„Wenn wir die Schwachstelle melden, machen wir sie publik und liefern Angreifern eine Anleitung." Drei Wochen vor dem 11. September 2026 ist das der Satz, der mir in Gesprächen am häufigsten begegnet, oft leise und hinter vorgehaltener Hand. Er ist der Nährboden für die gefährlichste aller CRA-Strategien: im Zweifel lieber schweigen. Zeit, das Missverständnis dahinter aufzulösen.
Was passiert tatsächlich mit einer CRA-Meldung?
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Artikel 14 CRA melden. Der Weg ist klar definiert: Die Meldung wird über die Single Reporting Platform der ENISA (EU-Agentur für Cybersicherheit) eingereicht und geht an das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. In Deutschland ist das das BSI. Die ENISA erhält die Meldung grundsätzlich zeitgleich.
Was der Weg nicht ist: eine Veröffentlichung. Die Meldung landet weder in einer öffentlichen Datenbank noch in einer Pressemitteilung. Empfänger sind Stellen, deren Kerngeschäft der vertrauliche Umgang mit Schwachstelleninformationen ist, und die dafür gesetzlichen Vertraulichkeitspflichten unterliegen.
Der CRA geht sogar noch einen Schritt weiter. Die Verordnung sieht ausdrücklich vor, dass die Weiterverbreitung einer Meldung innerhalb des Behördennetzwerks eingeschränkt werden kann, wenn der Hersteller berechtigte Cybersicherheitsbedenken geltend macht, etwa solange noch keine Korrekturmaßnahme verfügbar ist. Der Gesetzgeber hat das Szenario „Meldung als Angreifer-Anleitung" nicht übersehen, er hat es einkalkuliert und Schutzmechanismen dafür gebaut. Welche Fälle überhaupt meldepflichtig sind und wie die Fristen gestuft sind, habe ich im Praxisleitfaden zur EU-CRA-Meldepflicht und im Beitrag zur 24-Stunden-Frist beschrieben.
Warum Schweigen das eigentliche Risiko ist
Wer aus Reputationsangst nicht meldet, tauscht ein beherrschbares Risiko gegen drei unbeherrschbare:
- Der Compliance-Verstoß ist dokumentiert, und zwar von Ihnen selbst. Monitoring-Alerts, Tickets und interne Mails belegen im Nachhinein präzise, wann die Kenntnis vorlag. Eine unterlassene Meldung lässt sich nicht wegdiskutieren, sie steht in den eigenen Systemen.
- Bußgelder und Marktaufsicht. Verstöße gegen die Meldepflichten sind bußgeldbewehrt, und die Marktüberwachungsbehörden erhalten mit dem CRA scharfe Instrumente bis hin zu Vertriebsbeschränkungen. Die Details habe ich im Artikel zu CRA-Bußgeldern und Sanktionen zusammengefasst.
- Der Kontrollverlust über die Kommunikation. Aktiv ausgenutzte Schwachstellen bleiben selten geheim. Wird die Lücke später durch Sicherheitsforscher, Kunden oder die Presse öffentlich, lautet die Frage nicht mehr „Gab es eine Schwachstelle?", sondern „Warum hat der Hersteller geschwiegen?". Reputationsschutz durch Schweigen funktioniert exakt bis zu dem Tag, an dem jemand anderes redet.
Das Szenario, das mir in der Praxis Sorgen macht: Das Security-Team stellt aktive Ausnutzung fest, bereitet die Frühwarnung vor, und die Geschäftsführung stoppt die Meldung, „um den Ruf zu schützen". Aus einem Sicherheitsvorfall, den Behörden täglich vertraulich begleiten, wird damit ein vorsätzlicher Compliance-Verstoß mit interner Beweislage.
Mythos vs. Fakt
Mythos: Eine CRA-Meldung macht die Schwachstelle öffentlich und erhöht das Risiko für das eigene Produkt.
Fakt: Die Meldung geht vertraulich über die Single Reporting Platform an das zuständige CSIRT und die ENISA. Der CRA enthält ausdrückliche Vertraulichkeitsregeln und erlaubt, die Weiterverbreitung bei berechtigten Sicherheitsbedenken einzuschränken. Das reale Risiko liegt in der Nichtmeldung.
Konkrete Konsequenzen für Ihre Melde-Governance
1. Holen Sie Geschäftsführung und Kommunikation jetzt an den Tisch. Die Frage „Wer erfährt von einer Meldung, intern wie extern?" darf nicht zum ersten Mal während eines laufenden Vorfalls gestellt werden. Klären Sie vorab: Die Behördenmeldung ist vertraulich und fristgebunden, die Kundenkommunikation folgt eigenen Regeln, und beides sind getrennte Entscheidungen.
2. Machen Sie die Meldeentscheidung zur Fristfrage, nicht zur Ermessensfrage. Verankern Sie im Prozess: Liegt ein meldepflichtiger Fall vor, wird gemeldet. Die Freigabe betrifft das Wie, nicht das Ob. Ein Eskalationsweg, der eine Blockade durch einzelne Führungskräfte zulässt, ist kein Prozess, sondern ein dokumentiertes Organisationsversagen in Wartestellung.
3. Nutzen Sie die verbleibenden Wochen für einen Probelauf mit Freigabeweg. Simulieren Sie den vollständigen Ablauf inklusive der Managemententscheidung: von der Feststellung der Kenntnis über die Frühwarnungs-Vorlage bis zur fiktiven Einreichung. Wenn der Probelauf zeigt, dass die Freigabe länger dauert als die Analyse, wissen Sie, wo Ihr eigentliches Problem liegt. Die technische Grundlage, im Ernstfall überhaupt auskunftsfähig zu sein, liefert Ihr Schwachstellenmanagement.
Was bedeutet das für Ihre CRA-Roadmap?
Am 11. September 2026, in drei Wochen, werden die Meldepflichten scharf. Die Vertraulichkeitsfrage ist erfahrungsgemäß der letzte interne Widerstand vor einem funktionierenden Meldeprozess. Räumen Sie ihn jetzt aus.
Am 11. Dezember 2027 folgt die volle CRA-Anwendbarkeit mit Konformitätsbewertung und CE-Kennzeichnung für neu in Verkehr gebrachte Produkte.
Wie beide Stichtage zusammenspielen, zeigt die CRA Compliance-Roadmap 2026/2027.
Häufig gestellte Fragen
Kann die Behörde unsere Meldung an die Öffentlichkeit geben? Die Meldungen unterliegen Vertraulichkeitsregeln. Eine koordinierte Veröffentlichung von Informationen zu einer Schwachstelle erfolgt, wenn überhaupt, im Rahmen der koordinierten Offenlegung, üblicherweise nachdem eine Korrekturmaßnahme verfügbar ist, und nicht als Weitergabe Ihrer Meldung.
Erfahren unsere Wettbewerber von der Meldung? Nein. Die Meldung geht an CSIRT und ENISA, nicht an Marktteilnehmer. Geschäftsgeheimnisse sind in dem Verfahren geschützt.
Was ist mit der Information unserer Kunden? Das ist eine eigene Pflicht mit eigener Logik: Nutzer betroffener Produkte müssen über Risiken und verfügbare Abhilfemaßnahmen informiert werden, typischerweise sobald es etwas Handlungsrelevantes mitzuteilen gibt. Die Behördenmeldung ersetzt die Kundeninformation nicht, und umgekehrt.
Können wir die Weiterverbreitung unserer Meldung wirklich einschränken? Der CRA sieht vor, dass Hersteller berechtigte Cybersicherheitsbedenken geltend machen können, etwa solange kein Patch existiert. Die Entscheidung liegt dann bei den beteiligten Stellen. Es ist ein Schutzmechanismus, kein Vetorecht, aber er adressiert genau die Sorge vor verfrühter Verbreitung.
Gilt die Vertraulichkeit auch für Meldungen über schwerwiegende Vorfälle? Ja, dieselben Grundsätze gelten für beide Meldearten nach Artikel 14.
Fazit
Die CRA-Meldung ist ein vertrauliches Behördenverfahren mit eingebauten Schutzmechanismen, kein öffentlicher Pranger. Wer aus Reputationsangst schweigt, schützt seinen Ruf nicht, er verschiebt den Schaden nur nach hinten und vergrößert ihn. Drei Wochen vor dem Stichtag ist die wichtigste Aufgabe deshalb keine technische, sondern eine kulturelle: die Meldeentscheidung im Unternehmen von der Reputationsfrage zu trennen.
Ein sauber aufgesetzter Meldeprozess mit klaren Freigabewegen, unterstützt von einer Plattform wie Kunnus, hilft dabei, diese Entscheidung systematisch zu verankern, bevor der Stichtag aus der Theorie in die Praxis kippt. Den Einstieg bietet unser kostenloser CRA-Compliance-Check.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.