Vernetzte Türklingeln, smarte Thermostate, Router, Kameras, Apps: Kaum ein Gerät kommt heute noch ohne Internetanbindung aus. Genau das macht sie angreifbar.
Seit dem 11. September 2026 greift eine neue EU-Regelung, die diesen Wildwuchs eindämmen soll: Der Cyber Resilience Act (CRA) verpflichtet Hersteller, bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen ein gestuftes Meldeverfahren einzuhalten – beginnend mit einer Frühwarnung innerhalb von 24 Stunden.
Klingt technisch, ist aber ein echter Gewinn für Verbraucher. Denn zum ersten Mal gibt es europaweit einheitliche Regeln dafür, wie Hersteller mit Sicherheitslücken umgehen müssen. Ich zeige euch, was hinter der neuen Meldepflicht steckt, welche Geräte betroffen sind und was ihr davon habt.
Was bedeutet die CRA Meldepflicht ab September?
Der Cyber Resilience Act ist bereits Ende 2024 in Kraft getreten, wird aber gestaffelt umgesetzt. Die erste konkrete Pflicht für Hersteller greift jetzt: Wer digitale Produkte mit vernetzten Funktionen in der EU verkauft, muss aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die EU-Kommission bestätigt den Start dieser Meldepflichten offiziell.
Der Ablauf ist gestaffelt: Zunächst muss binnen 24 Stunden eine Frühwarnung erfolgen. Danach folgt innerhalb von 72 Stunden eine ausführlichere Meldung. Abschließend ist ein detaillierter Bericht vorzulegen – 14 Tage nach einer Korrekturmaßnahme oder binnen eines Monats bei schwerwiegenden Vorfällen. Ziel ist es, dass Behörden schnell reagieren können, bevor sich Angriffe ausbreiten.
Damit das praktisch funktioniert, gibt es eine zentrale Anlaufstelle: die Single Reporting Platform der EU-Cybersicherheitsagentur ENISA. Über diese Plattform laufen die Meldungen ein und werden an die zuständigen nationalen Behörden weitergeleitet. In Deutschland ist das BSI die zentrale Anlaufstelle für Hersteller.
Welche Produkte fallen unter den EU Cyber Resilience Act?
Der CRA gilt für sogenannte Produkte mit digitalen Elementen. Das ist bewusst weit gefasst und deckt praktisch alles ab, was Software enthält und sich direkt oder indirekt mit einem Netzwerk verbinden kann. Konkret bedeutet das:
- Smart-Home-Geräte wie Kameras, Türschlösser, Lampen, Thermostate
- Router, WLAN-Repeater und Netzwerktechnik
- Wearables, Fitness-Tracker und smarte Uhren
- Betriebssysteme, Apps und Standalone-Software
- Industrielle Steuerungen und vernetzte Komponenten
- Sprachassistenten und smarte Lautsprecher
Ausgenommen sind Bereiche, die schon durch eigene Regeln abgedeckt sind, etwa Medizinprodukte oder bestimmte Fahrzeugsysteme. Für den typischen Elektronikmarkt vom Baumarkt bis zum Online-Shop gilt: Fast alles, was ihr dort kauft und was irgendwie mit dem Internet spricht, fällt unter den CRA.
Mehr Cybersecurity durch Schwachstellen-Meldepflicht
Bislang war die Praxis oft ernüchternd: Ein Hersteller entdeckte eine Sicherheitslücke, schwieg wochenlang oder patchte still und heimlich. Manche Geräte bekamen nie ein Update. Verbraucher erfuhren häufig gar nicht, dass ihre smarte Kamera oder ihr Router längst ein Sicherheitsrisiko im eigenen Zuhause war.
Mit dem CRA ändert sich das grundlegend. Hersteller müssen aktiv ausgenutzte Schwachstellen schnell melden, damit Behörden und im Zweifel auch andere betroffene Unternehmen reagieren können. Ebenso wichtig: Der CRA legt umfangreiche Sicherheitsanforderungen und Pflichten für Hersteller von Produkten mit digitalen Elementen fest.
Für euch als Nutzer bedeutet das konkret: mehr Transparenz, klarere Verantwortlichkeiten und weniger digitale Zeitbomben im Haushalt. Die neuen Regelungen schaffen erstmals verbindliche Standards für die Cybersicherheit vernetzter Produkte in der EU.
Was können Verbraucher bei Sicherheitslücken jetzt tun?
Auch wenn der CRA in erster Linie Hersteller in die Pflicht nimmt, könnt ihr aktiv davon profitieren. Ein paar praktische Tipps:
- Support-Zeitraum prüfen: Es ist sinnvoll, darauf zu achten, welche Informationen Hersteller zur Dauer von Sicherheitsupdates und Support freiwillig bereitstellen.
- Automatische Updates aktivieren: Router, Smart-Home-Zentrale, Apps: Überall wo es geht, Updates automatisch installieren lassen.
- Alte Geräte aussortieren: Ein zehn Jahre alter Router oder eine Kamera ohne Update-Historie gehört ersetzt, nicht weiterbetrieben.
- Herstellerinformationen ernst nehmen: Wenn ein Anbieter eine Schwachstelle meldet, reagiert schnell und spielt Updates ein.
- Auf Herstellerangaben achten: Seriöse Anbieter informieren transparent über Sicherheitsmaßnahmen und ihre Verpflichtungen nach EU-Recht.
Wer mehr wissen will: Die Single Reporting Platform der ENISA ist die zentrale Drehscheibe für die neuen Meldeprozesse. Für Endverbraucher ist sie zwar nicht der direkte Anlaufpunkt, zeigt aber, wie ernst die EU das Thema mittlerweile nimmt.
Cybersecurity in Deutschland: Ausblick auf die CRA-Zukunft
Der Cyber Resilience Act ist einer der ambitioniertesten Versuche weltweit, digitale Produkte grundlegend sicherer zu machen. Die jetzt startenden Meldepflichten sind erst der Anfang: Die vollständigen Anforderungen an Hersteller, etwa zu Risikoanalysen, Update-Pflichten und technischen Sicherheitsstandards, greifen ab Dezember 2027.
Für den europäischen Markt bedeutet das eine echte Zeitenwende. Billige No-Name-Kameras aus Fernost, die nach dem Kauf nie wieder ein Update sehen, werden es künftig schwerer haben. Etablierte Hersteller müssen ihre Prozesse professionalisieren. Und ihr als Nutzer bekommt endlich das, was in der digitalen Welt viel zu lange gefehlt hat: verbindliche Sicherheitsstandards, die nicht auf freiwilligen Selbstverpflichtungen basieren.
Mein Rat: Nutzt die neue Transparenz. Fragt beim Kauf nach Update-Zeiträumen, meidet No-Name-Produkte ohne klare Herstellerangaben und behandelt Sicherheitsupdates so ernst wie den Rauchmelder in der Wohnung. Der CRA gibt euch die rechtlichen Werkzeuge an die Hand. Nutzen müsst ihr sie selbst.
Quellen und Prüfstand
- Offizielle Quelle: Safer and more secure digital products – European Commission (commission.europa.eu)
- Offizielle Quelle: BSI – CRA Single Reporting Platform – CRA Single Reporting Platform (bsi.bund.de)
- Offizielle Quelle: CRA Single Reporting Platform | ENISA (enisa.europa.eu)
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 12.09.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 12.09.2026.
