Veröffentlicht am 23.10.2026
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Dazu gehören auch viele Smart-Home-Geräte wie Kameras, Thermostate oder smarte Türschlösser. Ziel ist es, Sicherheitslücken schneller zu schließen und Verbraucher transparenter über Sicherheitsupdates zu informieren.
Was Du in diesem Beitrag erfährst:
- Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen und damit auch für zahlreiche Smart-Home-Geräte.
- Die meisten Vorgaben des CRA gelten ab dem 11. Dezember 2027.
- Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits seit dem 11. September 2026.
- Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Nur bei Produkten, die ihrer Art nach für eine kürzere Nutzung vorgesehen sind, kann er entsprechend kürzer ausfallen.
- Für bereits auf dem Markt befindliche Produkte gelten Übergangsregeln.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist eine EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Dazu zählen Hard- und Softwareprodukte, deren vorgesehene oder vorhersehbare Nutzung eine direkte oder indirekte Verbindung mit einem Gerät oder Netzwerk umfasst.[1]
Im Smart Home können darunter beispielsweise vernetzte Kameras, Türschlösser, Thermostate oder Steuerzentralen fallen. Viele solcher Geräte zählen zum Internet of Things (IoT), auf Deutsch „Internet der Dinge“. Gemeint sind physische Geräte, die über ein Netzwerk Daten austauschen oder gesteuert werden können. Der CRA geht jedoch deutlich über Smart-Home- und IoT-Geräte hinaus und erfasst zahlreiche weitere Hard- und Softwareprodukte.[1]
Welche neuen Sicherheitsregeln gelten für Smart-Home-Geräte?
Der CRA verpflichtet Hersteller dazu, Cybersicherheit bereits bei Entwicklung und Produktion zu berücksichtigen und Schwachstellen während des festgelegten Unterstützungszeitraums zu behandeln.[1] Er ersetzt allerdings nicht die eigene digitale Sicherheit im Alltag, etwa durch aktuelle Geräte und sichere Zugangsdaten.
Für Dein Smart Home sind vor allem diese Punkte relevant:
- Sichere Voreinstellungen: Produkte mit digitalen Elementen müssen ohne bekannte ausnutzbare Schwachstellen auf den Markt kommen und grundsätzlich sicher vorkonfiguriert sein.[1]
- Sicherheitsupdates: Hersteller müssen Möglichkeiten vorsehen, um Schwachstellen durch Sicherheitsupdates zu beheben oder einzudämmen. Verfügbare Sicherheitsupdates müssen grundsätzlich ohne unangemessene Verzögerung und kostenlos bereitgestellt werden. Wo automatische Sicherheitsupdates vorgesehen sind, können diese standardmäßig aktiviert sein.[1]
- Festgelegter Unterstützungszeitraum: Hersteller müssen festlegen, wie lange sie Schwachstellen eines Produkts behandeln. Maßgeblich sind dabei unter anderem Art, Einsatzzweck und die erwartbare Nutzungsdauer vergleichbarer Produkte. Bei langlebigen Geräten kann der Support deshalb länger als fünf Jahre dauern. Grundsätzlich beträgt der Zeitraum mindestens fünf Jahre; nur bei Produkten mit erwartbar kürzerer Nutzungsdauer darf er entsprechend kürzer sein.[1] Das Ende des Unterstützungszeitraums muss beim Kauf mindestens mit Monat und Jahr angegeben werden.[2]
Wie bestimmt sich die erwartete Nutzungsdauer nach dem Cyber Resilience Act?
Nach dem Cyber Resilience Act muss der Hersteller einschätzen, wie lange ein Produkt voraussichtlich genutzt wird. Dabei berücksichtigt er unter anderem den Verwendungszweck, die übliche Nutzungsdauer vergleichbarer Produkte und die Erwartungen der Kundinnen und Kunden. Bei Routern, Modems oder Switches kann der Unterstützungszeitraum deshalb länger als fünf Jahre ausfallen, weil solche Geräte häufig über einen längeren Zeitraum genutzt werden.[1]
Ab wann gilt der Cyber Resilience Act?
Die meisten Vorgaben des Cyber Resilience Act gelten ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits seit dem 11. September 2026.[1],[2]
Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, muss er zunächst innerhalb von 24 Stunden eine Warnmeldung abgeben. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung.[3]
Dafür betreibt die EU-Agentur für Cybersicherheit ENISA seit dem 11. September 2026 die Single Reporting Platform. Über diese Plattform melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die zuständigen Stellen.[4] Für Endverbraucherinnen und Endverbraucher ist sie nicht als öffentliches Informationsportal gedacht.
Was ändert sich durch den CRA für Dich?
Für Dich wird vor allem besser erkennbar, wie lange ein vernetztes Produkt sicherheitstechnisch unterstützt werden soll. Beim Kauf kannst Du das angegebene Ende des Unterstützungszeitraums künftig neben Preis, Funktionen und Kompatibilität in Deine Entscheidung einbeziehen.[1],[2]
Auf eine verlässliche Updateversorgung kannst Du bereits heute achten. Das gilt auch für den Router als zentrale Komponente Deines Heimnetzes. Bei 1&1 basieren die HomeServer auf FRITZ!-Hardware. FRITZ! gibt an, sein Sicherheitskonzept kontinuierlich zu prüfen und weiterzuentwickeln sowie regelmäßig Updates für seine Produkte bereitzustellen.[5]
Was bedeutet der CRA für bereits gekaufte Smart-Home-Geräte?
Ein bereits gekauftes Smart-Home-Gerät muss wegen des CRA nicht automatisch ausgetauscht werden. Produkte, die vor dem 11. Dezember 2027 auf den EU-Markt gebracht wurden, unterliegen den neuen Anforderungen grundsätzlich erst dann, wenn sie ab diesem Zeitpunkt wesentlich verändert werden.[1],[2]
Eine Ausnahme bilden die bereits geltenden Meldepflichten: Sie gelten auch für Produkte im Anwendungsbereich des CRA, die schon vor dem 11. Dezember 2027 auf den Markt gebracht wurden.[2],[3]
Bei älteren Geräten solltest Du deshalb weiterhin prüfen, ob der Hersteller Sicherheitsupdates bereitstellt, und verfügbare Updates installieren. Hinweise dazu findest Du zum Beispiel auf der Support-Seite des Herstellers, in der Geräte-App oder in den Update-Einstellungen des Geräts. Wird ein Gerät nicht mehr unterstützt, solltest Du abwägen, ob Du es weiterhin vernetzt nutzen möchtest.
Zusätzlich helfen ein sicher eingerichtetes WLAN und ein sicheres Passwort dabei, Dein Heimnetz zu schützen.[6]
Fazit: Der CRA macht Sicherheit und Support transparenter
Der Cyber Resilience Act verpflichtet Hersteller vernetzter Produkte zu konkreten Maßnahmen rund um Cybersicherheit, Schwachstellen und Sicherheitsupdates. Die Meldepflichten gelten bereits seit September 2026, die meisten weiteren Vorgaben folgen im Dezember 2027.
Für Dich wird dadurch vor allem nachvollziehbarer, wie lange ein Produkt sicherheitstechnisch unterstützt werden soll. Der CRA verhindert Sicherheitslücken jedoch nicht vollständig. Auch künftig bleiben regelmäßige Updates, sichere Zugangsdaten und ein geschütztes Heimnetz wichtige Bestandteile eines sicheren Smart Homes.
Du planst ein Smart Home? Bei 1&1 findest Du Smart-Home-Geräte in Verbindung mit DSL oder Glasfaser.
FAQ: Cyber Resilience Act und Smart Home
Der Cyber Resilience Act erfasst viele Hard- und Softwareprodukte mit digitalen Elementen, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden sind. Dazu können beispielsweise vernetzte Kameras, Türschlösser, Thermostate und Smart-Home-Steuerzentralen gehören. Für einzelne Produktgruppen und Anwendungsfälle sieht die Verordnung Ausnahmen vor.[1]
Bereits vorhandene Smart-Home-Geräte müssen wegen des Cyber Resilience Act nicht pauschal ausgetauscht werden. Für Produkte, die vor dem 11. Dezember 2027 auf den Markt gebracht wurden, greifen die meisten neuen Produktanforderungen grundsätzlich erst bei einer wesentlichen Änderung ab diesem Datum. Die Meldepflichten gelten dagegen auch für ältere Produkte im Anwendungsbereich des CRA.[1],[2]
Der Unterstützungszeitraum beträgt nach dem CRA grundsätzlich mindestens fünf Jahre. Nur wenn ein Produkt seiner Art nach voraussichtlich kürzer genutzt wird, darf der Zeitraum dieser kürzeren Nutzungsdauer entsprechen. Als Beispiel nennt der CRA etwa eine Kontaktnachverfolgungs-App, die nur für die Dauer einer Pandemie vorgesehen ist.[1] Bei langlebigen Geräten wie Routern oder Modems kann der Unterstützungszeitraum dagegen auch länger als fünf Jahre sein.[1] Das Ende des Unterstützungszeitraums muss beim Kauf mit Monat und Jahr klar angegeben werden.[1],[2]
Literaturverzeichnis
[1] Europäisches Parlament & Rat der Europäischen Union. (2024, 23. Oktober). Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung). Amtsblatt der Europäischen Union. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
[2] Europäische Kommission. (2025, 3. Dezember). The Cyber Resilience Act – Summary of the legislative text. https://digital-strategy.ec.europa.eu/en/policies/cra-summary
[3] Europäische Kommission. (2026). Cyber Resilience Act – Reporting obligations. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
[4] European Union Agency for Cybersecurity. (2026, 11. September). The CRA Single Reporting Platform is launched. https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
[5] FRITZ!. (o. D.). Sicherheitsinformationen zu FRITZ!-Updates. https://fritz.com/pages/sicherheitsinformationen-zu-updates
[6] Bundesamt für Sicherheit in der Informationstechnik. (o. D.). Sicherheitstipps im privaten und öffentlichen WLAN. https://www.bsi.bund.de/dok/504600
