Eine vernetzte Innenkamera ist schnell eingerichtet: App installieren, WLAN auswählen, Konto anlegen, Bild prüfen. Vor dem Kauf oder spätestens vor dem ersten Einsatz lohnt sich aber eine langsamere Entscheidung. Wie lange stellt der Hersteller Sicherheitsupdates bereit? Wie kommen diese Updates auf das Gerät? Welche Funktionen hängen an einem Cloudkonto? Und was bleibt von der Kamera übrig, wenn Internet, Konto oder Anbieterzugang nicht verfügbar sind?
Diese Fragen beantwortet der Cyber Resilience Act (CRA) nicht pauschal. Die EU-Regeln schaffen neue Pflichten für Hersteller von Produkten mit digitalen Elementen, zu denen auch Smart-Home-Produkte zählen. Verbraucherinnen und Verbraucher erhalten dadurch aber keine allgemeine Zusage für die Updateversorgung eines bestimmten Geräts. Wer eine Kamera auswählt, sollte deshalb Funktionen, Preis sowie Fragen zu Sicherheit und Abhängigkeiten gemeinsam betrachten.
Das Wichtigste in 30 Sekunden
- Ab dem 11. September 2026 gelten für Hersteller Meldepflichten zu aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen.
- Die allgemeinen Hauptpflichten des CRA gelten grundsätzlich erst ab dem 11. Dezember 2027.
- Die Meldepflicht richtet sich an Hersteller, nicht an private Haushalte.
- Eine einheitliche, gesetzlich garantierte Supportdauer für jedes Verbrauchergerät nennen die offiziellen Quellen nicht.
- Vor dem Kauf zählen deshalb klare Supportangaben, ein nachvollziehbarer Updateweg, Cloud-Abhängigkeiten und ein Plan für Störungen.
Die Kaufentscheidung beginnt vor dem QR-Code
Bei einer Kamera ist nicht nur entscheidend, ob Bildqualität, App und Montage passen. Das Gerät wird Teil des Zuhauses und kann über Jahre mit dem Netzwerk, einem Nutzerkonto und oft auch mit externen Diensten verbunden bleiben. Deshalb ist Transparenz beim Support ein praktisches Kaufkriterium.
Hilfreich sind Informationen, die sich vor dem Bezahlen finden und verstehen lassen: eine benannte Support- oder Updateperiode, Hinweise zu automatischen oder manuellen Updates, Versionshinweise und ein klarer Kontaktweg für gemeldete Schwachstellen. Fehlen solche Angaben, sagt das noch nichts über die Sicherheit eines einzelnen Produkts aus. Es bleibt aber eine offene Frage, die Käuferinnen und Käufer in ihre Entscheidung einbeziehen können.
Ebenso wichtig ist die Funktionslogik: Welche Aufgaben setzen zwingend ein Cloudkonto voraus? Lassen sich Fernzugriff, Mikrofon, Kamera und zusätzliche Konten getrennt einstellen? Und welche Funktionen stehen bei einem Internetausfall noch zur Verfügung? Diese Punkte sind redaktionelle Entscheidungshilfen, keine vollständige Rechtsberatung.
Was am 11. September 2026 tatsächlich beginnt
Der aktuelle Anlass ist eine neue praktische Umsetzungshilfe der Europäischen Kommission vom 27. Juli 2026. Sie erläutert für Unternehmen unter anderem Anwendungsbereich, Risikobewertung, Supportzeiträume und Meldepflichten des CRA. Der Rechtsrahmen ist die Verordnung (EU) 2024/2847.
Der Zeitplan ist gestaffelt. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit von Produkten mit digitalen Elementen. Die allgemeinen Hauptpflichten des CRA gelten grundsätzlich ab dem 11. Dezember 2027. Smart-Home-Produkte gehören laut BSI ausdrücklich zu den betroffenen Produktgruppen.
Das Datum im September macht eine Kamera also nicht plötzlich automatisch sicher. Es markiert den Beginn eines vorgeschriebenen Herstellerprozesses für bestimmte Sicherheitsereignisse. Im Alltag ist das relevant, weil Sicherheitsarbeit nicht erst beim Verkaufsstart beginnen soll. Eine individuelle Zusage über Updates für ein konkretes Gerät entsteht daraus aber nicht.
Der Meldeweg: schnell informieren, nicht den Haushalt verpflichten
Die Europäische Kommission beschreibt für die betroffenen Hersteller eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme und eine vollständige Meldung innerhalb von 72 Stunden. Gemeldet wird über die CRA Single Reporting Platform. Nach einer Korrekturmaßnahme bei aktiv ausgenutzten Schwachstellen beziehungsweise innerhalb eines Monats bei schweren Vorfällen sind weitere Berichte vorgesehen.
Das ist eine Herstellerpflicht. Private Käuferinnen und Käufer müssen nicht innerhalb dieser Fristen selbst eine EU-Meldung absetzen. ENISA erläutert zwar, dass über die Plattform auch freiwillige Meldungen natürlicher oder juristischer Personen möglich sein können. Das ersetzt jedoch weder den Produktsupport noch einen nachvollziehbaren Weg, über den ein Hersteller Sicherheitsinformationen und Updates an seine Kundschaft bringt.
Was sich für den Haushalt indirekt verbessern kann
Der CRA soll Cybersicherheit stärker in Planung, Entwicklung, Wartung und den Umgang mit Schwachstellen über den gesamten Produktlebenszyklus einbeziehen. Das betrifft nicht nur Kameras, sondern auch andere vernetzte Hardware, Apps und Software. Für Haushalte ist vor allem die Richtung wichtig: Sicherheit soll nicht erst dann zum Thema werden, wenn ein Gerät bereits dauerhaft im Netzwerk hängt.
Wie gut das in der Praxis funktioniert, bleibt dennoch vom jeweiligen Produkt abhängig. Ein Meldeprozess kann die Weitergabe von Informationen bei ernsten Ereignissen strukturieren. Er beantwortet nicht automatisch, ob ein Hersteller seine Supportkommunikation verständlich gestaltet, wie Updates installiert werden oder welche Funktionen nach einer Veränderung beim Anbieter verfügbar sind.
| Ebene | Was geregelt oder prüfbar ist | Was daraus nicht folgt |
|---|---|---|
| Hersteller | Meldung bestimmter aktiv ausgenutzter Schwachstellen und schwerer Vorfälle ab 11. September 2026 | Eine private Meldepflicht für Haushalte |
| Produktlebenszyklus | CRA-Anforderungen zu Sicherheit, Wartung und Schwachstellenbehandlung gelten grundsätzlich ab 11. Dezember 2027 | Eine identische Supportdauer für jedes Gerät |
| Kaufentscheidung | Supportangaben, Updateweg und Abhängigkeiten lassen sich vor dem Kauf abfragen | Eine automatische Sicherheitsgarantie oder Austauschpflicht für Altgeräte |
Die Fünf-Minuten-Checkliste vor dem Kauf
- Supportperiode suchen: Nennt der Hersteller nachvollziehbar, wie lange Updates oder Support vorgesehen sind? Eine vage Formulierung ist weniger aussagekräftig als eine konkrete, leicht auffindbare Angabe.
- Updateweg verstehen: Ist klar, ob Aktualisierungen automatisch erfolgen, in der App bestätigt werden müssen oder manuell eingespielt werden? Versionshinweise machen Veränderungen nachvollziehbarer.
- Schwachstellenkontakt prüfen: Gibt es eine erkennbare Kontaktstelle für Sicherheitsmeldungen? Das zeigt zumindest, dass der Hersteller einen vorgesehenen Kommunikationsweg beschreibt.
- Cloud-Abhängigkeit klären: Welche Funktionen erfordern zwingend ein Konto oder Internetzugang? Die Produktbeschreibung sollte diese Abhängigkeit verständlich machen.
- Störungsfall durchdenken: Was geschieht bei Internetausfall, einem kritischen Sicherheitsproblem oder einem Ende des Anbieterangebots? Nicht annehmen, dass ein Cloudgerät dann automatisch lokal weiterläuft.
Diese fünf Fragen dauern nicht lange, lenken den Blick aber von der Einrichtung auf die Zeit danach. Gerade bei Geräten, die lange im Zuhause bleiben sollen, ist das oft wichtiger als eine einzelne Komfortfunktion.
Support ist mehr als ein Datum
Die Kommissionshilfe behandelt ausdrücklich, wie Supportzeiträume im CRA-Kontext zu verstehen sind. Sie setzt nach den vorliegenden offiziellen Quellen jedoch keine einheitliche Dauer fest, die für jede Kamera, jeden Router oder jedes vernetzte Haushaltsgerät gleichermaßen gilt. Deshalb wäre es irreführend, aus dem CRA eine feste Jahreszahl für Sicherheitsupdates abzuleiten.
Für Käuferinnen und Käufer folgt daraus eine einfache Regel: Eine angegebene Supportperiode ist ein konkreter Prüfpunkt, keine Nebensache. Fehlt sie, bleibt eine wesentliche Information offen. Das kann besonders relevant sein, wenn ein Gerät Zugang zum Heimnetz, zu Bild- oder Audiodaten oder zu einem Nutzerkonto erhält.
Was der CRA nicht garantiert
Der CRA ist kein rückwirkendes Austauschprogramm für bereits installierte Geräte. Aus dem gestaffelten Anwendungsbeginn folgt keine automatische Nachrüstungs- oder Austauschpflicht für private Bestandsgeräte. Ebenso wenig lässt sich daraus ableiten, dass jedes ältere Produkt sofort neue Sicherheitsfunktionen erhält.
Auch die Single Reporting Platform ist kein Versprechen für die Betriebsfähigkeit einer konkreten Cloudkamera nach einem Anbieterende. Sie ist ein technischer Meldeweg für die im CRA genannten Ereignisse. Ob und wie ein bestimmtes Produkt ohne Cloudkonto oder Internet nutzbar ist, muss die Produktdokumentation selbst klären.
Die Konsequenz: Transparenz vor Komfort bewerten
Das neue EU-Sicherheitsdatum ist ein sinnvoller Schritt für den Umgang von Herstellern mit schwerwiegenden Sicherheitsereignissen. Es nimmt Haushalten aber nicht die Entscheidung ab, welchem Gerät sie Zugang zum Zuhause und zum Netzwerk geben.
Die belastbarste Kaufregel lautet daher: Nicht nur fragen, was eine Kamera heute kann. Auch fragen, wie Updates kommen, wie lange Unterstützung nachvollziehbar vorgesehen ist, welche Rolle die Cloud spielt und welcher Plan bei Störungen gilt. Der CRA verbessert den Rahmen für Hersteller. Die konkrete Sicherheit im Zuhause beginnt weiterhin mit einer informierten Auswahl.
Quellen und weiterführende Informationen
- European Commission: Commission publishes new guidance to support businesses’ implementation of the Cyber Resilience Act
- European Commission: Cyber Resilience Act – Reporting obligations
- EUR-Lex: Horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act)
- BSI: Cyber Resilience Act
- ENISA: Single Reporting Platform (SRP)
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-16
