Der CRA verändert die Anforderungen an digitale Produkte tiefgreifend. Welche Pflichten auf Hersteller zukommen, erfährst du hier kompakt zusammengefasst.
Was ist der Cyber Resilience Act?
Der EU Cyber Resilience Act (EU CRA) ist eine rechtsverbindliche EU-Verordnung. Er legt ein Mindestmaß an Cybersicherheit für Produkte mit digitalen Elementen fest und verfolgt das Ziel eines einheitlichen Sicherheitsstandards innerhalb des europäischen Binnenmarktes. Durch Minimierung von Sicherheitslücken und Verringerung der Angriffsflächen sollen die Produkte und deren Nutzer besser vor Cyberangriffen und deren Auswirkungen geschützt werden.
Der CRA ist eine ergänzende Regulierung zu bereits bestehenden Anforderungen wie der NIS2-Richtlinie oder der RED-Directive und verknüpft sie miteinander. Zudem ist der EU CRA mit der CE-Kennzeichnung verbunden: Bei fehlender Compliance kann diese aberkannt oder von vornherein nicht erteilt werden.
Definition: Produkte mit digitalen Elementen
Gemeint sind Hardware- und Softwareprodukte, die eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netzwerk eingehen. Dazu zählen IoT-Geräte, industrielle Steuerungen, Betriebssysteme, Apps, Router, Wearables und Unternehmenssoftware mit Netzwerkanbindung.
Ohne belegbare CRA-Konformität entfällt die CE-Kennzeichnung. Ohne CE-Kennzeichnung kein Marktzugang in der EU.
Wen betrifft er und warum fast jedes Produkt dazugehört
Der EU Cyber Resilience Act betrifft alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Auch Unternehmen außerhalb der EU, die Produkte auf dem europäischen Markt vertreiben wollen, sind verpflichtet, den CRA zu erfüllen.
Bei kommerziellem Einsatz sind auch Open-Source-Produkte und -komponenten betroffen. Der CRA gilt für alle Produkte, die nach seinem Inkrafttreten auf dem EU-Markt in Verkehr gebracht werden. Bereits zuvor in Umlauf gebrachte Produkte sind nicht betroffen, solange keine wesentlichen Änderungen vorgenommen werden.
Explizit ausgenommen vom Anwendungsbereich
- Kraftfahrzeuge, Kraftfahrzeugteile, Luftfahrzeuge und deren Bestandteile
- Medizinische Geräte
- Produkte für die nationale Sicherheit / Militär
- Produkte für die Verarbeitung von Verschlusssachen
Inkrafttreten und Übergangsfristen
Der Cyber Resilience Act tritt 20 Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Für Unternehmen beginnt damit eine gestaffelte Umsetzungsphase. Die Übergangszeit sollte gezielt genutzt werden, um Sicherheitsarchitektur, Produktprozesse und Nachweisführung konform aufzustellen.
Fakten auf einen Blick
- Verabschiedung: 13. März 2024 durch das Europäische Parlament
- Inkrafttreten: 10. Dezember 2024 (anschließend 36 Monate Übergangsfrist)
- Ab 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle
- Ab 11. Dezember 2027: Alle CRA-Anforderungen für neu in Verkehr gebrachte Produkte verpflichtend
- Rechtsform: EU-Verordnung (direkt verbindlich, ohne nationale Umsetzung)
- Zielsetzung: Einheitliches Mindestniveau an Cybersicherheit für digitale Produkte
Wen betrifft er und warum fast jedes Produkt dazugehört
Der EU Cyber Resilience Act betrifft alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Auch Unternehmen außerhalb der EU, die Produkte auf dem europäischen Markt vertreiben wollen, sind verpflichtet, den CRA zu erfüllen.
Bei kommerziellem Einsatz sind auch Open-Source-Produkte und -komponenten betroffen. Der CRA gilt für alle Produkte, die nach seinem Inkrafttreten auf dem EU-Markt in Verkehr gebracht werden. Bereits zuvor in Umlauf gebrachte Produkte sind nicht betroffen, solange keine wesentlichen Änderungen vorgenommen werden.
Explizit ausgenommen vom Anwendungsbereich
- Kraftfahrzeuge, Kraftfahrzeugteile, Luftfahrzeuge und deren Bestandteile
- Medizinische Geräte
- Produkte für die nationale Sicherheit / Militär
- Produkte für die Verarbeitung von Verschlusssachen
Diese Anforderungen müssen erfüllt sein
Technische und organisatorische Sicherheitsanforderungen an Produkte:
- Security by Default: Das Produkt muss in einer sicheren Standardkonfiguration auf den Markt gebracht werden.
- Security by Design: Das Produkt wird unter Beachtung der Cybersicherheit konzipiert.
- Vulnerability Management: Schwachstellen müssen in einem Regelprozess behandelt werden. Nur unter bestimmten Voraussetzungen dürfen bekannte Schwachstellen im Produkt enthalten sein.
- Risk Management: Risiken durch Schwachstellen werden analysiert, bewertet und getrackt. Jede Entscheidung über den Umgang mit diesen Risiken ist dokumentationspflichtig.
- Secure Software Development Lifecycle: Das Produkt muss für die gesamte Lebensdauer sicher sein. Das schließt lange Update-Unterstützung, Schutz vor bekannten Schwachstellen aus externen Quellen und automatische oder einfach installierbare Sicherheitsaktualisierungen ein.
Diese Infrastrukturen brauchst du
Der CRA verlangt Sicherheit entlang des gesamten Produktlebenszyklus. Das gelingt nur, wenn Unternehmen passende Infrastrukturen aufbauen. Sie sichern die Umsetzung technischer und organisatorischer Anforderungen und schaffen die Grundlage für dauerhafte Compliance.
Infrastruktur für Dokumentation und Transparenz
- Erstellung und Pflege einer SBOM (Software Bill of Materials / Software-Stückliste)
- Technische Dokumentation
- Risikoanalysen und Risikomanagement
- Kundeninformationen und Anwendungshinweise
- Meldeprozesse gegenüber Behörden wie der ENISA
Infrastruktur für Schwachstellenmanagement
- Schwachstellen müssen ohne Zeitverzug identifiziert, priorisiert und behoben werden.
- Sicherheitslücken, die von außen gemeldet werden, erfordern eine strukturierte und dokumentierte Reaktion (Incident Response).
- Informationen über behobene Schwachstellen müssen öffentlich nachvollziehbar gemacht werden (Incident Disclosure).
- Sicherheitsupdates müssen sicher, kostenfrei und sofort nach Bereitstellung verfügbar gemacht werden.
Infrastruktur für Sicherheitsprüfungen
- Statische Codeanalyse (SAST)
- Dynamische Tests (DAST)
- Penetrationstests
Infrastruktur für Transparenz und Meldungen
- Bereitstellung klarer Sicherheitsinformationen und Handlungsempfehlungen für Kunden
- Fristgerechte und strukturierte Meldungen an Behörden wie ENISA oder nationale Marktüberwachungsstellen
- Nachvollziehbare und dokumentierte Kommunikationsprozesse für Audit und Nachweisführung
Infrastruktur für Konformitätsbewertung
- Bewertung je nach Risikoklasse
- Selbstbewertung oder externe Prüfung durch notifizierte Stelle
- Nachweis der Konformität und CE-Kennzeichnung
Cyber Resilience Act umsetzen: Diese Schritte sind jetzt wichtig
Die Anforderungen des Cyber Resilience Act sind umfangreich. Mit einem strukturierten Vorgehen lassen sie sich klar priorisieren und umsetzen. Wichtig ist, früh zu klären, welche Produkte betroffen sind, welche Lücken bestehen und welche Maßnahmen notwendig sind. carmasec begleitet Unternehmen entlang des gesamten Prozesses von der Analyse bis zur Umsetzung sicherheitsrelevanter Maßnahmen.
Betroffenheit analysieren
Allgemeine Betroffenheitsanalyse auf Organisationsebene. Produktspezifische Bewertung inklusive Risikoklassifizierung.
Lücken identifizieren
Durchführung einer Gap-Analyse und eines EU CRA Impact Assessments.
Maßnahmen planen
Abgleich mit den Fristen des CRA. Priorisierung nach Kritikalität und verfügbaren Ressourcen.
Umsetzung vorbereiten
Die wichtigsten Maßnahmen für CRA-Compliance:
- Schulungen für relevante Rollen und Fachbereiche
- Aufbau der vollständigen Sicherheitsdokumentation
- Erstellung einer SBOM (Software Bill of Materials)
- Einführung und Verbesserung von Schwachstellenmanagementprozessen
- Integration von Security by Design und Default in Entwicklungsprozesse
- Implementierung automatisierter Sicherheitsprüfungen in CI/CD-Pipelines
- Aufbau von Strukturen für Security Monitoring und Incident Response
- Sicherstellung regelmäßiger, sicherer und kostenloser Sicherheitsupdates
- Durchführung von Security Tests (SAST, DAST, Penetrationstests) nach Bedarf, ergänzt durch Threat-Informed Defense zur Überprüfung der Wirksamkeit gegenüber realen Angriffsmethoden
Nur wer vorbereitet ist bleibt am Markt. Das droht bei Nichteinhaltung des CRA
Der Cyber Resilience Act ist kein Papiertiger. Wer ihn ignoriert oder nur oberflächlich umsetzt, bringt sein Geschäftsmodell in Gefahr. Produkte ohne CRA-Konformität erhalten keine CE-Kennzeichnung und dürfen nicht auf den europäischen Markt. Unternehmen verlieren den Zugang zu Kunden und Umsätzen. Rückrufe und Vertriebsstopps verursachen hohe Kosten und reißen Lücken in Lieferketten und Roadmaps.
Verstöße gegen die Anforderungen führen zu empfindlichen Geldbußen. Die Strafen reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Händler und Importeure zahlen bis zu 10 Millionen Euro oder 2 Prozent.
Hinzu kommt der Vertrauensverlust. Kunden stellen Fragen. Partner springen ab. Behörden schauen genauer hin. Aus einem Compliance-Fehler wird schnell ein Reputationsproblem.
Wer trägt die Verantwortung?
- CISOs: volle Verantwortung für technische Nachweise und ein funktionierendes Schwachstellenmanagement
- CEOs: wirtschaftliche Haftung, strategische Vorsorge
- IT-Leiter:innen: belastbare Prozesse, die das Produkt absichern
Ohne Vorbereitung wird der CRA zum Geschäftsrisiko.
FAQ zum Cyber Resilience Act
Wann tritt der CRA in Kraft?
Der CRA trat am 10. Dezember 2024 in Kraft. Es gibt gestufte Übergangsfristen: Ab 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen. Ab 11. Dezember 2027 müssen alle neuen Produkte vollständig konform sein.
Gilt der CRA auch für mein Produkt?
Ja, wenn Dein Produkt eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netzwerk eingeht und nach Dezember 2024 neu in Verkehr gebracht wird. Ausnahmen: Kraftfahrzeuge, Medizinprodukte, Militär. Im Zweifel gilt: Wenn es vernetzt ist, ist es betroffen.
Wie funktioniert die Konformitätsbewertung?
Die meisten Produkte (Standardkategorie) können sich per Selbstbewertung zertifizieren. Produkte der Klasse I und II erfordern eine externe Prüfung durch eine notifizierte Stelle. Die Einstufung hängt vom Risikopotenzial des Produkts ab.
Was ändert sich beim CE-Kennzeichen?
Die CRA-Konformität ist ab Dezember 2027 Voraussetzung für die CE-Kennzeichnung bei Produkten mit digitalen Elementen. Ohne nachweisbare Compliance kein CE-Zeichen und kein Marktzugang in der EU.
Was ist eine SBOM?
Eine Software Bill of Materials ist die vollständige Auflistung aller Software-Komponenten eines Produkts. Sie ist Pflichtbestandteil der technischen Dokumentation nach CRA, muss maschinenlesbar vorliegen, aber nicht veröffentlicht werden. Sie dient als Frühwarnsystem für Schwachstellen in der Lieferkette.
Wie schnell müssen Vorfälle gemeldet werden?
Bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen: initiale Meldung an ENISA innerhalb von 24 Stunden. Vollständige Meldung mit Details zu Ursache, Auswirkungen und Gegenmaßnahmen innerhalb von 72 Stunden.
Gilt der CRA auch für Hersteller außerhalb der EU?
Ja. Wer Produkte mit digitalen Elementen auf dem EU-Markt vertreiben will, muss den CRA erfüllen, unabhängig vom Unternehmenssitz. Ohne EU-Niederlassung ist die Benennung eines bevollmächtigten EU-Vertreters verpflichtend.
Reicht eine ISO 27001-Zertifizierung als CRA-Nachweis?
Nein. ISO 27001 adressiert das Informationssicherheitsmanagementsystem einer Organisation, nicht die produktspezifischen Anforderungen des CRA. Beide Frameworks ergänzen sich, ersetzen sich aber nicht gegenseitig.
Was ist TID und wie ergänzt es den CRA?
Threat-Informed Defense (TID) ist ein Ansatz, der Security-Maßnahmen an realen Angriffsmethoden ausrichtet. Im CRA-Kontext hilft TID dabei, die Wirksamkeit technischer Maßnahmen wie Penetrationstests und Schwachstellenmanagement gegenüber tatsächlichen Bedrohungsszenarien zu überprüfen.
Wie hilft carmasec bei der Umsetzung?
carmasec begleitet Unternehmen von der Betroffenheitsanalyse über die Gap-Analyse bis zur vollständigen Umsetzung aller CRA-Anforderungen. Das umfasst Risikoklassifizierung, SBOM-Aufbau, Schwachstellenmanagementprozesse, technische Sicherheitsmaßnahmen und Vorbereitung auf die Konformitätsbewertung.
Fazit
Der Cyber Resilience Act ist kein regulatorisches Randthema. Er verändert, wie digitale Produkte entwickelt, dokumentiert und auf den Markt gebracht werden. Wer bis Dezember 2027 nicht vorbereitet ist, verliert den Zugang zum EU-Markt. Das ist keine Drohkulisse, das ist Verordnungstext.
Die gute Nachricht: Die Anforderungen sind planbar. Betroffenheit analysieren, Lücken schließen, Prozesse aufbauen. Wer früh beginnt, vermeidet Zeitdruck, reduziert Haftungsrisiken und schafft Strukturen, die länger halten als eine Übergangsfrist.
Drei Dinge, die du aus diesem Artikel mitnimmst: Der CRA gilt für fast jedes vernetzte Produkt. Die ersten Pflichten greifen bereits ab September 2026. Und Unternehmen, die Schwachstellenmanagement, SBOM und Security by Design jetzt aufbauen, sind compliant und wettbewerbsfähig.
Quellen: EU-Verordnung 2024/2847 (Cyber Resilience Act), Amtsblatt der Europäischen Union, 20. November 2024, BSI TR-03183 Technische Richtlinie Cyber Resilience Requirements, Bundesamt fur Sicherheit in der Informationstechnik, BSI: Cyber Resilience Act, bsi.bund.de/CRA, Europäische Kommission: Cyber Resilience Act, digital-strategy.ec.europa.eu
Wo steht euer Unternehmen?
Wir analysieren eure Ausgangslage, identifizieren Lücken und zeigen euch den effizientesten Weg zu nachweisbarer IT-Sicherheit. Unverbindlich, konkret und auf den Punkt.
Autoren
Noch Fragen?
carmasec Content & Marketing
Wir schreiben über Sicherheitsthemen, die bewegen, und lassen dabei kein Detail aus. Unsere Inhalte entstehen im Zusammenspiel aus Fachexpertise und redaktioneller Sorgfalt. Das Ergebnis: Wissen, das hält, was es verspricht.
Du hast Fragen oder wertvollen Input? Schreib uns.
Cybersicherheit ist keine Geheimwissenschaft und vieles, was Unternehmen für ausreichend halten, schützt im Ernstfall nicht. Aber kein Grund zur Panik: Wer Threat-Informed Defense konsequent anwendet, ist auf der sicheren Seite.
Für CISOs und IT-Security-Teams, die Sicherheitsstrategien entwickeln wollen, die wirklich funktionieren.
Was du nach der Lektüre weißt: Wie Angreifer denken und welche TTPs Ransomware-Gruppen am häufigsten nutzen und wie du CISO- und IT-Ebene mit einer gemeinsamen Methodik zusammenbringst, die Budgets schützt und echte Resilienz schaffst.
4,45 Mio. USD
Ø Schaden eines Datenlecks
weltweit (IBM 2023)
95 %
aller Cyberangriffe beginnen mit
einer vermeidbaren Schwachstelle
#1
Cybervorfälle sind das
Top-Risiko weltweit (Allianz 2025)
Das sind die wirklichen wichtigen Stellschrauben für wirksame Cybersicherheit
Threat Intelligence
So weißt du, welche Angreifer dein Unternehmen ins Visier nehmen – bevor sie es tun.
TTPs kennen
Angreifer nutzen immer wieder dieselben Techniken. Wer sie kennt, kann sie stoppen.
Pentests & Simulation
Deine Security-Lösung ist nur so gut, wie sie konfiguriert ist. So findest du heraus, ob sie im Ernstfall wirklich greift.
CISO & IT zusammenbringen
Zwei Ebenen, eine Sprache. Ohne gemeinsame Priorisierung verpuffen Maßnahmen – so vermeidest du das.
Budget richtig einsetzen
Security-Budget auf Zuruf? Schlechte Idee. Wir zeigen dir, wie jeder Euro dort wirkt, wo echte Bedrohungen sind.
Defensive Measures
Technisches Know-how ist wichtig – aber nur gezielte Maßnahmen an den richtigen Stellen schaffen echte Resilienz.
Warum du dieses Playbook brauchst, um deine Cybersicherheit wirklich zu verbessern:
- Erfahre, welche Angriffstechniken Ransomware-Gruppen gerade einsetzen – und an welchen Stellen deine Verteidigung wirklich ansetzen muss.
- Lerne, wie du mit Threat-Informed Defense schnell erkennst, wo deine größten Schwachstellen liegen – ohne neue Tools zu kaufen.
- Du erhältst erprobte Strategien aus realen TID-Projekten, die wir bei Unternehmen im gehobenen Mittelstand erfolgreich umgesetzt haben.
- Du erhältst die 10 häufigsten Ransomware-TTPs, die für den Großteil aller erfolgreichen Angriffe verantwortlich sind – mit konkreten Gegenmaßnahmen.
- Wir zeigen dir, wie CISOs und IT-Security-Leitung mit einer gemeinsamen Methodik endlich an einem Strang ziehen – und Budgets dort einsetzen, wo sie wirklich schützen.
Über die Autoren
Timm Börgers
Managing Partner & Trusted Advisor
Als Managing Partner & Trust Adviasor von carmasec und studierter IT-Sicherheitsexperte der Ruhr-Universität Bochum begleitet Timm Unternehmen im gehobenen Mittelstand auf dem Weg zu nachhaltiger Cyberresilienz – von der Strategie bis zur Umsetzung. Mit carmasec hat er eine der führenden Cybersicherheitsberatungen im deutschsprachigen Raum aufgebaut, die DAX-Konzerne und Mittelstand gleichermaßen sicher durch komplexe Security-Herausforderungen steuert.
Pascal Waffenschmidt
Security Consultant
Als Informatiker mit Masterabschluss der Universität Bonn und ehemaliger Werkstudent beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ist Pascal Waffenschmidt einer der gefragtesten Offensive-Security-Experten bei carmasec. Er führt Red Teaming Assessments, Penetrationstests und Angriffssimulationen durch und zeigt Unternehmen damit, was Dashboards und Zertifikate verbergen: wo sie wirklich verwundbar sind.
Noch Fragen?
carmasec Content & Marketing
Wir schreiben über Sicherheitsthemen, die bewegen, und lassen dabei kein Detail aus. Unsere Inhalte entstehen im Zusammenspiel aus Fachexpertise und redaktioneller Sorgfalt. Das Ergebnis: Wissen, das hält, was es verspricht.
Du hast Fragen oder wertvollen Input? Schreib uns.
Roundtable | 24.Juli 2025 | 11:00 Uhr | Online (60 Min.)
Deine Sicherheitsstrategie ist nur so stark wie dein Wissen über den Gegner. Wer verstehen will, wie Angreifer wirklich vorgehen und wo das eigene Unternehmen angreifbar ist bekommt beim carmasec Roundtable genau das: wertvolle Insights, keine Buzzwords und die 10 häufigsten Schwachstellen.
Sichere dir echtes Angreiferwissen und Quick-Wins für deinen Security-Alltag.
Das erwartet dich:
- Ein anderer Blick auf deine IT-Security und wie man Budgets zielführender einsetzen kann
- Wie man Cybersecurity Maßnahmen besser und realitätsnäher priorisiert
- Kompakte Impulse von Ethical Hackern & Security-Expert:innen
- Strategie- und Praxis-Tipps zu Angreifer-Taktiken, Schwachstellenpriorisierung und Verteidigungslogik
- Quick-Wins zur Verbesserung deiner Sicherheitslage, sofort umsetzbar für dich und dein Team
- Offene Diskussionsrunde mit anderen IT- und Security-Profis aus verschiedenen Branchen
Für wen ist das Event gemacht?
Für alle, die Cybersecurity nicht nur verwalten, sondern gestalten möchten. Egal, ob du strategisch entscheidest oder tief in der Technik steckst – wenn du Verantwortung für Sicherheit trägst und wissen willst, was im Ernstfall wirklich schützt, bist du hier richtig.
Warum du dich jetzt anmelden solltest?
Um den intensiven Austausch und die besondere Atmosphäre zu gewährleisten, ist die Teilnehmerzahl begrenzt. Registriere dich jetzt und sichere dir einen der limitierten Plätze für diesen exklusiven Roundtable.
Jetzt registrieren
Know how aus der Praxis
Unsere Expert:innen, Pascal Waffenschmitt und Timm Börgers, geben dir konkrete Beispiele, Tipps und hilfreiche Learnings aus dem Alltag der Angreifenden.
Pascal Waffenschmidt
Security Consultant
Timm Börgers
Managing Partner & Trusted Advisor
Content Snacks für deine Cybersecurity
Keine langen Slides, kein Monolog, sondern klare Antworten auf echte Fragen.
Netzwerk erweitern & mitdenken
Tausche dich mit IT- und Security-Expert:innen aus verschiedenen Branchen aus. Wenn du willst, lernst du beim offenen Austausch neue Perspektiven kennen oder bleibst fokussiert im Deep Dive.
Passwörter sind bis heute die am weitesten verbreitete Methode zum Schutz digitaler Zugänge. Doch in der heutigen Zeit werden sie zunehmend zur Schwachstelle: Phishing, Datenlecks, Brute-Force-Angriffe und die Wiederverwendung von Passwörtern lassen herkömmliche Authentifizierungssysteme immer mehr zum Sicherheitsrisiko werden.
Passwörter stellen zudem eine organisatorische Belastung dar – von den wiederkehrenden IT-Support-Anfragen bis hin zur Durchsetzung komplexer Passwort-Richtlinien und dem aufwändigen Einsatz von Passwortmanagern.
Mehr Sicherheit, mehr Komfort: Deshalb sind Passkeys die bessere Wahl für dein Unternehmen
Passkeys gewinnen als sichere und komfortable Alternative zu klassischen Passwörtern zunehmend an Popularität. Sie werden von großen Technologieplattformen wie Google, Apple und Microsoft aktiv unterstützt und auch immer mehr SaaS-Lösungen und Business-Tools integrieren Passkeys nativ in ihre Anwendungen. Prognosen gehen davon aus, dass Passkeys in den nächsten Jahren zum Standard in der Authentifizierung werden.
Was sind Passkeys und wie funktionieren sie?
Passkeys basieren auf der Public-Key-Kryptografie. Die Technologie ist erprobt und bietet ein hohes Maß an Sicherheit. Anstelle eines Passworts wird ein digitales Schlüsselpaar verwendet:
- Der private Schlüssel wird sicher auf dem Gerät des Nutzers gespeichert.
- Der öffentliche Schlüssel verbleibt beim Dienstanbieter.
Bei der Anmeldung erzeugt der Dienstanbieter eine kryptografische Challenge, die mit dem privaten Schlüssel signiert wird. Der öffentliche Schlüssel überprüft die Signatur und gewährt bei Übereinstimmung den Zugriff.
Warum sind Passkeys sicherer als herkömmliche Passwörter?
- Keine zentrale Speicherung: Passkeys eliminieren das Risiko von Datenlecks, da sensible Informationen wie Passwörter nicht in zentralen Datenbanken gespeichert werden müssen.
- Phishing-Resistenz: Selbst wenn Nutzer auf gefälschte Webseiten gelangen, können Passkeys nicht abgefangen oder missbraucht werden.
- Schutz vor Man-in-the-Middle-Angriffen: Die kryptografische Signatur verhindert, dass sich Angreifer zwischen Nutzer und Dienstanbieter schalten können.
Warum sind Passkeys benutzerfreundlicher?
- Kein Passwort merken oder eingeben: Passkeys eliminieren die Notwendigkeit, sich komplexe Passwörter zu merken oder manuell einzugeben, da die Authentifizierung automatisch über das Gerät erfolgt.
- Schnelle und einfache Anmeldung: Die Anmeldung erfolgt über eine biometrische Bestätigung (Gesichtserkennung, Fingerabdruck) oder eine einfache PIN, wodurch der Anmeldevorgang deutlich beschleunigt wird.
- Automatische Synchronisierung: Passkeys werden sicher auf dem Gerät gespeichert und können über vertrauenswürdige Cloud-Dienste plattformübergreifend synchronisiert werden, so dass sie jederzeit verfügbar sind.
Passkeys und Compliance
- DSGVO-Konformität: Passkeys unterstützen Unternehmen bei der Einhaltung der DSGVO, da keine persönlichen Passwörter gespeichert werden.
- Einhaltung von Sicherheitsstandards: Durch den Einsatz von Passkeys werden Standards wie ISO 27001 in den Bereichen Authentifizierung und Zugangskontrolle unterstützt.
- Branchenspezifische Vorteile: Besonders Branchen mit hohen Sicherheitsanforderungen wie der Finanzsektor oder das Gesundheitswesen profitieren von den Sicherheitsvorteilen der Passkeys.
Indem du auf Passkeys wechselst, kannst du Sicherheitsrisiken reduzieren, Kosten senken und den Arbeitsalltag deiner Kolleg:innen vereinfachen.
Du möchtest wissen, wie Passkeys deine IT-Sicherheit verbessern können?
Wie kannst du Passkeys erfolgreich in dein Unternehmen integrieren?
Die Einführung von Passkeys erfordert eine durchdachte Strategie, um technische Hürden zu überwinden und die Nutzerakzeptanz zu fördern. Wichtige Aspekte sind dabei:
Technische Integration:
Ältere Systeme unterstützen oft keine passwortlose Authentifizierung. Hier können Middleware-Systeme helfen, Passkeys in bestehende IT-Umgebungen einzubinden. Langfristig empfiehlt sich der Aufbau einer FIDO2-kompatiblen Infrastruktur.
Interoperabilität:
Passkeys müssen auf unterschiedlichen Geräten und Plattformen nahtlos funktionieren. Standards wie FIDO2 und die Unterstützung großer Anbieter erleichtern die Umsetzung.
Nutzerakzeptanz:
Viele Nutzer empfinden den neuen Login-Prozess anfangs als „zu einfach“ und unsicher. Hier hilft eine klare Kommunikation und Aufklärung über die Vorteile von Passkeys, z.B. in Form von regelmäßigen Schulungen.
Backup-Lösungen:
Passkeys sind oft gerätegebunden – Dein Unternehmen sollte hierfür Alternativen bereitstellen. Möglichkeiten hierfür sind Zweitgeräte, Recovery-Codes oder Cloud-Synchronisierung.
Eine Hybridlösung aus Passkeys und klassischen Authentifizierungsverfahren kann den Übergang erleichtern und die Sicherheit schrittweise erhöhen.
Unser Fazit: Passkeys sind ein strategischer Vorteil für dein Unternehmen
Passkeys bieten Unternehmen klare strategische Vorteile in der modernen Authentifizierung:
- Höhere Sicherheit & Compliance: Passkeys minimieren Cyberrisiken, erleichtern die Einhaltung von Compliance-Vorgaben und schützen Unternehmen vor Cyber-Bedrohungen.
- Kostensenkung & Effizienz: Weniger Passwort-Resets entlasten den IT-Support, sparen Kosten und steigern die Produktivität, da Mitarbeitende nicht durch vergessene Passwörter ausgebremst werden.
- Einfache Implementierung ohne zusätzliche Kosten: Passkeys funktionieren mit vorhandener Hardware wie Laptops und Smartphones, so dass keine teuren Hardware- oder Software-Token benötigt werden.
Für IT-Leiter und CISOs ist die Einführung von Passkeys eine strategische Entscheidung, um das Unternehmen langfristig abzusichern. Sie reduzieren Angriffsflächen, verbessern die Benutzerfreundlichkeit und sorgen für eine zukunftssichere Authentifizierungsstrategie.
Ausblick: Die Zukunft ist passwortfrei
Die Entwicklung geht eindeutig in Richtung einer durchgängigen, passwortlosen Identifikation. Unternehmen, die frühzeitig auf Passkeys setzen, profitieren von erhöhter Sicherheit, reduzierten IT-Kosten und einer verbesserten Nutzerfahrung. Passwortlose Accounts werden bald Standard sein – und Passkeys sind der Schlüssel zu dieser Zukunft.
Wie sieht die Passkeys-Strategie für dein Unternehmen aus?
Möchtest du mehr über Passkey und die Integration in deine Systeme wissen?
Ein Abend, bei dem der offene Austausch im Mittelpunkt steht.
Am 26. Juni 2025 treffen sich in Köln Menschen aus der IT Security mit unterschiedlichen Hintergründen. Was sie verbindet, ist die geteilte Überzeugung, voneinander zu lernen, Themen offen zu besprechen und persönliche Kontakte zu vertiefen.
Tauche ein in die Welt der Cybersicherheit und werde Teil einer wachsenden Community.
Beim nächsten friends of carmasec Event erwarten dich anregende Gespräche, neue Denkanstöße und viele Gelegenheiten, dich mit anderen zu vernetzen – in einer offenen und persönlichen Atmosphäre..
Ablauf:
Ablauf:
18:00 Uhr: Treffen und Networking in unseren Büroräumen
18:45 Uhr: Gemeinsamer Wechsel in ein Restaurant (Details folgen)
19:00 Uhr: Abendessen und Austausch in entspannter Atmosphäre
Was erwartet dich bei unseren Events?
Unsere Treffen sind die perfekte Gelegenheit, um:
- Dich mit Cyber Security-Expert:innen und Gleichgesinnten auszutauschen.
- Neue Perspektiven und Impulse für Deine Arbeit zu gewinnen.
- Wertvolle Kontakte in einer Community zu knüpfen, die bereits über 100 Mitglieder zählt.
Sicherheit, die funktioniert – Strategien, Best Practices und Fehler, die du vermeiden solltest
Die Cloud bietet viele Chancen – wenn man sie sicher nutzt. Ohne klare Regeln und Schutzmaßnahmen entstehen Sicherheitslücken, hohe Kosten oder Datenverluste.
In unserer Webinarreihe erfährst du, wie du die AWS Cloud von Grund auf sicher aufbaust, typische Fehler vermeidest und deine Cloud-Strategie nachhaltig absicherst.
AWS Cloud Security Essentials Teil 2:
Compliance & Cloud Governance
Datum: 19.03.2025
Uhrzeit: 11:00 – 11:45 Uhr
Speaker: Senior Security Consultant Dominik Sturm
Wie sorgst du in Deiner AWS Cloud für Governance und Compliance?
Viele Unternehmen denken: „Die Cloud Service Provider kümmern sich um Sicherheit, ich muss nichts tun.“ Doch ohne klare Prozesse und Regeln kann es schnell kritisch werden.
In diesem Webinar erfährst du:
- Welche Compliance-Vorgaben du auch in der Cloud beachten musst
- Wie du den für dein Unternehmen passenden Cloud Dienstleister findest
- Wie du dein Unternehmen vor Datenverlust schützt
- Warum Backups und eine Exit-Strategie wichtig sind
Dein Mehrwert:
Wir zeigen, wie du Verantwortlichkeiten klärst und vermeidest, dass dir Sicherheitsrisiken oder rechtliche Probleme später auf die Füße fallen.
Sicherheit, die funktioniert – Strategien, Best Practices und Fehler, die du vermeiden solltest
Die Cloud bietet viele Chancen – wenn man sie sicher nutzt. Ohne klare Regeln und Schutzmaßnahmen entstehen Sicherheitslücken, hohe Kosten oder Datenverluste.
In unserer Webinarreihe erfährst du, wie Du die AWS Cloud von Grund auf sicher aufbaust, typische Fehler vermeidest und deine Cloud-Strategie nachhaltig absicherst.
AWS Cloud Security Essentials Teil 1:
Wie baue ich eine sichere AWS-Umgebung auf?
Datum: 05.03.2025
Uhrzeit: 11:00 – 11:45 Uhr
Speaker: Information Security Consultant Robin Südkamp
Viele Unternehmen nutzen AWS, ohne sich Gedanken über Sicherheit zu machen. In diesem Webinar erklären wir, was eine Landing Zone ist, wie du Managed Services integrierst und mit welchen Tools du eine stabile, sichere Cloud Umgebung aufbaust.
Das nimmst du mit:
- Wie eine klare Cloud-Architektur aussieht
- Welche Sicherheitsmechanismen du von Anfang an brauchst
- Wie du Security Tools richtig einrichtest
Dein Mehrwert:
Lerne Strategien und Tools kennen, mit denen du deine AWS Cloud von Anfang an sicher gestaltest.
Sicherheit, die funktioniert – Strategien, Best Practices und Fehler, die du vermeiden solltest
Die Cloud bietet viele Chancen – wenn man sie sicher nutzt. Ohne klare Regeln und Schutzmaßnahmen entstehen Sicherheitslücken, hohe Kosten oder Datenverluste.
In unserer Webinarreihe erfährst du, wie du die AWS Cloud von Grund auf sicher aufbaust, typische Fehler vermeidest und deine Cloud-Strategie nachhaltig absicherst.
AWS Cloud Security Essentials Teil 3:
Risks, Fuckups & Best Practices
Datum: 02.04.2025
Uhrzeit: 11:00 – 11:45 Uhr
Speaker: Senior Security Consultant Patrick Brooks
Welche Fehler können in der AWS-Cloud passieren – und wie kannst du sie verhindern?
Viele Unternehmen stolpern über die gleichen Probleme:
- Zu viele Berechtigungen → Ungewollte Sicherheitslücken
- Falsch konfigurierte Dienste → Teure Überraschungen
- Unklare Verantwortlichkeiten → Sicherheitsrisiken
Dein Mehrwert:
Wir zeigen dir anhand realer Fälle, was in der AWS Cloud schiefgehen kann – und wie du es von Anfang an besser machst.
Mit Hilfe einer Live Demo und unseren Best Practices weißt du, wie du deine AWS-Umgebung absicherst und typische Fehler vermeidest.
Unser Team besteht aus vielen unterschiedlichen Charakteren mit spannenden Karrierewegen. Heute stellen wir Euch unsere Kollegin Stefanie Koß vor. Im Interview sprachen wir mit dem Multitalent über ihren Karriereweg, den Wechsel aus der Wissenschaft in die Beratung und fragten, was sie antreibt.
Hallo Stefanie. Zunächst würden wir gerne wissen: Was treibt dich an?
Ich bin ein Mensch, der sich schnell für viele Dinge begeistern kann. Besonders interessieren mich alle Sportarten, die mit einem Ball zu tun haben. Ich habe zum Beispiel schon früh mit Tischtennis angefangen und war auch Trainerin im Verein und im Hochschulsport.
Generell interessierte ich mich dafür, wie Dinge funktionieren. In letzter Zeit habe ich mich mehr mit dem Küchenbau beschäftigt. Ich hatte immer mehr Ideen, wie die Küche besser nach meinen Wünschen gebaut werden könnte und wollte diese auch selbst umsetzen können. Ähnlich verhält es sich mit meinem Fahrrad, das ich gerne als Fortbewegungsmittel benutze und gelegentlich reparieren muss. Außerdem spiele ich sehr gerne Gesellschaftsspiele mit meinen Freund:innen und singe gerne im Chor.
Wie bist du zur IT-Sicherheit gekommen?
Eigentlich durch einen Zufall. Ich habe mein Informatikstudium in Aachen mit einem Master abgeschlossen. Während des Studiums habe ich mich hauptsächlich mit Themen der theoretischen Informatik beschäftigt. Meinen ersten Kontakt zur IT-Sicherheit hatte ich während eines Auslandssemesters in Edinburgh. Dort belegte ich das Fach Computer Security. Besonders begeisterten mich die vielen praktischen Übungen. Nach dem Studium nahm ich zunächst eine Stelle am Fraunhofer-Institut für Sichere Informationstechnologie an. Dort arbeitete ich unter anderem an der Weiterentwicklung und Optimierung eines Schwachstellenscanners, der mittels statischer Analyse Sicherheitslücken in Android-Apps und Java-Anwendungen findet – mein Interesse an der IT-Security war geweckt.
Was hat dich dazu bewogen in die Industrie zu gehen?
Ich wollte neue Erfahrungen sammeln, vor allem eigene Projekte entwickeln und mit unterschiedlichen Menschen zusammenarbeiten. Am Anfang wusste ich nicht genau, in welche Richtung ich gehen wollte. Ich konnte mir mehrere Möglichkeiten vorstellen: Softwareentwicklerin, etwas explizit mit IT-Sicherheit oder sogar eine Lehrtätigkeit.
Wie hast du deine Entscheidung schlussendlich getroffen?
Ich habe mich im Internet informiert und bin auf den Beruf des Consultant gestoßen. Das hat mir sofort gefallen, weil ich an verschiedenen Kundenprojekten arbeiten und unterschiedliche Branchen kennenlernen kann. Außerdem suchte ich einen Job, den ich mit meinem Interesse für IT-Sicherheit und Projektmanagement verbinden konnte.
Wieso hast du dich für die carmasec entschieden?
Bei carmasec kann ich mich nach meinen Wünschen weiterentwickeln und an verschiedenen Themen arbeiten. Als Beraterin finde ich es wichtig, dass man nicht einfach irgendeinen Kunden oder irgendein Projekt zugeteilt bekommt, sondern dass es zu einem passt und einen interessiert. Genau das bekomme ich hier geboten.
Weißt du schon, was die Zukunft für dich bereithält?
Aktuell habe ich noch keine langfristigen Pläne. Im Moment konzentriere ich mich weiterhin auf das Projektmanagement. Ich kann mir aber auch vorstellen, Abschlussarbeiten zu betreuen und möchte mich auch noch tiefer in das Informationssicherheitsmanagement einarbeiten. Generell möchte ich noch viel lernen und sehen.
Wir beschäftigen uns viel mit dem Thema Diversität und wir wissen bereits, dass Frauen in technischen Berufen unterrepräsentiert sind. Gibt es negative Erfahrungen die du machen musstest?
Bisher habe ich keine großen negativen Erfahrungen gemacht. Ich finde es aber schade, wenn veraltete Phrasen wie “die Jungs aus der IT” verwendet werden. Damit werden definitiv nicht alle Menschen angesprochen und das vermittelt ein falsches Bild. Ich habe auch schon erlebt, dass manche Leute ihren normalen Sprachgebrauch ändern, nur weil ich im Raum bin. Mein Tipp: Wenn Ihr wollt, dass sich die Personen in Eurem Umfeld mit Euch wohlfühlen, reflektiert gelegentlich Euren eigenen Sprachgebrauch.
Danke für das Interview!
Wachsen, wo Sicherheit mehr als ein Job ist.
Wir denken Cybersicherheit weiter. Aus Begeisterung, aus Neugier, aus Überzeugung. Bei carmasec hat jede:r die Möglichkeit, sich auszuprobieren, Verantwortung zu übernehmen und dabei ein Team im Rücken zu haben. Wir begegnen uns auf Augenhöhe, mit Vertrauen, Transparenz und dem gemeinsamen Ziel, wirklich etwas zu bewegen.
Das carmasec-Redaktionsteam erläutert in diesem Beitrag, warum es sinnvoll sein kann, gezielt Ausnahmen für Sicherheitssysteme wie IPS und WAFs mittels Allow Listing zu definieren und wie diese Methode Pentester:innen ermöglicht, effizient und störungsfrei zu arbeiten.
Wann ist der Einsatz von Allow Lists bei Pentests sinnvoll?
Wenn ein Penetrationstest ansteht, taucht schnell die Frage auf: Soll die IP-Adresse der Pentester auf eine „Allow List“ gesetzt werden, um Systeme wie Intrusion Prevention Systeme (IPS) oder Web Application Firewalls (WAFs) zu umgehen? Meine Erfahrung zeigt: Das kann die Testergebnisse nicht nur präziser, sondern auch wertvoller machen.
In diesem Beitrag zeigen wir dir, wann es sinnvoll ist, Pentester:innen die üblichen Sicherheitsbarrieren gezielt überspringen zu lassen.
Eine Einordnung: Welche Aufgabe haben IPS und WAFs und warum können sie einen Pentest verzögern?
IPS-Systeme und WAFs sollen Angriffe erkennen und blockieren – etwa durch die Erkennung von Port-Scans, SQL-Injections oder massenhaften automatisierten Anfragen. Wenn diese Systeme eine als „verdächtig“ eingestufte Aktivität aufspüren, reagieren sie oft mit einer Drosselung des Datenverkehrs oder der Sperrung der Quell-IP-Adresse, manchmal für eine gewisse Zeit – manchmal sogar komplett. Im Alltag ist dies ein erwünschtes Verhalten. Im Falle eines Pentests können diese Sicherheitsmaßnahmen jedoch das eigentliche Testziel stark beeinträchtigen.
Zeit ist der entscheidende Faktor
IPS und WAFs sind darauf ausgelegt, Angreifer abzuwehren und dir Zeit zu verschaffen, bei einem Angriff angemessen zu reagieren. Doch bei einem Penetrationstest können diese Schutzmaßnahmen den Ablauf erheblich stören. Ein Security Assessment ist auf ein festes Zeitfenster begrenzt. Erkennen die Security-Systeme Pentester fälschlicherweise als Angreifer, könnten beispielsweise ihre IP-Adressen blockiert werden. Das führt zu Verzögerungen im Testablauf, wodurch Schwachstellen übersehen werden und die Effizienz des Tests sinkt.
Am Ende zahlst du als Kunde für ein Assessment, das nicht sein volles Potenzial entfalten konnte.
Bei realen Angriffen hingegen haben die Hacker alle Zeit der Welt. Sie können ihre Aktionen verlangsamen und ein paar Anfragen über Tage oder Wochen hinweg senden, um unentdeckt zu bleiben.
Eine Allow List ermöglicht es den Pentestern, ohne Unterbrechung zu arbeiten und Schwachstellen direkt und effizient zu analysieren. So bleibt der Fokus auf der eigentlichen Aufgabe: Deine Systeme auf Herz und Nieren zu prüfen.
Der Testfokus liegt auf deinen Systemen, nicht auf der Sicherheitsperipherie
In den meisten Fällen hat ein Pentest zum Ziel, die Sicherheit deiner Applikationen oder Infrastruktur zu überprüfen – nicht die vorgelagerten IPS- oder WAFs-Systeme. Diese Schutzmaßnahmen erschweren es Angreifern, in dein System einzudringen.
Pentester, die direkten Zugriff haben, können deine tatsächlichen Assets auf Schwachstellen testen – und nicht nur die Security-Systeme davor.
Natürlich kann das Testen von IPS oder WAFs selbst sinnvoll sein, aber das ist ein gesondertes Ziel, das separat beauftragt und im Scope entsprechend festgehalten werden sollte.
Sind Allow Lists auch für interne Pentests sinnvoll?
Allow Lists sind nicht nur für externe Pentests nützlich. Auch bei internen Tests kann es sinnvoll sein, einzelne Ordner oder Systeme für Antivirenprogramme (AV) und für die Endpoint Detection and Response Systeme (EDR) gezielt auszuschließen. Das hängt vom Testziel ab: Wenn du beispielsweise Deine SIEM-Erkennungsmechanismen oder die Reaktion auf Sicherheitsvorfälle evaluieren möchtest, kannst du mit Allow Lists wertvolle Zeit sparen, da sich deine Pentester auf die wesentlichen Aufgaben konzentrieren können.
Du hast Fragen zu unseren Pentest-Angeboten?
Sicherheit validieren, bevor Angreifende den ersten Schritt setzen. Penetration Testing, Red Teaming und Angriffssimulationen von Senior-Expert:innen, die wissen, wie Hacker denken.