Fällt SaaS unter den CRA?

Nicht automatisch. Grundsätzlich unterfallen reine SaaS-Dienste eher der NIS-2-Richtlinie. Der CRA kann aber für SaaS-, Web- und Cloud-Lösungen relevant sein, wenn sie als Softwareprodukt auf dem EU-Markt bereitgestellt und bspw. als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen erforderlich sind. Entscheidend ist die konkrete technische und vertragliche Einordnung.

Gilt der CRA auch für B2B-Software?

Ja, wenn die Software ein Produkt mit digitalen Elementen ist und keine Ausnahme greift. Der CRA unterscheidet nicht grundsätzlich zwischen Verbraucherprodukten und Unternehmenssoftware. Auch industrielle Steuerungssoftware, Fachanwendungen oder Sicherheitssoftware können betroffen sein.

Gilt der CRA auch für Unternehmen außerhalb der EU?

Ja, z.B. wenn ihre Produkte auf dem EU-Markt bereitgestellt werden. Der Sitz des Unternehmens ist nicht allein entscheidend.

Gelten die Meldepflichten auch für Bestandsprodukte?

Ja, die Meldepflichten nach Artikel 14 CRA betreffen auch Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Das gilt insbesondere bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen mit Auswirkungen auf die Sicherheit des Produkts.

Was passiert bei Verstößen gegen den CRA?

Bei schweren Verstößen können erhebliche Bußgelder drohen. Für Verstöße gegen zentrale Cybersicherheitsanforderungen sowie Hersteller- und Meldepflichten sieht der CRA einen Bußgeldrahmen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die konkrete Durchsetzung erfolgt nach den nationalen Sanktionsregeln der Mitgliedstaaten. Daneben können Marktüberwachungsmaßnahmen wie Vertriebsverbote oder Rücknahmen relevant werden.

Welche Fristen gelten für den CRA?

Der CRA ist am 10.12.2024 in Kraft getreten. Ab dem 11.06.2026 gelten die Vorgaben für Konformitätsbewertungsstellen. Bereits ab dem 11.09.2026 sind die Meldepflichten nach Art. 14 CRA anzuwenden. Vollumfängliche anwendbar ist der CRA dann ab dem 11.12.2027 auf Produkte die ab diesem Zeitpunkt in Verkehr gebracht werden bzw. eine wesentliche Änderung erfahren.

Ein Software Escrow ist ein Treuhandservice, der den Quellcode einer Software bei einem neutralen Dritten hinterlegt. Dies dient dazu, sicherzustellen, dass der Lizenznehmer im Falle bestimmter vertraglich festgelegter Ereignisse (z. B. Insolvenz des Lizenzgebers oder Nichterfüllung von Wartungsvereinbarungen) Zugriff auf den Quellcode erhält. Dieser Mechanismus bietet sowohl den Lizenzgebern als auch den Lizenznehmern Schutz, da die Interessen beider Parteien gewahrt bleiben.

Source Code (Quellcode)

Der Source Code oder Quellcode ist der in einer Programmiersprache geschriebene, für Menschen lesbare Programmtext einer Software. Er enthält die Anweisungen, Logik und Struktur eines Programms und bildet die Grundlage für dessen Weiterentwicklung, Wartung und Anpassung. Typische Programmiersprachen für Quellcode sind etwa Java, Python, C++ oder JavaScript.

Eine Blockchain ist ein dezentrales, verteiltes Register, in dem Transaktionen in einer fortlaufenden Kette von Blöcken gespeichert werden. Jeder Block ist kryptografisch mit dem vorhergehenden Block verknüpft, wodurch die Integrität der gespeicherten Daten sichergestellt wird. Veränderungen an bereits gespeicherten Informationen wären nur durch eine nachträgliche Veränderung sämtlicher nachfolgender Blöcke möglich und gelten daher als praktisch ausgeschlossen. Blockchain-Technologien bilden die Grundlage für Kryptowährungen, Smart Contracts und dezentrale Anwendungen. Bekannte Blockchain-Netzwerke sind unter anderem Ethereum, Polygon, Bitcoin, Solana, Ripple und Polkadot. Für die Verarbeitung von Transaktionen fallen sogenannte Transaction Fees an. Diese Gebühren dienen als Vergütung für die Validatoren im Netzwerk, die Transaktionen prüfen, in Blöcke aufnehmen und dauerhaft im Netzwerk speichern. Im Ethereum-Ökosystem wird diese Gebühr als Gas bezeichnet. Gas repräsentiert die Rechenleistung, die für die Ausführung einer Transaktion oder eines Smart Contracts erforderlich ist. Auch im Polygon-Netzwerk wird dieses Gebührenmodell verwendet. Die Transaktionskosten werden dort ebenfalls als Gas bezeichnet und mit dem nativen Netzwerk-Token POL bezahlt. Die Höhe der Gebühren hängt von der Komplexität der Operation sowie von der aktuellen Netzwerkauslastung ab. Transaction Fees tragen zur Sicherheit des Netzwerks bei und verhindern gleichzeitig missbräuchliche oder massenhafte Transaktionen.

Der Begriff “Onchain” bezeichnet sämtliche Daten, Transaktionen oder Aktivitäten, die direkt auf einer Blockchain gespeichert und dort dauerhaft nachvollziehbar sind. Dies unterscheidet sich von Offchain-Daten, die außerhalb der Blockchain verarbeitet werden.

IPFS (InterPlanetaryFileSystem)

Das InterPlanetary File System (IPFS) ist ein dezentrales Speichersystem, das Daten nicht über ihren Speicherort, sondern über ihren Inhalt adressiert. Während klassische Systeme Dateien über eine Position – etwa eine URL auf einem bestimmten Server – identifizieren, verwendet IPFS sogenannte Content Identifiers (CID). Ein CID ist ein kryptografischer Hash des jeweiligen Inhalts und fungiert als eindeutiger digitaler Fingerabdruck der Datei. Jede Veränderung der Daten führt zwangsläufig zu einem neuen CID, wodurch die Integrität der Inhalte jederzeit überprüfbar bleibt. Häufig wird – wie bei on:mint – zusätzlich eine Blockchain genutzt, um den CID der in IPFS gespeicherten Inhalte unveränderlich zu registrieren. Dadurch entsteht ein manipulationssicherer Zeitstempel, der dokumentiert, wann ein bestimmter Datenstand existierte. Da der CID eindeutig auf den jeweiligen Inhalt verweist, kann jederzeit überprüft werden, ob eine Datei noch dem ursprünglich hinterlegten Zustand entspricht. Durch die Kombination von IPFS und Blockchain wird somit eine effiziente dezentrale Datenspeicherung mit einer kryptografisch abgesicherten Nachweisbarkeit von Integrität und Zeitpunkt der Hinterlegung verbunden.

Objektcode ist die maschinenlesbare Form eines Programms, die aus dem Quellcode erzeugt wird. Er besteht aus binären Instruktionen, die direkt von einem Computerprozessor ausgeführt werden können. Im Gegensatz zum Quellcode ist Objektcode für Menschen in der Regel nicht verständlich und eignet sich daher nur eingeschränkt für Wartung oder Weiterentwicklung.

Im Kontext von Software Escrow beziehen sich Release-Kriterien auf die vertraglich festgelegten Bedingungen, unter denen der hinterlegte Quellcode an den Lizenznehmer herausgegeben werden muss. Die Formulierung solcher Kriterien erfordert geschickte anwaltliche Gestaltung, da nach höchstrichterlicher Rechtsprechung bestimmte Definitionen dazu führen können, dass der Herausgabefall konterkariert wird.

Ein Hash ist ein kryptografischer Fingerabdruck, der aus beliebigen Daten generiert wird. Er entsteht durch eine Hash-Funktion, die Eingaben beliebiger Größe in eine Ausgabe fester Länge umwandelt. Selbst kleinste Änderungen der Daten erzeugen einen völlig neuen Hash, was Manipulationen sofort erkennbar macht. In der Blockchain wird der Hash oft anstelle großer Daten onchain gespeichert, da dies Speicherplatz spart. Die eigentlichen Daten liegen meist in Off-Chain-Systemen wie IPFS. Der gespeicherte Hash ermöglicht die Verifizierung der Datenintegrität und Authentizität, ohne die Daten selbst auf der Blockchain zu speichern. Hashes sind unverzichtbar für die Sicherheit und Nachvollziehbarkeit in Blockchain-Systemen.

Ein Token ist ein digitaler Vermögenswert, der auf einer Blockchain gespeichert wird. Tokens können unterschiedliche Funktionen haben, etwa als Zahlungsmittel, als Repräsentation von Eigentum (z. B. NFTs) oder als Zugangsschlüssel zu bestimmten Diensten oder Inhalten.

“I See the Data You See”

Dieses Konzept beschreibt die Transparenz und Nachvollziehbarkeit von Daten, wie sie durch Blockchain-Technologien ermöglicht wird. Alle Beteiligten haben Zugriff auf dieselben Daten, was Manipulationen verhindert. Ein zentraler Aspekt dieses Konzepts ist digital Ownership: Nutzer*innen können durch die Blockchain-basierte Nachverfolgbarkeit den Eigentumsstatus digitaler Inhalte eindeutig nachweisen.

Nodes sind Knotenpunkte in einem Blockchain-Netzwerk, die für die Validierung von Transaktionen, die Speicherung von Blöcken und die Aufrechterhaltung der Netzwerksicherheit zuständig sind. Es gibt verschiedene Arten von Nodes, wie Full Nodes, die die gesamte Blockchain speichern, oder Light Nodes, die nur einen Teil der Daten nutzen.

Ein Blockchain Explorer ist ein Webtool, das detaillierte Einblicke in On-Chain-Daten bietet. Es zeigt Informationen wie Transaktionen, Blöcke, Adressen und Smart Contracts an. Die dargestellten Daten sind jedoch ausschließlich kryptografische Referenzen, wie Hashes oder Wallet-Adressen – die tatsächlichen Inhalte oder Assets, etwa Token oder gespeicherte Daten, bleiben verborgen. Ein Blockchain Explorer ist unverzichtbar für die Analyse und Verifikation von Blockchain-Daten. Er ermöglicht Entwicklern, Analysten und Nutzern, Transaktionen nachzuvollziehen, Netzwerkaktivitäten zu prüfen und die Integrität der Blockchain zu bestätigen.

Kompilieren (Compiler)

Kompilieren bezeichnet den Prozess, bei dem ein Programm in Quellcodeform mithilfe eines sogenannten Compilers in Objektcode übersetzt wird. Der Compiler analysiert dabei den Quellcode, prüft ihn auf syntaktische und semantische Fehler und erzeugt daraus eine ausführbare Version des Programms. Dieser Schritt ist notwendig, damit Software auf einem Computer oder Server tatsächlich ausgeführt werden kann.

Git ist ein verteiltes Versionskontrollsystem, das in der Softwareentwicklung zur Verwaltung und Nachverfolgung von Änderungen am Quellcode eingesetzt wird. Änderungen werden in sogenannten Commits dokumentiert, wodurch unterschiedliche Entwicklungsstände eines Projekts jederzeit nachvollzogen werden können. Git speichert Änderungen typischerweise effizient als Differenzen („Diffs“) zwischen einzelnen Versionen, anstatt jede Version vollständig abzulegen. Für Escrow-Zwecke kann dies problematisch sein, da eine vollständige Rekonstruktion des Codes von der lückenlosen Verfügbarkeit dieser Versionskette abhängt. on:mint begegnet diesem Risiko, indem über die GitHub-/GitLab-Anbindung vollständige Versionen beziehungsweise Snapshots des jeweiligen Code-Stands in das Escrow-Depot übertragen werden. Dadurch ist jede hinterlegte Version für sich genommen vollständig nutzbar und unabhängig rekonstruierbar

GitHub und GitLab sind Plattformen zur Verwaltung von Git-Repositories und zur kollaborativen Softwareentwicklung. Sie ermöglichen Entwicklungsteams, Quellcode zentral zu verwalten, Änderungen nachzuverfolgen und Entwicklungsprozesse über Funktionen wie Code-Reviews, Pull-Requests sowie automatisierte Build- und Testprozesse (CI/CD-Pipelines) zu organisieren. Über die Integration von GitHub- oder GitLab-Repositories kann on:mint aktuelle Code-Stände automatisiert in das Escrow-System übernehmen (sog. Real-time Escrow). Dabei werden vollständige Versionen des jeweiligen Softwarestands hinterlegt, sodass jeder hinterlegte Stand unabhängig rekonstruierbar bleibt und das Risiko lückenhafter Escrow-Hinterlegungen reduziert wird.

Repository-Integration für Escrow-Updates

on:mint ermöglicht die direkte Anbindung von GitHub- und GitLab-Repositories an das Escrow-System. Dadurch können aktuelle Code-Stände automatisiert aus dem Repository in das Escrow-Depot übertragen werden. Für die Hinterlegung werden vollständige Versionen des jeweiligen Code-Stands gespeichert, wodurch eine unabhängige Rekonstruktion jeder Version möglich bleibt und das Risiko lückenhafter Hinterlegungen reduziert wird.

News & Wissen

Wir sind Ihre erste Anlaufstelle zu aktuellen News, Analysen und Hintergründen rund um die Themen Datenschutz, Künstliche Intelligenz, Informationssicherheit und vielen mehr. Wir informieren Sie mit redaktionell aufbereiteten Neuigkeiten und Wissenswertem. Melden Sie sich am besten direkt bei unserem Newsletter an und verpassen Sie keine Neuigkeiten.

24.04.26

News & Wissen

Gesundheitsdatenschutz 2026: Zwischen EuGH, EHDS, Forschung, KI und Betroffenenrechten

Cyber Resilience Act: Welche Unternehmen und Produkte fallen unter den CRA?

AI Dubbing: Wem gehört die Stimme?

Data Act: Informationspflichten vor Vertragsschluss

AI Act Fristverlängerung: Was gilt wirklich ab 2. August 2026?

Software Escrow: Source Code sicher hinterlegen

Black-Box-KI: Wann fehlende Transparenz für Unternehmen zum Rechtsrisiko wird

Bestandsschutz für Hochrisiko‑KI: Das müssen Unternehmen jetzt tun

Widerrufsbutton ab Juni 2026: Was Online-Portale jetzt umsetzen müssen

TikTok-Abmahnungen: Wenn Musik im Unternehmensvideo plötzlich teuer wird

Einfluss des Data Act auf Verträge: Von Altverträgen bis zu neuen Vertragstypen

KI-Tools im Unternehmen: 7 Schritte für Auswahl, Einkauf & Einführung

European Data Union Strategy: Wie die EU den Datenmarkt neu ordnen möchte

Standard Contractual Clauses (SCCs) für den Data Act

Der Digitale Omnibus der EU: Mehr Ordnung im europäischen Digitalrecht?

Kennzeichnungspflicht: Code of Practice zur Transparenz von KI-generierten Inhalten

ChatGPT's Browser Atlas – rechtssicher im Unternehmen nutzen

Neue DSK-Orientierungshilfe zu Datenübermittlungen im Forschungskontext

KI im Fadenkreuz der Aufsichtsbehörden: Checkliste zur Vorbereitung auf Prüfungen

Ransomware – Incident Response aus rechtlicher Sicht

Neue Grundsatzurteile der EU-Gerichte zum Datenschutz