Ein industrieller Mobilfunk-Router, Serienprodukt, vom Hersteller inzwischen abgekündigt. Die Software darauf ist von 2021. Analysiert wurde die Firmware, die der Hersteller für dieses Gerät öffentlich bereitstellt. Kein Angriff, kein Eingriff in ein Netz, nur die Datei.

CVE-Zuordnungen aus erkannter Komponente und Version. Kein Nachweis, dass die Schwachstelle auf dem Gerät erreichbar ist. Bei 94,9 % dieser Zuordnungen ist die Versionsübereinstimmung angenommen, nicht bestätigt.

Im Einkauf ist dasselbe Gerät eine Position auf einer Rechnung. Von den 485 Bausteinen hat der Hersteller die allerwenigsten selbst geschrieben.

Der Kern ist ein Linux 3.18.44, erschienen im Oktober 2016. Gebaut wurde die Firmware im Dezember 2021. In den fünf Jahren dazwischen sind 96 neuere Fassungen genau dieser Reihe erschienen, von 3.18.45 bis 3.18.140. Keine davon ist im Gerät.

Das Passwort des Verwaltungskontos liegt in der Firmware als Hash in /etc/shadow, gesichert mit md5crypt, einem Verfahren aus den Neunzigern. Sein Autor, Poul-Henning Kamp, schrieb 2012 öffentlich: „I consider it no longer safe for any use.“ Dazu gibt es eine Kennung, CVE-2012-3287. Neun Jahre später wurde diese Firmware damit gebaut.

Beide Befunde haben dieselbe Form: etwas wurde ausgeliefert, das öffentlich längst zurückgezogen war. Beim Kern sind es 96 Fassungen, beim Passwort neun Jahre. Das Gerät ist damit nicht kaputt, und der Hersteller hat nicht schlecht gearbeitet. Beides sieht man erst, wenn jemand in die Software hineinschaut, und danach kann man es jemandem vorlegen.

Ein Dokument: was verbaut ist, welche Schwachstellen dazu bekannt sind, und was davon belegt ist und was offen. Das lässt sich weitergeben, an einen Kunden, an einen Auditor, an die Versicherung. Der Unterschied zwischen einer Vermutung und einem Nachweis ist, dass der Nachweis eine Liste hat.

Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act: eine aktiv ausgenutzte Schwachstelle ist binnen 24 Stunden zu melden, die Meldung binnen 72 Stunden nachzureichen, der Abschlussbericht spätestens 14 Tage nach der Korrektur. Die übrigen Pflichten, darunter die Stückliste, folgen im Dezember 2027. Wer selbst vernetzte Produkte baut, braucht für das eigene Produkt genau die Liste, die im Vortrag für ein fremdes gezeigt wurde.