Härtung von IoT-Netzwerken und Einhaltung der RED-Richtlinie

Informatec Digital » Ressourcen » Härtung von IoT-Netzwerken und Einhaltung der RED-Richtlinie

Die explosionsartige Zunahme von IoT- und Funkgeräten in Haushalten, Fabriken, der Energiewirtschaft, dem Gesundheitswesen und dem Transportwesen hat unsere Art der Kommunikation grundlegend verändert – und damit auch die Angriffsfläche für Cyberkriminelle. Jeder intelligente Zähler, jedes Wearable und jeder industrielle Sensor stellt praktisch ein potenzielles Einfallstor in das Netzwerk dar, sofern er nicht von Anfang an auf Sicherheit ausgelegt war.

In diesem Kontext ist die Absicherung von IoT-Netzwerken gemäß der Funkanlagenrichtlinie (RED) und dem kommenden Cyber ​​Resilience Act (CRA) zu einem zentralen Thema für Hersteller, Systemintegratoren, Betreiber und alle Unternehmen geworden, die vernetzte Produkte in der Europäischen Union vertreiben. Es geht nicht nur um die Einhaltung gesetzlicher Vorgaben: Die neuen rechtlichen Verpflichtungen stellen sehr spezifische Anforderungen an Cybersicherheit, Datenschutz und Betrugsprävention, die sich auf die Entwicklung von Hardware, Firmware, Software, Konnektivität und Cloud-Diensten auswirken.

Europäischer Rechtsrahmen: Warum RED und CRA alles verändern

Im letzten Jahrzehnt hat sich das Internet der Dinge (IoT) dank Technologien wie WLAN, Bluetooth und NFC rasant verbreitet. Diese Technologien haben unzählige Produkte in Funkgeräte verwandelt, die miteinander und mit der Cloud kommunizieren können. Im Bereich der Cybersicherheit gelten diese Geräte jedoch als eine der größten Schwachstellen: Vielen Smart-Home- Lösungen mangelt es noch immer an grundlegendem Schutz, und in Industrie- und Produktionsumgebungen bestehen weiterhin enorme Sicherheitslücken sowohl im IT- als auch im OT-Bereich.

Die wirtschaftlichen Folgen dieser Situation sind verheerend: Laut EU-Rat beliefen sich die weltweiten Kosten der Cyberkriminalität im Jahr 2020 auf rund 5,5 Billionen Euro , und aktuelle Studien wie die von Trend Micro zeigen, dass fast 90 % der deutschen Energie-, Öl- und Gas- oder Produktionsunternehmen innerhalb von nur 12 Monaten Cyberangriffen ausgesetzt waren, mit durchschnittlichen Schäden von fast 3 Millionen Euro pro Unternehmen.

Der Aufstieg von Wearables und datengetriebenen, KI-gestützten Geschäftsmodellen hat die Bedeutung des Schutzes personenbezogener Daten weiter unterstrichen. Verordnungen wie die DSGVO (Verordnung (EU) 2016/679) oder die frühere R&TTE-Richtlinie 1999/5/EG reichen nicht aus, um die aktuellen Bedrohungen für vernetzte Geräte abzudecken, insbesondere im Hinblick auf fortgeschrittene Cyberangriffe, Online-Betrug und die Manipulation von Diensten.

Als Reaktion darauf hat die Europäische Union die Funkanlagenrichtlinie (RED) 2014/53/EU , die seit 2016 gilt und die R&TTE ersetzt hat, verschärft. RED regelte bereits die elektromagnetische Verträglichkeit, die elektrische Sicherheit und die effiziente Nutzung des Funkfrequenzspektrums; nun enthält sie auch weitreichende Cybersicherheitsverpflichtungen, die die meisten vernetzten Funkgeräte, einschließlich vieler IoT-Geräte, betreffen.

Delegierte Verordnung (EU) 2022/30 und Artikel 3 Absatz 3 Buchstaben d) und f) RED

Der eigentliche Wendepunkt kam mit der Delegierten Verordnung (EU) 2022/30 , die am 29. Oktober 2021 verabschiedet wurde. Diese Verordnung „aktiviert“ die Artikel 3(3)(d), (e) und (f) des NET und definiert, welche Kategorien von Funkgeräten den neuen Anforderungen an Cybersicherheit, Datenschutz und Betrugsschutz entsprechen müssen.

Der Standard konzentriert sich auf mehrere besonders sensible Produktfamilien, darunter einen großen Teil des IoT-Ökosystems für Verbraucher und professionelle Anwender :

• Internetfähige FunkgeräteAlle Geräte, die direkt oder indirekt mit dem Netzwerk kommunizieren können. Dazu gehören Smartphones, Tablets, Router, Smart-Home-Geräte, vernetzte Industriesensoren usw.
• Funkgeräte für die Kinderbetreuung: Produkte, die ausschließlich zur Überwachung oder Unterstützung der Betreuung von Minderjährigen entwickelt wurden, wie z. B. vernetzte Babyphone.
• Funkgeräte, die unter die Spielzeugrichtlinie 2009/48/EG fallenSpielzeuge mit Funkfunktionen, die Informationen aufzeichnen, speichern oder weitergeben können, mit Benutzern (insbesondere Kindern) interagieren oder Mikrofone, Lautsprecher oder Sensoren integrieren.
• Tragbare FunkgeräteAlles, was zum Tragen auf oder über der Kleidung bestimmt ist, wie Smartwatches, Aktivitätstracker, Headsets, Kopfhörer oder smarte Brillen.

Es ist wichtig zu beachten, dass bestimmte Kategorien von dieser Verordnung ausgenommen sind , da sie bereits über einen eigenen spezifischen Rahmen verfügen: Medizinprodukte (Verordnungen (EU) 2017/745 und 2017/746), Ausrüstung für die zivile Luftfahrt, elektronische Mautsysteme und andere Geräte, die durch unterschiedliche sektorspezifische Rechtsvorschriften geregelt und vom Anwendungsbereich der RED ausgenommen sind.

Ursprünglich sollten diese neuen Verpflichtungen ab dem 1. August 2024 gelten. Die Europäische Kommission hat den Termin jedoch um ein Jahr verschoben, um der Industrie Zeit zu geben. Die neue, verbindliche Frist für die Einhaltung der Delegierten Verordnung (EU) 2022/30 ist der 1. August 2025. Hersteller, Distributoren und OEMs, die Funkmodule integrieren, sollten diese Zeit nutzen, um ihre Designs anzupassen, Entwicklungsprozesse abzusichern und die Konformitätsdokumentation zu erstellen.

Anforderungen an Cybersicherheit, Datenschutz und Betrugsbekämpfung im Netzwerk

Die Artikel 3(3)(d), (e) und (f) der RED enthalten den Kern der neuen Sicherheitsanforderungen, die darauf abzielen, die Risiken im Zusammenhang mit der Vernetzung von Funkgeräten, insbesondere von IoT-Geräten, zu reduzieren.

Artikel 3(3)(d) befasst sich mit allen internetfähigen Funkgeräten und schreibt vor, dass diese so konstruiert sein müssen, dass sie das Netzwerk oder seine Funktionen nicht schädigen, Netzwerkressourcen nicht missbrauchen oder den Dienst in unzulässiger Weise beeinträchtigen . In der Praxis umfasst dies Maßnahmen, die verhindern, dass ein kompromittiertes Gerät einen Dienst lahmlegt, einen DDoS-Angriff startet oder die Verfügbarkeit kritischer Netzwerke stört.

Artikel 3 Absatz 3 Buchstabe e) konzentriert sich auf den Schutz personenbezogener Daten und die Privatsphäre von Nutzern und Abonnenten. Er schreibt vor, dass Funkgeräte, die personenbezogene Daten verarbeiten, Sicherheitsvorkehrungen treffen müssen, um unbefugten Zugriff oder unsachgemäße Übermittlung von Informationen zu verhindern, beispielsweise durch strenge Zugriffskontrollen, Verschlüsselung von Daten während der Übertragung und im Ruhezustand sowie durch datenschutzfreundliche Technikgestaltung und Datenminimierung.

Artikel 3(3)(f) enthält spezifische Anforderungen an Geräte, die virtuelle Währungen oder Geldwerte verarbeiten , also solche, die an digitalen Zahlungen, elektronischen Geldbörsen oder ähnlichen Vorgängen beteiligt sind. Diese Geräte müssen verbesserte Betrugskontrollmechanismen umfassen, wie z. B. starke Benutzerauthentifizierungsmechanismen, Prüfungen der Transaktionsintegrität und die Erkennung verdächtiger Aktivitäten.

Darüber hinaus behandelt Artikel 4 der RED einen zentralen Punkt für das IoT-Ökosystem : die Kombination von Funkgeräten mit Software. Hersteller sind verpflichtet, Informationen zur Konformität der vorgesehenen Hardware- und Softwarekombinationen bereitzustellen, um sicherzustellen, dass das Produkt auch nach einem Software-Update oder einer Änderung weiterhin die grundlegenden Anforderungen der Richtlinie erfüllt.

Anwendungsbereich: Was gilt als Funkausrüstung?

Um genau zu verstehen, was diese Verpflichtungen umfassen, müssen wir zur Definition in der Richtlinie selbst zurückkehren. Gemäß Artikel 2 Absatz 1 der RED ist ein Funkgerät jedes elektrische oder elektronische Produkt, das Funkwellen zum Zwecke der Funkkommunikation oder Funknavigation sendet und/oder empfängt oder das dazu Zubehör (wie beispielsweise eine Antenne) benötigt.

Diese Definition wird durch die Ausnahmen in Artikel 1 Absatz 2, Absatz 3 und Anhang I eingeschränkt , welche bestimmte, speziell regulierte Geräte ausnehmen. Darüber hinaus fügt die Delegierte Verordnung 2022/30 die Bedingung hinzu, dass das Gerät eine Internetverbindung herstellen können muss, damit die Cybersicherheitsanforderungen der Artikel 3 Absatz 3 Buchstaben d) bis f) Anwendung finden.

In der Praxis werden die meisten Produkte mit IoT-Funktionen und drahtloser Konnektivität, die in der EU vermarktet werden, unter das Radar der RED fallen: vom vernetzten Thermostat bis zum Industrieregler mit Mobilfunkmodul, einschließlich Wearables, Heimroutern, Smart Speakern oder Smart-Building-Lösungen.

Harmonisierte Normen EN 18031: der technische Fahrplan

Um Herstellern den Nachweis der Konformität zu erleichtern, beauftragte die Europäische Kommission CEN und CENELEC mit der Entwicklung technischer Normen, die rechtliche Anforderungen in konkrete Kontrollen und Prüfungen umsetzen. Diese Arbeit führte zu den harmonisierten Normen der EN-18031-Reihe.

Seit dem 28. Januar 2025 wurden drei EN 18031-Normen im Rahmen der RED harmonisiert , wodurch ein relativ klarer Weg für die Bewertung der Cybersicherheit geschaffen wurde:

• EN 18031-1: definiert grundlegende Cybersicherheitsanforderungen für Funkgeräte, einschließlich Authentifizierung, Verschlüsselung, Verwaltung von Anmeldeinformationen, sichere Bootmechanismen und Firmware-Aktualisierungsprozesse.
• EN 18031-2Im Fokus stehen Datenschutzmaßnahmen für Teams, die mit personenbezogenen Daten oder Standortdaten arbeiten, sowie Maßnahmen zur Datenminimierung, Benutzerkontrolle und zum Schutz vor Datenlecks.
• EN 18031-3Es befasst sich mit der Sicherheit von Geräten, die an digitalen Zahlungen und virtuellem Geld beteiligt sind, und stärkt die Integrität von Transaktionen sowie den Schutz vor Betrug.

Dennoch reicht es nicht aus, die Normen einfach nur zu erfüllen . Einige Klauseln dieser Normen enthalten Einschränkungen und decken nicht alle Szenarien ab. Beispielsweise können Produkte, die ohne obligatorisches Passwort funktionieren, unzureichende Kindersicherungen bieten oder optionale Sicherheitseinstellungen ermöglichen, zusätzliche Maßnahmen oder eine gründlichere Prüfung erfordern.

In solchen Fällen wird empfohlen, eine Benannte Stelle einzuschalten . Diese von den Mitgliedstaaten benannten Stellen sind für die Durchführung von Konformitätsbewertungen zuständig, wenn eine unabhängige dritte Partei erforderlich ist. Die Kommission führt eine offizielle Liste der Benannten Stellen. Die Zusammenarbeit mit einer dieser Stellen trägt dazu bei, dass das Produkt alle spezifischen Anforderungen erfüllt, selbst wenn die direkte Anwendung harmonisierter Normen nicht ausreicht.

RED und Cyber ​​Resilience Act: Überschneidungen und Zeitplan

Der Cyber ​​Resilience Act (CRA) ergänzt das europäische Cybersicherheits-Ökosystem um eine weitere Regulierungsebene . Sein Anwendungsbereich ist sogar noch umfassender als der des RED Act, da er praktisch alle „Produkte mit digitalen Elementen“ umfasst: Chips, Software, Geräte, Anwendungen usw. und somit den gesamten Lebenszyklus von der Entwicklung über Updates bis hin zum Schwachstellenmanagement abdeckt.

Die CRA legt grundlegende Anforderungen fest, wie beispielsweise die Pflicht zur Bereitstellung von Sicherheitsupdates über mehrere Jahre (in Entwürfen wurden fünf Jahre als Referenz genannt), sowie spezifische Verpflichtungen für das Schwachstellenmanagement, die verantwortungsvolle Offenlegung, die Benutzerinformation und die Meldung von Sicherheitsvorfällen. Produkte werden in Kategorien mit unterschiedlichen Konformitätsverfahren eingeteilt: Selbstbewertung für nicht kritische Produkte, Bewertung durch Dritte oder Anwendung von Standards für kritische Produkte der Klasse I und Bewertung durch eine nationale Stelle für kritische Produkte der Klasse II.

Bislang hat die Cybersicherheitsreform (CRA) innerhalb der europäischen Institutionen bereits politische Zustimmung gefunden , obwohl ihre Hauptanforderungen erst etwa drei Jahre nach ihrem Inkrafttreten Anwendung finden werden. Die Meldepflichten für Sicherheitslücken und Cybervorfälle könnten jedoch bereits vor Ende 2025 in Kraft treten, was viele Unternehmen zwingen wird, ihre Prozesse zur Reaktion auf Sicherheitsvorfälle zu verbessern.

Es gibt deutliche Überschneidungen zwischen RED und CRA: Die meisten Funkgeräte sind ebenfalls Produkte mit digitalen Komponenten . Darüber hinaus beinhaltet CRA dieselben Cybersicherheitsziele wie Artikel 3 Absatz 3 Buchstaben d) bis f) RED. Der entscheidende Punkt ist jedoch der Zeitplan: Die Verpflichtungen aus RED und der zugehörigen Delegierten Verordnung treten am 1. August 2025 in Kraft, während der Großteil von CRA erst etwas später wirksam wird.

In der Praxis bedeutet dies, dass ein Hersteller von vernetzten Thermostaten, der im September 2025 ein Produkt auf den Markt bringt, sich mindestens nach den RED-Anforderungen selbst bewerten lassen muss (oder sich auf eine Benannte Stelle stützen kann). Später, wenn die CRA vollständig anwendbar ist, muss er möglicherweise eine zweite Bewertung im Rahmen dieser CRA durchführen, wobei eine gewisse Angleichung erwartet wird: Die RED-Anforderungen könnten schließlich Teil der CRA-Anforderungen werden, was die Wiederverwendung von Nachweisen und Dokumentationen erleichtert.

Technische Härtung von IoT-Netzwerken und -Geräten

Über die Einhaltung gesetzlicher Vorschriften hinaus erfordert die Absicherung eines IoT-Netzwerks einen umfassenden Systemansatz . Die Sicherung des Geräts oder der Cloud allein reicht nicht aus: Hardware, Firmware, Konnektivität, APIs, Backend und Betrieb müssen gleichermaßen berücksichtigt werden.

Zu den wichtigsten technischen Schutzmaßnahmen gehören Verfahren, die bereits mit den Anforderungen von EN 18031, ETSI EN 303 645 oder NIST 8259 übereinstimmen:

• Sicherer Systemstart und Firmware-Validierung: Verhinderung der Ausführung nicht autorisierten Codes beim Gerätestart, Überprüfung kryptografischer Signaturen und Sicherstellung der Firmware-Integrität.
• Härtung von SchnittstellenDeaktivieren Sie unnötige Ports und Dienste, segmentieren Sie Netzwerke und schützen Sie Verwaltungsschnittstellen mit starker Authentifizierung und, wo möglich, eingeschränktem Zugriff.
• Kommunikationsverschlüsselung: Verwenden Sie moderne Protokolle wie TLS 1.2+ oder 1.3 für den gesamten Datenverkehr, einschließlich Telemetrie, Steuerbefehle und Managementkanäle.
• Robustes Berechtigungsmanagement: Standard-Anmeldeinformationen entfernen, Änderung bei der ersten Verwendung erzwingen, strenge Passwortrichtlinien durchsetzen und gegebenenfalls Multi-Faktor-Authentifizierungsmechanismen einbeziehen.
• Automatische und sichere Updates: Einrichtung von OTA-Update-Prozessen (Over-the-Air) mit kryptografischer Verifizierung, verschlüsselten Kanälen und Rollback-Funktion im Fehlerfall.
• API-Sicherheit: Authentifizierung und Autorisierung aller Drittanbieteraufrufe, Beschränkung der Berechtigungen nach dem Prinzip der minimalen Berechtigungen und Überwachung des Zugriffs auf wichtige Ressourcen.
• Verhaltensüberwachung und -analyse: Anomalieerkennungslösungen anwenden, häufig KI-gestützt, um ungewöhnliche Geräteverhaltensweisen, Datenverkehrsüberläufe oder typische Malware-Muster zu identifizieren.
• Sicherheit der Lieferkette: die Herkunft von Hardware- und Softwarekomponenten überprüfen, Firmware-Analysen durchführen und von den Lieferanten Sicherheitsgarantien fordern.

Parallel dazu muss der Datenschutz nativ integriert werden . Dies beinhaltet nicht nur die Verschlüsselung von Daten, sondern auch die Minimierung der gesammelten Informationen, das Anbieten klarer Benutzereinstellungen, das Vermeiden unnötiger Nachverfolgung und die Ausrichtung der Datenverarbeitung an den Grundsätzen der DSGVO – sowohl von Anfang an als auch standardmäßig.

Praktische Einhaltung der RED-Richtlinien: Schlüsselprozesse und Beauftragte

Für Hersteller ist die Einhaltung der RED und der Delegierten Verordnung 2022/30 nicht nur eine technische Herausforderung , sondern auch eine Frage der Prozesse und der Unternehmensführung. Es empfiehlt sich, einen klaren Überblick über alle betroffenen Produkte, deren Architektur, die von ihnen verarbeiteten Daten sowie die Zahlungs- oder Monetarisierungsfunktionen zu haben, die die Anforderungen von Artikel 3 Absatz 3 Buchstabe f auslösen können.

In vielen Fällen kann eine Selbstbewertung durchgeführt werden , sofern das Produkt gemäß harmonisierter Normen entwickelt wurde und eine umfassende technische Dokumentation vorliegt. Bei komplexen Szenarien oder wenn die Norm den Anwendungsfall nicht vollständig abdeckt, bietet die Beauftragung einer Benannten Stelle jedoch rechtliche und technische Sicherheit.

Während die Branche auf die Ausgereiftheit harmonisierter Standards und CRA-Bewertungssysteme wartet, sind Initiativen wie PSA Certified entstanden , die Zertifizierungsrahmen anbieten, die auf die sich entwickelnden Vorschriften (RED, CRA und das britische PSTI) abgestimmt sind. PSA Certified Level 1 beispielsweise umfasst einen eigenen Abschnitt zu regulatorischen Anforderungen, in dem Hersteller ihre Einhaltung dieser Anforderungen dokumentieren und diese Dokumentation zur unabhängigen Prüfung einreichen können.

Diese Art von Systemen, die sich an globalen Best Practices wie EN 303 645 und NIST 8259 orientieren , ermöglichen es OEMs, Softwareanbietern und Chipherstellern, sich einen Vorsprung für die Zukunft zu verschaffen, indem sie von nun an die von RED und CRA sowie anderen nationalen Rahmenwerken geforderten Kontrollen integrieren.

IoT-Plattformen, Updates und Flottenmanagement

Ein weiterer wichtiger Aspekt der Absicherung von IoT-Netzwerken ist die Fähigkeit zur zentralen Verwaltung großer Geräteflotten . Ohne eine robuste Managementplattform wird das Einspielen von Patches, die Aktualisierung von Zertifikaten oder die Erkennung verdächtigen Verhaltens in großem Umfang nahezu unmöglich.

In diesem Bereich gewinnen umfassende IoT-Lösungen, die Datenorchestrierung, Gerätemanagement, Over-the-Air-Updates (OTA) und KI-Funktionen zur Entscheidungsfindung kombinieren, zunehmend an Bedeutung. Funktionen wie gegenseitige SSL-Authentifizierung, regelmäßige Zertifikatsrotation und sichere Firmware-Updates stärken sowohl die Endgeräte als auch das Netzwerk.

Einige Plattformen integrieren zudem IoT-spezifische Cybersicherheitstools, darunter Laufzeitsicherheit und kontinuierliche Schwachstellenanalyse . Dies erleichtert das Erkennen von Verhaltensabweichungen in eingesetzten Geräten, das Aufspüren von Schwachstellen sowohl vor als auch nach der Produktionsbereitstellung und die Priorisierung von Gegenmaßnahmen.

Parallel dazu dienen diese Plattformen als Grundlage für dienstleistungsbasierte Geschäftsmodelle : Datenmonetarisierung, Abonnementmodelle, fortschrittliche KI/ML-basierte Dienste usw. Der Aufwand, der in die Einhaltung der RED-Richtlinien und eine verbesserte Sicherheit investiert wird, reduziert somit nicht nur das Risiko, sondern eröffnet auch neue Einnahmequellen und Mehrwertangebote.

Dieser gesamte Ansatz, sofern er durchdacht konzipiert ist, zeugt von einem klaren Bekenntnis der Hersteller und Technologieanbieter zu Sicherheit und Regulierung – etwas, das von Endkunden und Regulierungsbehörden gleichermaßen zunehmend geschätzt wird.

Prüf-, Zertifizierungs- und Konformitätsbewertungsunternehmen spielen ebenfalls eine wichtige Rolle und bieten technische Audits, Labortests und sogar spezialisierte Schulungen zu RED, CRA und anderen Vorschriften an. Die Nutzung ihrer Expertise kann den Lernprozess für Organisationen, die sich erstmals mit diesem regulatorischen Rahmenwerk auseinandersetzen, erheblich beschleunigen.

Kurz gesagt, die Absicherung von IoT-Netzwerken im Rahmen der RED und der zukünftigen CRA erfordert ein Umdenken beim Design vernetzter Produkte, die Stärkung sicherer Entwicklungs-, Überwachungs- und Aktualisierungsprozesse sowie ein umfassendes Verständnis dafür, wie sich jedes Gerät in das Labyrinth der europäischen Vorschriften einfügt. Wer diese Herausforderung frühzeitig annimmt, ist besser gerüstet, Risiken zu minimieren, Strafen zu vermeiden und sich gleichzeitig im zunehmend anspruchsvollen IoT-Markt durch Sicherheit, Vertrauen und Qualität zu differenzieren.