Sicherheitspolitik ist in Deutschland meist ein Tauziehen. Bürgerrechtsorganisationen streiten für Offenlegung, Transparenz und Vorsicht bei staatlichen Hacking-Befugnissen; Industrieverbände für Rechtssicherheit und Haftungsgrenzen. heise berichtet, dass beim Schwachstellenmanagement beide Lager nun dieselbe Forderung erheben.
Schwachstellenmanagement ist die unspektakuläre Disziplin, die entscheidet, ob eine bekannte Lücke tatsächlich geschlossen wird: Wer wird informiert, wie schnell, wer ist für das Patchen verantwortlich, wie lange muss ein Produkt unterstützt werden, und was passiert, wenn ein Hersteller schweigt? Hinter einem großen Teil realer Angriffe stehen nicht neue Zero-Days, sondern genau solche Versäumnisse — Angreifer nutzen überwiegend Lücken, die Monate oder Jahre zuvor offengelegt und gepatcht wurden.
Die Annäherung ist aus beiden Richtungen plausibel. Für Bürgerrechtsgruppen sind verpflichtendes, zeitnahes Patchen und klare Offenlegungspflichten Verbraucherschutz: ein ungepatchtes Gerät im Wohnzimmer ist ein Überwachungs- und Betrugsrisiko. Für Bitkoms Mitglieder sind dieselben Regeln ein Weg, die Nachzügler im Markt — billige Hardware ohne Updatepfad — jene Kosten tragen zu lassen, die sie heute auslagern, statt verantwortungsvolle Hersteller gegen sie konkurrieren zu lassen.
Der europäische Hintergrund ist der Cyber Resilience Act, dessen Meldepflichten für aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 greifen und dessen zentrale Pflichten ab dem 11. Dezember 2027 gelten, dazu die nationale Debatte über die Befugnisse des BSI. Was genau gefordert wird, berichtet heise; die Bedeutung liegt darin, dass das Prinzip Security by Design nun von Industrie und Zivilgesellschaft gleichermaßen durchgesetzt statt nur empfohlen haben will.
