September 2025

EU RED ist da: Keine RED DA Compliance ohne Risikobewertung!

Seit dem 01.08.25 ist der EU Radio Equipment Directive Delegated Act, kurz RED DA, in Kraft. Das bedeutet für betroffene Hersteller die Risikobewertung jedes Produkts, um die RED DA Compliance zu erfüllen.

Dazu SSV CEO Klaus-Dieter Walter:

In meinen letzten beiden Posts (siehe 👉 RED DA Teil 1 und 👉 RED DA Teil 2) habe ich zunächst versucht zu klären, wer von der RED DA überhaupt betroffen ist.

Ob Sie nun als Hersteller die RED DA Compliance durch eine Selbsterklärung dokumentieren, weil Sie mit ihrem Funk-Produkt einen harmonisierten EN18031-Standard vollumfänglich erfüllen oder ob Sie die Dienstleistung einer benannten Stelle zur Konformitätsbewertung nutzen, in jedem Fall ist eine umfassende Risikobewertung (Risk Assessment) erforderlich. Dabei muss man häufig auch eine Lösung für völlig unsichere Kommunikationsbeziehungen finden.

Davon gibt es z. B. in der vernetzten industriellen Automatisierungstechnik sehr viele. Ein Beispiel ist Modbus TCP.

Dieses Protokoll wird in unzähligen Energieanlagen (also auch in „kritischer Infrastruktur“) nach wie vor sehr gerne genutzt. Daran ändert auch der hervorragende „Secure by Demand“-Leitfaden für Operational Technology (OT)-Betreiber der US-Cybersicherheitsbehörde CISA nichts.

Man kann im Rahmen des Risk Assessment in einem solchen Fall wohl nur von der Annahme ausgehen, dass geeignete physische oder logische Maßnahmen in der Zielbetriebsumgebung einer Funkanlage den Zugang entsprechend koordinieren und nur autorisierte Entitäten Zutritt haben (bei einer Wireless-Modbus-Lösung hilft das aber auch nur teilweise).

Unabhängig von den Altlasten der Praxis: Eine zielführende Vorgehensweise für ein Risk Assessment ist, zunächst alle Kommunikationsbeziehungen einer Funkanlage zum Internet zu identifizieren und in entsprechenden Datenflussdiagrammen zu visualisieren: also z. B. den MQTT-Nutzdatenfluss zu einem Cloud-Server und die automatischen Updates aus der Cloud zum Funk-Produkt.

Des Weiteren ist auch für die lokale Benutzerschnittstelle zur Änderung der Konfiguration ein Datenflussdiagramm hilfreich. Zu jedem einzelnen Datenfluss sollte man dann ein STRIDE-Bedrohungsmodell anfertigen.

Abschließend fasst man das Ergebnis in einer Tabelle zusammen und ordnet jedem Datenfluss die erkannten Bedrohungen und die möglichen Auswirkungen zu.

Zusätzlich bewertet man die Eintrittswahrscheinlichkeit der Bedrohung und das jeweilige Risiko in der Praxis. Abschließend wird für jede Bedrohung eine Gegenmaßnahme bestimmt.

So lassen sich z. B. die Bedrohungen „Man-in-the-Middle, Abhören, Spoofing“ für eine MQTT-Datenübertragung in die Cloud durch den Einsatz einer TLS-Verbindung mit Zertifikat und Server-Authentifizierung abmildern.

Übrig bleiben in der Regel ein paar Dinge, gegen die es keinen wirkungsvollen Schutz gibt, wie z. B. der Jamming-Angriff auf einen Funkkanal. Damit muss man dann leben können.

Am Ende der Attacke sollte die Funkanlage aber ohne menschliches Einwirken wieder den Normalbetrieb aufnehmen.

Lesen Sie hier den vierten Teil zu EU RED DA:

Teil 4: Unsichere Kommunikationsprotokolle trotz RED DA erlaubt?

 

 

Zurück zur Übersicht