CRA & Frontier AI: Banken im Schwachstellen-Stress

Mark Molyneux, Field CTO, CommvaultCommvault

Der Cyber Resilience Act ist mehr als eine Compliance-Übung. Er markiert einen grundlegenden Wandel hin zu kontinuierlichem Schwachstellenmanagement, operativer Resilienz und Verantwortlichkeit entlang der digitalen Lieferkette.

von Mark Molyneux, Field CTO, Commvault

Die europäische Vorgabe zu Cyberresilienz führt verbindliche Anforderungen an die Sicherheit für alle Produkte mit digitalen Elementen ein. Das ist ein wichtiger Schritt angesichts aktuell eskalierender Sicherheitsvorfälle durch Frontier AI oder der Gefahren von KI-Modellen wie Mythos. Aber gerade die Meldepflichten hinsichtlich Schwachstellenmanagement, die mit dem 11. September 2026 verbindlich werden, werden Hersteller und Nutzer der Produkte vor eine harte Probe stellen.

Die jüngsten Fortschritte der Frontier AI auf Seiten der Cybersicherheit erleichtern es den Herstellern massiv, den digitalen Arm ihrer Produkte und Dienste auf Schwachstellen hin zu durchleuchten. Ob Claude, Mythos oder MDash von Microsoft, jeder KI-Pionier hat ein Tool auf den Markt gebracht. Und die ersten Ergebnisse sind beeindruckend. Microsoft fand 421 Schwachstellen, Oracle 1449 und Apple 210. Mehr Schwachstellen bedeutet mehr Meldepflichten – mit Frühwarnung innerhalb von 24 Stunden und vollständiger Meldung binnen 72 Stunden.

Gamechanger Mythos

KI-Modelle erhöhen schon jetzt die Menge der gemeldeten Lücken. Der Cyber Resilience Act wird nun einen erweiterten Herstellerkreis verpflichten, ihre Schwachstellen eng zu verwalten und zu melden.

Auf IT-Abteilungen kommt viel Arbeit zu. Sie stehen vor der Aufgabe, ihre selbst entwickelten Software-Stacks und digitalen Arme zu untersuchen und zugleich Mengen von Patches schnell zu priorisieren, zu testen und auszurollen.“

Und das ist nur der reaktive Aspekt der Zusatzarbeit, der auf sie zukommt.

Banken sollten spätestens jetzt prüfen, wie sie die Flut der nun verpflichtenden Meldungen operativ bewältigen könnten. Einige Best Practices haben sich bereits als hilfreich erwiesen:

Software-Daten resilient ablegen: Wenn es zu einem meldepflichtigen Vorfall bei den eigenen Produkten oder eingesetzter Software kommt, ist es entscheidend, weiter auf die Daten zugreifen zu können. Sei es, um operative Belege für die Berichte zu finden oder forensische Analysen zu unterstützen. Wenn Cyberresilienz integrativer Teil dieser digitalen Operationen wird, lassen sich die knappen Berichtsfristen einhalten, da wichtige Daten und Workloads verfügbar bleiben – auch bei einem schwerwiegenden Sicherheitsvorfall.
Vertraulichkeit, Integrität und Verfügbarkeit von Daten und wesentlichen Funktionen gewährleisten: Bei einem schwerwiegenden Sicherheitsvorfall ist wichtig, die betroffene Software mit intakten Daten wiederherzustellen. Gerade in Zeiten von Frontier AI kommt es darauf an, die Daten vorab auf mögliche Spuren von Hackern und Saboteuren zu durchsuchen und diese zu beseitigen. So kann das IT-Team entscheidend verhindern, dass bei der Wiederherstellung Hintertüren ebenfalls neu geöffnet und Hacker innerhalb weniger Minuten erneut eindringen können.
Schwachstellen frühzeitig erkennen: Die Hersteller sind verpflichtet, Schwachstellen über den gesamten unterstützten Lebenszyklus hinweg zu identifizieren, zu dokumentieren, zu bewerten, zu beheben und offenzulegen. Und die Nutzer der Software müssen verstehen können, ob sie von diesen Schwachstellen betroffen sind. Neben dem Patch-Management ist es ein weiterer guter Weg, die Backup-Daten nach möglichen Schwachstellen zu durchleuchten und die betroffenen Systeme entsprechend zu härten.
Den unvermeidbaren Ernstfall eindämmen: Prävention allein verhindert keine Sicherheitsvorfälle. Um die Folgen eines Vorfalls effizient einzudämmen, müssen alle IT-Teams eng zusammenarbeiten. Das Konzept Resilience Operations (ResOps) vereint Sicherheit, IT und Abläufe in eng aufeinander abgestimmte Workflows, damit sie schneller, sicherer und mit minimalen Geschäftsunterbrechungen wieder funktionsfähig sind.

Autor Mark Molyneux, Commvault

Mark Molyneux ist ein britischer IT-Stratege und Technologe, der seit September 2025 als Field Chief Technology Officer für Nordeuropa bei Commvault (Website) tätig ist. Er verfügt über mehr als 30 Jahre Erfahrung in den Bereichen Datenspeicherung, Cloud-Infrastrukturen und digitale operative Resilienz. Molyneux gilt als Experte für regulatorische Anforderungen im Finanz- und IT-Sektor.

Wirksame Recovery-Funktionen, die im Ernstfall zuverlässig funktionieren, basieren auf Planung, kontinuierlichen Tests, Validation sowie dem Verständnis der gegenseitigen Abhängigkeiten geschäftskritischer Dienste. Dies ist der Kern von ResOps, wobei der Schwerpunkt auf der ständigen Überprüfung der Wiederherstellungsmechanismen liegt. So können Unternehmen sicherstellen, dass sie im entscheidenden Moment schnell und reibungslos den Betrieb wiederaufnehmen können.

IT-Abteilungen müssen künftig mehr Patches bewältigen

Die nächsten Monate, vielleicht sogar die kommenden Jahre werden für IT-Abteilungen herausfordernd bleiben. Denn sie werden eine große Menge von Lücken und Patches bewältigen müssen. Das wird die Angriffsflächen in ihrer Infrastruktur vergrößern. Gleichzeitig werden Cyberakteure die Qualität und Quantität ihrer Attacken steigern können.

CRA: Zum Hintergrund

Der Cyber Resilience Act verpflichtet Hersteller zu mehr Resilienz und macht dazu eine ganze Reihe wichtiger Vorgaben. Wer digitale Produkte entwickelt, muss dem ein Secure-by-Design-Prinzip zugrunde legen. Es gelten für ihn neue Berichts- und Compliance-Pflichten bei der Produktentwicklung. Schwachstellen sind während des gesamten Lebenszyklus der Produkte zu verwalten.

Die meisten Anforderungen des Cyber Resilience Acts werden erst am 11. Dezember 2027 verbindlich. Meldepflichten bei Schwachstellen und Cybersicherheitsvorfällen treten allerdings bereits am 11. September 2026 in Kraft. Hersteller von Produkten mit digitalen Elementen müssen dann aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle melden, welche die Sicherheit des Produkts beeinträchtigen könnten. Die Meldefristen sind knapp gehalten. Ein Hersteller muss innerhalb von 24 Stunden per Frühwarnung kommunizieren, eine vollständige Meldung hat innerhalb von 72 Stunden zu erfolgen – ein Abschlussbericht spätestens 14 Tage nach Bereitstellung der Gegenmaßnahme, bei schwerwiegenden Vorfällen der 72-Stunden-Meldung folgend innerhalb von einem Monat.

Wichtige Behörden in Europa haben einige Dokumente zusammengestellt, um den Unternehmen und Herstellern zu helfen, sich auf die neuen Regeln vorzubereiten, darunter das Bundesamt für Sicherheit in der Informationstechnik (BSI) in der technischen Richtlinie TR-03183 sowie die ENISA in diesem Dokument. Ziel ist, mehr Rechtsklarheit zu schaffen. Mark Molyneux, Commvault/dk