Wer einen Gaming-PC aus Einzelteilen zusammenschraubt und mit dem eigenen Logo auf der Seitenwand verkauft, bringt nach EU-Recht ein Produkt mit digitalen Elementen in Verkehr. Für solche Produkte gilt der Cyber Resilience Act, kurz CRA, die Verordnung (EU) 2024/2847. Seit dem 11. September 2026 greift die erste Pflicht daraus, und sie richtet sich an jeden, der als Hersteller gilt, auch an die Werkstatt mit drei Leuten.
Für kleine Systembauer, Händler mit eigenen Komplettsystemen und Werkstätten stellt sich damit zuerst die Frage, welche Rolle der eigene Betrieb überhaupt hat. Gleich danach fragt man sich, wer etwas melden muss, wenn ein Kunde mit einem verschlüsselten Rechner vor der Tür steht. Wir haben zehn kostenlose Werkzeuge in die Reihenfolge gebracht, in der die Fragen in einer Werkstatt auftauchen: zuerst die eigene Rolle, dann der Shop, zuletzt die Kundschaft am Tresen.
Hersteller, Händler oder Werkstatt?
1. Das Logo auf der Seitenwand
Sie bauen Büro- und Gaming-PCs auf Bestellung. Das Windows-Abbild mit Treibern und einem kleinen Wartungsprogramm spielen Sie selbst auf, auf dem Gehäuse klebt Ihr Firmenlogo. Ein Stammkunde fragt beim Abholen, wen er bei einer Sicherheitslücke anrufen soll, Sie oder den Hersteller des Mainboards.
Der CRA-Hersteller-Check von frag.hugo ordnet genau das ein. Er fragt zuerst, was Sie auf den Markt bringen, und dann, wie es dorthin kommt. Für Systembauer ist die zweite Frage die wichtige. Wer ein Produkt unter eigenem Namen herausbringt oder ein fremdes wesentlich verändert, trägt nach Art. 21 und 22 der Verordnung die Herstellerpflichten. Auch ein Wartungsprogramm, das Sie kostenlos mitgeben, fällt nicht schon deshalb heraus, weil es nichts kostet. Der Herstellerbegriff erfasst ausdrücklich die unentgeltliche Abgabe im Rahmen einer Geschäftstätigkeit.
Am meisten Klarheit brachte uns der Teil zur Meldepflicht. Sie gilt nach Art. 69 Abs. 3 auch für Rechner, die Sie lange vor dem 11. September 2026 verkauft haben. Gemeldet werden aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle, in Deutschland an CERT-Bund beim BSI. Laut ENISA, auf deren Angaben sich die Werkzeugseite stützt, läuft das über eine einheitliche Meldeplattform. Zugang haben nur vorher benannte Ansprechpersonen mit einem EU-Login und zweitem Faktor, eine Programmierschnittstelle gibt es zum Start nicht. Wer bei Ihnen meldet, sollten Sie also festlegen, bevor der erste Fall eintritt.
Zur Mainboard-Frage des Kunden verweist die Werkzeugseite auf die Kommissionsleitlinie C(2026) 5252. Laut deren Randnummer 218 ist eine Lücke in einer zugekauften Komponente nur dann meldepflichtig, wenn sie in Ihrem Produkt ausgenutzt wurde. Klein- und Kleinstunternehmen sollen nach Art. 64 Abs. 10 kein Bußgeld bekommen, wenn sie die Frühwarnung binnen 24 Stunden verpassen. Ab dem 11. Dezember 2027 kommt der übrige Pflichtenkatalog. Dann richtet sich der Supportzeitraum nach der voraussichtlichen Nutzungsdauer des Geräts, fünf Jahre sind die Untergrenze, und bereitgestellte Sicherheitsupdates müssen mindestens zehn Jahre verfügbar bleiben (Art. 13 Abs. 8 und 9). Für einen Rechner aus Einzelteilen heißt das, dass Sie mit Ihren Lieferanten über Treiber und Firmware reden, bevor Sie die nächsten Gehäuse mit Logo bestellen.
| Was Sie tun | Rolle im Fragebogen | Was ab wann gilt |
|---|---|---|
| Markenrechner einkaufen und unverändert weiterverkaufen | Händler | Händlerpflichten mit dem vollen Geltungsbeginn am 11.12.2027 |
| PC aus Einzelteilen bauen und unter eigenem Namen verkaufen | Hersteller | Meldepflicht seit 11.09.2026, alles Weitere ab 11.12.2027 |
| Markengerät so umbauen, dass sich Sicherheit oder Zweck ändern | Hersteller, mindestens für den geänderten Teil (Art. 22) | wie beim Hersteller |
| Barebones eines Herstellers außerhalb der EU unverändert und unter dessen Namen hier verkaufen | Einführer | Einführerpflichten ab 11.12.2027 |
| Defekte Komponente durch ein identisches Ersatzteil tauschen | Bereichsausnahme nach Art. 2 | für das Ersatzteil keine Pflichten aus dem CRA |
Auch Händler und Einführer haben Pflichten, deren Verletzung teuer werden kann. Der Rahmen liegt bei 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 64 Abs. 3).
Eine Rechtsberatung ist der Check nicht. Ob Ihr eigenes Systemabbild eine wesentliche Änderung im Sinne von Art. 3 Nr. 30 ist, beantworten Sie selbst, der Fragebogen nimmt Ihre Antwort als gegeben. Die Einstufung hängt am einzelnen Produkt. Wer Büro-PC, Gaming-PC und einen Mini-PC als Router im Programm hat, geht die Fragen dreimal durch, und beim Router landet er in Klasse I, in der Router ausdrücklich aufgeführt sind.
2. Der Jahresplaner an der Werkstatttür
Im Dezember legen Sie fest, welche Komplettsysteme 2027 ins Programm kommen. Ein Rechner, den Sie im Winter neu in den Verkauf bringen, unterliegt schon anderen Regeln als einer aus dem Sommer.
Im Fristenkalender mit eigener Auswahl für Gerätehersteller wählen Sie unter „Betrifft mich“ die Rolle Hersteller. Zwei Termine treffen PC-Bauer direkt. Für Produkte, die ab dem 9. Dezember 2026 in Verkehr kommen, gilt die neue Produkthaftung. Dann haften Sie laut Kalender ohne Verschulden auch für fehlerhafte Software und fehlende Sicherheitsupdates. Seit dem 1. August 2025 gelten außerdem Cybersicherheitsregeln für Funkanlagen nach der Funkanlagenrichtlinie RED, nachgewiesen etwa über die Norm EN 18031. Ab dem 11. Dezember 2027 übernimmt der CRA diese Anforderungen. Jedes Datum ist mit einem wörtlichen Zitat aus der Primärquelle belegt.
Ob ein WLAN-Modul im Gehäuse Ihren PC zur Funkanlage im Sinne dieser Regeln macht, beantwortet der Kalender nicht. Der Kalender kennt Termine, aber keine Geräte.
Der Shop und seine Mails
3. Die Produktseite des Komplett-PCs
Ihre Komplett-PCs stehen im Onlineshop, jeder mit eigener Produktseite und einem Konfigurator für Arbeitsspeicher und SSD.
Der Shop-Check für Gewährleistungslabel und Produktsicherheitsangaben prüft eine solche Seite auf vier Pflichten, ohne Konto und ohne E-Mail-Adresse. Seit dem 27. September 2026 muss bei jedem Warenangebot an Verbraucher das EU-Gewährleistungslabel stehen, eine Übergangsfrist gibt es nicht. Die Grafik ist vorgegeben, ausfüllen dürfen Sie nur Jahreszahl, Marke und Modellkennung. Beim selbst gebauten PC ist die Marke Ihre eigene, und die Modellkennung legen Sie fest. Laut Seite gilt das Label auch im Ladengeschäft. Die Produktsicherheitsverordnung GPSR verlangt seit dem 13. Dezember 2024 in Art. 19 vier Blöcke mit Angaben in jedem Online-Angebot. Dazu sucht der Scan nach Umweltaussagen wie „klimaneutral“ und prüft, ob ein Chatbot im Shop erkennen lässt, dass eine Maschine antwortet.
Ihren Konfigurator sieht der Scan nicht. Inhalte, die erst nach einem Klick nachgeladen werden, bleiben ihm laut Seite verborgen, und Umweltaussagen findet er als Wörter, ohne sie zu bewerten. Nehmen Sie deshalb eine schlichte Produktseite ohne Konfigurator und sehen Sie sich den Rest von Hand an.
4. Die Versandbestätigung
Ein Kunde wartet auf seinen neuen Rechner. Statt der Versandbestätigung bekommt er eine Mail mit Ihrer Shop-Adresse als Absender, die eine Nachzahlung für den Versand verlangt.
Wie leicht Fremde unter Ihrer Domain senden können, zeigt der Mail-Check von frag.hugo für die Absenderdomain des Shops. In vielen kleinen Shops verschickt nicht nur das Shopsystem Mails im Namen der Domain, oft schreibt auch die Warenwirtschaft die Rechnungen selbst. Jedes sendende System braucht einen Eintrag im SPF-Datensatz und eine eigene DKIM-Signatur, mit der Empfänger die Herkunft prüfen. Der Check liest zehn Einträge aus dem DNS und liefert für fehlende den Text zum Kopieren. Eigene Signaturnamen, die ein Shopsystem selbst vergibt, findet er nur, wenn sie zu den üblichen gehören.
Auf der Seite steht außerdem der Hinweis auf Googles Regeln für Massenversender, die seit dem 1. Februar 2024 gelten. Sie greifen ab mehr als 5.000 Mails am Tag an Gmail-Adressen. Vor dem Weihnachtsgeschäft lohnt es sich, die eigene Zahl einmal nachzusehen.
Welches Ihrer Systeme tatsächlich sendet, weiß der Check nicht. Er liest nur, was im DNS steht. Verschickt die Warenwirtschaft über einen Server, den niemand im SPF-Datensatz eingetragen hat, landen Ihre Rechnungen beim Kunden im Spam, und im Ergebnis des Checks sehen Sie davon nichts.
5. Das Benchmark-Video im Konfigurator
Auf der Seite des Gaming-PCs läuft ein eingebettetes Benchmark-Video, darunter stehen Bewertungssterne eines fremden Anbieters. Ein Kunde schreibt, sein Browser melde Tracker, bevor er überhaupt etwas angeklickt habe. Der Seitentest Webbkoll aus Schweden ruft die Seite wie ein Besucher auf, betrieben wird er von der 5th of July Foundation. Danach sehen Sie, welche fremden Server angefragt und welche Cookies gesetzt werden, bevor jemand irgendetwas anklickt. Webbkoll lädt die Seite einmal und bedient sie nicht. Was erst im dritten Schritt des Konfigurators nachgeladen wird, taucht im Bericht nicht auf.
Wenn Kunden mit dem Rechner wiederkommen
6. Das Büro, dem Sie die Rechner geliefert haben
Ein Ingenieurbüro mit acht Arbeitsplätzen hat seine PCs bei Ihnen gekauft und nutzt Microsoft 365. Die Inhaberin möchte, dass alle 90 Tage jeder sein Kennwort wechseln muss, weil sie das aus ihrer alten Firma kennt, und fragt, ob Sie das einstellen können.
Bevor Sie das tun, lohnt der kostenlose Prüfbericht von hagel IT für Microsoft-365-Konten. Das PowerShell-Skript liest zwölf sicherheitsrelevante Einstellungen aus, eine davon ist die Richtlinie zum Kennwortablauf. Der erzwungene Wechsel gilt dort als überholt, weil am Ende Kennwörter aus Jahreszeit und Jahreszahl herauskommen. Die Werkzeugseite beruft sich dabei auf BSI und Microsoft, die beide davon abraten. Im selben Lauf sehen Sie, ob die Mehr-Faktor-Anmeldung für alle gilt und wer Administratorrechte hat. Den Bericht schreibt das Skript auf dem Rechner, auf dem es läuft. Einen Server von hagel IT gibt es dabei nicht, und anmelden müssen Sie sich dort auch nirgends.
Die Rechner, die Sie gebaut haben, kommen im Bericht nicht vor. Was auf den Rechnern selbst passiert, also Verschlüsselung, Virenschutz oder fehlende Updates, sieht das Skript nicht. Ausführen kann es nur, wer PowerShell 7 installiert hat und im Mandanten Leserechte besitzt, in einem Büro dieser Größe meist der Dienstleister, der es betreut.
7. Die Fernwartung, die nicht verbindet
Sie wollen sich auf den Rechner eines Kunden schalten, um einen Druckertreiber nachzuziehen. Die Fernwartung kommt nicht zustande, und am Telefon wird der Kunde ungeduldig.
Ein Blick auf die Störungsübersicht von hagel IT für Cloud-Dienste und Fernwartung erspart dann die Fehlersuche am falschen Ende. Die Seite fragt alle drei Minuten die offiziellen Statusquellen von 14 Diensten ab, TeamViewer gehört dazu, ebenso Microsoft 365 und die Telefonie von sipgate. Für jeden Dienst sehen Sie den Verlauf der letzten sieben Tage, ein Konto braucht es nicht.
Die Internetleitung des Kunden misst die Seite nicht. Steht dort alles auf Grün, spricht das eher für ein Problem vor Ort, am Router oder an der Leitung. Regionale Störungen zeigt die Seite nicht, und große Zugangsanbieter wie Vodafone fehlen bewusst, weil sie keine maschinenlesbare Statusseite anbieten.
8. Die Übergabe am Abholtresen
Bei der Übergabe will die Kundin auf dem neuen Rechner ihr altes Microsoft-Konto nutzen, mit der Mailadresse und dem Kennwort, die sie seit Jahren verwendet. Bevor Sie das einrichten, geben Sie die Adresse in die Leck-Suche von Have I Been Pwned ein. Der Dienst führt bekannt gewordene Datenlecks zusammen und zeigt, aus welchen davon die Adresse stammt. Ein Treffer ist der Anlass, das alte Kennwort zu ersetzen und den zweiten Faktor einzuschalten. Ob sie das Kennwort seit dem Leck gewechselt hat, kann der Dienst nicht wissen, das kann Ihnen nur die Kundin sagen.
9. Der Rechner mit der Erpressernachricht
Eine Tischlerei bringt ihren Büro-PC vorbei. Auf dem Bildschirm steht eine Lösegeldforderung, die Dateien auf dem Netzlaufwerk lassen sich nicht mehr öffnen. Der Inhaber fragt, ob so etwas Betriebe seiner Größe überhaupt trifft.
Die Ransomware-Zählung von frag.hugo für Betriebe in Deutschland führt Buch darüber, wie oft Erpresser in diesem Jahr Betriebe aus Deutschland auf ihren Seiten vorgeführt haben. Bis zum 21. Oktober 2026 standen dort 196 Fälle für das laufende Jahr, 37 Prozent mehr als im selben Zeitraum 2025 mit 143. Ein Teil dieses Zuwachses geht laut Methodik darauf zurück, dass die Quelle heute mehr Angaben liefert.
Für den Inhaber wichtiger ist der Abschnitt mit den Meldefristen. Ist eine Datenpanne eingetreten, muss sein Betrieb sie binnen 72 Stunden der Datenschutzaufsicht melden, das gilt für alle Unternehmen. Diese Uhr läuft bei ihm, und am besten sagen Sie ihm das noch am Tresen.
Ob die Tischlerei je in der Zählung auftaucht, entscheiden die Täter. Erfasst ist nur, wer auf einer Leak-Seite landet, und wer gezahlt hat, steht dort in der Regel nicht.
10. Der Stapel Leasingrückläufer
Sie kaufen zwanzig gebrauchte Business-Notebooks aus einem Leasingrücklauf, bereiten sie auf und verkaufen sie weiter. Ein Käufer meldet sich, weil auf seinem Gerät noch Kundendaten der Vorbesitzerin liegen. Ihr Mitarbeiter will wissen, was so etwas kosten kann, wenn es bei der Aufsicht landet.
Einen Anhaltspunkt liefert die DSGVO-Bußgeld-Datenbank mit Branchenfilter für den Handel. Die Hälfte der deutschen Bußgelder in der Sammlung lag unter 62.500 €. Der Durchschnitt von 1,5 Millionen € kommt nur zustande, weil wenige Großverfahren ihn hochziehen. Für Handel und E-Commerce führt die Sammlung insgesamt 9 Fälle (Stand Oktober 2026).
Einen Filter nach Tathergang gibt es nicht, gefiltert wird nach Jahr, Land, Branche, Artikel und Betrag. Ob ein Fall mit gebrauchten Datenträgern dabei ist, finden Sie nur durch Lesen. Wie Ihr eigener Fall ausginge, sagt keine Sammlung voraus.
Eine Woche für die Werkstatt
Für einen Betrieb, der Rechner unter eigenem Namen verkauft, reicht ein Werkzeug pro Arbeitstag.
| Tag | Was erledigt wird | Wer es übernimmt |
|---|---|---|
| Montag | CRA-Check für jedes eigene Produkt einzeln durchgehen, Ergebnis als PDF ablegen | Inhaber |
| Dienstag | Ansprechperson für die ENISA-Meldeplattform benennen, mit den Lieferanten über Treiber- und Firmware-Updates sprechen | Inhaber und Einkauf |
| Mittwoch | Shop-Check an einer Produktseite ohne Konfigurator, das Label mit eigener Marke und Modellkennung ergänzen | wer den Shop pflegt |
| Donnerstag | Mail-Check für die Shop-Domain, jedes sendende System in den SPF-Datensatz eintragen | wer die Domain verwaltet |
| Freitag | Hersteller-Termine aus dem Fristenkalender abonnieren und festlegen, welche neuen Komplettsysteme vor dem 9. Dezember 2026 in den Verkauf gehen | Inhaber |
Wer nur Markenrechner unverändert weiterverkauft, ist laut Fragebogen Händler. Dann schrumpft der Montag auf einen einzigen Durchgang, und der Dienstag entfällt. Für die Kundschaft der Werkstatt braucht es keinen eigenen Tag. Störungsübersicht, Have I Been Pwned und das Lagebild gehören als Lesezeichen auf den Rechner am Tresen. Wer nach dem Umbau des Shops noch Fragen zu Cookies, Verträgen oder Aufbewahrung hat, findet sie in der Datenschutz-Werkzeugkiste von frag.hugo nach Anlass sortiert.