Cyber Resilience Act: Vereinfachung von Software-Updates mit SLASCONE

Der Cyber Resilience Act (CRA) der Europäischen Union führt neue Cybersicherheitsanforderungen für Software- und Hardwarehersteller ein. Ein wesentlicher Aspekt ist die Verpflichtung, Sicherheitslücken während des gesamten Supportzeitraums eines Produkts zu schließen, wozu auch die Bereitstellung von Sicherheits-Updates für die Nutzer gehört. Für Softwarehersteller stellt sich dabei eine praktische Frage:

Wie können Software-Updates effizient, sicher und mit minimalem Integrationsaufwand an Kunden kommuniziert und bereitgestellt werden?

Mit der Software Shipments-Funktion bietet SLASCONE eine Möglichkeit, Benachrichtigungen über Software-Updates in bestehende Workflows des Lizenzmanagements zu integrieren und so Hersteller bei ihren Software-Wartungs- und Sicherheitsprozessen zu unterstützen.

Was fordert der Cyber Resilience Act?

Der Cyber Resilience Act, offiziell die Verordnung (EU) 2024/2847, legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die auf dem EU-Markt bereitgestellt werden.
Die Verordnung trat im Dezember 2024 in Kraft. Die Pflichten zur Meldung von Schwachstellen und Vorfällen gelten seit dem 11. September 2026, während die Hauptanforderungen am 11. Dezember 2027 verbindlich werden.
Unter seinen Anforderungen legt der CRA besonderen Wert auf das Schwachstellenmanagement und Software-Updates.
Gemäß Anhang I sind Hersteller verpflichtet:

• Schwachstellen unverzüglich zu adressieren und zu beheben, unter anderem durch die Bereitstellung von Sicherheits-Updates.
• Mechanismen für die sichere Verteilung von Updates bereitzustellen, damit Schwachstellen rechtzeitig behoben oder entschärft werden können.
• Sicherheits-Updates unverzüglich und im Regelfall kostenlos zur Verfügung zu stellen, zusammen mit relevanten Informationen für die Nutzer.
• Sicherheits-Updates getrennt von Funktions-Updates bereitzustellen, sofern dies technisch machbar ist.

Diese Anforderungen unterstreichen, wie wichtig es ist, zuverlässige Prozesse für die Kommunikation, Verteilung und Verwaltung von Software-Updates zu etablieren.

Für Hersteller, die Desktop-Anwendungen, industrielle Software oder andere in Kundenumgebungen installierte Produkte entwickeln, kann die Verwaltung dieser Prozesse über eine potenziell große installierte Basis hinweg eine Herausforderung darstellen.

Die Herausforderung: Kunden mit Software-Updates erreichen

Im Gegensatz zu zentral verwalteten SaaS-Anwendungen läuft traditionell vertriebene Software in Umgebungen, die von den Kunden kontrolliert werden. Softwarehersteller können nicht immer feststellen, wann eine Anwendung aktualisiert wird oder ob ein Kunde eine ältere Version mit bekannten Schwachstellen verwendet.
Selbst wenn ein Sicherheits-Update entwickelt und veröffentlicht wurde, kann die Kommunikation seiner Verfügbarkeit zusätzliche Infrastruktur erfordern. Hersteller implementieren oft eigene Mechanismen zur Update-Prüfung, unterhalten separate Verteilungsdienste oder verlassen sich auf manuelle Kundenbenachrichtigungen. Gleichzeitig müssen sie kommerzielle Lizenzregeln, Wartungsverträge und Softwareversions-Entitlements berücksichtigen.
Idealerweise sollte das Management von Software-Updates in einen bestehenden Workflow integriert werden, anstatt ein weiteres eigenständiges System zu erfordern.

Wie SLASCONE Software Shipments helfen kann

SLASCONE kombiniert Software-Lizenzierung und Entitlement Management mit Funktionen zur Verwaltung von Software-Releases und Shipments. Die Software Shipments-Funktion ermöglicht es Herstellern, herunterladbare Softwarepakete mit Software-Releases zu verknüpfen und die entsprechenden Informationen über die SLASCONE API verfügbar zu machen.

Der entscheidende Vorteil ist die Integration in den regulären License Heartbeat.

Wann immer eine Anwendung einen License Heartbeat durchführt, kann SLASCONE signalisieren, ob ein neueres Software Shipment verfügbar ist. Die API-Antwort enthält relevante Informationen wie die Softwareversion, Beschreibung, Download-URL und optionale benutzerdefinierte Eigenschaften.

Es sind keine zusätzlichen API-Anfragen erforderlich, um diese Informationen abzurufen.

Dies ermöglicht es Softwareherstellern, Update-Benachrichtigungen direkt in einen etablierten Lizenzierungs-Workflow zu integrieren.

Ein praktisches Beispiel

Stellen Sie sich einen Softwarehersteller vor, der eine Desktop-Anwendung an mehrere hundert Unternehmenskunden vertreibt. Der Hersteller identifiziert eine Schwachstelle, bereitet eine aktualisierte Anwendungsversion vor und veröffentlicht das entsprechende Installationspaket. Mit SLASCONE kann der Hersteller ein Software Shipment erstellen, das die Informationen zur neuen Version, eine Download-URL und zusätzliche Details wie Release Notes enthält.

Wenn ein Kunde die Anwendung startet oder der nächste License Heartbeat erfolgt, kann SLASCONE Informationen zurückgeben, die darauf hinweisen, dass ein neueres Shipment verfügbar ist. Die Client-Anwendung kann diese Informationen dann nutzen, um den Benutzer zu benachrichtigen und den Zugriff auf das Update zu ermöglichen. Der eigentliche Download, die Integritätsprüfung und die Installation bleiben unter der Kontrolle des Softwareherstellers und seiner Anwendung. Für Hersteller, die SLASCONE bereits nutzen, kann dieser Ansatz den Aufwand für die Einführung von Software-Update-Benachrichtigungen erheblich reduzieren.

Kombination von Update-Management und Software-Lizenzierung

Bei Software-Updates geht es nicht ausschließlich um Sicherheit. Sie sind auch eng mit der kommerziellen Lizenzierung und Software-Wartungsverträgen verknüpft. SLASCONE ermöglicht es Herstellern, Software Release Limitations zu definieren, die festlegen, für welche Software-Releases eine bestimmte Lizenz berechtigt ist. Software Shipments lässt sich in diese Beschränkungen integrieren, sodass die Plattform das neueste verfügbare Shipment innerhalb des zulässigen Release-Umfangs zurückgeben kann.
Dies macht es möglich, Informationen zu Software-Updates zusammen mit bestehenden Lizenzrichtlinien zu verwalten.

Der Cyber Resilience Act führt jedoch eine wichtige Überlegung ein:

Sicherheits-Updates dürfen nicht unnötig durch kommerzielle Upgrade-Richtlinien eingeschränkt werden.

Hersteller sollten sicherstellen, dass ihre Update-Strategie es den Nutzern ermöglicht, die gemäß CRA erforderlichen Sicherheits-Fixes zu erhalten – auch dann, wenn ein Kunde keinen aktiven Vertrag für neue Funktionen hat. Je nach Produkt kann dies die Bereitstellung von Sicherheits-Fixes für unterstützte Softwareversionen oder einen anderen geeigneten Update-Pfad beinhalten. Eine klare Unterscheidung zwischen Sicherheitswartung und kommerziellen Funktions-Upgrades ist daher ein wichtiger Teil der Vorbereitung auf den CRA.

Software-Updates sind nur ein Teil der CRA-Compliance

Während SLASCONE Software Shipments die Kommunikation von Software-Updates und das Release-Management unterstützen kann, umfasst die Einhaltung des Cyber Resilience Act ein breiteres Spektrum an Verantwortlichkeiten. Hersteller müssen sich auch mit der Bewertung von Schwachstellen, sicherer Softwareentwicklung, technischer Dokumentation, koordinierter Offenlegung von Schwachstellen und den geltenden Meldepflichten für Vorfälle befassen.

Darüber hinaus müssen Software-Update-Prozesse die sichere Verteilung, die Paketintegrität und geeignete Installationsmechanismen berücksichtigen. SLASCONE ersetzt diese Verantwortlichkeiten nicht. Stattdessen bietet es Bausteine, die Softwarehersteller in ihren umfassenderen Software-Lebenszyklus und ihre Cybersicherheitsprozesse integrieren können.

Vorbereitung auf Dezember 2027

Der Cyber Resilience Act stellt eine bedeutende Veränderung für Softwarehersteller dar, die auf dem europäischen Markt tätig sind. Da die Hauptanforderungen im Dezember 2027 verbindlich werden, sollten Hersteller bereits jetzt überprüfen, wie sie Schwachstellen identifizieren, Sicherheits-Updates veröffentlichen und während der Support-Zeiträume ihrer Produkte mit Kunden kommunizieren. Für Unternehmen, die Software in kundenverwalteten Umgebungen vertreiben, kann die Integration von Update-Benachrichtigungen in bestehende Lizenzierungs-Workflows ein praktischer Schritt zu einer effektiveren Software-Wartung sein.

SLASCONE Software Shipments hilft dabei, die Lücke zwischen Software-Lizenzierung und Update-Management zu schließen.

Es ermöglicht Herstellern, Update-Informationen über dieselbe API bereitzustellen, die sie bereits für die Lizenzierung und das Entitlement Management nutzen.
Um mehr zu erfahren, lesen Sie unsere Dokumentation zu Software Shipments oder vereinbaren Sie einen Demo-Termin, um zu sehen, wie SLASCONE Ihre Software-Lizenzierungs- und Update-Workflows unterstützen kann.

Weitere Informationen zur Verordnung finden Sie in der Übersicht der Europäischen Kommission zum Cyber Resilience Act.