Smarte Lautsprecher, vernetzte Türklingeln, Saugroboter mit Kamera: In vielen Haushalten stehen längst Geräte, die permanent Daten sammeln. Was genau damit passiert, bleibt für die meisten Nutzer eine Blackbox. Genau hier setzt eine neue Regulierung an, die gerade frischen Schub bekommt.
Der Bundestag hat das CRA-Durchführungsgesetz verabschiedet. Der Cyber Resilience Act selbst ist eine unmittelbar geltende EU-Verordnung; das deutsche Gesetz regelt insbesondere die nationale Durchführung und Marktüberwachung. Das klingt trocken, hat aber handfeste Folgen für alles, was in euren vier Wänden funkt. Ich erkläre, was sich ändert, warum das für euren Datenschutz wichtig ist und wie ihr euer Smart Home jetzt sinnvoll absichert.
Neue Datenschutz-Regeln für Smart Home Geräte
Der Bundestag hat das Gesetz zur Durchführung des Cyber Resilience Act (CRA) beschlossen. Der CRA ist eine EU-Verordnung, die verbindliche Cybersicherheits-Anforderungen für Produkte mit digitalen Elementen festlegt – also für so gut wie alles, was online geht: vom smarten Thermostat über die Überwachungskamera bis zum WLAN-Router. Der CRA gilt grundsätzlich ab dem 11. Dezember 2027. Die Meldepflicht nach Artikel 14 gilt bereits ab dem 11. September; die Regelungen zu Konformitätsbewertungsstellen gelten ab dem 11. Juni.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernimmt dabei zentrale Aufgaben. Es wird als Marktüberwachungsbehörde dafür zuständig sein, dass Hersteller die Vorgaben einhalten. Dazu gehören Sicherheits-Updates über einen vom Hersteller festgelegten Unterstützungszeitraum, der die erwartete Nutzungsdauer widerspiegelt (grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist), dokumentierte Schwachstellen-Prozesse und klare Meldepflichten bei Sicherheitslücken.
Für euch als Käufer bedeutet das: Smart-Home-Geräte sollen künftig nicht mehr als wartungsfreie Wegwerfware verkauft werden dürfen, deren Updates nach einem Jahr versiegen. Hersteller müssen Verantwortung über die reale Lebensdauer übernehmen. Gleichzeitig soll die Datensicherheit von Anfang an mitgedacht werden – das sogenannte Security-by-Design-Prinzip.
Wichtig: Der CRA ist in erster Linie ein Cybersicherheits-Gesetz, kein neues Datenschutzgesetz. Für den Umgang mit personenbezogenen Daten gilt weiterhin die DSGVO. Beide Regelwerke greifen aber ineinander – denn ohne Sicherheit kein Datenschutz.
Warum Smart Home Datenschutz jetzt wichtiger wird
Smart-Home-Geräte sind datenhungrig. Sprachassistenten verarbeiten Audio, Kameras erzeugen Videostreams, smarte Steckdosen protokollieren Nutzungszeiten, Saugroboter kartieren eure Wohnung. Ob diese Daten lokal, in einer Hersteller-Cloud oder bei weiteren Dienstleistern verarbeitet werden und in welchem Land, hängt vom konkreten Gerät, Dienst, Konto und den Einstellungen ab.
Das Problem: Viele günstige IoT-Produkte haben historisch schlechte Sicherheitsstandards. Veraltete Firmware, voreingestellte Passwörter, offene Ports. Angreifer übernehmen solche Geräte, bauen sie in Botnetze ein oder nutzen sie als Einstiegspunkt ins Heimnetz. Genau das soll der CRA eindämmen, indem Hersteller zu robusten Sicherheitsmaßnahmen verpflichtet werden.
Für euch heißt das in der Praxis: Mehr Transparenz darüber, wie lange ein Gerät Updates bekommt, klarere Informationen über Sicherheitsrisiken und bessere Chancen, dass Lücken tatsächlich geschlossen werden. Die CE-Kennzeichnung wird künftig auch die Konformität mit den anwendbaren CRA-Anforderungen anzeigen.
Welche Daten sammeln Alexa, Google Home & Co.?
Bevor ihr etwas schützen könnt, solltet ihr wissen, was überhaupt erfasst wird. Die typischen Datenkategorien im vernetzten Zuhause:
- Sprachassistenten (Amazon Alexa, Google Assistant, Apple Siri): Audioaufnahmen, Aktivierungszeiten, Suchverläufe, verknüpfte Konten
- Kameras und Türklingeln: Videoaufzeichnungen, Bewegungsmuster, Gesichtserkennungsdaten, Zeitstempel
- Smart-TVs und Streaming-Geräte: Sehverhalten, App-Nutzung, teils ACR-Daten (automatische Inhaltserkennung)
- Saugroboter: Grundrisse der Wohnung, Raumgrößen, Hindernisse
- Heizungs- und Energie-Steuerung: Anwesenheitszeiten, Verbrauchsprofile, Tagesabläufe
- Fitness- und Gesundheitsgeräte: Vitaldaten, Schlafmuster, Standortdaten
Besonders brisant: In Kombination entsteht aus diesen Daten ein erstaunlich präzises Bild eurer Lebensgewohnheiten. Wer wann aufsteht, wann niemand zu Hause ist, welche Räume genutzt werden.
Smart Home Sicherheit: 10 Schritte zum Schutz eurer Daten
Unabhängig von neuen Gesetzen könnt ihr sofort viel für eure IoT-Privatsphäre tun. Diese Punkte solltet ihr abarbeiten:
- Standardpasswörter ändern – bei jedem Gerät, ohne Ausnahme. Nutzt einen Passwort-Manager.
- Zwei-Faktor-Authentifizierung aktivieren, wo immer der Hersteller sie anbietet.
- Automatische Updates einschalten und regelmäßig prüfen, ob die Firmware aktuell ist.
- Separates WLAN für IoT-Geräte einrichten (Gastnetz oder VLAN). So kommt ein kompromittierter Saugroboter nicht an eure Laptops.
- Mikrofone und Kameras deaktivieren, wenn ihr sie nicht braucht. Viele Geräte haben physische Schalter.
- Datenschutz-Einstellungen prüfen: In den Apps von Alexa, Google Home oder Apple Home könnt ihr Sprachaufnahmen löschen und das Speichern einschränken.
- Keine unnötigen Cloud-Anbindungen: Prüft, ob ein Gerät lokal funktioniert. Lösungen wie Home Assistant halten Daten im eigenen Netz.
- Vor dem Kauf recherchieren: Wie lange gibt es Updates? Wo sitzt der Hersteller? Gibt es dokumentierte Sicherheitsvorfälle?
Besonders der Punkt mit dem getrennten Netzwerk wird unterschätzt. Fast jeder moderne Router – auch die FRITZ!Box – bietet ein Gastnetzwerk. Dort hinein mit allem, was nicht zwingend ins Hauptnetz muss.
Smart Home kaufen: Worauf ihr beim Datenschutz achten müsst
Mit den neuen Regeln rund um den CRA wird sich der Markt verändern. Billige No-Name-Produkte ohne Update-Versprechen werden es schwerer haben. Achtet schon jetzt auf transparente Angaben: Wie lange garantiert der Hersteller Sicherheits-Updates? Gibt es eine klare Kontaktstelle für Schwachstellen-Meldungen?
Steht in der Produktbeschreibung, welche Daten erfasst werden und wo sie verarbeitet werden?
Marken, die diese Fragen heute schon offen beantworten, werden morgen die regulatorisch sichere Wahl sein. Produkte mit offenen Standards wie Matter oder Zigbee können bei entsprechender Geräteimplementierung, einem geeigneten lokalen Controller und lokaler Integration ohne Hersteller-Cloud betrieben werden – der Standard allein garantiert das allerdings nicht.
Fazit: So bleibt euer Smart Home sicher und privat
Der CRA ist ein wichtiger Schritt. Er verlagert Verantwortung dahin, wo sie hingehört: zu den Herstellern. Aber auf Gesetze zu warten, reicht nicht. Datenschutz im Smart Home beginnt mit der Entscheidung, welches Gerät ihr in die Wohnung lasst – und mit welchen Rechten.
Nehmt euch ein Wochenende Zeit, geht die obige Checkliste durch, mistet ungenutzte Geräte aus und trennt euer Netzwerk. Das kostet wenig und bringt viel. Und wenn ihr demnächst eine neue Kamera oder einen Sprachassistenten kauft, fragt euch zuerst: Brauche ich das wirklich – und vertraue ich dem Hersteller mit meinen Daten? Die beste Regulierung nützt nichts, wenn wir sie beim Kauf nicht einfordern.
Quellen und Prüfstand
- Offizielle Quelle: BSI – Presse – Bundestag stärkt Cybersicherheit: CRA-Durchführungsgesetz verabschiedet (bsi.bund.de)
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 20.10.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 20.10.2026.
