Macht der Cyber Resilience Act Penetrationstests zur Pflicht?

Nein — und trotzdem kommt kaum ein Hersteller ohne strukturierte Sicherheitstests aus. Warum beides gleichzeitig stimmt, und welche Frage wirklich zählt.

„Schreibt der Cyber Resilience Act jetzt Penetrationstests vor?“ — diese Frage bekommen wir seit Monaten. Die ehrliche Antwort ist: Nein. Und trotzdem führt für die meisten Hersteller kein Weg an strukturierten Sicherheitstests vorbei. Beides stimmt gleichzeitig — und genau in diesem scheinbaren Widerspruch liegt der Punkt, den viele Unternehmen 2026 noch unterschätzen.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist bewusst methodenneutral. Er nennt keine konkrete Testtechnik — weder „Penetrationstest“ noch „Fuzzing“ noch „DAST“ tauchen als vorgeschriebene Verfahren im verbindlichen Verordnungstext auf. Was er verlangt, ist der Nachweis, dass ein Produkt wirksam getestet wurde. Und den liefert keine […]

Out-of-Band-Management-Systeme gehören in modernen Rechenzentren zur Grundausstattung. Sie erlauben es Administratoren, Server auch dann zu verwalten, wenn das eigentliche Betriebssystem längst nicht mehr reagiert – vom Neustart über Firmware-Updates bis hin zur kompletten Neuinstallation. Jeder Hersteller setzt dabei auf sein eigenes Ökosystem, HP auf „HO Integrated Lights-Out“ (HP iLO), Dell auf „integrated Dell Remote Access Controller“ (iDRAC), und Cisco auf den Cisco Integrated Management Controller (Cisco IMC). Letzteres kommt dabei auf den weit verbreiteten Cisco UCS C-Series Rack-Servern und S-Series Storage-Servern zum Einsatz.

Gerade diese Systeme sind aus Angreifersicht besonders attraktiv: Wer den Management-Controller kontrolliert, sitzt faktisch „unterhalb“ des Betriebssystems. Der IMC kann das BIOS aktualisieren, SecureBoot konfigurieren und damit direkt mit den auf dem Server laufenden Betriebssystemen interagieren. So gesehen, ein Betriebssystem für das Betriebssystem. […]