Cyber Resilience Act: Was kommt auf TYPO3-Projekte zu?

Jürgen Michael Kindler | 21. Juli 2026 · Lesedauer ca. 6 Minuten

Der Cyber Resilience Act (CRA) wird die Entwicklung und den Betrieb digitaler Produkte nachhaltig verändern. In der TYPO3-Community wird derzeit intensiv diskutiert, welche Auswirkungen die neuen Anforderungen auf Open Source haben werden. Dabei ist jedoch zunächst eine Unterscheidung entscheidend: Wird ein digitales Produkt auf dem Markt bereitgestellt oder entsteht im Kundenauftrag eine individuelle Lösung als Dienstleistung? Erst danach stellt sich die Frage, wer über Jahre Verantwortung und Haftung übernehmen muss.

Die Haftungsfrage verändert die Spielregeln

Viele TYPO3-Projekte wurden bislang als klassisches Projektgeschäft behandelt. Nach Abnahme und Launch war das Projekt weitgehend abgeschlossen. Wartung und Support wurden zwar angeboten, vom Auftraggeber aber nicht selten aus Kostengründen abgelehnt.

Der Cyber Resilience Act verändert diese Logik allerdings nicht bei jeder TYPO3-Dienstleistung automatisch. Er richtet sich in erster Linie an Hersteller, die digitale Produkte auf dem Markt bereitstellen. Entwickelt eine Agentur dagegen eine individuelle Website im Auftrag eines Kunden, handelt es sich zunächst um eine Projektleistung. Entscheidend ist daher, wer das digitale Produkt unter eigenem Namen bereitstellt und welche Rolle Agentur, Kunde und weitere Anbieter dabei tatsächlich übernehmen.

Liegt ein digitales Produkt im Sinne des CRA vor, muss dessen Hersteller Sicherheitslücken über Jahre beobachten, dokumentieren und beheben. Diese Pflichten lassen sich nicht allein dadurch beseitigen, dass ein Kunde einen Wartungs- oder SLA-Vertrag ablehnt. Mit der langfristigen Produktverantwortung kommt deshalb auch ein langfristiges wirtschaftliches und rechtliches Risiko.

Bei TYPO3 kann die Zuordnung besonders komplex werden. Eine Lösung besteht häufig aus dem Core, individuell entwickelten Bestandteilen und Extensions verschiedener Anbieter. Entsteht später in einer dieser Komponenten eine kritische Sicherheitslücke, kann die Ursache bei einem ganz anderen Akteur liegen. Umso wichtiger wird die Frage, wer Hersteller des angebotenen Produkts ist und wer den Aufwand für Wartung, Dokumentation und Sicherheitsupdates über Jahre tragen muss.

Vor diesem Hintergrund erscheinen auch die aktuellen Entwicklungen im TYPO3-Ökosystem in einem neuen Licht. Während viele Diskussionen die TYPO3 Suite vor allem als neues kommerzielles Angebot wahrnehmen, dürfte der Cyber Resilience Act eine deutlich größere Rolle spielen als auf den ersten Blick erkennbar ist.

Die TYPO3 Association hat sich bewusst als Open-Source-Software-Steward positioniert und fällt damit unter das erleichterte Regelwerk des CRA. Gleichzeitig wurde auf den TYPO3 Dialogue Days im Juli 2026 vorgestellt, dass die TYPO3 GmbH im Rahmen der TYPO3 Suite für definierte TYPO3-Konfigurationen die Herstellerrolle einschließlich der damit verbundenen Compliance- und Haftungspflichten übernehmen möchte.

Damit bekommt die TYPO3 Suite eine völlig neue Bedeutung. Sie ist nicht nur ein zusätzliches Produkt oder ein neues Geschäftsmodell. Sie könnte vielmehr der Versuch sein, Haftung, Compliance und langfristige Produktverantwortung zentral bei der TYPO3 GmbH zu bündeln. Betrachtet man die Diskussion aus dieser Perspektive, erscheinen viele der kontrovers geführten Debatten der vergangenen Monate plötzlich in einem anderen Licht.

Für Agenturen und Freelancer ist zunächst entscheidend, ob sie ein digitales Produkt bereitstellen oder eine individuelle Dienstleistung im Kundenauftrag erbringen. Wer eine kundenspezifische Website entwickelt und übergibt, wird dadurch nicht automatisch zum Hersteller eines Produkts im Sinne des CRA. Anders kann es aussehen, wenn eine Agentur standardisierte Lösungen, Distributionen, Extensions oder wiederverwendbare Softwarepakete unter eigenem Namen anbietet.

In der Praxis sind diese Grenzen allerdings nicht immer eindeutig. Eine TYPO3-Agentur kann zugleich Dienstleister, Entwickler eigener Erweiterungen, Betreiber einer Plattform oder Anbieter einer vorkonfigurierten Lösung sein. Deshalb muss für jedes Angebot geprüft werden, welche Rolle die beteiligten Unternehmen tatsächlich einnehmen.

Unabhängig von der rechtlichen Einordnung bleibt im Projektgeschäft ein bekanntes Spannungsfeld bestehen. Viele Auftraggeber verzichten aus Kostengründen auf einen Wartungs- oder SLA-Vertrag. Aus Sicht des Kunden spart das zunächst Geld. Gleichzeitig muss geklärt sein, wer Sicherheitsmeldungen verfolgt, bekannte Schwachstellen bewertet, Updates einspielt und kritische Sicherheitslücken zeitnah schließt.

Wartungsverträge werden dadurch nicht automatisch vom CRA vorgeschrieben. Sie können aber zu einem wichtigen Bestandteil eines professionellen Risikomanagements werden. Die eigentliche Herausforderung besteht weniger im Einspielen einzelner Updates als in der langfristigen Organisation von Zuständigkeiten, Dokumentation und Verantwortung.

Für kleinere Agenturen und Freelancer bedeutet der CRA daher nicht zwangsläufig, dass ihr bisheriges Projektgeschäft zu einem haftungsbelasteten Produktgeschäft wird. Er macht aber deutlich, wie wichtig die Unterscheidung zwischen Produkt und Dienstleistung ist. Wer eigene Softwareprodukte anbietet, übernimmt eine andere Rolle als ein Dienstleister, der eine individuelle Lösung im Auftrag seines Kunden entwickelt.