Von vier Sicherheitslücken, über die ich hier seit dem Frühjahr geschrieben habe, hätte keine einzige gemeldet werden müssen. Seit dem 11. September gilt der Cyber Resilience Act im Smart Home, jedenfalls die erste Stufe davon, und die klingt streng: 24 Stunden hat ein Hersteller Zeit, eine Sicherheitslücke nach Brüssel zu melden. Dann habe ich die Definition gelesen, die das BSI dazu veröffentlicht hat.
Seitdem bin ich mir bei der Sache nicht mehr so sicher.
- Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden, geregelt in Artikel 14 des Cyber Resilience Act.
- Meldepflichtig ist laut BSI nur, was ein böswilliger Akteur nachweisbar ausgenutzt hat. Veröffentlichte Exploits, Proof-of-Concept-Code und Portscans reichen ausdrücklich nicht.
- Die Fristen sind gestaffelt: 24 Stunden Frühwarnung, 72 Stunden detailliertere Meldung, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit eines Patches.
- Gemeldet wird über die ENISA-Plattform CRA-SRP an das zuständige CSIRT, in Deutschland das CERT-Bund im BSI. Eine Pflicht, betroffene Nutzer zu informieren, entsteht daraus nicht.
- Die eigentlichen Produktanforderungen greifen erst am 11. Dezember 2027, und nur für Geräte, die danach neu auf den EU-Markt kommen.
- Von vier Smart-Home-Lücken aus dem techboys-Archiv, Midea PortaSplit, Homey 13.4.1, Gemini in Google Home und Yarbo, wäre nach diesen Kriterien keine meldepflichtig gewesen.
Die Uhr läuft seit dem 11. September, und sie läuft schnell
Der Cyber Resilience Act ist die EU-Verordnung, die Hersteller von Produkten mit digitalen Elementen auf Mindeststandards bei der Sicherheit verpflichtet. Das reicht vom Industrie-Controller bis zur smarten Steckdose, Software eingeschlossen. Das meiste davon gilt noch nicht.
Was seit dem 11. September 2026 gilt, ist Artikel 14, die Meldepflicht. Die Fristen stehen beim BSI ausführlich beschrieben und sind sportlich: binnen 24 Stunden eine Frühwarnung, binnen 72 Stunden eine detailliertere Meldung, und spätestens 14 Tage nach Verfügbarkeit einer Abhilfe ein Abschlussbericht.
Die Meldung geht an die CRA Single Reporting Platform, kurz CRA-SRP, betrieben von der EU-Cybersicherheitsagentur ENISA. Ein Hersteller meldet dort einmal, die Meldung landet gleichzeitig bei der ENISA und beim zuständigen CSIRT, also dem nationalen Notfallteam für IT-Sicherheit. In Deutschland ist das CERT-Bund, und das sitzt im BSI.
Nebenbei, weil es die Aufregung der letzten Tage relativiert: Der Bitkom beklagt, dass niemand die Plattform vor dem Start erproben konnte. Das BSI schreibt dazu, es gebe gar keine Registrierungspflicht im Voraus, Anmeldung und Meldung seien im Bedarfsfall in wenigen Minuten erledigt.
Was der Cyber Resilience Act im Smart Home überhaupt meldepflichtig macht
Meldepflichtig sind zwei Dinge: schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen. Der zweite Begriff trägt die ganze Last, und an ihm hat sich meine Meinung über den Tag gedreht.
Artikel 3 Nummer 42 der Verordnung definiert eine aktiv ausgenutzte Schwachstelle als eine, für die zuverlässige Belege vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis nachweisbar in einem System ausgenutzt hat. Das BSI übersetzt das in einen Satz, den man zweimal lesen sollte: Ein veröffentlichter Exploit, Proof-of-Concept-Code oder Portscans sind nicht ausreichend.
Und weiter: Eine grundsätzlich ausnutzbare, aber nicht aktiv ausgenutzte Schwachstelle unterliegt nicht der CRA-Meldepflicht.
Juristisch ist das nachvollziehbar. Eine Meldepflicht für jede theoretisch denkbare Lücke würde die nationalen Notfallteams in Rauschen ersticken, und zwischen einer Schwachstelle und einem Angriff liegt ein Unterschied. Nur beschreibt genau dieser Satz die Sorte Sicherheitsproblem, die mir im Smart Home laufend begegnet. Es sind fast immer Sicherheitsforscher, die etwas finden, und fast nie dokumentierte Angreifer.
Vier Lücken aus meinem Archiv, und keine hätte gemeldet werden müssen
Das lässt sich durchrechnen, statt darüber zu spekulieren. Ich habe die vier Smart-Home-Sicherheitsgeschichten genommen, über die ich in diesem Jahr geschrieben habe, und sie gegen die BSI-Definition gehalten.
Die Midea PortaSplit. Ein anonymer Whistleblower baute eine Android-App, mit der sich die Klimaanlage per Bluetooth ohne Kopplung und ohne PIN steuern ließ, heise security hat es nachgestellt. Midea sah darin zunächst keine Lücke. Ausgerechnet am Tag des CRA-Starts beginnt die Verteilung des Updates.
Die Demo-App ist Proof-of-Concept, und damit wäre der Fall nach der neuen Definition nicht meldepflichtig gewesen. Die Vorgeschichte steht in meinem Artikel zur PortaSplit-Sicherheitslücke.
Homey Pro 13.4.1. Athom hat im August einen Sicherheits-Fix ausgeliefert, gemeldet von einem Forscher, ohne bekannte Ausnutzung. Das ist der Musterfall einer nicht aktiv ausgenutzten Schwachstelle.
Ich habe das Update damals eingespielt und es gut gefunden, dass Athom offen kommuniziert. Verpflichtet hätte ihn dazu auch der CRA nicht.
Gemini in Google Home. Forscher der Universität Tel Aviv und von SafeBreach öffneten fremde Rollläden über eine präparierte Kalendereinladung. Ich habe im Juni darüber geschrieben, dass die Rollladen-KI jeder Kalendereinladung glaubt.
In dem Artikel steht der Satz, die ersten CRA-Pflichten zögen im Herbst 2026 an. Das stimmt. Was ich damals nicht dazugeschrieben habe: Auch dieser Angriff kam aus der Forschung, nicht von einem Angreifer.
Bleibt der Fall, bei dem ich am ehesten erwartet hätte, dass eine Pflicht greift. Bei Yarbo fand Andreas Makris im Mai ein auf allen Geräten identisches Root-Passwort und einen MQTT-Broker ohne Authentifizierung, mehr als 11.000 Geräte waren sichtbar, und er steuerte einen 90-Kilo-Mäher aus Deutschland fern. Der Support nannte den Zugang zunächst ein harmloses Diagnosewerkzeug. Auch das war eine Demonstration, kein nachgewiesener Angriff.
Vier Fälle, vier Mal nicht meldepflichtig. Ich will daraus kein Skandälchen bauen, die Stichprobe ist klein und ich bin kein Jurist. Aber sie ist auch nicht zufällig zusammengesucht, sondern alles, was mir in einem halben Jahr untergekommen ist.
Die Meldung geht ans BSI, nicht in deine App
Der zweite Punkt, der mich überrascht hat, steht als Nebensatz auf der BSI-Seite. Die Meldung über die CRA-SRP ersetzt keine anderen Verpflichtungen des Herstellers, die vorschreiben könnten, betroffene Nutzerinnen und Nutzer zu informieren.
Auf Deutsch: Der CRA-Meldeweg selbst sieht nicht vor, dass du etwas erfährst. Er führt vom Hersteller zur ENISA und zum CERT-Bund. Ob daraus jemals eine Push-Nachricht in deiner App wird, hängt an anderen Regeln und am guten Willen des Herstellers. Die Meldungen sind übrigens auf Englisch zu verfassen, damit die EU-weite Koordination funktioniert.
Gedacht ist der Kanal auch anders. Die Behörden sollen Lagebilder bauen und koordinieren können, dafür taugt er. Es bedeutet nur, dass die Vorstellung, man erfahre als Besitzer jetzt schneller von Problemen, so nicht zutrifft.
Das Datum, auf das es ankommt, ist der 11. Dezember 2027
Der Teil des CRA, der die Geräte selbst betrifft, steht noch aus. Sichere Voreinstellungen ab Werk, keine Standardpasswörter mehr, ein definierter Update-Zeitraum, eine Stückliste der verbauten Software-Komponenten: Diese Anforderungen gelten ab dem 11. Dezember 2027, und zwar für Produkte, die ab dann neu auf den EU-Markt kommen.
Für dein aktuelles Türschloss, deinen Saugroboter und deine Klimaanlage ändert sich dadurch nichts. Die stehen schon im Haus.
An dieser Stelle muss ich meinen eigenen Juni-Artikel korrigieren. Ich hatte den CRA dort als Verpflichtung beschrieben, Geräte über die Lebenszeit mit Updates zu versorgen und Schwachstellen zu melden. Der zweite Teil stimmt seit dem 11. September, aber enger als es klingt, und der erste Teil kommt erst in gut fünfzehn Monaten.
Mir ist beim Durchrechnen aufgefallen, wie sehr ich mich daran gewöhnt habe, dass diese Lücken von Einzelpersonen gefunden werden. Ein Whistleblower mit einer selbstgebauten App, ein Mann, der einen Mäher aus 9000 Kilometern Entfernung lenkt. Das Gesetz ist für eine Welt gebaut, in der es Angreifer gibt und Spuren, die man ihnen nachweisen kann. Diese Welt existiert, sie ist nur nicht die, in der mein Wohnzimmer steht.
Ein gutes Gesetz mit einem blinden Fleck, und der liegt genau dort, wo ich wohne
Ich halte den Cyber Resilience Act für richtig. Eine Branche, die jahrelang IP-Kameras mit dem Passwort admin verkaufen durfte, braucht Regeln, und der Dezember 2027 wird für Neugeräte ein echter Schnitt. Wer heute Hersteller ist und noch nicht weiß, was auf ihn zukommt, hat ein Problem, und laut Bitkom-Umfrage kennen 28 Prozent der befragten Unternehmen die Verordnung überhaupt nicht.
Was der Cyber Resilience Act im Smart Home heute leistet, ist ein Meldekanal zwischen Hersteller und Behörde. Man sollte ihn nicht mit Verbraucherschutz verwechseln. Er erfasst den dokumentierten Angriff, und der ist im Smart Home der seltenere Fall. Der häufigere ist der, bei dem jemand etwas findet, der Hersteller erst abwiegelt und Wochen später still ein Update verteilt.
Genau das ist bei der PortaSplit passiert, und zwar am selben Tag, an dem die neue Pflicht in Kraft trat. Über den Zufall habe ich länger nachgedacht als über das Gesetz.
Häufige Fragen
Was ändert der Cyber Resilience Act für mich als Smart-Home-Nutzer?
Kurzfristig nichts. Seit dem 11. September 2026 gilt nur die Meldepflicht, und die richtet sich an Hersteller, nicht an Verbraucher. Die Anforderungen, die Geräte tatsächlich sicherer machen, etwa sichere Voreinstellungen und ein definierter Update-Zeitraum, greifen erst am 11. Dezember 2027 und nur für Produkte, die ab dann neu auf den EU-Markt kommen.
Muss ein Hersteller mich über eine Sicherheitslücke informieren?
Durch den CRA-Meldeweg nicht. Die Meldung läuft vom Hersteller über die ENISA-Plattform an das zuständige Notfallteam, in Deutschland das CERT-Bund im BSI. Das BSI weist ausdrücklich darauf hin, dass diese Meldung andere Pflichten zur Information betroffener Nutzer weder ersetzt noch begründet. Ob du etwas erfährst, hängt weiterhin am Hersteller.
Welche Geräte fallen unter den Cyber Resilience Act?
Alle Produkte mit digitalen Elementen, die auf dem EU-Binnenmarkt bereitgestellt werden. Das umfasst vernetzte Smart-Home-Geräte wie Kameras, Türschlösser, Thermostate, Lampen und Saugroboter ebenso wie Router, Industriesteuerungen und reine Software. Ausgenommen sind einige bereits anderweitig regulierte Bereiche, etwa Medizinprodukte und Fahrzeuge.
Was ist eine aktiv ausgenutzte Schwachstelle?
Eine Schwachstelle, für die laut Artikel 3 Nummer 42 CRA zuverlässige Belege vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis nachweisbar in einem System ausgenutzt hat. Das BSI stellt klar, dass ein veröffentlichter Exploit, Proof-of-Concept-Code oder Portscans dafür nicht ausreichen. Eine theoretisch ausnutzbare Lücke ohne Hinweise auf einen realen Angriff ist nicht meldepflichtig.
Welche Fristen gelten für die CRA-Meldung?
Drei gestaffelte Fristen. Innerhalb von 24 Stunden nach belastbarer Kenntnis ist eine Frühwarnung fällig, innerhalb von 72 Stunden eine detailliertere Meldung. Der Abschlussbericht folgt bei einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage nach Verfügbarkeit einer Abhilfe, bei einem schwerwiegenden Sicherheitsvorfall einen Monat nach der 72-Stunden-Meldung.
