Woran du sichere Smart-Home-Geräte erkennst: Update-Support, Default-Passwörter, Schwachstellenmeldungen und rote Flaggen vor dem Kauf.
Das Wichtigste auf einen Blick
- Update-Support ist ein Kaufkriterium: Ohne sichtbare Updatepolitik altert ein Smart-Home-Gerät schneller als seine Hardware.
- Default-Passwörter sind ein Warnsignal: Gute Geräte erzwingen individuelle Zugangsdaten oder kommen ohne unsichere Standardlogins aus.
- Schwachstellen müssen einen Meldeweg haben: Seriöse Hersteller nennen Security-Kontakt, Update-Historie oder Advisory-Seite.
- Kritische Geräte brauchen strengere Maßstäbe: Kamera, Schloss, Router, Bridge und Heizungssteuerung sind sensibler als ein einfacher Sensor.
- Labels und Regulierung helfen: Sie ersetzen aber nicht die konkrete Prüfung vor dem Kauf.
Die Kauf-Checkliste: Was vor dem Bezahlen klar sein sollte
| Prüffrage | Gutes Zeichen | Rote Flagge |
|---|---|---|
| Wie lange gibt es Sicherheitsupdates? | Supportdauer oder Updatepolitik ist öffentlich dokumentiert. | Nur vage Aussagen wie „regelmäßig“, ohne Zeitraum oder Historie. |
| Wie startet das Gerät? | Individuelles Passwort, sicherer Einrichtungsfluss, keine offenen Standardkonten. | admin/admin, festes Passwort auf allen Geräten oder unverschlüsselte Erstkonfiguration. |
| Wie werden Lücken gemeldet? | Security-Kontakt, Schwachstellenprozess oder Hersteller-Advisories. | Keine erkennbare Anlaufstelle für Sicherheitsmeldungen. |
| Was passiert ohne Cloud? | Kernfunktion läuft lokal weiter oder Ausfallgrenzen sind transparent. | Produktseite verspricht nur App-Komfort, erklärt aber keine Abhängigkeiten. |
Warum „Secure by Design“ im Smart Home wichtig wird
Viele vernetzte Geräte werden gekauft wie Lampen, Thermostate oder Türbeschläge: anschließen, einrichten, vergessen. Technisch sind sie aber kleine Computer mit Funkmodul, Firmware, Cloudkonto und manchmal Kamera, Mikrofon oder Zutrittsfunktion. Genau deshalb reicht es nicht, wenn ein Gerät am ersten Tag bequem wirkt. Es muss auch so gebaut sein, dass Sicherheit nicht komplett auf den Nutzer abgewälzt wird.
CISA fasst diese Verschiebung mit „Secure by Design“ zusammen: Hersteller sollen Sicherheit von Beginn an einplanen, sichere Voreinstellungen wählen und Verantwortung für Schwachstellen übernehmen. Für Käufer heißt das praktisch: Nicht nur Funktionsliste und Preis vergleichen, sondern fragen, ob ein Hersteller Updatepflege, sichere Defaults und einen Meldeweg sichtbar macht.
Default-Passwörter: Kleine Bequemlichkeit, großes Risiko
Ein Standardpasswort ist bequem für die erste Einrichtung, aber gefährlich im Alltag. Wenn viele Geräte dieselben Zugangsdaten nutzen oder Nutzer das Passwort nie ändern müssen, entsteht ein Muster, das Angreifer automatisiert ausnutzen können. Besonders heikel ist das bei Kameras, Routern, Bridges und smarten Schlössern, weil diese Geräte entweder private Räume berühren oder andere Geräte steuern.
Ein gutes Zeichen ist ein Setup, das individuelle Zugangsdaten erzwingt, Mehrfaktor-Schutz für das Konto anbietet und keine ungeschützte Admin-Oberfläche offenlässt. Für einfache Sensoren ist das weniger dramatisch als für eine Innenkamera. Aber auch günstige Geräte sollten nicht mit einer Sicherheitslogik aus den frühen 2000ern ausgeliefert werden.
Update-Support: Die wichtigste Zahl steht selten groß auf der Verpackung
Bei Smartphones fragen viele Nutzer inzwischen selbstverständlich nach Updatejahren. Im Smart Home passiert das seltener, obwohl Geräte oft länger im Haushalt bleiben: Kameras an der Wand, Bridges im Netzwerkschrank, Thermostate an Heizkörpern, Sensoren in Türen. Wenn ein Hersteller keine Sicherheitsupdates mehr liefert, kann ein technisch intaktes Gerät trotzdem zu alt für den sicheren Betrieb werden.
Du musst nicht für jedes Gerät einen zehnjährigen Vertrag verlangen. Aber die Richtung sollte klar sein. Für Router, Kameras, Türschlösser und zentrale Hubs lohnt sich ein Hersteller mit sichtbarer Update-Historie und dokumentierter Supportpolitik. Bei sehr billigen No-Name-Geräten ohne Angaben ist der spätere Austausch oft realistischer als jahrelanger Betrieb.
Schwachstellenmeldungen: Seriöse Hersteller sind erreichbar
Sicherheit endet nicht beim Verkauf. NIST und NCSC betonen in ihren IoT- und Gerätesicherheitsprogrammen sinngemäß denselben Punkt: Vernetzte Produkte brauchen klare Sicherheitsprozesse. Dazu gehört, dass Forscher, Kunden oder Behörden Schwachstellen melden können und Hersteller nicht erst reagieren, wenn ein Problem öffentlich eskaliert.
Für Käufer ist das erstaunlich einfach prüfbar. Gibt es eine Security-Seite? Werden Firmware-Versionen dokumentiert? Gibt es Hinweise zu bekannten Lücken? Ein einzelnes Sicherheitslabel kann helfen, aber es ersetzt nicht die Frage, ob der Hersteller im Ernstfall tatsächlich erreichbar ist und Updates ausrollt.
Geräteklassen: Nicht jedes Smart-Home-Produkt ist gleich kritisch
Eine smarte Lampe und ein smartes Türschloss gehören nicht in dieselbe Risikoklasse. Kritisch sind Geräte, die Zugang, Sicht in private Räume, Netzwerkverwaltung oder zentrale Automationen betreffen. Dazu zählen Router, Kameras, Bridges, smarte Schlösser, Alarmanlagen, Heizungssteuerungen und Energiegeräte. Hier sollte ein fehlendes Updateversprechen fast immer gegen den Kauf sprechen.
Bei einfachen Sensoren, Steckdosen oder Lampen kann man pragmatischer sein, wenn sie in einem getrennten IoT-Netz laufen und keine sensiblen Daten verarbeiten. Trotzdem gilt: Je stärker ein Gerät mit Konto, Cloud, Kamera oder Zugang verbunden ist, desto weniger sollte man Sicherheitsversprechen als freiwilliges Extra behandeln.
Was der Cyber Resilience Act verändert – und was nicht
Der europäische Cyber Resilience Act verschiebt die Erwartung an digitale Produkte: Hersteller sollen Sicherheitsanforderungen, Schwachstellenmanagement und Transparenz stärker berücksichtigen. Das ist wichtig für Smart-Home-Geräte, weil Sicherheitsqualität damit stärker Teil der Produktverantwortung wird. Es bedeutet aber nicht, dass jedes aktuelle Gerät automatisch schon alle künftigen Erwartungen erfüllt.
Für die Kaufentscheidung bleibt deshalb eine nüchterne Trennung sinnvoll: Gesetzliche Pflichten setzen Mindestlinien, Secure-by-Design-Leitlinien beschreiben gute Praxis, und deine eigene Prüfung entscheidet, ob ein konkretes Gerät in deinem Haushalt vertretbar ist. Gerade Bestandsgeräte und Billigimporte werden noch lange sehr unterschiedlich abschneiden.
Warnsignale, bei denen du besser weitersuchst
- Es gibt keine erkennbare Update-Historie und keine Aussage zum Supportzeitraum.
- Das Gerät nutzt feste oder triviale Standardpasswörter.
- Die App fordert viele Rechte, erklärt aber Cloud- und Datennutzung kaum.
- Der Hersteller nennt keinen Security-Kontakt und keine Advisory-Seite.
- Die Kernfunktion hängt vollständig an einem Konto, ohne lokalen Fallback.
- Das Produkt ist sicherheitskritisch, aber extrem günstig und dokumentationsarm.
Wie du bestehende Geräte einordnest
Auch im vorhandenen Smart Home lohnt eine kleine Inventur. Notiere für die wichtigsten Geräte Hersteller, Kaufjahr, App, Cloudkonto, letzte sichtbare Firmware-Version und geschätzte Kritikalität. Einmal pro Jahr prüfst du, ob noch Updates erscheinen. Das klingt trocken, verhindert aber, dass vergessene Kameras, alte Bridges oder unklare Sensoren jahrelang unbemerkt weiterlaufen.
Wenn du viele Geräte hast, ist zusätzlich ein getrenntes Gast- oder IoT-Netz sinnvoll. TechZeitGeist hat dafür bereits eine eigene Einordnung zur Netztrennung im Smart Home veröffentlicht: Router, Gast-WLAN und VLANs helfen vor allem, Risiken zu begrenzen. Dieser Artikel hier beantwortet die frühere Frage: Welche Geräte sollte man überhaupt erst kaufen?
Abgrenzung zu Labels, CRA und Cloud-Fragen
Wenn dich Sicherheitslabels interessieren, passt ergänzend die TechZeitGeist-Einordnung zum Cyber Trust Mark für smarte Geräte. Für die regulatorische Perspektive lohnt der Blick auf den Cyber Resilience Act und smarte Geräte. Und wenn du wissen willst, wie lange Geräte ohne Herstellercloud sinnvoll nutzbar bleiben, führt der separate Artikel zu Cloud-Aus, Matter und lokaler Steuerung weiter.
Warum das dauerhaft relevant ist
Smart Home wird normaler, nicht exotischer. Genau dadurch wächst die Zahl alter Geräte, die weiter im Netzwerk hängen, obwohl niemand mehr weiß, ob sie gepflegt werden. Secure by Design ist deshalb kein abstraktes Behördenwort, sondern eine alltagstaugliche Kaufregel: Ein vernetztes Gerät ist nur so gut wie sein Sicherheitsleben nach dem Auspacken.
Die beste Entscheidung ist selten das Gerät mit den meisten Funktionen. Besser ist ein Produkt, dessen Hersteller Sicherheit sichtbar ernst nimmt: sichere Voreinstellungen, klare Updates, erreichbarer Meldeweg, nachvollziehbare Cloud-Abhängigkeit und ein realistischer Austauschplan. So bleibt das vernetzte Zuhause nicht perfekt, aber deutlich besser wartbar.
FAQ
Wie lange sollten Smart-Home-Geräte Sicherheitsupdates bekommen?
Eine pauschale Zahl gibt es nicht für alle Geräteklassen. Je kritischer das Gerät ist, desto wichtiger ist ein klar dokumentierter Supportzeitraum. Bei Kameras, Routern, Bridges und Türschlössern sollte fehlende Update-Transparenz ein starkes Gegenargument sein.
Ist ein Sicherheitslabel genug für den Kauf?
Nein. Ein Label kann Orientierung geben, ersetzt aber nicht die Prüfung von Updatepolitik, Default-Einstellungen, Cloud-Abhängigkeit und Schwachstellenprozess des konkreten Herstellers.
Sind lokale Smart-Home-Geräte automatisch sicherer?
Nicht automatisch. Lokale Steuerung reduziert Cloud-Abhängigkeit, aber auch lokal betriebene Geräte brauchen Updates, sichere Zugangsdaten und eine saubere Netzwerkumgebung.
Wann sollte ich ein altes Smart-Home-Gerät ersetzen?
Wenn es sicherheitskritisch ist, keine Updates mehr erhält, keinen klaren Hersteller-Support hat oder private Daten verarbeitet, ist Ersatz oft sinnvoller als weiterer Betrieb aus Bequemlichkeit.
Quellen und weiterführende Informationen
Der Artikel nutzt offizielle und institutionelle Quellen zu Secure by Design, Gerätesicherheit, Cyber Resilience Act und IoT-Cybersicherheit:
- CISA: Secure by Design
- NCSC: Device security guidance
- Europäische Kommission: Cyber Resilience Act
- NIST: Cybersecurity for IoT Program
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde menschlich redaktionell geprüft. Stand: 9. Mai 2026.
