Die vernetzten Geräte zählen heute weltweit in Milliardenhöhe. Thermostate, Uhren, Lautsprecher, Schlösser, Gesundheits-Sensoren: Diese Geräte kommunizieren untereinander und mit ihren Nutzern über das Internet oder ein lokales Netzwerk. Ihr Betrieb basiert auf präzisen Komponenten, und ihre Zunahme in den Haushalten wirft konkrete Fragen zur Sicherheit und Regulierung auf, die der breite Öffentlichkeit noch wenig bekannt sind.
Cyber Resilience Act: Was die europäische Regulierung für vernetzte Geräte ändert
Der europäische Rechtsrahmen hat sich mit dem Inkrafttreten des Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847 am 10. Dezember 2024 gewandelt. Dieser Text legt verbindliche Anforderungen an die Cybersicherheit für alle Produkte mit digitalen Elementen fest, was nahezu alle vernetzten Objekte umfasst, die auf dem europäischen Markt verkauft werden.
Der Anwendungszeitplan sieht zwei wichtige Fristen vor. Ab dem 11. September 2026 müssen die Hersteller den Behörden aktiv ausgenutzte Schwachstellen und schwerwiegende Cybersicherheitsvorfälle, die ihre Produkte betreffen, melden. Ab dem 11. Dezember 2027 darf ein vernetztes Gerät in der Europäischen Union nur dann vermarktet werden, wenn es den CRA erfüllt und ein CE-Zeichen trägt, das auch seine Cybersicherheit bescheinigt.
Konkret verlangt der CRA Sicherheit bereits in der Entwurfsphase (secure by design), das Management von Schwachstellen und die Sicherheitsupdates während der gesamten vorgesehenen Lebensdauer des Produkts. Die vorgesehenen Sanktionen können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes betragen. Für einen Hersteller von Thermostaten oder vernetzten Glühbirnen bedeutet dies, dass Cybersicherheit kein Marketingargument mehr ist, sondern eine Voraussetzung für den Marktzugang.
Diese Regulierung ist der breiten Öffentlichkeit noch wenig bekannt, obwohl sie direkt die Dauer des Software-Supports für in Geschäften verfügbare Geräte beeinflussen wird. Ein Nutzer, der die Definition von vernetzten Geräten auf Transtec konsultiert, erkennt bereits das Ausmaß der von diesen Verpflichtungen betroffenen Geräte.
Sensoren, Protokolle und Cloud: Wie funktioniert ein vernetztes Gerät
Der Betrieb eines vernetzten Geräts basiert auf drei verschiedenen Schichten, die ständig miteinander kommunizieren.
Die physische Schicht: Sensoren und Aktoren
Jedes Objekt verfügt über einen oder mehrere Sensoren, die einen Parameter der Umgebung messen (Temperatur, Bewegung, Helligkeit, Herzfrequenz). Ein Mikrocontroller verarbeitet diese Daten lokal, bevor sie übertragen werden. Im Gegensatz dazu führt ein Aktor einen Befehl aus: eine Lampe einschalten, ein Schloss verriegeln, ein Thermostat anpassen.
Die Netzwerkschicht: Wi-Fi, Bluetooth, Zigbee und mehr
Die Datenübertragung basiert auf drahtlosen Protokollen, die für den jeweiligen Einsatz geeignet sind. Wi-Fi eignet sich für bandbreitenintensive Geräte (Überwachungskameras). Bluetooth Low Energy versorgt tragbare Objekte wie Uhren und Gesundheitsarmbänder. Protokolle wie Zigbee oder Z-Wave, die weniger bekannt sind, dienen dichten Smart-Home-Netzwerken, in denen Dutzende von Sensoren koexistieren müssen, ohne das heimische Wi-Fi zu überlasten.
Die Wahl des Protokolls bestimmt direkt die Akkulaufzeit, die Reichweite des Signals und die Kompatibilität mit dem Rest des Ökosystems. Ein Zigbee-Gerät kommuniziert nicht nativ mit einem Bluetooth-Netzwerk, was oft die Verwendung eines Gateways (Hubs) oder eines zentralen Sprachassistenten erforderlich macht.
Die Softwareschicht: Cloud und Anwendungen
Die gesammelten Daten werden an einen entfernten Server (Cloud) gesendet, wo sie gespeichert, analysiert und über eine mobile Anwendung zugänglich gemacht werden. Es ist dieser Sensor-Cloud-Anwendungs-Zyklus, der es ermöglicht, ein Gerät aus der Ferne zu steuern, Automatisierungen zu programmieren oder Echtzeitwarnungen zu erhalten.
Die Rückmeldungen aus der Praxis variieren hinsichtlich der Zuverlässigkeit dieser Architektur. Wenn der Server des Herstellers ausfällt oder das Unternehmen seine Tätigkeit einstellt, kann das Objekt einen Teil seiner Funktionen verlieren oder sogar unbrauchbar werden. Einige Hersteller bieten einen teilweisen lokalen Betrieb an, aber dieser Ansatz bleibt die Ausnahme.
Konkrete Anwendungen von vernetzten Geräten im Haushalt und im Gesundheitswesen
Die häuslichen Anwendungen machen den Großteil des Endverbrauchermarktes für vernetzte Objekte aus. Drei Kategorien konzentrieren die Akzeptanz.
- Energiemanagement: vernetzte Thermostate, die die Gewohnheiten der Bewohner lernen, intelligente Steckdosen, die die Stromversorgung von Geräten im Standby-Modus unterbrechen, Fensteröffnungssensoren, die die Heizung automatisch ausschalten.
- Haussicherheit: IP-Kameras, die aus der Ferne abgerufen werden können, vernetzte Schlösser mit Drehcode, Rauchmelder, die mit dem Smartphone des Nutzers verbunden sind.
- Gesundheitsüberwachung: Uhren und Armbänder, die die Herzfrequenz, die Schlafqualität oder die Schrittzahl messen, vernetzte Blutdruckmessgeräte, die die Daten direkt an den behandelnden Arzt übermitteln.
Im Gesundheitsbereich wirft die Erfassung von sensiblen persönlichen Daten Fragen zu deren Speicherung und Nutzung auf. Die von einer Uhr aufgezeichneten Herzfrequenzdaten durchlaufen die Server des Herstellers, bevor sie die Anwendung erreichen. Der Nutzer hat nicht immer eine klare Sicht auf die Dauer der Speicherung oder auf die Dritten, die darauf zugreifen.
Die Sicherheit seiner vernetzten Objekte: Die wirklich wichtigen Maßnahmen
Die CNIL erinnert daran, dass vernetzte Objekte eine große Menge an persönlichen Daten generieren, die im Internet gespeichert werden, und dass deren Sicherheit auch in der Verantwortung des Nutzers liegt. Mehrere Maßnahmen reduzieren die Angriffsfläche erheblich.
- Ändern Sie systematisch das Standardpasswort jedes Geräts, indem Sie ein einzigartiges und komplexes Passwort verwenden.
- Aktualisieren Sie die Firmware, sobald eine neue Version verfügbar ist, da diese Updates oft aktiv ausgenutzte Schwachstellen beheben.
- Segmentieren Sie das Heimnetzwerk, indem Sie ein Wi-Fi-Netzwerk für vernetzte Geräte erstellen, das von dem für Computer oder Smartphones verwendet wird.
- Deaktivieren Sie nicht genutzte Funktionen (Mikrofon, Geolokalisierung), um die Erfassung überflüssiger Daten zu begrenzen.
Ein vernetztes Gerät, dessen Firmware nicht mehr aktualisiert wird, wird zu einem potenziellen Einstiegspunkt in das Heimnetzwerk. Mit dem Inkrafttreten des CRA werden die Hersteller verpflichtet sein, während der gesamten vorgesehenen Lebensdauer des Produkts Patches bereitzustellen, aber diese Verpflichtung wird erst ab Ende 2027 vollständig gelten. Bis dahin bleibt es der zuverlässigste Reflex, die Supportpolitik des Herstellers vor dem Kauf zu überprüfen.
Der Markt für vernetzte Geräte entwickelt sich unter dem Druck von zwei Seiten: der Nutzung, die sich im Haushalt und im Gesundheitswesen vervielfältigt, und der europäischen Regulierung, die die Sicherheitsanforderungen auf ein beispielloses Niveau anhebt. Die Wahl eines vernetzten Objekts beschränkt sich nicht mehr auf seine Funktionen: Die Dauer des Software-Supports und die Konformität mit dem CRA werden zu eigenständigen Kaufkriterien.