Welche Risiken bestehen im Smart Home?
Die Risiken im Smart Home entstehen vor allem dort, wo Geräte aus der Ferne erreichbar sind, über die Cloud des Herstellers laufen oder im selben Netz wie Computer und Smartphone hängen. Laut netzwelt.de (17.10.2026) sollte man Smart-Home-Geräte als zusätzliche Schutzebene zu Computer und Smartphone betrachten. Hinzu kommen Datenschutzrisiken durch Sensoren, Kameras und Sprachassistenten.
Die Angriffsflächen eines Smart-Home-Systems sind nicht nur das einzelne Gerät, sondern auch die Verbindungen zwischen Gerät, Hersteller-Cloud, App und Heimnetz.
Typische Angriffswege vernetzter Geräte
- Fernzugriff über Hersteller-Apps oder Cloud-Dienste.
- Unklare Verschlüsselung der Datenübertragung: Ob die Verbindung verschlüsselt ist, lässt sich laut ZDFheute (2026) beim Hersteller erfragen.
- Unbekannte Datenwege: Auch hier empfiehlt ZDFheute (2026), beim Hersteller zu klären, wohin die Daten fließen.
Gerät als Einstieg ins restliche Netzwerk
Ein angreifbares Gerät kann als Ausgangspunkt dienen, wenn es Zugriff auf das übrige Heimnetz hat. Laut netzwelt.de (17.10.2026) betrifft das vor allem Geräte mit lokaler Direktverbindung. Reine Cloud-Geräte kommen laut derselben Quelle problemlos im Gäste-WLAN aus. Hubs, Bridges und HomeKit-Setups brauchen dagegen eine direkte lokale Verbindung.
Datenschutzrisiken durch Sensoren, Kameras und Sprachassistenten
Sensoren, Kameras und Sprachassistenten erfassen Bild-, Ton- oder Bewegungsdaten. Entscheidend ist, wohin diese Daten übertragen werden.
Ein Prüfkriterium ist das IT-Sicherheitszeichen des BSI. Laut ZDFheute (2026) tragen nur wenige Geräte dieses Zeichen. Die Kennzeichnung auf der Verpackung oder die Herstellerangaben geben Auskunft darüber, ob ein Gerät sie führt.
Standardpasswörter sofort ändern
Werkseitige Zugangsdaten sind ein einfacher Einstiegspunkt für Angreifer, weil sie in Anleitungen stehen und bei vielen Geräten gleich sind. Laut ZDFheute (2026) sollten Standardpasswörter durch starke, individuelle Passwörter ersetzt werden. Das betrifft jedes Gerät und das zugehörige Herstellerkonto.
Eigene Zugangsdaten pro Gerät und Konto
- Jedes Gerät und jedes Herstellerkonto erhält ein eigenes Passwort. Wer Steckdose, Kamera und Herstellerkonto dasselbe Passwort gibt, macht ein abgegriffenes Passwort zum Zugang für alle Geräte.
- Das Passwort sollte lang und zufällig sein; eine feste Mindestlänge gibt es hier nicht als gesicherte Vorgabe.
- Die Änderung sollte direkt bei der Einrichtung erfolgen, bevor das Gerät dauerhaft im Heimnetz betrieben wird.
Passwortmanager einsetzen
Ein Passwortmanager erzeugt lange, zufällige Zugangsdaten und speichert sie verschlüsselt. So muss man sich nicht jede Kombination merken. Das Masterpasswort des Managers ist das einzige, das man selbst kennt. Es sollte ebenfalls einmalig sein und nicht für andere Dienste verwendet werden.
Zwei-Faktor-Anmeldung aktivieren
Bietet der Hersteller eine Zwei-Faktor-Anmeldung an, ist es sinnvoll, sie für das Herstellerkonto zu aktivieren (Empfehlung aus einem Energieversorger-Blog, keine Primärquelle). Die Option steht meist in den Kontoeinstellungen der App, etwa unter Sicherheit oder Anmeldung. Welche Verfahren verfügbar sind, steht in der Herstelleranleitung. Der zweite Faktor sorgt dafür, dass ein erratenes oder abgegriffenes Passwort allein nicht für den Zugriff ausreicht.
Warum Updates so wichtig sind
Firmware-Updates schließen bekannte Sicherheitslücken in der Gerätesoftware. Ein Gerät ohne aktuelle Firmware bleibt angreifbar, auch wenn seine Grundeinstellungen sauber sind. Laut netzwelt.de (2026) erhalten günstige Geräte wie Saugroboter oft nur mittelmäßige Sicherheitsupdates. Die Aussage beschreibt also einen Trend, keinen garantierten Zustand.
Automatische Updates aktivieren und prüfen
- In der Hersteller-App die Geräteeinstellungen öffnen und nach einer Option für automatische Firmware-Updates suchen.
- Die Option einschalten, sofern sie verfügbar ist.
- Im Bereich der Firmware-Informationen die installierte Version und das Datum der letzten Aktualisierung notieren.
- Diese Prüfung in regelmäßigen Abständen wiederholen, denn ein aktiviertes Update-Feature meldet einen Fehler nicht immer selbst.
Ausmustern statt weiterbetreiben
Bleiben Updates dauerhaft aus, ist das Gerät ein Sicherheitsrisiko. Wer es weiterbetreibt, akzeptiert offene Lücken. Vor der Entscheidung sollte man prüfen:
- Ob der Hersteller in der App oder auf seiner Website noch neue Firmware veröffentlicht.
- Ob die Funktionen des Geräts über Updates hinaus eingeschränkt sind oder der Hersteller die Cloud-Dienste abgeschaltet hat.
- Ob das Gerät personenbezogene Daten sammelt, etwa Kamerabilder oder Bewegungsprofile.
Fehlen Updates, und reagiert der Hersteller nicht, ist ein Ersatz die sicherere Lösung. Das ausgemusterte Gerät sollte man vorher aus der App und dem Hub entfernen und auf die Werkseinstellungen zurücksetzen.
Gehören Smart-Home-Geräte ins Gäste-WLAN?
Ja, zumindest für Cloud-Geräte. Laut netzwelt.de (17.10.2026) rät das BSI dazu, Smart-Home-Geräte in ein Gäste-WLAN zu legen; die BSI-Originalseite war nicht abrufbar, die Empfehlung stützt sich auf Medienberichte. Dieses Netz dient als zusätzliche Schutzebene neben Computer und Smartphone: Kommt ein Gerät mit einer Schwachstelle in Kontakt mit Angreifern, bleiben die übrigen Geräte im Hauptnetz vom Zugriff abgeschirmt.
Warum die Trennung sinnvoll ist
Als zusätzliche Schutzebene hält das Gäste-WLAN Geräte mit schwachem Update-Support vom Hauptnetz fern.
Gäste-WLAN an der FRITZ!Box einrichten
Die Konfiguration erfolgt in der FRITZ!Box in diesen Schritten:
- Ein passwortgeschützter Gastzugang wird als privater WLAN-Gastzugang angelegt.
- Die Option „WLAN-Geräte dürfen untereinander kommunizieren“ wird aktiviert. Ohne sie können sich Geräte im Gäste-WLAN nicht gegenseitig erreichen, etwa ein Lampen-Controller und seine Leuchtmittel.
- Die Cloud-basierten Geräte werden mit dem Gast-Netz verbunden.
Ausnahmen: Hubs, Bridges und HomeKit
| Gerätetyp | Empfohlener Netzplatz | Begründung laut netzwelt.de (2026) |
|---|---|---|
| Hubs | Normales Heimnetz | Benötigen direkte lokale Verbindung |
| Bridges | Normales Heimnetz | Benötigen direkte lokale Verbindung |
| HomeKit-Setups | Normales Heimnetz | Benötigen direkte lokale Verbindung |
| Cloud-Geräte | Gäste-WLAN | Funktionieren problemlos im Gäste-WLAN |
Hubs und Bridges brauchen laut netzwelt.de (17.10.2026) eine direkte lokale Verbindung und bleiben deshalb im normalen Heimnetz.
Fernzugriff und Cloud: Was kann aus?
Bei Cloud-Geräten laufen Steuerbefehle vom Smartphone über Server des Herstellers zum Gerät. Damit entstehen zwei Risiken: Zugriffe von außen und Datenflüsse, die der Nutzer nicht sieht. Laut ZDFheute (2026) ist Fernzugriff besonders bei Türschlössern und Rollläden riskant, weil hier direkt Schließ- und Öffnungsfunktionen betroffen sind.
Warum diese Geräte höher eingestuft werden
- Türschlösser: Eine kompromittierte Verbindung kann das Entriegeln der Wohnungstür ermöglichen.
- Rollläden: Manipulationen betreffen Sichtschutz und Einbruchschutz tagsüber und nachts.
Fragen an den Hersteller vor dem Kauf
| Prüfpunkt | Frage an den Hersteller |
|---|---|
| Datenziele | An welche Server und Dienstleister werden Gerätedaten übermittelt? |
| Speicherort | In welchem Land oder Rechenzentrum werden die Daten gespeichert? |
| Verschlüsselung | Ist die Verbindung zwischen App, Cloud und Gerät verschlüsselt, und nach welchem Verfahren? |
| Updates | Wie lange werden Sicherheitsupdates für das Modell zugesichert? |
Abhängigkeit vom Anbieter
Wird ein Cloud-Dienst eingestellt oder ein Gerät nicht mehr unterstützt, funktioniert die App-Steuerung nicht mehr. Vor dem Kauf sollte man deshalb prüfen:
- ob das Gerät ohne Cloud grundlegende Funktionen behält,
- welche Herstellerangaben zur Supportdauer in der Produktbeschreibung oder Anleitung stehen,
- ob es eine Anbindung an offene Plattformen gibt, über die sich das Gerät weiter steuern lässt.
Der EU Cyber Resilience Act verpflichtet Hersteller zu Sicherheitsfunktionen und Support über einen bestimmten Zeitraum. Laut Verordnungstext gelten Meldepflichten seit September 2026 und die Hauptpflichten ab Dezember 2027 (ZDFheute nennt pauschal 2027). Bis die Hauptpflichten greifen, sind die Herstellerangaben zur Supportdauer die wichtigste Orientierung.
Lokale Steuerung: Ist Home Assistant sicherer?
Eine lokale Steuerung über Home Assistant verkleinert die Angriffsfläche nur, wenn Geräte ohne Herstellerserver auskommen und der Zugriff von außen gezielt abgesichert ist. Gleichzeitig wandern Wartung, Updates und Zugangsdaten vom Hersteller zu dir. Der Vorteil ist also nicht automatisch, sondern hängt davon ab, ob du die neuen Pflichten übernimmst.
Wo die Angriffsfläche tatsächlich schrumpft
- Geräte kommunizieren ohne Cloud: Befehle und Statusmeldungen laufen direkt zwischen Hub und Gerät. Ein Datenleck oder Ausfall auf Herstellerseite trifft die Steuerung dann nicht direkt.
- Steuerung bleibt im Heimnetz: Automationen laufen auf dem eigenen Server.
Neue Pflichten: Eigene Wartung
Wer lokal steuert, muss Server und Add-ons selbst aktuell halten. Herstellerupdates kommen nicht automatisch über eine Cloud, sondern müssen eingespielt werden.
| Aufgabe | Zweck | Umsetzung |
|---|---|---|
| Server-Updates einspielen | Bekannte Lücken im Kern schließen | Update-Hinweise in der Benutzeroberfläche prüfen und installieren |
| Add-ons aktualisieren | Schwachstellen in Erweiterungen beheben | Jedes installierte Add-on einzeln auf neue Versionen prüfen |
| Standardpasswörter ersetzen | Verhindert Zugriff mit Werkseinstellungen | Für jeden Benutzer ein starkes, individuelles Passwort vergeben |
Laut ZDFheute (2026) sollten Standardpasswörter durch starke, individuelle Passwörter ersetzt und die Software aktuell gehalten werden.
Fernzugriff nur über VPN statt Portfreigabe
Eine Portfreigabe macht die Oberfläche von Home Assistant direkt aus dem Internet erreichbar.
Ein VPN verbindet das Smartphone dagegen über einen verschlüsselten Tunnel mit dem Heimnetz. Von außen ist dann nur der VPN-Dienst erreichbar, nicht die Steuerung selbst. Welche VPN-Lösung passt, hängt vom eigenen Router und Setup ab.
Woran erkennt man sichere Geräte?
Beim Kauf lassen sich drei Prüfpunkte nutzen: das BSI-Sicherheitszeichen, die Vorgaben des Cyber Resilience Act (CRA) und die Supportdauer des Herstellers. Keiner dieser Punkte garantiert allein Sicherheit, zusammen liefern sie aber eine belastbare Entscheidungsgrundlage.
- BSI-Sicherheitszeichen: Laut ZDFheute (2026) tragen nur wenige Smart-Home-Geräte das IT-Sicherheitszeichen des Bundesamts für Sicherheit in der Informationstechnik (BSI). Fehlt das Zeichen, ist ein Gerät nicht automatisch unsicher. Es zeigt aber, dass ein Produkt ausdrücklich geprüft wurde.
- CRA-Vorgaben: Der EU Cyber Resilience Act verpflichtet Hersteller, Sicherheitsfunktionen bereitzustellen und Support für einen bestimmten Zeitraum anzubieten. Laut Verordnungstext gelten Meldepflichten ab September 2026 und die Hauptpflichten ab Dezember 2027; ZDFheute nennt allgemein 2027. Produkte, die vorher auf den Markt kamen, müssen die Hauptpflichten nicht zwingend erfüllen.
- Supportdauer: Ein Blick auf die garantierte Update-Dauer hilft, Billigangebote mit kurzer Lebensdauer für sicherheitsrelevante Funktionen zu erkennen.
