EU-Projekt CCAT: Open-Source-Tools für regulatorische Cybersecurity-Anforderungen

Die regulatorischen Vorgaben für Cybersicherheit in der Europäischen Union würden zunehmend komplexer. Vor diesem Hintergrund beteilige sich der SICP – Software Innovation Campus Paderborn der Universität Paderborn am Projekt „Cybersecurity Certification and Assessment Tools“ (CCAT). Das Vorhaben werde im Rahmen von Horizon Europe über drei Jahre mit rund 4,2 Millionen Euro gefördert.

Ziel des Projekts sei es laut Konsortium, Ergebnisse aus der angewandten Sicherheitsforschung in praxistaugliche Open-Source-Werkzeuge zu überführen. Diese sollen Unternehmen sowie öffentliche Einrichtungen dabei unterstützen, Anforderungen aus dem Cyber Resilience Act (CRA) und dem Cybersecurity Act (CSA) systematisch umzusetzen.

Unterstützung für Zertifizierung und Produktprüfung

Die entwickelten Tools sollen eine umfassende Analyse verschlüsselter Systeme, kryptografischer Komponenten, sicherheitskritischer Hardware sowie bestehender Zertifizierungen ermöglichen. Regulierungs- und Zertifizierungsstellen könnten die Werkzeuge zur Bewertung konkreter Produkte und Dienstleistungen einsetzen. Technologieanbieter wiederum erhielten laut Projektangaben strukturierte Leitlinien zur Erfüllung europäischer Sicherheitsanforderungen.

Durch die Open-Source-Ausrichtung werde Transparenz geschaffen und eine flexible Integration in bestehende Entwicklungs- und Prüfprozesse ermöglicht. Dies könne insbesondere für Unternehmen mit komplexen Lieferketten und heterogenen IT-Landschaften relevant sein. Gleichzeitig adressiere das Projekt Aspekte wie Nachvollziehbarkeit, Reproduzierbarkeit von Prüfverfahren und regulatorische Konformität.

Europäisches Konsortium mit Industrieanbindung

Das CCAT-Konsortium vereine akademische und industrielle Partner aus mehreren EU-Mitgliedstaaten. Beteiligt seien neben dem SICP die Masaryk-Universität (Tschechien), die Università Ca’ Foscari Venezia (Italien), Cybernetica AS (Estland), Monet+ (Tschechien), 10Sec S.r.l. (Italien) sowie die Universität Tartu (Estland). Assoziierte Partner seien Red Hat und Tropic Square aus Tschechien. Die Koordination liege bei der Masaryk-Universität.

Durch diese Struktur solle eine enge Verzahnung von Forschung, industrieller Anwendung und regulatorischen Anforderungen erreicht werden. Das Projekt adressiere damit sowohl den privaten Sektor als auch Behörden und Zertifizierungsstellen.

Methodische Basis: Vier etablierte Sicherheitswerkzeuge

Die Projektmethodik baue auf vier bestehenden akademischen Werkzeugen auf, die weiterentwickelt und für eine breitere Nutzung angepasst würden:

• TLS-Scanner: Diene der Bewertung der Sicherheit von TLS-Clients und -Servern zur Identifikation von Schwachstellen und Konfigurationsfehlern.
• SCRUTINY: Ermögliche die Evaluierung kryptografischer Implementierungen in Hardware-Geräten wie Smartcards sowie in Softwarebibliotheken.
• ALVIE: Analysiere Sicherheitsarchitekturen eingebetteter Systeme im Hinblick auf potenzielle Schwachstellen.
• sec-cert: Fungiere als Plattform zur Analyse zertifizierter Cybersicherheitsprodukte und bilde Abhängigkeiten zwischen Zertifizierungen und neu auftretenden Schwachstellen ab. Diese Werkzeuge würden laut Projektkonsortium so angepasst, dass sie sowohl im öffentlichen als auch im privaten Umfeld skalierbar einsetzbar seien. Dabei werde besonderer Wert auf Interoperabilität und Integrationsfähigkeit in bestehende Entwicklungs- und Prüfprozesse gelegt.

Anpassung an CRA- und EU-Zertifizierungsanforderungen

Im Bereich TLS-Sicherheitsanalysen greife das Team der Universität Paderborn auf Ergebnisse des Vorgängerprojekts „KoTeBi“ zurück. Dort seien Schwachstellen in TLS-Bibliotheken identifiziert und Analysewerkzeuge optimiert worden. Im Rahmen von CCAT werde das Tool gezielt an die Anforderungen des Cyber Resilience Act sowie an EU-Zertifizierungsschemata angepasst.

Dadurch sollen Unternehmen und Behörden in die Lage versetzt werden, Sicherheitsprüfungen effizienter und regulatorisch konform durchzuführen. Insbesondere für Hersteller digitaler Produkte könne dies die Vorbereitung auf verpflichtende Sicherheitsnachweise vereinfachen.

Usability und Praxistauglichkeit im Fokus

Ein Schwerpunkt des SICP liege auf der nutzerzentrierten Gestaltung der Werkzeuge. Ziel sei es, die Integration in bestehende Entwicklungsprozesse zu erleichtern und die Anwendbarkeit für unterschiedliche Zielgruppen – von Entwicklern bis zu Zertifizierungsstellen – zu verbessern.

Durch die enge Zusammenarbeit mit Anwendern solle die Verständlichkeit erhöht und die operative Nutzung in realen Prüf- und Entwicklungsumgebungen unterstützt werden. Damit adressiere das Projekt nicht nur technische Sicherheitsaspekte, sondern auch organisatorische Anforderungen an Compliance- und Zertifizierungsprozesse.