Was ist passiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine dringende Warnung zu kritischen Sicherheitslücken in weit verbreiteten Smart-Home-Systemen herausgegeben. Betroffen sind Geräte mehrerer namhafter Hersteller, die in hunderttausenden deutschen Haushalten im Einsatz sind. Die Schwachstellen ermöglichen es Angreifern aus der Ferne, Alarmanlagen zu deaktivieren, Türschlösser zu öffnen und Kamerasysteme zu manipulieren.
Das BSI stuft die Gefährdungslage als „hoch" ein – die zweithöchste Warnstufe. Besonders besorgniserregend: Viele der betroffenen Geräte erhalten keine Sicherheitsupdates mehr vom Hersteller oder die Nutzer haben die verfügbaren Updates nicht eingespielt. Nach Schätzungen des BSI sind in Deutschland zwischen 2,5 und 4 Millionen Smart-Home-Geräte potenziell verwundbar.
Die technischen Details
Welche Schwachstellen wurden gefunden?
Die vom BSI identifizierten Schwachstellen betreffen drei zentrale Bereiche der Smart-Home-Sicherheit. Erstens die Kommunikation: Zahlreiche Geräte kommunizieren über unverschlüsselte oder schwach verschlüsselte Verbindungen. Angreifer können den Datenverkehr mitlesen und manipulieren – ein sogenannter Man-in-the-Middle-Angriff. Betroffen sind insbesondere ältere WLAN-Kameras und Bluetooth-basierte Türschlösser.
Zweitens die Authentifizierung: Viele Geräte verwenden Standard-Passwörter, die nie geändert wurden, oder setzen auf veraltete Authentifizierungsmechanismen. In einigen Fällen reicht ein einfacher Netzwerk-Scan, um die Geräte zu finden und ohne Passwort darauf zuzugreifen. Drittens die Cloud-Anbindung: Die Kommunikation zwischen Gerät und Cloud-Server weist bei mehreren Herstellern Schwachstellen auf, die es ermöglichen, Befehle einzuschleusen – etwa das Deaktivieren einer Alarmanlage.
Betroffene Geräte-Kategorien
- WLAN-Türschlösser mit Bluetooth-Bridge: Die Bridge-Komponente, die das Bluetooth-Signal in WLAN umwandelt, ist bei mindestens vier Herstellern anfällig für Replay-Attacken. Ein Angreifer kann ein aufgezeichnetes Öffnungssignal erneut senden.
- IP-Kameras mit Cloud-Anbindung: Mehrere populäre Kameramodelle übertragen den Video-Stream unverschlüsselt an den Cloud-Server. Zudem wurden hardcoded Credentials im Firmware-Code gefunden.
- Smart-Home-Zentralen mit Z-Wave/Zigbee: Die Funkprotokolle Z-Wave und Zigbee weisen in älteren Implementierungen bekannte Schwachstellen auf, die das Abfangen und Wiedereinspielen von Steuerbefehlen ermöglichen.
- WLAN-Steckdosen und Rollladensteuerungen: Über manipulierte Steckdosen können Angreifer die Anwesenheitssimulation stören oder gezielt Beleuchtung ausschalten.
Warum das wichtig ist
Der Smart-Home-Markt in Deutschland wächst rasant: Laut Bitkom nutzen bereits 42% der deutschen Haushalte mindestens ein Smart-Home-Gerät, davon 23% auch im Bereich Sicherheit (Kameras, Alarmanlagen, Türschlösser). Diese Geräte vermitteln ein Gefühl von Sicherheit – können aber bei unzureichendem Schutz zum Einfallstor für Einbrecher werden.
Besonders problematisch ist die Kombination aus physischer und digitaler Sicherheit: Wer eine smarte Alarmanlage deaktivieren kann, hat nicht nur einen IT-Sicherheitsvorfall verursacht, sondern einen realen Einbruch ermöglicht. Das BSI dokumentiert bereits erste Fälle, in denen Einbrüche durch die Manipulation von Smart-Home-Systemen vorbereitet wurden.
Für die Sicherheitsbranche bedeutet diese Entwicklung einen fundamentalen Wandel: Die klassische Trennung zwischen mechanischer/elektronischer Sicherungstechnik und IT-Sicherheit löst sich auf. Errichter müssen zunehmend auch Netzwerk- und Cybersecurity-Kompetenz mitbringen.
Was bedeutet das für die DACH-Region?
In Deutschland greift seit 2024 der EU Cyber Resilience Act (CRA), der Hersteller von vernetzten Produkten zu regelmäßigen Sicherheitsupdates verpflichtet. Allerdings gilt die Übergangsfrist noch bis 2027 – bis dahin sind Millionen von Alt-Geräten ohne Patch-Pflicht im Umlauf. In Österreich und der Schweiz gelten ähnliche Regelungen, wobei die Schweiz als Nicht-EU-Land eigene Standards entwickelt.
Das BSI arbeitet gemeinsam mit dem österreichischen Cert.at und dem Schweizer NCSC an einem koordinierten Vulnerability-Disclosure-Prozess. Die betroffenen Hersteller wurden informiert und haben teilweise bereits Firmware-Updates bereitgestellt. Das BSI empfiehlt allen Nutzern, ihre Geräte umgehend zu aktualisieren.
Praxis-Tipps: So sichern Sie Ihr Smart Home ab
- Firmware sofort aktualisieren: Prüfen Sie alle Smart-Home-Geräte auf verfügbare Updates. Aktivieren Sie automatische Updates wo möglich. Geräte ohne Update-Support sollten vom Netzwerk getrennt oder ersetzt werden.
- Standard-Passwörter ändern: Jedes Gerät braucht ein individuelles, starkes Passwort (min. 12 Zeichen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen). Verwenden Sie einen Passwort-Manager.
- Netzwerk-Segmentierung: Richten Sie ein separates WLAN/VLAN für IoT-Geräte ein. So kann ein kompromittiertes Gerät nicht auf Ihren PC, Smartphone oder NAS zugreifen. Die meisten modernen Router unterstützen Gast-Netzwerke.
- Nur Geräte mit Sicherheitszertifizierung: Achten Sie bei Neuanschaffungen auf VdS-Zertifizierung oder das europäische ETSI EN 303 645 Label. Diese garantieren Mindeststandards bei Verschlüsselung und Update-Pflicht.
- Cloud-Abhängigkeit reduzieren: Bevorzugen Sie Systeme, die auch lokal funktionieren. Bei reinen Cloud-Systemen: Prüfen Sie die Datenschutzrichtlinien und den Serverstandort (DSGVO!).
- Regelmäßige Überprüfung: Scannen Sie Ihr Heimnetzwerk regelmäßig auf unbekannte Geräte. Tools wie Fing oder der Netzwerk-Scanner Ihres Routers helfen dabei.
- Zwei-Faktor-Authentifizierung: Aktivieren Sie 2FA für alle Smart-Home-Apps und -Portale, insbesondere für Alarm- und Türschloss-Systeme.
Hintergrund und Statistiken
Die BSI-Warnung reiht sich in eine Serie von Sicherheitsvorfällen im IoT-Bereich ein. 2024 wurden weltweit über 1,5 Milliarden Angriffe auf IoT-Geräte registriert – ein Anstieg von 35% gegenüber dem Vorjahr. In Deutschland meldeten Versicherer 2024 erstmals Schäden durch Smart-Home-Hacking als eigene Schadenskategorie, mit einem geschätzten Gesamtvolumen von 45 Millionen Euro.
Der deutsche Smart-Home-Markt hat 2025 ein Volumen von 8,2 Milliarden Euro erreicht. Davon entfallen etwa 1,4 Milliarden Euro auf den Bereich Sicherheit und Überwachung. Marktforscher prognostizieren ein weiteres Wachstum von 12% jährlich – vorausgesetzt, das Vertrauen der Verbraucher in die Sicherheit der Systeme nicht nachhaltig beschädigt wird.
Ausblick
Das BSI arbeitet an einem Zertifizierungsprogramm für Smart-Home-Sicherheit, das voraussichtlich Anfang 2027 in Kraft tritt. Ab dann müssen alle in Deutschland verkauften vernetzten Sicherheitsprodukte ein BSI-Sicherheitslabel tragen. Parallel dazu wird der EU Cyber Resilience Act ab 2027 Herstellern konkrete Pflichten für Sicherheitsupdates und Schwachstellenmanagement auferlegen.
Die Sicherheitsbranche reagiert mit neuen Konzepten: „Security by Design" wird zum Standard bei der Produktentwicklung, und die Integration von Cybersecurity-Monitoring in klassische Leitstellen-Services schafft neue Geschäftsmodelle. Errichter, die beide Welten – physische und digitale Sicherheit – aus einer Hand anbieten können, werden die Gewinner dieser Entwicklung sein.
