China leitet nationale Sicherheitsuntersuchung zu importierten Druckern und Kopierern ein
Chinas Handelsministerium hat am 5. August eine nationale Sicherheitsuntersuchung zu importierten Druckern und Kopierern eingeleitet und damit ausländische Software in gewöhnlichen Bürogeräten unter verstärkte Prüfung gestellt.
Die Maßnahme ist weder ein Importverbot noch ein Produktrückruf oder die Feststellung, dass ein Anbieter chinesische Netzwerke kompromittiert hat. Sie leitet ein Verfahren zur Sachverhaltsaufklärung ein, das Importe, Abhängigkeiten vom Ausland, die heimische Produktion, staatliche Maßnahmen und mögliche Auswirkungen auf die nationale Sicherheit untersuchen kann.
Ein RSSHub-Newsfeed von 36Kr trug zur Verbreitung der Ankündigung bei, doch das zugrunde liegende Ereignis ist die MOFCOM Announcement No. 33. Dieses Primärdokument legt die Untersuchung und ihren Umfang fest.
Der zentrale Konflikt reicht über Drucker hinaus. China prüft, ob die Abhängigkeit von ausländisch kontrollierter Software in vernetzter Bürohardware als handelsbezogenes Sicherheitsrisiko behandelt werden sollte.
Dieser Wandel setzt ausländische Gerätehersteller, chinesische Importeure, Unternehmenskäufer und heimische Alternativen unter Druck. Sie alle sehen sich nun Fragen zu Softwareeigentum, Update-Kanälen, technischem Zugriff, Komponentenbeschaffung und langfristigem Support gegenüber.
Die Untersuchung schafft zudem einen schwierigen Zielkonflikt. Im Ausland entwickelte Software kann ausgereifte Funktionen, Wartung und Kompatibilität bieten, doch externe Kontrolle über diese Software kann die Absicherung nationaler Sicherheitsinteressen erschweren.
Was Chinas Untersuchung tatsächlich umfasst
Die Untersuchung richtet sich gegen eine Kategorie aus Software und Lieferketten, nicht gegen eine veröffentlichte Liste von Unternehmen oder Ländern.
MOFCOM bezeichnete die untersuchten Produkte als importierte Bürogeräte mit Druck- oder Kopierfunktionen, sofern diese Geräte ausländische Systemsoftware enthalten. Die Kategorie kann Drucker, Kopierer und Multifunktionsgeräte umfassen.
Die Ankündigung definiert ausländische Systemsoftware als Treibersoftware oder eingebettete Software, die von ausländischen Personen oder Organisationen entwickelt, getestet oder gewartet wird. Eingebettete Software ist Code, der in einem Gerät gespeichert ist und dessen Kernfunktionen steuert.
Diese Definition ist wichtig, weil ein Gerät nicht unter einer ausländischen Marke verkauft werden muss, um in den angegebenen Geltungsbereich zu fallen. Beziehungen bei Softwareentwicklung und Wartung können Unternehmens-, Lieferanten- und Landesgrenzen überschreiten.
Die Ankündigung nennt weder Canon, Ricoh, Konica Minolta, Xerox, HP, Brother, Epson noch einen anderen Hersteller. Sie beschuldigt auch kein bestimmtes Produkt, eine Schwachstelle oder versteckte Funktion zu enthalten.
Die Maßnahme als Feststellung gegen einen einzelnen Anbieter zu behandeln, würde daher über die öffentlich verfügbaren Belege hinausgehen. Das Ministerium hat eine Untersuchung angekündigt, kein Sicherheitsurteil.
MOFCOM erklärte, vorläufige Informationen deuteten darauf hin, dass die betroffenen Geräte nationale Sicherheitsinteressen im Zusammenhang mit dem Außenhandel beeinträchtigen könnten. Diese vorläufigen Informationen veröffentlichte das Ministerium jedoch nicht und beschrieb auch keinen konkreten Vorfall.
Die Untersuchung begann am 5. August 2026. Sie soll innerhalb von zwölf Monaten nach der Eröffnungsankündigung abgeschlossen werden, wobei die Regierung den Zeitraum unter besonderen Umständen verlängern kann.
Interessierte Parteien erhielten ab Veröffentlichung 30 Tage Zeit, schriftliche Stellungnahmen zur Eröffnungsentscheidung und zu den Untersuchungsverfahren einzureichen. Dieses Zeitfenster gibt Herstellern, Importeuren, Branchenverbänden und anderen Betroffenen frühzeitig Gelegenheit zur Reaktion.
Das Ministerium kann schriftliche Fragebögen, Anhörungen, Vor-Ort-Untersuchungen und beauftragte Forschung einsetzen. Anschließend kann es auf Grundlage seiner Erkenntnisse einen Untersuchungsbericht veröffentlichen oder eine Entscheidung über das weitere Vorgehen treffen.
Sieben breite Bereiche fallen in den Untersuchungsumfang. Dazu zählen Importmuster, Auswirkungen auf die nationale Sicherheit, die heimische Nachfrage, die Abhängigkeit vom Ausland und der Zustand der chinesischen Industrie.
Die Ermittler können zudem bewerten, ob heimische Unternehmen die lokale Nachfrage und Sicherheitsanforderungen erfüllen können. Auch Maßnahmen ausländischer Regierungen und andere handelsbezogene Sicherheitsfaktoren liegen im Untersuchungsbereich.
Diese Breite bedeutet, dass das Verfahren mehr als Software-Schwachstellen prüfen kann. Es kann Marktkonzentration, Kontrolle über Updates, Wartungszugang, Lieferkontinuität und Chinas Fähigkeit berücksichtigen, importierte Systeme zu ersetzen.
Die Ankündigung benennt nicht die Kriterien, die Hersteller erfüllen müssen. Sie nennt keine akzeptablen Standorte für die Softwareentwicklung, Quellcode-Regelungen, Prüfstandards oder Kontrollen für den Umgang mit Daten.
Sie lässt auch „ausländische Systemsoftware“ für die praktische Auslegung offen. Ein Gerät könnte Firmware mehrerer Zulieferer enthalten und zugleich auf Treiber angewiesen sein, die von getrennten regionalen Teams gewartet werden.
Die Ermittler müssen entscheiden, wie solche gemischten Konstellationen in die Definition passen. Diese Auslegung könnte bestimmen, ob die Untersuchung eng begrenzt bleibt oder große Teile des Markts für importierte Bürogeräte erfasst.
Die Unterscheidung zwischen einer Untersuchung und einer Beschränkung ist entscheidend. Beschaffungsteams sollten nicht davon ausgehen, dass installierte Geräte allein deshalb verboten sind, weil sie der untersuchten Kategorie entsprechen.
Gleichzeitig verändert die formelle Untersuchung die Risikobewertung. Käufer, die Anschaffungen über mehrere Jahre planen, müssen nun berücksichtigen, ob spätere Ergebnisse die Zulässigkeit, Supportanforderungen oder zugelassene Konfigurationen verändern könnten.
Warum vernetzte Bürogeräte eine Sicherheitsfrage aufwerfen
Ein moderner Kopierer ist ein vernetzter Computer, der Dokumente verarbeitet, Daten speichert, Firmware ausführt und mit externen Systemen kommuniziert.
Drucker werden leicht übersehen, weil ihr sichtbares Ergebnis weiterhin Papier ist. Intern verfügen viele Unternehmensmodelle über Prozessoren, Speicher, Betriebsumgebungen, Netzwerkdienste, Verwaltungsoberflächen und Funktionen für die Fernverwaltung.
Ein Multifunktionsgerät kann einen vertraulichen Vertrag empfangen, ein Ausweisdokument scannen, wartende Aufträge speichern, Mitarbeitende authentifizieren, Verzeichnisse anbinden und Dateien per E-Mail oder an Cloud-Ziele senden.
Diese Funktionen machen das Gerät zu einem Teil des Informationssystems einer Organisation. Sein Risiko hängt von Softwaredesign, Konfiguration, Netzwerkplatzierung, Identitätskontrollen, Update-Praktiken und Anbieterunterstützung ab.
Das Vorhandensein ausländischer Software belegt für sich genommen keine böswillige Aktivität. Die Herkunft der Software ist nur ein Faktor, und auch lokal entwickelte Software kann Fehler oder unsichere Standardeinstellungen enthalten.
Ausländische Wartung kann jedoch Fragen der Steuerung aufwerfen, wenn ein Staat direkte Sicherheit benötigt. Behörden könnten fragen, wer Updates signieren, Code prüfen, Telemetriedaten abrufen, Zertifikate ausstellen oder den Support einstellen kann.
Firmware ist besonders wichtig, weil sie das Verhalten eines Geräts auf niedriger Ebene steuert. Kompromittierte Firmware kann unter gewöhnlichen Anwendungen fortbestehen und für Administratoren schwer überprüfbar bleiben.
Das National Institute of Standards and Technology der Vereinigten Staaten beschreibt in seinen Leitlinien zur Firmware-Resilienz drei zentrale Ziele: unbefugte Änderungen verhindern, sie erkennen und eine sichere Wiederherstellung ermöglichen.
Diese Grundsätze sind kein Beleg gegen importierte Drucker. Sie zeigen, warum Regierungen und Unternehmenskäufer eingebetteten Code zunehmend als Teil der Lieferkettensicherheit behandeln.
Die Netzwerkanbindung fügt eine weitere Ebene hinzu. Drucker können Webverwaltung, drahtlose Konnektivität, Dateiübertragungsprotokolle, Ferndiagnosen und automatische Updates unterstützen.
Jeder Dienst schafft potenziellen Nutzen und potenzielle Angriffsfläche. Eine Angriffsfläche ist die Gesamtheit der Schnittstellen und Funktionen, die ein Angreifer auszunutzen versuchen könnte.
NIST hat Bürodruker ausdrücklich genutzt, um die Risiken vernetzter Geräte zu erläutern. Seine IoT-Risikoleitlinien empfehlen Organisationen, Cybersicherheit und Datenschutz zu bewerten, bevor sie Geräte mit ihren Netzwerken verbinden.
Die praktischen Risiken unterscheiden sich erheblich. Ein sicher konfiguriertes Gerät in einem segmentierten Netzwerk weist ein anderes Profil auf als ein über das Internet erreichbares Gerät mit veralteter Firmware und Standardzugangsdaten.
Bei der Netzwerksegmentierung werden Geräte in getrennten Netzwerkzonen mit eingeschränkten Kommunikationswegen platziert. Sie kann den Schaden durch einen kompromittierten Drucker begrenzen, ohne dass die Organisation jeder Komponente vollständig vertrauen muss.
Zugriffskontrollen, verschlüsselte Verwaltung, signierte Updates, deaktivierte ältere Protokolle und Einstellungen zur Dokumentenaufbewahrung bieten zusätzliche Schutzmaßnahmen. Beschaffungsregeln können Nachweise für diese Fähigkeiten verlangen.
Chinas Untersuchung scheint über diese technische Checkliste hinauszugehen. MOFCOM kann neben der Fähigkeit der heimischen Industrie, nationale Anforderungen zu erfüllen, auch die Abhängigkeit von ausländischen Waren, Technologien und Dienstleistungen bewerten.
Daraus ergeben sich zwei überlappende Fragen. Die erste lautet, ob bestimmte Geräte sicher konzipiert und betrieben werden.
Die zweite lautet, ob China eine Abhängigkeit von ausländisch kontrollierter Software für Geräte akzeptiert, die in Regierung, Wirtschaft, Forschung und anderen sensiblen Umgebungen eingesetzt werden.
Ein Hersteller könnte beim ersten Test gut abschneiden und beim zweiten dennoch unter Druck geraten. Eine starke Produktsicherheit beseitigt Bedenken hinsichtlich Update-Befugnissen, Gerichtsbarkeit oder Lieferunterbrechungen nicht.
Umgekehrt beweist heimische Produktion nicht automatisch Sicherheit. Eine glaubwürdige Politik würde weiterhin Tests, Schwachstellenmanagement, Zugriffskontrolle und transparente Wartung bei allen Lieferanten verlangen.
Der spätere Wert der Untersuchung wird davon abhängen, ob sie messbare technische Risiken von Annahmen trennt, die hauptsächlich auf der Herkunft beruhen. Die Eröffnungsankündigung verrät nicht, wie die Behörden diese Unterscheidung vornehmen wollen.
Kontrolle ausländischer Software versus überprüfbare Gerätesicherheit
Die entscheidende Frage ist, ob China messbare Kontrollen bewertet oder die Kontrolle ausländischer Software bereits für sich genommen als inakzeptable Abhängigkeit behandelt.
Ein risikobasierter Prozess würde Gerätearchitektur, Datenflüsse, Update-Signierung, Umgang mit Schwachstellen, Fernzugriff, Softwarekomponenten und Lieferantenaufsicht prüfen. Er würde Beschränkungen mit Belegen verknüpfen.
Ein herkunftsbasierter Prozess würde sich stärker darauf konzentrieren, wer die Software entwickelt oder wartet. Dieser Ansatz kann Abhängigkeiten verringern, liefert aber ein weniger präzises Maß dafür, ob ein einzelnes Gerät sicher ist.
MOFCOMs Ankündigung lässt beide Ansätze zu. Sie umfasst ausdrücklich Auswirkungen auf die nationale Sicherheit, die Abhängigkeit von ausländischer Technologie, die heimische Industrie und Maßnahmen ausländischer Regierungen.
Dies ist die zentrale Spannung der Untersuchung. Sicherheitsabsicherung und Autonomie in der Lieferkette überschneiden sich, sind jedoch keine identischen Ziele.
Hersteller können auf Anforderungen an die Sicherheitsabsicherung mit technischen Nachweisen reagieren. Sie können Software-Stücklisten, Update-Mechanismen, Verschlüsselung, Zugriffskontrollen, Telemetrieverhalten und Verfahren zur Reaktion auf Schwachstellen dokumentieren.
Eine Software-Stückliste ist ein Verzeichnis der Komponenten, die in einem Softwareprodukt verwendet werden. Sie hilft Kunden, betroffene Systeme zu identifizieren, wenn Schwachstellen in einer gemeinsamen Abhängigkeit auftreten.
Anbieter könnten zudem lokal verwaltete Update-Infrastruktur, unabhängige Prüfungen, Kontrollen zur Datenlokalisierung oder eingeschränkte Fernverwaltung anbieten. Ob chinesische Behörden diese Maßnahmen als ausreichend ansehen würden, bleibt unklar.
Abhängigkeitsbedenken lassen sich allein durch Tests schwerer ausräumen. Wenn Behörden ausländische Wartungsbefugnisse als grundsätzlich riskant betrachten, könnte eine positive Sicherheitsbewertung die Frage nicht abschließend klären.
Die Untersuchung setzt globale Hersteller daher unter Druck, ihre Entwicklungsketten ungewöhnlich detailliert offenzulegen. Ein in einem Land montiertes Gerät kann Firmware-Module enthalten, die in mehreren anderen Ländern gepflegt werden.
Treiber schaffen eine weitere Komplikation. Ein Druckertreiber verbindet ein Betriebssystem mit einem Gerät und übersetzt Anfragen von Anwendungen in Befehle, die das Gerät versteht.
Treiber werden häufig über Betriebssystemkanäle, Tools für die Unternehmensverwaltung oder Websites der Hersteller aktualisiert. Ihre Sicherheits- und Wartungskette kann sich von der eingebetteten Software im Drucker unterscheiden.
Die Untersuchung könnte letztlich zwischen diesen Ebenen unterscheiden. Sie könnte sie aber auch zusammenfassen, weil die Ankündigung ausdrücklich sowohl Treiber als auch eingebetteten Code nennt.
Unternehmenskäufer benötigen Klarheit über diese Unterscheidung. Das Ersetzen eines Betriebssystemtreibers kann deutlich einfacher sein als der Austausch proprietärer eingebetteter Firmware oder eines gesamten Gerätebestands.
Ausländische Anbieter müssen zudem wissen, ob lokale Tests als ausländische Tests gelten, wenn die Muttergesellschaft den Prozess kontrolliert. Dieselbe Frage stellt sich bei Joint Ventures, Auftragnehmern und Drittanbietern von Komponenten.
Bis MOFCOM Fragebögen oder Verfahrensunterlagen veröffentlicht, wären definitive Antworten Spekulation. Das Eröffnungsdokument beschreibt das Ziel der Untersuchung, nicht ihren detaillierten Bewertungsrahmen.
Die Sicherheitsdebatte hat auch eine operative Seite. Anbieter liefern während der gesamten Lebensdauer eines Produkts Patches, Kompatibilitätskorrekturen, Tools für die Flottenverwaltung und technischen Support.
Eine Verringerung der externen Abhängigkeit kann die politische Kontrolle erhöhen, doch ein rascher Austausch kann neue Risiken schaffen. Unvertraute Produkte, überhastete Migrationen und fragmentierter Support können die Sicherheit während der Umstellung schwächen.
Beschaffungsteams stehen daher vor einem Zielkonflikt zwischen Kontinuität und Lokalisierung. Sie müssen den laufenden Betrieb schützen und sich zugleich auf Regeln vorbereiten, die noch nicht festgelegt wurden.
Eine vorsichtige Reaktion beginnt mit einer Bestandsaufnahme statt mit einem sofortigen Austausch. Organisationen sollten wissen, welche importierten Geräte sie besitzen, welche Software jedes davon nutzt und womit diese Geräte verbunden sind.
Sie sollten außerdem Aktualisierungsquellen, Ablaufdaten des Supports, Einstellungen für die Fernverwaltung, das Verhalten bei gespeicherten Dokumenten und sensible Arbeitsabläufe identifizieren. Diese Informationen unterstützen das Sicherheitsmanagement unter jeder künftigen Regelung.
Die aktuelle NIST-Leitlinie für geschützte Informationen behandelt Drucker, Scanner und Kopierer als konfigurierbare Systemkomponenten. Ihre Sicherheitskontrollen betonen restriktive Einstellungen sowie rechtzeitige Software- oder Firmware-Updates.
Diese Kontrollen verdeutlichen einen wichtigen Punkt. Das Geräterisiko kann durch Architektur und Administration reduziert werden, noch bevor Regulierungsbehörden entscheiden, ob die Herkunft eine zusätzliche nationale Sorge begründet.
Globale Lieferanten sollten Anfragen erwarten, die über Zertifizierungen hinausgehen. Behörden könnten operative Nachweise verlangen, die zeigen, wie Updates erstellt, genehmigt, bereitgestellt, protokolliert und zurückgezogen werden.
Sie könnten auch fragen, ob Geräte Server außerhalb Chinas kontaktieren, welche Daten das Netzwerk verlassen und welches Personal auf Diagnosedaten zugreifen kann. Keine dieser Anfragen wurde bislang öffentlich bestätigt.
Die endgültige Politik könnte von Dokumentationsanforderungen über Tests, Beschaffungsbedingungen und Lokalisierungspflichten bis hin zu Importbeschränkungen reichen. Die Ankündigung legt China heute auf keines dieser Ergebnisse fest.
Die Untersuchung setzt Anbieter, Importeure und Käufer unterschiedlich unter Druck
Die unmittelbare Belastung ist die Unsicherheit, und jede betroffene Gruppe muss eine andere Ausprägung davon bewältigen.
Für ausländische Hersteller besteht die erste Herausforderung im Umfang. Sie müssen bestimmen, welche Modelle, Softwarepakete, Servicevereinbarungen und Lieferkettenpartner möglicherweise unter die Untersuchung fallen.
Die zweite Herausforderung sind Nachweise. Anbieter könnten chinesischsprachige technische Unterlagen zu Entwicklung, Tests, Wartung, Datenflüssen, Fernzugriff und Update-Governance benötigen.
Unternehmen, die Drucker als einfache Geräte betrachten, könnten Schwierigkeiten haben, diese Unterlagen rasch zusammenzustellen. Große Unternehmensanbieter verfügen eher über ausgereifte Sicherheitsdokumentation, auch wenn deren Qualität je nach Produkt variiert.
Die dritte Herausforderung ist die Produktplanung. Hersteller müssen entscheiden, ob sie Softwarevereinbarungen vor Abschluss der Untersuchung umgestalten oder auf klarere Anforderungen warten.
Ein zu früher Schritt könnte Kosten erhöhen, ohne die Regulierungsbehörden zufriedenzustellen. Zu langes Warten könnte dazu führen, dass betroffene Modelle unvorbereitet sind, falls China technische oder beschaffungsbezogene Bedingungen auferlegt.
Importeure tragen ein separates Risiko, weil sie ausländische Lieferanten mit dem chinesischen Markt verbinden. Möglicherweise müssen sie Einreichungen koordinieren, Fragebögen beantworten, Unterlagen aufbewahren und Produktkonfigurationen erläutern.
Sie stehen zudem vor kommerzieller Unsicherheit. Kunden könnten Käufe verschieben, vertragliche Absicherungen verlangen oder inländische Alternativen anfordern, bevor es überhaupt eine formelle Beschränkung gibt.
Chinesische Unternehmens- und öffentliche Auftraggeber stehen vor Kontinuitätsfragen. Druckerflotten können über Jahre hinweg im Einsatz bleiben und sind von Verbrauchsmaterialien, Ersatzteilen, Treibern und Verwaltungssoftware abhängig.
Eine Beschaffungsentscheidung schafft daher eine langfristige Supportbeziehung. Eine Untersuchung ausländischer Wartung kann mehr als nur den ursprünglichen Hardwarekauf betreffen.
Käufer sollten Verträge auf Verpflichtungen zu Sicherheitsupdates, Unterstützung bei Audits, Datenverarbeitung, Fernzugriff und regulatorische Änderungen prüfen. Außerdem sollten sie die nationale Herkunft einer Marke nicht als Ersatz für eine Produktbewertung behandeln.
Inländische Hersteller dürften mehr Aufmerksamkeit erhalten, stehen jedoch auch vor höheren Erwartungen. Wenn nationale Sicherheit zu einem Beschaffungskriterium wird, müssen lokale Anbieter sichere Entwicklung nachweisen, statt sich auf politische Präferenz zu verlassen.
Möglicherweise müssen sie signierte Updates, Offenlegung von Schwachstellen, Zugriffsprotokollierung, gehärtete Standardeinstellungen und zuverlässige Patch-Bereitstellung vorweisen. Kunden werden weiterhin Interoperabilität mit bestehenden Systemen und Dokumentenabläufen benötigen.
Dieser Druck kann den Wettbewerb rund um Software-Governance neu gestalten. Druckqualität, Geschwindigkeit und die Wirtschaftlichkeit von Verbrauchsmaterialien bleiben wichtig, doch Käufer könnten Code-Eigentum und Transparenz bei der Wartung stärker gewichten.
Die Auswirkungen auf den Markt lassen sich aus öffentlichen Dokumenten noch nicht messen. MOFCOM hat weder Importwerte, Anbieteranteile, Produktzahlen noch eine Liste teilnehmender Unternehmen veröffentlicht.
Behauptungen, die Untersuchung betreffe jeden ausländischen Drucker, wären verfrüht. Ebenso wären Behauptungen, sie richte sich nur gegen staatliche Beschaffung oder nur gegen Geräte, die mit Verschlusssachen umgehen.
Die veröffentlichte Kategorie ist breit, während eine mögliche spätere Maßnahme enger gefasst sein könnte. Ermittler könnten Produkte nach Einsatzumgebung, Funktion, Softwarearchitektur oder Risikokontrollen unterscheiden.
Es gibt auch keinen öffentlichen Hinweis darauf, dass derzeit installierte Geräte vom Netz getrennt werden müssen. Organisationen sollten ihr übliches Schwachstellenmanagement fortsetzen und zugleich offizielle Anweisungen beobachten.
Das bedeutet, unterstützte Firmware zu aktualisieren, Standardzugangsdaten zu ändern, administrativen Zugriff zu begrenzen, ungenutzte Dienste zu deaktivieren und Drucker, wo praktikabel, von sensiblen Systemen zu trennen.
Sicherheitsteams sollten prüfen, ob Geräte Dokumentbilder oder Auftragsverläufe speichern. Speicherregeln können wichtig sein, wenn Geräte gewartet, neu zugewiesen, zurückgegeben oder entsorgt werden.
Cloud-Druck verdient eine separate Prüfung, da er die Dokumentverarbeitung über das lokale Netzwerk hinaus verlagern kann. Käufer sollten feststellen, wohin Daten übertragen werden und welche Nutzungsbedingungen für den Dienst gelten.
Auch Ferndiagnosen erfordern Aufmerksamkeit. Sie können die Zuverlässigkeit verbessern, doch unverwalteter Anbieterzugriff kann mit strikten Sicherheits- oder Lokalisierungsanforderungen kollidieren.
Diese Praktiken sind unabhängig vom Ausgang der Untersuchung sinnvoll. Sie betreffen das Gerät selbst, während politische Entscheidungsträger umfassendere Fragen zu Handel und Abhängigkeit prüfen.
Die Eröffnung ähnelt zudem einem größeren Muster, bei dem Regierungen Technologieprodukte durch nationale Sicherheitsrahmen bewerten. China hatte zuvor Micron-Produkte geprüft, die in kritischen Informationsinfrastrukturen eingesetzt wurden.
Chinas Cybersicherheitsbehörde eröffnete diese Prüfung im März 2023 und erklärte später, die Produkte hätten sie nicht bestanden. Ihre Micron-Entscheidung wies Betreiber kritischer Infrastrukturen an, die Beschaffung einzustellen.
Die Rechtsgrundlage und die Produktkategorie unterscheiden sich von der Druckeruntersuchung. Der Micron-Fall sollte daher als verfahrensrechtlicher Bezugspunkt dienen, nicht als Prognose des Ergebnisses.
Dennoch zeigt er, dass eine chinesische Technologieprüfung von der Risikobewertung zu Konsequenzen für die Beschaffung führen kann. Diese Vorgeschichte gibt Herstellern und Käufern Anlass, die Untersuchung aufmerksam zu verfolgen.
Was die Ankündigung nicht beweist
Die Untersuchung benennt eine Kategorie zur Prüfung, stellt jedoch öffentlich weder eine Schwachstelle noch einen Eindringversuch, Datenabfluss oder feindseliges Handeln eines Anbieters fest.
Diese Prüfungslücke sollte jede Interpretation prägen. MOFCOM verweist auf vorläufige Informationen, doch die Ankündigung enthält keinen technischen Bericht, kein betroffenes Modell, keinen Exploit und keinen dokumentierten Vorfall.
Ohne diese Nachweise können Leser weder Schweregrad, Verbreitung, Ausnutzbarkeit oder Gegenmaßnahmen bewerten. Ebenso wenig können sie bestimmen, ob die Bedenken Datenzugriff, Firmware-Integrität, Lieferunterbrechungen oder ein anderes Risiko betreffen.
Ein Drucker kann legitime Sicherheitsbedenken aufwerfen, ohne kompromittiert zu sein. Schlechte Konfigurationen, veraltete Firmware, exponierte Dienste und schwache Zugangsdaten können bei Produkten aus vielen Ländern Risiken schaffen.
Ausländische Entwicklung kann Fragen zu Rechtsräumen und Abhängigkeiten aufwerfen. Sie belegt nicht automatisch, dass Software bösartiges Verhalten enthält oder dass ein Anbieter seinen Zugriff missbraucht hat.
Das Fehlen namentlich genannter Unternehmen begrenzt auch wettbewerbliche Schlussfolgerungen. Es gibt keine öffentlichen Belege dafür, dass die Untersuchung darauf ausgelegt war, einen bestimmten Hersteller aus China zu verdrängen.
Die Ankündigung garantiert auch kein umfassendes Lokalisierungsmandat. Die Untersuchung könnte nach Prüfung der Brancheneinreichungen engere Melde-, Test- oder Beschaffungsanforderungen hervorbringen.
Eine weitere Unsicherheit betrifft die Verhältnismäßigkeit. Eine nationale Sicherheitsregel kann Risiken verringern und zugleich Wechselkosten, Kompatibilitätsprobleme und Unterbrechungen beim Support verursachen.
Behörden werden prüfen müssen, ob eine vorgeschlagene Reaktion das identifizierte Risiko adressiert. Produktspezifische Kontrollen können präziser sein als eine pauschale Herkunftsregel, wenn technische Belege eine Differenzierung erlauben.
Transparenz wird wichtig sein. Hersteller benötigen genügend Details, um auf Vorwürfe reagieren zu können, und Käufer benötigen Kriterien, die sich in Beschaffungsentscheidungen übertragen lassen.
Öffentliche Zusammenfassungen von Testmethoden würden ebenfalls das Vertrauen stärken. Eine vollständige Offenlegung kann aus Sicherheitsgründen unmöglich sein, doch unerklärte Schlussfolgerungen können eine unabhängige Bewertung erschweren.
Der Untersuchungszeitraum von 12 Monaten bietet Raum für die Sammlung von Beweisen. Er verlängert jedoch auch die Unsicherheit über Beschaffungszyklen und Produkt-Roadmaps hinweg.
Betroffene Unternehmen könnten für sensible Einreichungen eine vertrauliche Behandlung beantragen. MOFCOM erlaubt Parteien, Vertraulichkeit zu beantragen, wenn eine Offenlegung schwerwiegende nachteilige Folgen verursachen würde.
Diese Parteien müssen eine aussagekräftige nicht vertrauliche Zusammenfassung bereitstellen, falls dem Antrag stattgegeben wird. Dieser Mechanismus könnte der Öffentlichkeit einige Informationen zugänglich machen, ohne proprietäre Sicherheitsdetails offenzulegen.
Wie viel nützliches Material während der Untersuchung veröffentlicht wird, bleibt jedoch unbekannt. Wichtige technische Belege könnten vertraulich bleiben.
Das Verfahren könnte auch Chinas inländische Fähigkeit prüfen, importierte Produkte zu ersetzen. Dieser Faktor ist wirtschaftlich relevant, kann aber nicht eigenständig einen Sicherheitsmangel belegen.
Eine glaubwürdige endgültige Entscheidung sollte zwischen industrieller Fähigkeit und gerätespezifischem Risiko unterscheiden. Eine Vermischung dieser Fragen ohne klare Begründung würde den Sicherheitsmaßstab schwerer bewertbar machen.
Ausländische Regierungspolitiken sind ein weiterer aufgeführter Gegenstand. Dadurch kann die Untersuchung externe Beschränkungen oder strategische Maßnahmen berücksichtigen, die den chinesischen Zugang zu Produkten und Technologien beeinträchtigen.
Die Untersuchung kann sich mit der Widerstandsfähigkeit der Lieferkette befassen, selbst wenn die Geräte an sich sicher sind. Ein vertrauenswürdiges Produkt kann durch Exportkontrollen, Sanktionen oder Entscheidungen des Herstellers dennoch nicht mehr verfügbar sein.
Dies verdeutlicht, warum es um mehr als Schwachstellentests geht. China prüft sowohl die Sicherheit der Technologie als auch die Sicherheit des fortlaufenden Zugangs dazu.
Diese Ziele können unterschiedliche Maßnahmen nahelegen. Technische Risiken könnten Tests, Patches, Segmentierung oder eingeschränkten Fernzugriff erfordern.
Lieferkettenrisiken könnten diversifizierte Beschaffung, lokale Wartung, Ersatzprodukte oder inländische Entwicklung erfordern. Die Regierung hat nicht erklärt, welchem Anliegen mehr Gewicht zukommt.
Leser sollten Behauptungen widerstehen, das Ergebnis stehe bereits fest. Die stärksten verfügbaren Belege bleiben die offizielle Eröffnungsankündigung, und diese beschreibt ein noch laufendes Verfahren.
Worauf vor einer Entscheidung Chinas zu achten ist
Die nächsten drei Signale werden zeigen, ob dies eine eng gefasste Sicherheitsprüfung bleibt oder zu einer umfassenderen Maßnahme zur Lokalisierung von Technologien wird.
Das erste Signal ist der Untersuchungsfragebogen oder andere Verfahrensleitlinien. Die darin enthaltenen Fragen werden zeigen, welche Belege das MOFCOM für relevant hält.
Ein Fragebogen mit Schwerpunkt auf Firmware-Signierung, Fernzugriff, Telemetrie, Schwachstellen und Dokumentenspeicherung würde auf eine technische Sicherheitsbewertung hindeuten. Detaillierte Anfragen zu Eigentumsverhältnissen und Entwicklungsstandorten würden auf Abhängigkeitsbedenken weisen.
Wenn das Ministerium ausführlich nach Marktanteilen, inländischer Substitution und ausländischer Regierungspolitik fragt, wird industrielle Resilienz im Zentrum stehen. Das Verhältnis dieser Themen zueinander wird den Fall klarer definieren als die Eröffnungsüberschrift.
Das zweite Signal ist die Zusammensetzung der beteiligten Parteien. Namentliche Stellungnahmen großer Hersteller, Importeure, Branchenverbände oder Unternehmenskunden würden die Marktbreite verdeutlichen.
Antworten von Unternehmen könnten auch klären, welche Produkte die Firmen als erfasst ansehen. Schweigen würde keinen Ausschluss beweisen, da vertrauliche Kontakte stattfinden könnten.
Achten Sie auf öffentliche Zusagen zu lokalen Tests, lokalisierter Wartung, Quellcodeprüfung, eingeschränkten Cloud-Verbindungen oder von China kontrollierten Update-Diensten. Solche Maßnahmen würden darauf hindeuten, dass Anbieter erwarten, dass Software-Governance den Ausgang prägen wird.
Das dritte Signal sind etwaige vorläufige Beschaffungsleitlinien oder eine abschließende Entscheidung zur Behandlung des Falls. Neue Einkaufsbedingungen würden den Markt bereits vor einer umfassenden Importbeschränkung beeinflussen.
Produktzertifizierung, Offenlegung von Software, zugelassene Update-Kanäle oder Einsatzbeschränkungen könnten Wege zur Einhaltung schaffen. Ein weitreichendes Verbot würde signalisieren, dass Herkunft und Abhängigkeit gerätespezifische Minderungsmaßnahmen überwogen haben.
Der vorgesehene Abschluss der Untersuchung ist August 2027, sofern sie nicht verlängert wird. Eine Entscheidung könnte früher fallen, doch die Ankündigung enthält keinen Zwischenzeitplan.
Organisationen sollten die offizielle Fallmitteilung, das Trade Remedy and Investigation Bureau sowie die Compliance-Kommunikation ihrer Lieferanten beobachten.
Sie sollten außerdem jetzt ein präzises Geräteinventar erstellen. Erfasst werden sollten Modellnummern, Firmware-Versionen, Treiber, Netzwerkverbindungen, Update-Quellen, Supportdaten und Einsatzumgebungen.
Dieses Inventar unterstützt technische Sicherheitsarbeit und jede spätere regulatorische Reaktion. Es verhindert außerdem überstürzte Entscheidungen, die auf unvollständigen Annahmen darüber beruhen, welche Geräte von ausländisch gewarteter Software abhängen.
Sicherheitsteams können die Wartezeit nutzen, um Segmentierung zu testen, ungenutzte Protokolle zu entfernen, administrative Zugriffe einzuschränken und Einstellungen für gespeicherte Dokumente zu überprüfen. Beschaffungsteams können in neuen Verträgen klarere Bedingungen zur Software-Governance verlangen.
Ausländische Anbieter sollten Belege vorbereiten, die überprüfbare Kontrollen von allgemeinen Zusicherungen trennen. Chinesische Lieferanten sollten denselben Maßstab erwarten, wenn Käufer die Sicherheitsbegründung ernst nehmen.
Die Verbreitung über RSSHub 36Kr mag viele Leser erstmals auf die Geschichte aufmerksam gemacht haben, doch wiederholte Feed-Meldungen können die entscheidenden Fragen nicht beantworten. Nur offizielle Verfahren und technische Belege können das Risiko definieren.
Wird China Kriterien veröffentlichen, mit denen Anbieter vertrauenswürdige Software nachweisen können, oder wird ausländische Wartung selbst zum Ausschlusskriterium? Die Antwort wird bestimmen, ob dies ein Fall der Sicherheits-Compliance oder eine dauerhafte Veränderung bei der Beschaffung von Bürotechnologie ist.
