Dahua hat für seinen Software-Entwicklungsprozess die internationale Zertifizierung IEC 62443-4-1 erhalten und nennt sie selbst eine Grundlage für die europäische Cyberpflicht CRA. Der Standard prüft, wie der Kamerahersteller Produkte entwickelt, nicht, ob chinesische Behörden auf die fertigen Geräte zugreifen können. Genau diese Frage hält Dahua bis heute aus sicherheitskritischen Netzen des Westens fern.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 16. Juli 2026 stellte ein Prüfinstitut Dahua das Zertifikat für einen sicheren Entwicklungsprozess aus, seit dieser Woche macht der Konzern das Ergebnis in China zur Schlagzeile.[1] Die IEC-62443-4-1-Zertifizierung soll dem Kamerabauer den Zugang zum EU-Markt erleichtern, kurz bevor die Cyberpflicht CRA greift. Deutsche Beschaffer gewinnen dadurch aber keine Klarheit, sondern nur Aufschub.
Das Wichtigste in Kürze
- Dahua trägt seit dem 16. Juli 2026 die Zertifizierung IEC 62443-4-1 für sichere Entwicklungsprozesse.
- Der Standard bewertet das Vorgehen bei der Softwareentwicklung, nicht die Sicherheit eines einzelnen Geräts.
- Dahua verweist ausdrücklich auf die EU-Verordnung Cyber Resilience Act, deren Meldepflichten am 11. September 2026 beginnen.
- In den USA steht Dahua auf der FCC Covered List, ein Prozesssiegel ändert daran nichts.
Was das Zertifikat wirklich prüft
IEC 62443-4-1 stammt aus der Normreihe für industrielle Automatisierungs- und Steuerungssysteme und beschreibt einen sicheren Entwicklungslebenszyklus. Bewertet werden Anforderungsmanagement, Risikoanalyse, sicheres Design, Verifikation und der Umgang mit gemeldeten Schwachstellen.[1] Das Siegel bestätigt also einen geordneten Prozess, keine fehlerfreien Kameras. Ein Hersteller erfüllt jede Vorgabe der Norm und liefert trotzdem verwundbare Produkte aus, weil die Zertifizierung die Arbeitsweise abnimmt, nicht das einzelne Ergebnis.
Warum die westlichen Sperren bleiben
Die Vorbehalte gegen Dahua und den größeren Rivalen Hikvision entstehen an einer anderen Stelle. Sie wurzeln in Chinas Nachrichtendienstgesetz von 2017, das heimische Firmen zur Kooperation mit den Sicherheitsbehörden verpflichtet. Ein Entwicklungszertifikat berührt diese Rechtslage nicht, weil kein Audit die Weisungsbefugnis eines Staates aufhebt. Genau deshalb sperren die USA beide Marken über die FCC Covered List aus. Europäische Behörden diskutieren ähnliche Schritte. Das Muster kennt die Branche schon von Huawei im Mobilfunk: Ein technischer Nachweis beantwortet die Vertrauensfrage nicht.
Ein Prüfsiegel bescheinigt Dahua saubere Prozesse, doch es beantwortet nicht die Frage, wer im Ernstfall auf die Kameras zugreift. Für kritische Standorte bleibt die Herkunft das härtere Kriterium als jedes Zertifikat.
— Michael Dobler, Herausgeber Dr. Web
Prüfung mit klarer Grenze
Das Zertifikat prüft
- den Software-Entwicklungsprozess
- Risikoanalyse und sicheres Design
- den Umgang mit gemeldeten Schwachstellen
- Update- und Wartungspflege
Das Zertifikat prüft nicht
- die Sicherheit eines einzelnen Geräts
- staatlichen Zugriff nach Chinas Nachrichtendienstgesetz
- die Aufnahme in westliche Beschaffung
- die Sperre auf der FCC Covered List
Drei Stichtage bis zur CRA-Pflicht
Was der CRA-Stichtag für Entscheider bedeutet
Der Cyber Resilience Act zwingt ab dem 11. September 2026 jeden Hersteller vernetzter Produkte, aktiv ausgenutzte Schwachstellen binnen 24 Stunden zu melden, die vollständigen Produktpflichten folgen am 11. Dezember 2027.[2] Dahua bereitet mit der Zertifizierung genau diese Konformität vor. Beschaffer sollten den CRA-Nachweis eines Anbieters trotzdem getrennt von der Herkunftsfrage prüfen und für kritische Infrastruktur die strengeren Vorgaben von BSI und NIS2 anlegen. Vertragliche Update-Zusagen über die gesamte Nutzungsdauer gehören ebenso in jede Ausschreibung.
Das Zertifikat ist echt und für die CRA-Vorbereitung nützlich, doch es ersetzt keine Herkunftsprüfung. Beim Einkauf von Überwachungstechnik für sensible Standorte zählt IEC 62443 als Mindeststandard, nicht als Freibrief.
Quellen
[1] Dahua Technology: „Dahua Technology Achieves IEC 62443-4-1 Certification for Secure Development Lifecycle Processes“
[2] Europäische Kommission: „Cyber Resilience Act — Reporting obligations“
Mehr Newshunger?
- Dahua im Cockpit: Wie Chinas gesperrter Kamerariese Leapmotor beliefert
- Hikvisions Gewinn springt um 40 Prozent, während Europa die Kameras aussperrt
- Saugroboter aus China: Warum die USA jedes neue Modell blockieren
- Marinedrohne funkt nach China: die blinde Stelle bei chinesischen Komponenten
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- Die unsichtbare Gefahr: Warum Cybersecurity Chefsache ist
