Yves Astein

CRA-konformes Update- und Device-Management: selbst bauen oder einkaufen?

PHYTEC liefert Embedded-Module samt Linux-Betriebssystem, aus denen Kunden ihre Endgeräte bauen – vom Fahrkartenautomaten bis zum Medizingerät. Der CRA verlangt, dass Schwachstellen über den gesamten Lebenszyklus behoben werden, also mindestens fünf Jahre, bei Baumaschinen oft deutlich länger. Ein Update-Client wie RAUC reicht dafür nicht. Gebraucht werden gestaffelte Rollouts, Rollbacks und Regeln, wann ein Gerät nicht aktualisiert werden darf. Was ein Eigenbau bedeutet, zeigt Yves Astein am CVE-Monitoring: Einfache Scanner melden auch Schwachstellen für Komponenten, die im Gerät gar nicht verbaut sind. Allein in ein passendes Toolset hat PHYTEC zwei bis drei Personenjahre gesteckt. Dazu kommen Testinfrastruktur und Linux-Spezialisten für die laufende Pflege. Marvin König ergänzt die Asset-Seite mit Rollen, Rechten und dem Ownership-Transfer, wenn ein Gerät mehrfach den Eigentümer wechselt. Wie PHYTEC sich am Ende entschieden hat, welche Rolle ML!PA dabei spielt und warum die Abhängigkeit von einem Anbieter für viele Industriekunden die entscheidende Frage ist, erzählen beide im Gespräch. Das nimmst du mit Der Aufwand liegt weniger im Update selbst als im Management drumherum. Eine CVE-Liste ist erst brauchbar, wenn sie gegen die tatsächliche Konfiguration des Geräts abgeglichen wird. Bei der Plattformwahl lohnt die Prüffrage, ob sich das System später selbst betreiben lässt und wer die Rechte daran hält. Früh im Feld testen – viele Sonderfälle zeigen sich erst im Betrieb.