Cybersecurity-Verschärfung 2025

Als IT-Rechtsanwalt mit langjähriger Erfahrung in der Beratung von Technologie-Startups und SaaS-Unternehmen möchte ich auf eine wichtige regulatorische Änderung aufmerksam machen, die ab August 2025 in Kraft tritt. Die EU führt neue Cybersecurity-Anforderungen ein, die erhebliche Auswirkungen auf viele meiner Mandanten haben werden. Diese Verschärfung betrifft nicht nur Hardwarehersteller, sondern hat auch weitreichende Folgen für Softwareentwickler, Cloud-Dienste und mobile Anwendungen.

Kernpunkte der neuen Anforderungen

1. Netzwerkschutz: Hersteller müssen Funktionen implementieren, die Schäden an Kommunikationsnetzen verhindern und die Funktionalität von Websites oder Diensten nicht beeinträchtigen. Dies bedeutet, dass Geräte und Software so konzipiert sein müssen, dass sie keine unbeabsichtigten Störungen oder Überlastungen in Netzwerken verursachen. Für SaaS-Anbieter könnte dies bedeuten, dass sie ihre Anwendungen auf mögliche negative Auswirkungen auf Netzwerkinfrastrukturen überprüfen und optimieren müssen.
2. Datenschutz: Es müssen Maßnahmen gegen unbefugten Zugriff auf oder Übertragung von Nutzerdaten eingeführt werden. Dies geht über die bestehenden DSGVO-Anforderungen hinaus und erfordert proaktive technische Lösungen zum Schutz personenbezogener Daten. Für App-Entwickler bedeutet dies möglicherweise die Implementierung fortschrittlicher Verschlüsselungstechniken und sicherer Datenübertragungsprotokolle.
3. Betrugsschutz: Integration verbesserter Authentifizierungsmechanismen zur Minimierung von Betrugsrisiken bei elektronischen Zahlungen und Geldtransfers. Dies könnte die Einführung von Multi-Faktor-Authentifizierung, biometrischen Verfahren oder anderen fortschrittlichen Identitätsüberprüfungsmethoden erfordern.

Auswirkungen auf SaaS-Entwickler und App-Anbieter

Die neuen Regulierungen haben weitreichende Implikationen für die gesamte Tech-Branche:

1. API-Sicherheit: SaaS-Anwendungen und Apps, die über APIs mit anderen Diensten kommunizieren, müssen besonders auf die Sicherheit dieser Schnittstellen achten. Dies beinhaltet:
   • Implementierung sicherer Authentifizierungsmechanismen, wie OAuth 2.0 oder JWT
   • Verschlüsselung der Datenübertragung mit aktuellen Standards (z.B. TLS 1.3)
   • Regelmäßige Sicherheitsaudits der API-Endpunkte
   • Implementierung von Rate Limiting und Anomalie-Erkennung
   • Einsatz von API-Gateways zur zentralen Verwaltung und Überwachung
2. Datenschutz bei der Übertragung: Apps müssen sicherstellen, dass bei der Kommunikation mit Geräten oder Diensten keine unbefugte Übertragung personenbezogener Daten stattfindet. Dies erfordert:
   • Ende-zu-Ende-Verschlüsselung für sensible Daten
   • Implementierung von Datenmaskierung und Tokenisierung
   • Strikte Kontrolle der Datenzugriffsrechte innerhalb der Anwendung
   • Regelmäßige Überprüfung und Bereinigung von Datenbeständen
3. Integritätsschutz: Entwickler müssen Maßnahmen implementieren, um die Integrität ihrer Anwendungen zu schützen und zu verhindern, dass diese zur Störung von Netzwerken oder Diensten missbraucht werden können. Dazu gehören:
   • Implementierung von Code-Signing und Integritätsprüfungen
   • Regelmäßige Sicherheits-Updates und Patch-Management
   • Einsatz von Web Application Firewalls (WAF) und Intrusion Detection Systems (IDS)
   • Durchführung von Penetrationstests und Schwachstellenanalysen
4. Erweiterte Authentifizierung: Insbesondere bei Anwendungen, die Zahlungen oder Geldtransfers ermöglichen, müssen robuste Authentifizierungsmechanismen integriert werden. Dies umfasst:
   • Implementierung von Multi-Faktor-Authentifizierung
   • Einsatz biometrischer Verfahren (z.B. Fingerabdruck, Gesichtserkennung)
   • Verhaltensbasierte Authentifizierung und Anomalie-Erkennung
   • Einhaltung der PSD2-Richtlinie für starke Kundenauthentifizierung
5. Cloud-Sicherheit: SaaS-Anbieter müssen ihre Cloud-Infrastrukturen überprüfen und absichern:
   • Implementierung von Zero-Trust-Architekturen
   • Verschlüsselung von Daten im Ruhezustand und während der Übertragung
   • Regelmäßige Sicherheitsaudits und Compliance-Checks
   • Einsatz von Cloud Access Security Brokers (CASB)
6. IoT-Sicherheit: Für Entwickler von IoT-Anwendungen ergeben sich zusätzliche Herausforderungen:
   • Sichere Firmware-Updates und Patch-Management
   • Implementierung von Geräte-Authentifizierung und -Autorisierung
   • Netzwerksegmentierung und Isolation von IoT-Geräten
   • Überwachung und Anomalie-Erkennung in IoT-Netzwerken

Rechtliche Implikationen für Unternehmen

Aus rechtlicher Sicht ergeben sich folgende Konsequenzen:

• Erweiterte Haftung: SaaS-Anbieter und App-Entwickler könnten für Sicherheitsvorfälle haftbar gemacht werden, die auf mangelnde Implementierung der neuen Sicherheitsstandards zurückzuführen sind. Dies könnte zu erhöhten Schadensersatzforderungen und Reputationsschäden führen.
• Dokumentationspflichten: Es wird notwendig sein, die Einhaltung der Sicherheitsanforderungen umfassend zu dokumentieren, insbesondere in Bezug auf API-Sicherheit und Datenschutzmaßnahmen. Dies erfordert die Einführung detaillierter Protokollierungs- und Berichterstattungssysteme.
• Vertragsanpassungen: AGBs und Nutzungsbedingungen müssen überarbeitet werden, um die neuen Sicherheitsfeatures und -verpflichtungen abzudecken. Dies beinhaltet möglicherweise auch die Anpassung von Service Level Agreements (SLAs) und Datenschutzvereinbarungen.
• Zertifizierungsanforderungen: Es ist wahrscheinlich, dass neue Zertifizierungsstandards eingeführt werden, um die Einhaltung der Cybersecurity-Anforderungen nachzuweisen. Unternehmen müssen sich auf aufwändige Zertifizierungsprozesse vorbereiten.
• Grenzüberschreitende Datenübertragungen: Die neuen Anforderungen könnten Auswirkungen auf die Zulässigkeit von Datenübertragungen in Drittländer haben, was eine Überprüfung und mögliche Anpassung bestehender Datentransfervereinbarungen erfordert.

Empfehlungen aus rechtlicher Sicht

1. Sicherheitsaudit: Führen Sie eine umfassende Analyse Ihrer Anwendungen und APIs durch, um potenzielle Schwachstellen zu identifizieren. Beauftragen Sie externe Sicherheitsexperten für unabhängige Bewertungen.
2. API-Sicherheitsstrategie: Entwickeln Sie eine robuste Strategie zur Absicherung Ihrer APIs, einschließlich regelmäßiger Penetrationstests und Sicherheitsupdates. Implementieren Sie ein API-Management-System zur zentralen Kontrolle und Überwachung.
3. Datenschutz-Folgenabschätzung: Überprüfen und aktualisieren Sie Ihre DSFAs unter Berücksichtigung der neuen Sicherheitsanforderungen, insbesondere im Hinblick auf die Datenübertragung zwischen Apps und Geräten. Berücksichtigen Sie dabei auch Szenarien für Datenpannen und deren rechtliche Konsequenzen.
4. Schulungen: Sensibilisieren und schulen Sie Ihre Entwickler-Teams bezüglich der neuen rechtlichen Anforderungen und technischen Implementierungen. Etablieren Sie ein kontinuierliches Fortbildungsprogramm zu Cybersecurity-Themen.
5. Vertragliche Absicherung: Überprüfen Sie Verträge mit Drittanbietern und Dienstleistern, um sicherzustellen, dass diese ebenfalls die neuen Sicherheitsstandards einhalten. Implementieren Sie Klauseln zur Haftungsverteilung und Schadloshaltung.
6. Incident Response Plan: Entwickeln Sie einen detaillierten Plan für den Umgang mit Sicherheitsvorfällen, der rechtliche, technische und kommunikative Aspekte berücksichtigt.
7. Compliance-Monitoring: Etablieren Sie ein System zur kontinuierlichen Überwachung der Einhaltung der neuen Sicherheitsanforderungen, einschließlich regelmäßiger interner Audits.
8. Versicherungsschutz: Prüfen Sie Ihre bestehenden Cyber-Versicherungspolicen und passen Sie diese gegebenenfalls an, um die neuen Risiken abzudecken.

Fazit und Ausblick

Die bevorstehenden Änderungen stellen eine signifikante Herausforderung dar, bieten aber auch Chancen zur Verbesserung der Produktsicherheit und des Kundenvertrauens. Als spezialisierter IT-Rechtsanwalt rate ich dringend zu einer proaktiven Herangehensweise. Die frühzeitige Auseinandersetzung mit den neuen Anforderungen ermöglicht es, potenzielle rechtliche Risiken zu minimieren und sich einen Wettbewerbsvorteil zu verschaffen.Die Implementierung der neuen Sicherheitsstandards wird zwar mit Kosten und Aufwand verbunden sein, kann aber langfristig zu einer verbesserten Marktposition führen. Unternehmen, die sich frühzeitig anpassen, können dies als Differenzierungsmerkmal nutzen und das Vertrauen ihrer Kunden stärken.Gerne unterstütze ich Sie bei der rechtssicheren Umsetzung der neuen Cybersecurity-Anforderungen. Von der Analyse Ihrer aktuellen Situation über die Erstellung angepasster Verträge bis hin zur Begleitung des Implementierungsprozesses – meine Kanzlei steht Ihnen mit fundierter Expertise zur Seite. Wir bieten maßgeschneiderte Lösungen, die sowohl die rechtlichen als auch die technischen Aspekte der neuen Regulierungen berücksichtigen.Lassen Sie uns gemeinsam sicherstellen, dass Ihr Unternehmen bestens für die regulatorischen Herausforderungen der Zukunft gerüstet ist. In einer zunehmend vernetzten Welt wird Cybersecurity zum entscheidenden Faktor für den Geschäftserfolg. Nutzen Sie die Chance, sich als Vorreiter in Sachen Sicherheit und Compliance zu positionieren.

Author: Marian Härtel

Marian Härtel ist Rechtsanwalt und Fachanwalt für IT-Recht mit einer über 25-jährigen Erfahrung als Unternehmer und Berater in den Bereichen Games, E-Sport, Blockchain, SaaS und Künstliche Intelligenz. Seine Beratungsschwerpunkte umfassen neben dem IT-Recht insbesondere das Urheberrecht, Medienrecht sowie Wettbewerbsrecht. Er betreut schwerpunktmäßig Start-ups, Agenturen und Influencer, die er in strategischen Fragen, komplexen Vertragsangelegenheiten sowie bei Investitionsprojekten begleitet. Dabei zeichnet sich seine Beratung durch einen interdisziplinären Ansatz aus, der juristische Expertise und langjährige unternehmerische Erfahrung miteinander verbindet. Ziel seiner Tätigkeit ist stets, Mandanten praxisorientierte Lösungen anzubieten und rechtlich fundierte Unterstützung bei der Umsetzung innovativer Geschäftsmodelle zu gewährleisten.