Smart Home Sicherheit: Der vollständige Leitfaden gegen Hacker und Datenlecks – mit Checkliste

Im Spätsommer 2024 demonstrierten Sicherheitsforscher auf der DEF CON, wie sie Saugroboter aus der Ferne übernahmen: Sie schauten live durch die eingebauten Kameras in fremde Wohnzimmer und steuerten die Geräte durch die Wohnung. Der Grund war ein simpler Fehler – die Sicherheits-PIN wurde nur in der App geprüft, nicht auf dem Gerät selbst (heise online ).

Solche Vorfälle sind keine Ausnahme. Hardware im Heimnetz mit Internetanbindung ist im Schnitt mehr als zehn Angriffen pro Tag ausgesetzt, und ein durchschnittlicher Smart-Home-Haushalt betreibt rund 21 vernetzte Geräte (connect, 2024 – IoT-Geräte-Studie). Jedes davon ist eine potenzielle Tür ins Netzwerk.

Dieser Leitfaden ist euer Einstieg in die Smart-Home-Sicherheit: Er bündelt die wichtigsten Grundlagen, die Risiken nach Gerätekategorie und eine Checkliste mit über 30 Punkten.

Warum Smart-Home-Sicherheit jetzt kritischer ist als je zuvor

Die Bedrohungslage hat sich messbar verschärft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) registrierte im Berichtszeitraum 2024 täglich rund 309.000 neue Schadprogramm-Varianten – ein Anstieg von 26 Prozent gegenüber dem Vorjahr (BSI, 2024 – Die Lage der IT-Sicherheit in Deutschland). Ein Teil davon zielt direkt auf vernetzte Geräte.

Wie real das ist, zeigen die IoT-Botnetze „BadBox“ und „Vo1d“. Bei BadBox war die Schadsoftware bereits im Produktionsprozess auf günstige Android-Geräte wie TV-Boxen, Tablets und digitale Bilderrahmen gelangt – die Geräte waren ab Werk infiziert (BSI, 2024 – Vorinstallierte Schadsoftware auf IoT-Geräten).

Das Grundproblem liegt im Markt: Viele günstige Geräte kommen mit Standardpasswörtern und ohne langfristige Update-Versorgung. Eine Untersuchung der Deutschen Telekom vom Januar 2024 ergab, dass 67 Prozent der getesteten Smart-Home-Produkte noch Standardpasswörter nutzten (connect, 2024 – IoT-Geräte-Studie). Der wichtigste Hebel liegt damit bei euch – genau dort setzen die folgenden Grundlagen an.

Hinzu kommt ein struktureller Punkt: Ein Smart Home ist ein Netz aus vielen kleinen Computern, die untereinander und mit Hersteller-Servern reden. Fällt ein einziges Gerät aus oder wird übernommen, dient es Angreifern als Brückenkopf zu allem anderen im selben Netz. Sicherheit ist deshalb keine Frage des teuersten Geräts, sondern des schwächsten.

Die wichtigsten Angriffsvektoren im Überblick

Bevor ihr einzelne Maßnahmen umsetzt, hilft ein Bild davon, wo Angriffe ansetzen. Ein Smart-Home-Angriff läuft selten über einen einzigen spektakulären Exploit, sondern über eine von vier typischen Ebenen.

Das Netzwerk ist das häufigste Einfallstor. Schwache WLAN-Passwörter, offene Ports durch automatische Freigaben (UPnP) und ungepatchte Router öffnen den Weg ins Heimnetz. Genau hier wirkt die Netzwerksegmentierung am stärksten.

Die Firmware der Geräte selbst enthält Lücken, die nach Bekanntwerden öffentlich dokumentiert sind. Geräte ohne aktuelle Firmware oder ohne Update-Versorgung sind damit bekannte, offene Ziele.

Die Cloud der Hersteller bündelt Fernzugriff, Videostreams und Kontodaten. Ein übernommenes Cloud-Konto bedeutet oft Vollzugriff auf das verknüpfte Gerät – weshalb 2FA für diese Konten so wichtig ist.

Die Funkprotokolle verbinden die Geräte. WLAN und Bluetooth sind weit verbreitet, aber auch am stärksten exponiert; Bluetooth Low Energy ermöglicht etwa Relay-Angriffe auf Türschlösser. Die Mesh-Standards Zigbee und Z-Wave funken in separaten Frequenzbereichen und sind weniger direkt aus dem Internet erreichbar. Der herstellerübergreifende Standard Matter wurde nach dem Prinzip „Secure by Design“ entwickelt, nutzt strikte Verschlüsselung und setzt auf lokale Kommunikation, wodurch weniger Daten nach außen gelangen. Welche Funktechnik ihr wählt, beeinflusst damit direkt eure Angriffsfläche.

Die fünf Grundlagen sicherer Smart Homes

Diese fünf Maßnahmen fangen die große Mehrheit aller Angriffe ab. Sie gelten für jedes vernetzte Gerät, vom Lichtschalter bis zur Türklingel. Die ENISA, die Cybersicherheitsagentur der Europäischen Union, nennt als Basis: Standardpasswörter ändern, schwache Passwörter ausschließen und 2FA einsetzen (ENISA, 2017 – Security and Resilience of Smart Home Environments).

Starke, einzigartige Passwörter

Vergebt pro Gerät und Dienst ein zufälliges Passwort mit mindestens 16 Zeichen und verwaltet sie mit einem Passwort-Manager wie Bitwarden, 1Password oder KeePassXC. Wie dringend das ist, zeigt die Hive Systems Password Table: Ein achtstelliges Passwort aus reinen Kleinbuchstaben fällt in rund drei Wochen, ein 16-stelliges mit allen Zeichentypen liegt im Bereich von Billionen Jahren (Hive Systems, 2025 – Password Table).

Der wichtigste Fehler ist nicht das zu kurze, sondern das mehrfach verwendete Passwort. Taucht ein Dienst in einem Datenleck auf, probieren Angreifer die erbeuteten Zugangsdaten automatisiert bei anderen Konten durch. Ein eigenes Passwort pro Gerät und Dienst unterbricht diese Kette – und mit einem Passwort-Manager müsst ihr euch dafür nur ein einziges starkes Master-Passwort merken.

Mehr dazu erfahrt ihr in diesem Ratgeber: Sicheres Passwort im Smart Home

Zwei-Faktor-Authentifizierung (2FA)

Zwei-Faktor-Authentifizierung verlangt zusätzlich zum Passwort einen zweiten Nachweis – etwa einen Code aus einer Authenticator-App oder einen Hardware-Schlüssel. Selbst mit geklautem Passwort kommen Angreifer dann nicht ins Konto. Aktiviert 2FA vor allem für die Hersteller-Cloud-Konten eurer Kameras, Schlösser und Hubs, denn darüber laufen Fernzugriff und Videostreams.

Setzt dabei möglichst auf eine Authenticator-App statt auf SMS-Codes: SMS lassen sich über sogenanntes SIM-Swapping abfangen, App-basierte Codes sind an euer Gerät gebunden. Die Europäische Agentur für Cybersicherheit (ENISA) nennt 2FA ausdrücklich als empfohlenen Authentifizierungsmechanismus für IoT-Umgebungen (ENISA, 2017 – Security and Resilience of Smart Home Environments).

Firmware aktuell halten

Updates schließen bekannt gewordene Sicherheitslücken – und genau diese nutzen Angreifer bevorzugt aus, weil sie öffentlich dokumentiert sind. Aktiviert automatische Updates, wo möglich, und richtet sonst eine monatliche Erinnerung ein, da nicht alle Hersteller über neue Firmware benachrichtigen.

Genauso wichtig ist der umgekehrte Fall: Erreicht ein Gerät sein Support-Ende, bleiben neu entdeckte Lücken dauerhaft offen. Solche Altgeräte gehören ersetzt oder zumindest vom Internet getrennt und nur noch lokal betrieben. Achtet deshalb schon beim Kauf darauf, wie lange ein Hersteller Updates zusagt.

WLAN-Gastnetzwerk für das Smart Home einrichten

Betreibt alle Smart-Home-Geräte in einem separaten Netz – im Gastnetz oder in einem eigenen VLAN. Wird ein Gerät gekapert, sitzt der Angreifer dann in einem isolierten Bereich ohne Zugriff auf eure Computer, Smartphones und Backup-Festplatten. Schon das Gastnetz, das nahezu jeder Router mitbringt, genügt für diese Trennung.

Der Router selbst ist dabei das wichtigste Einzelgerät. Ändert sein Admin-Passwort, schaltet die Fernkonfiguration aus dem Internet sowie UPnP ab und haltet die Router-Firmware aktuell. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert für Heim-Router die Technische Richtlinie TR-03148, die schrittweise durch die europäische Norm ETSI TS 103 848 abgelöst wird (BSI – TR-03148 Secure Broadband Router).

Sichere Smart Home-Geräte kaufen

Sicherheit beginnt vor dem Kauf. Achtet auf das freiwillige IT-Sicherheitskennzeichen des BSI, eine Update-Zusage von mindestens fünf Jahren, lokale Steuerung ohne Pflicht-Cloud und offene Standards wie Matter, Zigbee oder Z-Wave. Ein individuelles Gerätepasswort ab Werk und eine nachvollziehbare Datenschutzerklärung sind weitere gute Zeichen. Wer hier wählerisch ist, vermeidet von vornherein die Geräte, die in den dokumentierten Vorfällen auffielen.

Risiken nach Gerätekategorie im Überblick

Jede Gerätekategorie hat ihr eigenes Hauptrisiko. Dieser Überblick nennt das Wichtigste in einem Satz und die jeweils wirksamste Maßnahme.

Kategorie	Hauptrisiko	Wichtigste Maßnahme
Überwachungskameras	Unverschlüsselte Streams, Fremdzugriff	Lokale Speicherung + 2FA
Saugroboter	Raumkartierung, Kamera-/Mikrofonzugriff	Lokale Karten, Kamera abschaltbar
Smart Locks	Relay-Angriffe, Jamming, Firmware-Lücken	Rückfallebene + Relay-Schutz
Smart Speaker	Always-On, Fehlaktivierungen	Mikrofon-Taste, Aufnahmen löschen
Babyphone	Fremdzugriff auf Kamera	DECT/FHSS statt WLAN
Funk-Alarmanlagen	Jamming der Funksignale	Jamming-Erkennung, Redundanz

Für Überwachungskameras gilt das größte Risiko, weil ein Angriff direkten Bild- und Tonzugang zu euren privatesten Räumen bedeutet – dokumentiert etwa bei Eufy, deren Stream sich zeitweise unverschlüsselt abrufen ließ (Kaspersky, 2023 – Unsicherheit von IP-Kameras). Saugroboter wiederum kartieren eure Wohnung zentimetergenau und tragen oft Kameras und Mikrofone; Sicherheitsforscher übernahmen verwundbare Modelle aus der Ferne, weil die Sicherheits-PIN nur in der App geprüft wurde (heise online, 2024 – Vulnerability in Ecovacs vacuum robots).

Bei Smart Locks verschiebt sich das Risiko auf die Funkverbindung: BLE-Relay-Angriffe und Jamming können rein funkbasierte Schlösser aushebeln, weshalb eine physische Rückfallebene Pflicht ist. Smart Speaker zeichnen nicht dauerhaft auf, aktivieren sich laut einer Studie der Northeastern University aber bis zu 19-mal pro Tag versehentlich (Sophos News, 2020 – Smart speaker study). Und Babyphone mit WLAN gehören zu den sensibelsten Geräten überhaupt, weil ein Fremdzugriff direkt ins Kinderzimmer führt.

Datenschutz im Smart Home

Jedes vernetzte Gerät erzeugt Daten, viele verarbeiten sie in der Cloud. Die Datenschutz-Grundverordnung (DSGVO) verlangt in Artikel 5 unter anderem Datenminimierung und Zweckbindung. In der Praxis wird dagegen verstoßen – etwa wenn Aufnahmen aus Haushalten ohne echte Einwilligung zum KI-Training genutzt werden (netzpolitik.org, 2024).

Ihr begrenzt Datenflüsse, indem ihr vor dem Kauf die Datenschutzerklärung lest, in den App-Einstellungen jedes Opt-out gegen Analyse, Werbung und KI-Training setzt und Funktionen meidet, die zwingend eine Cloud verlangen. Geräte mit offenen Standards lassen sich zudem über lokale Plattformen wie Home Assistant weiterbetreiben – auch unabhängig vom Hersteller-Server.

Was bringt der EU Cyber Resilience Act für das Smart Home?

Der EU Cyber Resilience Act (CRA) macht Cybersicherheit für vernetzte Produkte zur Pflicht: sichere Entwicklung, Schwachstellenmanagement und Sicherheitsupdates über den Lebenszyklus. Die zentralen Pflichten gelten ab dem 11. Dezember 2027, Meldepflichten ab dem 11. September 2026 (Europäische Kommission – Cyber Resilience Act). Für euch bedeutet das mehr Verlässlichkeit beim Kauf: Die CE-Kennzeichnung deckt künftig auch Cybersicherheit ab, und eine zugesagte Update-Versorgung wird zum Standard statt zur freiwilligen Zugabe.

Smart-Home-Sicherheits-Checkliste 2026

Netzwerk

• Admin-Passwort des Routers geändert.
• Router-Firmware aktuell und automatische Updates aktiviert.
• Separates IoT-/Gastnetz für alle Smart-Home-Geräte eingerichtet.
• VLAN-Trennung genutzt, sofern der Router sie unterstützt.
• Fernkonfiguration des Routers aus dem Internet deaktiviert.
• UPnP abgeschaltet, um automatische Portfreigaben zu verhindern.
• WLAN mit WPA3 (mindestens WPA2) und langem Passphrase abgesichert.

Geräte

• Firmware aller Geräte aktuell, Auto-Update wo möglich aktiviert.
• Monatliche Erinnerung für manuelle Update-Prüfungen eingerichtet.
• Geräte ohne Update-Versorgung ersetzt oder vom Internet getrennt.
• Nicht genutzte Funktionen, Ports und Dienste deaktiviert.
• Kameras nur auf nötige Bereiche gerichtet, Innenkameras mit Abdeckung.
• Mikrofone an Speakern bei Nichtgebrauch stummgeschaltet.
• Saugroboter-Karte lokal gespeichert, Kamera/Mikrofon nach Bedarf aus.
• Babyphone möglichst über DECT/FHSS statt WLAN betrieben.

Passwörter & Zugänge

• Alle Standardpasswörter durch eigene ersetzt.
• Pro Gerät/Dienst ein zufälliges Passwort mit mind. 16 Zeichen.
• Passwort-Manager für alle Zugangsdaten im Einsatz.
• 2FA für jedes Hersteller-Cloud-Konto aktiviert.
• Authenticator-App statt SMS-Codes genutzt.
• Geteilte Zugänge mit eigenen Konten statt einem Sammel-Login.

Datenschutz

• Datenschutzerklärung vor dem Kauf gelesen.
• Opt-outs gegen Analyse, Werbung und KI-Training gesetzt.
• Cloud-Anbindung deaktiviert, wo lokale Steuerung reicht.
• Gespeicherte Sprach- und Videoaufnahmen regelmäßig gelöscht.
• Zugriffsrechte von Drittanbieter-Integrationen geprüft.
• Geräte nicht in der Firewall für externe Zugriffe freigegeben.

Kauf & Herstellerwahl

• Auf BSI-IT-Sicherheitskennzeichen geachtet.
• Mindestens fünf Jahre Update-Zusage geprüft.
• Geräte mit offenen Standards (Matter/Zigbee/Z-Wave) bevorzugt.
• Lokale Steuerung ohne Pflicht-Cloud sichergestellt.
• Unabhängige Sicherheitstests (z. B. AV-TEST) berücksichtigt.
• Alarmanlagen mit Jamming-Erkennung und mehreren Übertragungswegen gewählt.
• „Cloud-Exit“-Möglichkeit (z. B. Home Assistant) eingeplant.

FAQ – Häufige Fragen zur Smart-Home-Sicherheit

Fazit

Smart-Home-Sicherheit entscheidet sich an Routine: eigene starke Passwörter, 2FA, aktuelle Firmware und ein vom Hauptnetz getrenntes IoT-Netz.

Die gute Nachricht: Die Rahmenbedingungen verbessern sich. Mit dem EU Cyber Resilience Act werden Sicherheitsupdates ab Ende 2027 zur Pflicht, der Matter-Standard verbreitet sich, und unabhängige Tests schaffen Orientierung. Gleichzeitig werden Angriffe durch KI-gestütztes Passwort-Cracking und vorinstallierte Schadsoftware schneller und günstiger. Die Geräte werden also (hoffentlich) sicherer – euer eigener Beitrag bleibt aber wichtig.