PSIRT im Mittelstand: Schwachstellenmeldungen annehmen, bewerten, beantworten

Ein PSIRT (Product Security Incident Response Team) ist die Stelle im Herstellerunternehmen, die Schwachstellenmeldungen zu Produkten annimmt, prüft, die Behebung organisiert und Kunden informiert. Die Verordnung (EU) 2024/2847 verwendet das Wort nicht. Sie verlangt aber in Anhang I Teil II eine Kontaktadresse, eine Richtlinie zur koordinierten Offenlegung und Verfahren zur Behebung, und in Artikel 14 eine Frühwarnung binnen 24 Stunden ab Kenntnis. Das geht nur, wenn jemand Meldungen liest, bewertet und entscheidet. Die BSI TR-03183-3 benennt dafür zwei Rollen, PSIRT und CSIRT, und Antwortfristen von 5 und 10 Werktagen. Für einen Mittelständler passt das Modell, das das FIRST PSIRT Services Framework "Distributed" nennt: Ein kleiner Kern koordiniert, vorhandene Mitarbeiter aus den Produktteams übernehmen die Aufgaben neben ihrer Arbeit, mit klarer Zuständigkeit und Vertretung.

Was ist ein PSIRT, und was unterscheidet es vom CSIRT?

Das Forum of Incident Response and Security Teams (FIRST) ist der weltweite Verband der Sicherheitsteams. Sein PSIRT Services Framework Version 1.1 beschreibt sechs Aufgabenfelder: Beziehungen zu Beteiligten pflegen; Schwachstellen entdecken (Annahme von Meldungen, Beobachtung); prüfen und analysieren (Qualifizierung, Reproduktion, betroffene Produkte bestimmen); beheben (Fix, Qualitätssicherung, Freigabe); offenlegen (Information an Partner, Koordinatoren und Melder, Sicherheitshinweis); schulen. Das Organisationsmodell "Distributed" sieht einen kleinen Kern vor, der Regeln und Abläufe festlegt, und verteilt die Arbeit auf Vertreter der Produktteams, statt ein großes zentrales Team aufzubauen. Für einen Mittelständler ist das die passende Form.

Ein CSIRT (Computer Security Incident Response Team) kümmert sich dagegen um Vorfälle in der eigenen Infrastruktur: Büro-IT, Server, Produktion. Die TR-03183-3 verlangt in Abschnitt 4.3.1 beide Rollen mit getrennten Postfächern, weil die Folgen verschieden sind. Eine Schwachstelle im Produkt kann die Meldepflicht nach Artikel 14 auslösen; ein Vorfall in der Büro-IT kann unter NIS2 oder die DSGVO fallen. Dasselbe Wort "CSIRT" bezeichnet auch die staatlichen Stellen, an die Hersteller melden, in Deutschland CERT-Bund beim BSI.

Warum braucht der CRA faktisch ein PSIRT?

Die Verordnung schreibt keine Organisationsform vor, aber Aufgaben, die jemand erledigen muss. Anhang I Teil II Nummer 6 verlangt eine Kontaktadresse, Nummer 5 eine Richtlinie zur koordinierten Offenlegung, Nummer 4 die Veröffentlichung behobener Schwachstellen. Artikel 13 Absatz 8 verlangt Verfahren, um gemeldete Schwachstellen zu bearbeiten und zu beheben, Artikel 13 Absatz 6 die Meldung an den Hersteller zugekaufter Komponenten. Artikel 14 verlangt Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden, jeweils ab Kenntnis, sowie einen Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht.

Die Kommissionsleitlinie C(2026) 5252 verlangt in Randnummer 213, dass der Hersteller eine eingegangene Information sofort bewertet; Kenntnis liegt vor, sobald er mit hinreichender Gewissheit von der aktiven Ausnutzung weiß. Wer diese Bewertung nicht organisiert hat, startet die Uhr zu spät oder kann hinterher nicht belegen, wann sie begann. Die TR-03183-3 verlangt deshalb Rollen mit definierten Aufgaben und Befugnissen, Vertretung und das Vier-Augen-Prinzip: Nach Abschnitt 4.4.7 darf kein Analyst eine Meldung allein schließen.

Welche Rollen verlangt die TR-03183-3?

• PSIRT: zuständig für Schwachstellen in Produkten und Diensten, Postfach psirt@, eigener OpenPGP-Schlüssel, Bearbeitung mindestens auf Englisch.
• CSIRT: zuständig für die eigene Infrastruktur, Postfach csirt@, eigener Schlüssel.
• Trennung: Außer bei Kleinstunternehmen dürfen beide Rollen nicht bei einer einzigen Person liegen (Abschnitt 4.3.1). Die TR verweist dafür auf Artikel 3 Nummer 19 der Verordnung und damit auf die Empfehlung 2003/361/EG: Kleinstunternehmen haben weniger als zehn Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Jahresbilanzsumme; ein Hersteller mit 50 Beschäftigten fällt nicht darunter.
• Befugnisse: Aufgaben und Entscheidungsrechte sind klar festgelegt; das PSIRT handelt, ohne für jeden Schritt die Geschäftsführung zu fragen.
• Vier-Augen-Prinzip: Keine Meldung wird von einer Person allein geschlossen.

Wie läuft der Prozess von der Meldung bis zum Sicherheitshinweis?

Die fünf Schritte folgen dem FIRST-Framework, reduziert auf das Machbare, ergänzt um die Fristen der TR.

1. AnnahmeJede Meldung, ob aus psirt@, dem Formular, vom Support, von CERT-Bund oder von einem Kunden, landet in einem Vorgang mit Zeitstempel. Der Melder bekommt eine Antwort, die eine Person geschrieben hat, nach der TR binnen 5 Werktagen, besser am selben Tag.
2. QualifizierungBetrifft die Meldung ein eigenes Produkt, welche Version? Echte Schwachstelle oder Scanner-Ausgabe ohne Beleg? Hinweise auf aktive Ausnutzung, etwa Logs, betroffene Kundensysteme, Erpressung? Ergebnis ist eine von drei Einstufungen: kein Produktbezug, Schwachstelle ohne Ausnutzungshinweis, Verdacht auf aktive Ausnutzung. Im dritten Fall wird sofort nach Artikel 14 eskaliert, siehe Die ersten 24 Stunden.
3. ReproduktionDie Schwachstelle in einer Testumgebung nachstellen, betroffene Produkte und Versionen bestimmen, Schwere einstufen (meist mit CVSS). Daraus folgt die Detailantwort an den Melder binnen 10 Werktagen: bestätigt, abgelehnt, Rückfragen, oder eine Begründung der Verzögerung mit Zusage eines Updates in weiteren 10 Werktagen.
4. BehebungUrsache finden, Fix entwickeln, testen, freigeben, verteilen. Liegt die Schwachstelle in einer zugekauften Komponente, geht die Meldung nach Artikel 13 Absatz 6 an deren Hersteller. Das Datum der verfügbaren Abhilfe startet bei meldepflichtigen Fällen die 14-Tage-Frist für den Abschlussbericht.
5. SicherheitshinweisNach dem Update veröffentlichen (Anhang I Teil II Nummer 4): Beschreibung, betroffene Produkte, Auswirkung, Schwere, Hilfestellung. Die TR verlangt die Veröffentlichung einer bestätigten Schwachstelle binnen 90 Tagen und empfiehlt das maschinenlesbare Format CSAF. Danach wird der Vorgang im Vier-Augen-Prinzip geschlossen, der Melder auf Wunsch genannt.

Was braucht ein Hersteller mit 50 bis 500 Beschäftigten mindestens?

Fünf Rollen, jede mit Vertretung. Bei 60 Beschäftigten sind das vielleicht vier Personen mit mehreren Rollen, bei 400 zehn. Entscheidend ist, dass jede Rolle zwei Namen hat.

Dazu kommt die Rolle CSIRT für die eigene IT, in der Praxis die IT-Leitung mit Vertretung. CERT-Bund vermittelt, wenn ein Verfahren mit einem Melder stockt.

Checkliste: Was vor der ersten Meldung stehen muss

• Postfächer psirt@ und csirt@ mit Schlüsseln, von mindestens zwei Personen gelesen.
• security.txt und Meldeformular mit anonymer Option online.
• Richtlinie zur koordinierten Offenlegung veröffentlicht, mit Datum und Prüftermin.
• Fünf Rollen mit Namen, Handynummern und Vertretung in einer Rufkette, die außerhalb der Arbeitszeit funktioniert.
• Zwei Personen mit getestetem Zugang zur ENISA Single Reporting Platform.
• Produktliste mit Versionen und Mitgliedstaaten, in denen die Produkte im Einsatz sind.
• Entscheidungsregel "aktiv ausgenutzt?" als Checkliste.
• Englische Textbausteine für die persönliche Erstantwort (kein Autoresponder, TR: 5 Werktage), Detailantwort und Nutzerinformation.
• Protokollvorlage mit vier Zeitstempeln: erste Beobachtung, Kenntnis, Eskalation, Einreichung.
• Zwei Übungen pro Jahr am Tisch, davon eine mit Wochenend-Szenario, nie mit Meldungen an die echten Kanäle.

Kostenloses Werkzeugsecurity.txt GeneratorMacht das PSIRT nach außen sichtbar: Die security.txt mit PSIRT- und CSIRT-Adresse nach TR-03183-3 ist in wenigen Minuten erzeugt.Datei erzeugen

Wer ist außerhalb der Arbeitszeit zuständig?

Die TR-Fristen von 5 und 10 Werktagen gelten für die Antwort an den Melder. Die Frist aus Artikel 14 gilt für die Behörde und rechnet in Stunden: 24 Stunden ab Kenntnis, auch am Wochenende. Das heißt nicht, dass jemand rund um die Uhr am Schreibtisch sitzt, sondern dass eine Meldung auch am Samstag jemanden erreicht, der sie liest, grob einstuft und bei Verdacht die Leitung weckt. Drei Dinge machen das machbar: Die Postfächer leiten an ein Telefon weiter oder werden von einem Dienst überwacht; eine wichtige Meldung erreicht die Zuständigen, entweder über eine Rufkette mit fester Reihenfolge und Zeitlimit je Stufe oder einfacher über ein Werkzeug, das alle Eingetragenen gleichzeitig per SMS oder E-Mail benachrichtigt; und die meldende Person hat die Vorab-Freigabe für eine Frühwarnung mit begrenzten Angaben. Nach Randnummer 215 der Leitlinie enthält die Frühwarnung nur begrenzte Angaben; die Plattform fragt dafür Produkt, Version, Mitgliedstaaten, Kurzbeschreibung und Erkennungszeitpunkt ab. Wer auf eine Unterschrift am Montag wartet, hat die Frist verpasst.

Was gehört ins Protokoll?

Artikel 13 Absatz 7 verpflichtet Hersteller ab dem 11. Dezember 2027, alle relevanten Cybersicherheitsaspekte einschließlich bekannt gewordener Schwachstellen systematisch zu dokumentieren. Für die Meldepflicht ist das Protokoll schon heute der Nachweis, dass die Frist eingehalten wurde. Mindestens gehört hinein:

• Zeitpunkt und Kanal der ersten Beobachtung.
• Wer die Meldung wann gelesen hat.
• Ergebnis der Erstbewertung mit Begründung: aktiv ausgenutzt ja oder nein, seit wann, auf welcher Grundlage.
• Zeitpunkt der Kenntnis.
• Wer wann alarmiert wurde.
• Zeitpunkt und Bestätigung jeder Einreichung.
• Zeitpunkt der Nutzerinformation und der verfügbaren Abhilfe.
• Wer den Vorgang geschlossen hat.

Das Protokoll wird fortlaufend geschrieben, nicht hinterher rekonstruiert.

Kostenlose VorlagenCRA-Meldepflicht-KitRollen, Rufkette, Ablauf und Protokoll als Vorlagen zum Anpassen, dazu eine CVD-Richtlinie nach TR-03183-3. Word, Excel und PDF.Kit anfordern

Was das praktisch heißt

Die meisten Mittelständler scheitern nicht an der Behebung, sondern an der Annahme. Das Postfach psirt@ existiert, aber niemand liest es. Die Meldung kommt Freitag um 19 Uhr und wird Montag um 9 Uhr gesehen. Oder nur eine Person kann melden und ist im Urlaub. Diesen Teil, die Bereitschaft, regelt ein Hersteller mit wenigen Entscheidungen. CRA Response Center liest das Postfach mit, stuft jede Meldung ein, benachrichtigt bei wichtigen Meldungen die Bereitschaft des Herstellers per SMS und E-Mail und hält Übernahme, Kenntnis und Fristen im Verlauf fest. Bewertung, Behebung und Einreichung bleiben beim PSIRT des Herstellers.

Häufige Fragen

Weiterlesen

• Die ersten 24 StundenDer Ablaufplan ab Eingang einer Meldung, Stunde für Stunde.
• security.txt nach RFC 9116 und TR-03183-3Die Meldeadresse, die das PSIRT nach außen sichtbar macht.
• Richtlinie zur koordinierten OffenlegungDie Zusagen, die das PSIRT gegenüber Meldenden einlöst.
• Spam im Security-PostfachBeg Bounty, Scanner-Berichte und Massenmails einstufen, ohne eine echte Meldung zu verlieren.

Quellen

• Verordnung (EU) 2024/2847, Artikel 13 Absatz 6, 7 und 8, Artikel 14, Anhang I Teil II, Amt für Veröffentlichungen der EU, 20. November 2024.
• Leitlinien der Kommission C(2026) 5252, Annex, Randnummern 213 bis 218, Europäische Kommission, 27. Juli 2026.
• BSI TR-03183-3 Vulnerability Reports and Notifications, Version 1.0.0, Abschnitte 4.3 und 4.4, Bundesamt für Sicherheit in der Informationstechnik, 20. August 2025.
• BSI-CS 019: Handhabung von Schwachstellen, Empfehlungen für Hersteller, Version 2.0, Bundesamt für Sicherheit in der Informationstechnik, 11. Juli 2018.
• PSIRT Services Framework Version 1.1, FIRST.