten auf Verpackungen siehst, ohne es je gelesen zu haben: CE. Künftig zeigt dieses Zeichen auch an, dass ein Produkt die Anforderungen des CRA erfüllt.

Man muss dazu wissen, wie dieses Zeichen überhaupt zustande kommt. Es funktioniert bei den meisten Produkten wie eine Selbstauskunft. Der Hersteller prüft anhand vorgegebener Anforderungen selbst, ob er sie erfüllt, dokumentiert das, unterschreibt es und klebt das Zeichen drauf. Fachsprachlich heißt dieser Vorgang Konformitätsbewertung, im Alltag ist es die Hausaufgabe vor dem Verkauf, und bei den meisten Produkten korrigiert der Hersteller sie selbst. Nur bei besonders kritischen Produkten muss eine unabhängige Stelle draufschauen, ähnlich wie beim Auto der TÜV. Die EU-Kommission nennt diese Prüfstellen notifizierte Stellen, das Kapitel dazu gilt bereits seit dem 11. Juni 2026.

Diese Selbstauskunft ist schwächer als eine echte behördliche Prüfung jedes einzelnen Geräts, das gehört zur Wahrheit. Sie ist aber verbindlich, sie ist dokumentiert, und wenn sie nicht stimmt, bekommt der Hersteller Ärger mit der Marktaufsicht. Genau das war beim Router hinter dem Fernseher vorher nicht so.

Eine Sorge kann ich dir gleich nehmen, weil sie mir in Gesprächen ständig begegnet: Es gibt Leute, die befürchten, ein Hersteller könnte Updates künftig zurückhalten, weil jede Änderung eine neue teure Prüfung auslöst. Die Leitlinien der Kommission stellen ausdrücklich klar, dass reine Sicherheitsupdates keine wesentliche Änderung sind und keine neue Konformitätsbewertung nötig machen. Auch der Austausch identischer Teile bei einer Reparatur gilt nicht als erneutes Inverkehrbringen. Wer reparieren will, wird dafür nicht bestraft.

Und jetzt die Geschichte, die alle falsch erzählen

Es gibt eine Erzählung über EU-Digitalgesetze, die so oft wiederholt wird, dass viele sie für ein Naturgesetz halten: Brüssel produziert Bürokratie, Bürokratie erdrückt kleine Projekte, am Ende bleiben nur die Konzerne übrig, weil nur die sich eine Rechtsabteilung leisten können. Bei freier Software war diese Sorge in den Jahren 2022 und 2023 auch berechtigt. Der damalige Entwurf des CRA hätte ehrenamtliche Projekte womöglich unter Haftungs- und Dokumentationspflichten gesetzt, die niemand in seiner Freizeit stemmen kann. netzpolitik.org hat 2023 darüber berichtet, die Open Source Business Alliance und die Free Software Foundation Europe haben mehrfach Alarm geschlagen.

Dann ist etwas passiert, das in dieser Erzählung nicht vorkommt, weil es nicht dazu passt: Die Warnungen haben gewirkt. Der finale Gesetzestext hat für freie Software eine eigene, entlastete Kategorie geschaffen. Und die Leitlinien vom 27. Juli 2026 füllen diese Kategorie jetzt mit Inhalt.

Das Dokument heißt Mitteilung C(2026) 5252, hat samt Anhang rund achtzig Seiten und rechnet 67 Praxisbeispiele durch, ausdrücklich gedacht für Kleinstunternehmen und kleine Betriebe. Rechtlich bindend ist es nicht, es legt die Verordnung aus und ersetzt sie nicht. Praktisch ist es aber das Papier, an dem sich Marktaufsicht, Anwält*innen und Projekte künftig orientieren werden. Und die Kernaussage darin ist eine Entwarnung: Frei verfügbare Open-Source-Software fällt grundsätzlich nicht unter den CRA, solange sie nicht im Rahmen einer kommerziellen Tätigkeit auf den Markt gebracht wird.

Spenden machen aus deinem Projekt kein Unternehmen

Damit hängt alles an der Frage, wann eine Tätigkeit kommerziell ist. Die naheliegende Vermutung wäre: sobald Geld fließt. Genau diese Vermutung ist falsch, und die Kommission sagt es klar.

Keine kommerzielle Tätigkeit sind laut Kommission freiwillige Zuwendungen, öffentliche Förder- oder Sponsorengelder allein, und auch bezahlte Beratungs- oder Supportangebote, solange die Software selbst frei verfügbar bleibt. heise online zitiert aus dem Dokument, dass „freiwillige Zuwendungen, öffentliche Förder- oder Sponsorengelder allein noch keine kommerzielle Tätigkeit begründen“. Kommerziell wird es dagegen beim Verkauf der Software, bei kostenpflichtigen Enterprise-Versionen, bei Monetarisierung über Serviceprogramme und dann, wenn du den Zugang zur Software daran knüpfst, dass jemand Daten herausgibt oder spendet.

Ob Geld im Spiel ist, sagt darüber also gar nichts. Es kommt darauf an, ob dieses Geld die Bedingung für den Zugang ist. Ein Spendenknopf unter deinem Projekt ist ein Hut, den du hinhältst. Eine Bezahlschranke vor dem Download ist eine Tür mit Schloss. Der CRA interessiert sich für die Tür.

Wer schon einmal ein kleines Projekt veröffentlicht hat, weiß, wie viel Unterschied das macht. Die Angst war jahrelang, dass ausgerechnet der Versuch, ein Projekt durch Spenden am Leben zu halten, es in die Vollhaftung zieht. Diese Angst ist mit diesem Dokument vom Tisch.

Verantwortlich ist, wer auf Veröffentlichen drückt

Der zweite Punkt in den Leitlinien ist genauso praktisch. Wer nur einen Fehler behebt oder eine Funktion beisteuert, trägt keine Verantwortung nach dem CRA. Verantwortlich sind Personen und Organisationen, die Kontrolle über die Veröffentlichungen und die weitere Ausrichtung eines Projekts haben.

Das ist eine Grenze, die jeder versteht, der schon mal bei einem Nachbarschaftsprojekt einen Nachmittag mitgeschraubt hat. Du hast mitgearbeitet. Du hast nicht entschieden, wann das Ergebnis fertig ist und wann es eröffnet wird. Genau diese Trennung zieht die Kommission jetzt auch in der Softwareentwicklung, und für Millionen Entwickler*innen, die gelegentlich zu offenen Projekten beitragen, ist das die Entlastung, auf die sie seit drei Jahren gewartet haben.

Was eine Stiftung mit einem Dorfbrunnen zu tun hat

Für Stiftungen und Organisationen, die Projekte über Jahre am Leben halten, ohne sie zu vermarkten, hat der CRA eine eigene Rolle geschaffen. Sie heißt Open-Source-Software-Steward, und weil der Begriff sperrig ist, hier das Bild dazu: Stell dir einen Verein vor, der den Dorfbrunnen instand hält. Er pflegt ihn, er repariert ihn, er stellt ein Schild auf, wenn das Wasser ungenießbar ist. Er verkauft das Wasser aber nicht.

Für diese Rolle gilt ein abgestuftes, leichteres Pflichtenprogramm, dessen Umfang davon abhängt, wie intensiv unterstützt wird. Reine Community-Arbeit wiegt weniger als der Betrieb von Infrastruktur und Sicherheitsmanagement. Nach der Zusammenfassung der Kommission können solche Stewards für CRA-Verstöße nicht mit Bußgeldern belegt werden. Sie brauchen aber eine Cybersicherheitsrichtlinie und müssen kritische Schwachstellen und Vorfälle melden. Das Schild am Brunnen bleibt Pflicht.

Wer nur betreibt, wird nicht zum Hersteller

Diesen Satz möchte ich besonders deutlich hinschreiben, weil er in meiner Beratungspraxis gerade die häufigste Sorge auflöst. Der CRA richtet sich an Herstellende, Importierende und Händler*innen, also an alle, die ein Produkt in der EU auf den Markt bringen. Er richtet sich nicht an den Betrieb.

Wenn du im Verein eine Nextcloud betreibst, wenn bei dir zu Hause ein Home Assistant läuft, wenn deine Firma einen eigenen Mailserver oder einen Vaultwarden fährt, wirst du dadurch nicht zum Hersteller im Sinne des Gesetzes. Du benutzt Software, die andere veröffentlichen. Du hast keine CE-Kennzeichnung anzubringen, keine Konformitätserklärung zu unterschreiben und keine Supportzusage abzugeben. Sicherheitsupdates einspielen solltest du trotzdem, aber aus dem Grund, aus dem du das schon vorher getan hast: weil deine Daten daran hängen, nicht weil Brüssel es fordert.

Der 11. September 2026 kommt schneller, als es aussieht

Ein Datum betrifft aber tatsächlich auch kleine Anbieter, Vereine mit eigenen Softwareveröffentlichungen und Selbstständige, die Geräte weiterverkaufen oder verbauen. Ab dem 11. September 2026 gelten die Meldepflichten des CRA, und die haben eine Stoppuhr eingebaut: Bei einer aktiv ausgenutzten Schwachstelle geht binnen 24 Stunden eine Frühwarnung raus, binnen 72 Stunden die vollständige Meldung, und spätestens 14 Tage nachdem eine Korrektur verfügbar ist, folgt der Abschlussbericht. Bei einem schwerwiegenden Vorfall bleibt für den Abschlussbericht ein Monat. Gemeldet wird über eine gemeinsame europäische Meldeplattform an das zuständige Notfallteam, die europäische Agentur ENISA erhält die Information in der Regel parallel.

Zwei Dinge daran sind bemerkenswert unfertig. Diese gemeinsame Meldeplattform wird laut Kommission erst zum 11. September 2026 selbst betriebsbereit, vorher läuft eine Testphase. Und die harmonisierten Normen, mit denen Hersteller nachweisen könnten, dass sie die Anforderungen erfüllen, liegen bis heute nicht im Amtsblatt der EU vor. Die Kommission kündigt für das dritte Quartal 2026 erste Lieferungen an, weitere für Oktober 2027. Wer also gerade ein Produkt in den Markt bringt, arbeitet nach Anforderungen, deren technische Übersetzung noch aussteht. Das BSI arbeitet parallel an einer eigenen Technischen Richtlinie, TR-03183, und mischt sich in die Standardisierung ein.

Wenn du selbst Software veröffentlichst oder Hardware verkaufst, ist die Prüffrage vor September also einfach: Knüpfe ich den Zugang zu meiner Software an eine Gegenleistung? Wenn ja, bin ich Hersteller mit allen Pflichten und brauche einen Meldeweg. Wenn nein, und wenn ich auch keine bezahlte Enterprise-Version daneben stelle, bin ich es nicht. Und wenn ein Verein oder eine Stiftung dahinter steht, lohnt der Blick auf die Steward-Rolle, denn daran hängen eine dokumentierte Sicherheitsrichtlinie und Meldepflichten, aber keine Herstellerhaftung.

Die Open Source Business Alliance hat sich im April 2026 zum deutschen Durchführungsgesetz geäußert, also zu der nationalen Umsetzung, nicht zu diesen Leitlinien. Ihr Vorstandsvorsitzender Peter Ganten hat damals gesagt: „Open Source bietet durch Transparenz und unabhängige Überprüfbarkeit beste Voraussetzungen für ein hohes Sicherheitsniveau.“ Wie die Community auf die Leitlinien vom Juli reagiert, war beim Schreiben dieses Artikels noch nicht zu sehen. Ich würde damit rechnen, dass die Reaktion überwiegend erleichtert ausfällt.

Was du beim nächsten Gerätekauf fragen kannst

Bis Dezember 2027 hast du keinen Rechtsanspruch auf eine Update-Zusage. Fragen kannst du trotzdem, und die Frage wirkt schon heute, weil jeder Hersteller weiß, was ab 2027 gilt.

Vor dem nächsten Router, der nächsten Kamera, der nächsten Smart-Home-Zentrale reicht ein Satz an den Support oder ein Blick auf die Produktseite: Bis wann bekommt dieses Gerät Sicherheitsupdates, und stehen die kostenlos zur Verfügung? Wer darauf ein Datum nennt, hat seine Hausaufgaben gemacht. Wer ausweicht, verkauft dir ein Gerät, das irgendwann in deinem Netzwerk sitzt und stillschweigend zum Risiko wird, während es weiter freundlich vor sich hin blinkt.

Was mich an dieser Geschichte am meisten freut, hat mit Routern gar nichts zu tun. Wir sind es gewohnt, dass Regulierung freier Software Arbeit macht, dass sie mit Haftung droht, dass am Ende die Großen profitieren, weil sie die Formulare ausfüllen können. Hier ist es anders gelaufen. Die Kommission hat freier Software eine eigene Kategorie mit weniger Pflichten gegeben, sie hat Spenden ausdrücklich für unschädlich erklärt, sie hat Beitragende aus der Haftung genommen, und sie hat Konzernen mit kostenpflichtigen Enterprise-Editionen die vollen Herstellerpflichten aufgeladen. Wer das nächste Mal hört, Brüssel erdrücke freie Software mit Bürokratie, darf nach dem Beleg fragen. Achtzig Seiten davon liegen jetzt öffentlich auf dem Tisch, und sie sagen etwas anderes.

Für dich zu Hause bleibt am Ende eine sehr unjuristische Erkenntnis. Ein vernetztes Gerät ohne Update-Zusage ist eine offene Tür mit Zeitzünder, und der günstige Preis ist der Köder davor. Die Frage nach dem Enddatum stellt vor dem Kauf niemand für dich.

Wenn du nicht weißt, welche Geräte in deinem Heimnetz oder in deinem Verein seit Jahren keine Updates mehr gesehen haben, dann ist genau das der erste Schritt, und den kann man in einem Nachmittag klären.

Reden wir über deine IT-Sicherheit.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.