Fiktion, mit Schraubendreher an der Wirklichkeit: Der Cyber Resilience Act der EU ist am 10. Dezember 2024 in Kraft getreten. Nach Angaben der Europäischen Kommission beginnen Meldepflichten am 11. September 2026; die Hauptpflichten gelten ab 11. Dezember 2027. Es geht um Produkte mit digitalen Elementen, also Hardware und Software, die nicht nur glänzen, sondern auch Schwachstellen behandeln, Updates liefern und sicherer geplant werden sollen. So, und jetzt in den Keller der Blechpresse.
Der Router bekam heute ein Heft.
Nicht so ein hübsches Heft mit kariertem Umschlag und „Mathe 4b“ vorn drauf. Eher ein schmales, streng riechendes Sicherheitsheft, links rot, rechts Pflichtgefühl. Es lag neben ihm auf dem Regal, gleich zwischen Staubfluse und Netzteil, und auf der ersten Seite stand: Schwachstellen bitte nicht unter den Teppich routen.
Der Router blinkte. Erst grün, dann so ein Grün, das man bei Technik nie ganz glauben darf.
„Ich bin doch nur Infrastruktur“, sagte er. Das sagen alle, wenn Verantwortung in die Werkstatt kommt. Der Drucker sagt es, sobald Papier fehlt. Die Kaffeemaschine sagt es, wenn sie Datenzugang beantragt. Und der kleine Temperatursensor im Fenster behauptet seit Monaten, er sei eigentlich Wetterpoesie, keine Angriffsfläche.
Das Heft raschelte nicht. Hefte rascheln nur, wenn Menschen daneben nervös werden. Auf Seite zwei stand „Updates“, auf Seite drei „Meldungen“, auf Seite vier „Lebenszyklus“. Lebenszyklus ist ein Wort, das bei Geräten immer klingt, als werde gleich jemand mit Klemmbrett prüfen, ob die Plastikschale noch Zukunft hat.
Früher, so erzählte der Router, sei Produktsicherheit einfacher gewesen. Man wurde verkauft, eingesteckt, vergessen. Vielleicht bekam man nach drei Jahren ein Update, vielleicht auch nur eine neue LED-Farbe in der Produktlinie. Dann stand man in Fluren, Arztpraxen, Ferienwohnungen, Kinderzimmern und tat so, als sei „Passwort: admin“ ein historisches Brauchtum.
Jetzt also Cyber Resilience Act. Ein Name wie eine europäische Blechtafel, die beim Tragen gegen die Knie schlägt. Dahinter steckt, grob gesagt: Wer digitale Dinge baut und verkauft, soll Sicherheit nicht wie Verpackungsmaterial behandeln. Nicht erst ganz am Ende hineinstopfen. Nicht nach dem ersten Exploit erschrocken eine PDF aktualisieren. Sondern vorher, währenddessen, danach. Immer dieses Danach. Technik hat ein langes Danach.
Der Router sah auf sein CE-Zeichen und wurde kurz sehr gerade. CE ist ja auch so ein Aufkleber mit Amtsgeruch. Manchmal wirkt er wie ein kleiner Stempel: Ja, dieses Gerät darf in Europa unterm Schreibtisch warm werden. Künftig soll daran mehr Sicherheitsversprechen kleben. Nicht Heiligkeit. Keine Magie. Aber wenigstens der Versuch, dass ein Gerät nicht beim ersten Windstoß aus dem Internet die Haustür öffnet.
„Muss ich jetzt Gefühle dokumentieren?“, fragte der Router.
Nein, sagten wir. Nur Schwachstellen.
Er wirkte erleichtert. Dann fiel ihm ein, dass Schwachstellen manchmal sehr ähnlich aussehen wie Gefühle: Man versteckt sie, bis jemand von außen daran zieht.
Im Maschinenraum notierten wir: Die digitale Produktwelt bekommt keine Ritterrüstung. Sie bekommt ein Hausaufgabenheft. Das ist weniger heroisch, aber wahrscheinlich nützlicher. Ein Heft vergisst nicht so leicht wie ein Vertriebssatz. Es liegt da. Es fragt nach. Es hat Spalten.
Am Abend blinkte der Router immer noch. Aber irgendwie pflichtbewusster. Vielleicht bildeten wir uns das ein. Vielleicht war es nur die LED, die gegen den Staub kämpfte. Auf dem Sicherheitsheft stand jedenfalls schon der erste Eintrag: „Standardpasswort geändert.“
Darunter, klein und schief: „Nicht wieder zurückändern, nur weil Besuch kommt.“