Hardware & Software RED: Höhere Sicherheitsanforderungen in der EU für vernetzte Geräte wie Handys

Datenpannen bei drahtlos vernetzten Geräten will die EU-Kommission besser vorbauen. Sie hat dazu über einen "delegierten", nachgeordneten Rechtsakt Vorschriften zur Einhaltung der umstrittenen Richtlinie über Funkanlagen erlassen. Diese sollen sicherstellen, dass die neu erfassten Kategorien einschlägiger Geräte speziellen Anforderungen zur Cybersicherheit genügen, bevor sie in der EU auf den Markt kommen.

"Datenschutzprobleme entstehen" bei Internetverbindung​

Bei dem

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

(RED) geht es um die Artikel 3(3)d, e und f. Funkanlagen müssen demnach in bestimmten Kategorien oder Klassen so konstruiert sein, dass sie "weder schädliche Auswirkungen auf das Netz oder seinen Betrieb" haben noch "eine missbräuchliche Nutzung von Netzressourcen" bewirken und so einen Dienst unannehmbar beeinträchtigen. Sie sollen zudem über Sicherheitsvorrichtungen verfügen, "die gewährleisten, dass personenbezogene Daten und die Privatsphäre des Nutzers und des Teilnehmers geschützt werden". Ferner müssen sie gewisse "Funktionen zum Schutz vor Betrug" implementieren können.

Die Kommission legt nun neue Geräteklassen fest, die unter diese Klauseln fallen. Es handelt sich laut der delegierten Verordnung vor allem um vernetzte Funkanlagen wie Mobiltelefone, Laptops, Dongles, Alarmanlagen, Kameras und Hausautomatisierungssysteme. Bei diesen bestehe eine große Gefahr, "dass sie gehackt werden und dass Datenschutzprobleme entstehen, wenn sie mit dem Internet verbunden sind". Eingeschlossen werden etwa auch "intelligente" Spielsachen,

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

, und Kinderbetreuungsgeräte wie Babymonitore.

Auch Smartwatches und Fitness-Tracker betroffen​

Zudem könnten Wearables wie Smartwatches und Fitness-Tracker eine Reihe sensibler Daten des Nutzers etwa zu Standort, Temperatur, Blutdruck und Herzfrequenz "über einen längeren Zeitraum überwachen und registrieren", schreibt die Brüsseler Regierungsinstitution. Diese Informationen würden dann teils nicht nur über das Internet, sondern auch über unsichere Kommunikationstechnologien für den Nahbereich weiter transferiert. Die erhöhten Anforderungen treffen daher auch die Hersteller solcher Produkte.

Kraftfahrzeuge, elektronische Mautsysteme, Geräte zur Fernsteuerung unbemannter Luftfahrzeuge sowie nicht bordspezifische Funkgeräte, die in Flugzeuge eingebaut werden können, sind vor den Vorgaben zum Schutz der Privatsphäre und vor Betrug ausgenommen. Deren Cybersicherheit werde schon durch bestehende spezielle EU-Rechtsvorschriften gewährleistet, führt die Kommission aus. Sämtliche Anforderungen gälten aus gleichem Grund zudem nicht für medizinische Geräte.

Das "Ökosystem des Vertrauens stärken"​

Hier geht der Rechtsakt teils sehr ins Detail: Implantate sollen generell etwa nicht als tragbare Funkanlagen gelten, "da sie weder am Körper noch an der Kleidung getragen, festgeschnallt oder befestigt werden". Erfasst würden die eingepflanzten Apparate dagegen, "wenn sie selbst in der Lage sind, über das Internet zu kommunizieren, unabhängig davon, ob sie direkt oder über ein anderes Gerät" mit der Außenwelt in Verbindung treten.
Hauptziel der Initiative ist es, das "Ökosystem des Vertrauens" zu stärken, "das sich aus den Synergien aller damit zusammenhängenden EU-Rechtsvorschriften zum Schutz des Netzes, der Privatsphäre und vor Betrug ergibt". Die Hersteller nun mit eingeschlossener Funkanlagen

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

. Um elektronische Zahlungen abzusichern, sei eine bessere Kontrolle zur Authentifizierung der Nutzer nötig.

Übergangsfrist für Hersteller vorgesehen​

Um es insbesondere auch kleinen Unternehmen zu erleichtern, die Auflagen zu befolgen, will die Kommission einen Normungsauftrag an die zuständigen europäischen Organisationen richten. Harmonisierte Standards sollen dann helfen, die Vorschriften zu befolgen. Sobald feststeht, dass die in diesen Normen beschriebenen spezifischen technischen Lösungen mit den rechtlichen Anforderungen übereinstimmen, sei davon auszugehen, dass auf dieser Basis gefertigte Produkte rechtskonform seien. Hersteller könnten eine entsprechende Selbstbewertung durchführen oder auf eine Einschätzung einer unabhängigen Prüfstelle setzen.

Der delegierte Rechtsakt tritt nach zwei Monaten in Kraft, falls der Ministerrat und das EU-Parlament keine Einwände erheben. Im Anschluss gilt für Hersteller eine Übergangsfrist von 30 Monaten, um die neuen Auflagen zu erfüllen.

Nur noch autorisierte Software zugelassen?​

Größere Sprengkraft könnte ein weiterer Rechtsakt zu Artikel 3(3)i der RED entfalten. Diesem zufolge müssen einschlägige Geräte für eine Zulassung auch bestimmte Funktionen unterstützen, "mit denen sichergestellt werden soll, dass nur solche Software geladen werden kann, für die die Konformität ihrer Kombination mit der Funkanlage nachgewiesen wurde".

Sollte diese Klausel durch eine zusätzliche Verordnung scharf gestellt werden,

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

. Sie

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

und dem Ausschluss der Open-Source- und Maker-Szene aus der Technik.

Hersteller könnten sich selbst regulieren​

Die Kommission bereitet auch hier weitere gesetzliche Schritte vor. So hat sie jüngste

Du musst dich Anmelden oder Registrieren um diesen link zusehen!

. Darin kommt die Exekutiveinrichtung zum Schluss, dass Artikel 3(3)i grundsätzlich "ein technologischer Ansatz für einen sichereren Betrieb" sei. Er habe jedoch "erhebliche Nebenwirkungen in Form von Verzögerungen bei der Konformitätsprüfung und damit verbundenen Kosten, die seine potenziellen Vorteile überwiegen könnten". Ein Zertifizierungsmechanismus für das Laden von Software könnte zudem umgangen werden.

Eine Überlegung ist daher, auf Artikel 4 der Richtlinie zu setzen. Die Hersteller von Funkanlagen und zugehöriger Programme müssen demnach den Mitgliedstaaten und der Kommission sowieso Informationen über die Konformität beabsichtigter Kombinationen aus Hard- und Software mit den grundlegenden Anforderungen in Artikel 3 liefern. Damit könnte etwa eine Selbstregulierungsinitiative verknüpft werden, heißt es auf den gut 170 Seiten. Einen nachgeordneten Rechtsakt für die Kontrolle des Hochladens von Gerätesoftware schließt die Regierungsinstanz aber weiterhin nicht aus.
Quelle: heise

 

[DVB-T2 HD]

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Dauert also nur (noch) 3…4… Jahre, bis alle genannten Internetgeräte „sicher“ sein müssen (wenn bis dahin nichts anderes beschlossen wird).