Mobile-Menu

Netzwerksicherheit und Regulierung in Kritischen Infrastrukturen Blinde Flecken beim EU-Vendor-Ban

Von Paula Breukel 2 min Lesedauer

Anbieter zum Thema

NTT DATA
Vitel GmbH
Insider Research

Die EU setzt auf den Austausch von Technik „hochriskanter“ Anbieter binnen drei Jahren. Ein Cybernews-Analyst hält das für unzureichend, solange Router und Software Black Boxes bleiben und unabhängige Prüfpflichten fehlen.

Netzkomponenten wie Router bilden das Rückgrat von Telekommunikationsnetzen. Der Austausch von Hardware „hochriskanter“ Anbieter adressiert Lieferkettenrisiken, lässt aber Fragen nach prüfbarer Firmware und Management-Software offen.(Bild: © whitestorm - stock.adobe.com)
Netzkomponenten wie Router bilden das Rückgrat von Telekommunikationsnetzen. Der Austausch von Hardware „hochriskanter“ Anbieter adressiert Lieferkettenrisiken, lässt aber Fragen nach prüfbarer Firmware und Management-Software offen.
(Bild: © whitestorm - stock.adobe.com)

Die Europäische Union gibt Telekommunikationsanbietern nach Darstellung von Cybernews drei Jahre Zeit, Technik von „high risk“ Anbietern aus Netzen zu entfernen. Im Fokus stehen Netzkomponenten wie Router und andere zentrale Geräte, die Datenverkehr steuern. Ziel ist, Risiken für kritische Infrastruktur zu reduzieren.

Hintertüren bleiben auch nach dem Lieferantenwechsel möglich

Aras Nazarovas, Senior Information Security Researcher bei Cybernews, bezweifelt, dass ein reiner Lieferantenwechsel das Kernproblem löst. Er nennt als Risiko „Backdoors“, also Hintertüren, die Angreifern verdeckten Zugriff ermöglichen. Solche Schwachstellen entstehen laut Nazarovas nicht nur durch Sabotage, sondern oft durch Fehler in Software, etwa vergessene Passwortabfragen, Testcode oder veraltete Bibliotheken.

Er verweist auf mehrere Ebenen, in denen Schwachstellen stecken können: in der Firmware, einer gerätenahen Start-Software, im Betriebssystem selbst oder in Management-Software, die Geräte zentral verwaltet. Gerade tief sitzende Komponenten erhalten oft selten Updates; dadurch bleiben Fehler unter Umständen lange unentdeckt.

Beispiel aus 2025 mit Zugriff auf Telefonnetze

Zur Einordnung verweist Nazarovas auf Untersuchungen aus dem Jahr 2025 zu „Salt Typhoon“, einer Kampagne mit China-Bezug. Dabei gelangten Angreifer nach dieser Darstellung in Telefonnetze in den USA und bei Verbündeten und missbrauchten teils integrierte Abhörfunktionen, die eigentlich nur mit richterlicher Anordnung genutzt werden sollen.

Reichweite über 5G hinaus

Die EU-Vorgaben , betreffen nicht nur Netze der fünften Generation (5G), also Mobilfunknetze mit hoher Datenrate und geringer Latenz. Genannt werden auch Systeme wie Grenzkontroll-Scanner, Wasseraufbereitungsanlagen, Stromnetze und Medizintechnik, bei denen IT-Ausfälle direkte Folgen für Versorgung und Sicherheit haben können.

Prüfpflichten und Nachweisbarkeit als nächste Stufe

Nazarovas leitet daraus eine Forderung ab: Sicherheitsanforderungen sollten für alle Anbieter gelten, unabhängig vom Herkunftsland. Er nennt unabhängige Security-Audits, also externe Sicherheitsprüfungen, offene Verifikation von Code sowie regelmäßige Tests durch Dritte. Entscheidend sei, ob sich Geräte und Software nachvollziehbar prüfen lassen, statt nur den Hersteller auszutauschen.

(ID:50704544)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte