Wie viel weiß Ihr Smart Home über Sie? Diese Daten verlassen Ihr Zuhause

Der smarte Thermostat kennt die gewünschte Temperatur am Morgen. Die Überwachungskamera registriert Bewegungen vor dem Haus. Der Sprachassistent reagiert auf Zuruf und der Saugroboter erstellt eine Karte der Wohnung.

Jedes dieser Geräte verarbeitet Daten. Zusammengenommen können daraus Informationen entstehen, die weit über die eigentliche Gerätefunktion hinausgehen. Sie können beispielsweise verraten, wann jemand zu Hause ist, welche Räume genutzt werden oder zu welchen Zeiten Türen geöffnet und Heizungen geregelt werden.

Das bedeutet nicht, dass jedes Smart-Home-Gerät seine Besitzer „ausspioniert“. Entscheidend ist vielmehr: Welche Daten werden tatsächlich erfasst, welche davon verlassen das Haus und wer kann darauf zugreifen?

Welche Daten im Smart Home entstehen

Welche Informationen ein Gerät verarbeitet, hängt stark von seiner Funktion ab. Ein Heizkörperthermostat benötigt andere Daten als eine Kamera oder ein Sprachassistent.

Besonders sensibel können folgende Daten sein:

• Nutzungsdaten: Wann werden Geräte ein- oder ausgeschaltet? Wann öffnet sich die Haustür? Wann läuft die Heizung? Solche Informationen können Rückschlüsse auf Tagesabläufe und Anwesenheitszeiten ermöglichen.
• Video- und Bilddaten: Überwachungskameras und Videotürklingeln können Aufnahmen vom eigenen Grundstück, aber auch von Besuchern oder Nachbarn erfassen.
• Sprachdaten: Sprachassistenten prüfen Audiosignale auf ihr Aktivierungswort. Nach einer Aktivierung werden Sprachbefehle je nach System zur Verarbeitung an Server des Anbieters übertragen. Auch Fehlaktivierungen sind möglich.
• Standort- und Raumdaten: Saugroboter, Kameras oder andere Geräte können Karten, Positionen oder Informationen über die räumliche Umgebung verarbeiten.
• Technische Daten: Dazu gehören beispielsweise IP-Adressen, Gerätetypen, Firmware-Versionen oder Informationen über die verwendete App.

Wie aufschlussreich solche Daten sein können, zeigt die Verbraucherzentrale. Verbrauchsdaten oder die Zeitpunkte, zu denen Türen geöffnet und geschlossen werden, können demnach Rückschlüsse auf Lebensgewohnheiten sowie die An- und Abwesenheit der Bewohner erlauben.

Bei einer vom Bundesamt für Sicherheit in der Informationstechnik untersuchten Überwachungskamera übermittelte die zugehörige App zudem Daten über die App-Nutzung und das Smartphone an Facebook. Es ging dabei nicht um Kamerabilder, zeigt aber ein grundsätzliches Problem: An der Verarbeitung von Smart-Home-Daten können neben dem eigentlichen Hersteller weitere Unternehmen beteiligt sein.

Viele Geräte brauchen die Cloud

Bei zahlreichen Smart-Home-Produkten findet ein Teil der Verarbeitung nicht im eigenen Haus statt. Apps kommunizieren mit Servern des Herstellers, Sprachbefehle werden online ausgewertet oder Kamerabilder in einer Cloud gespeichert.

Eine Cloud-Anbindung ist nicht grundsätzlich problematisch. Sie ermöglicht beispielsweise den Zugriff von unterwegs, automatische Sicherungen oder aufwendige Auswertungen, für die das Gerät selbst nicht genügend Rechenleistung besitzt.

Sie bedeutet aber auch: Daten verlassen das eigene Heimnetz.

Deshalb lohnt sich vor dem Kauf ein Blick auf einige Fragen:

• Funktioniert das Gerät auch ohne Internet?
• Welche Funktionen fallen ohne Hersteller-Cloud weg?
• Welche Daten speichert der Anbieter?
• Werden weitere Dienstleister eingebunden?
• Wie lange werden die Daten gespeichert?
• Kann man gespeicherte Daten löschen?
• Wie lange verspricht der Hersteller Sicherheitsupdates?

Der Standort eines Servers allein beantwortet die Datenschutzfrage dabei nicht. Auch Unternehmen außerhalb der Europäischen Union können der Datenschutz-Grundverordnung unterliegen. Für die Übermittlung personenbezogener Daten in Drittstaaten gelten allerdings zusätzliche Anforderungen.

Matter bedeutet nicht automatisch „ohne Cloud“

Der Smart-Home-Standard Matter kann die lokale Kommunikation erleichtern. Matter-Geräte können innerhalb des Heimnetzes miteinander kommunizieren, ohne dass jeder Schaltbefehl zwingend über einen externen Server laufen muss.

Das ist ein Vorteil gegenüber Systemen, die vollständig von einer Hersteller-Cloud abhängig sind.

Matter ist jedoch keine Garantie für ein cloudfreies Smart Home. Hersteller können weiterhin eigene Apps, Benutzerkonten, Cloud-Dienste und Zusatzfunktionen einsetzen. Wer möglichst wenige Daten nach außen geben möchte, sollte deshalb nicht nur auf das Matter-Logo achten, sondern prüfen, ob die gewünschten Funktionen tatsächlich lokal ausgeführt werden.

Smart-Home-Geräte vom restlichen Netzwerk trennen

Eine der wirksamsten Schutzmaßnahmen beginnt am Router.

IoT-Geräte sollten nach Möglichkeit nicht im gleichen Netzwerk arbeiten wie Computer, Netzwerkspeicher oder andere Geräte mit sensiblen Daten. Viele Router erlauben dafür ein getrenntes WLAN oder ein Gäste-WLAN.

Wird beispielsweise ein schlecht geschützter Saugroboter angegriffen, erschwert die Netzwerktrennung den Zugriff auf andere Geräte im Heimnetz.

Zusätzlich sinnvoll:

• das vorgegebene Router-Passwort ändern,
• mindestens WPA2, besser WPA3 verwenden, wenn alle beteiligten Geräte es unterstützen,
• automatische Sicherheitsupdates aktivieren,
• nicht benötigte Fernzugriffe deaktivieren,
• UPnP nur verwenden, wenn es tatsächlich benötigt wird.

Was ein VPN im Smart Home bringt – und was nicht

Auch ein VPN kann sinnvoll sein, allerdings für einen anderen Zweck als häufig angenommen.

Wer von unterwegs auf das eigene Heimnetz zugreifen möchte, kann zwischen Smartphone und Router eine verschlüsselte VPN-Verbindung einrichten. Dadurch muss beispielsweise eine Smart-Home-Zentrale nicht direkt aus dem Internet erreichbar sein.

Kommerzielle VPN-Dienste funktionieren etwas anders: Sie verschlüsseln den Datenverkehr bis zum Server des VPN-Anbieters. Wer ausprobieren möchte, wie solche Dienste funktionieren, kann beispielsweise ein kostenloses VPN testen.

Ein solches VPN verhindert allerdings nicht, dass ein Smart-Home-Gerät Daten an den vorgesehenen Server seines Herstellers überträgt. Auch die dortige Speicherung oder Auswertung der Daten wird dadurch nicht verhindert. Als Schutz vor der Datensammlung eines Smart-Home-Anbieters ist ein VPN daher nur begrenzt geeignet.

Updates sind wichtiger als viele Zusatzprogramme

Smart-Home-Geräte sind kleine Computer – und können entsprechend Sicherheitslücken enthalten.

Besonders problematisch werden Geräte, für die der Hersteller keine Updates mehr bereitstellt. Neu entdeckte Schwachstellen bleiben dann möglicherweise dauerhaft offen.

Das BSI empfiehlt deshalb, schon vor dem Kauf zu prüfen, ob und wie lange ein Hersteller Sicherheitsupdates anbietet. Wenn möglich, sollten Updates automatisch installiert werden.

Ebenso wichtig ist das Benutzerkonto des Herstellers. Wer darüber auf Kameras, Türschlösser oder die komplette Haussteuerung zugreifen kann, sollte ein individuelles Passwort verwenden und die Zwei-Faktor-Authentifizierung aktivieren, sofern der Anbieter sie unterstützt.

Datenschutzeinstellungen nicht einfach übernehmen

Bei der Einrichtung lohnt es sich zudem, die voreingestellten Berechtigungen zu prüfen.

Nicht jede Funktion wird tatsächlich benötigt. Je nach Gerät lassen sich beispielsweise

• Cloud-Aufzeichnungen,
• Nutzungsanalysen,
• Standortzugriffe,
• Sprachaufzeichnungen oder
• personalisierte Dienste

einschränken oder abschalten.

Bei Kameras und Mikrofonen sollte die Prüfung besonders sorgfältig ausfallen. Hier können nicht nur die eigenen Daten betroffen sein, sondern auch Persönlichkeitsrechte von Besuchern, Nachbarn oder anderen Personen im Haushalt.

Ab 2027 gelten strengere EU-Vorgaben

Mit dem europäischen Cyber Resilience Act steigen die Anforderungen an die Cybersicherheit vernetzter Produkte.

Die Verordnung gilt in vollem Umfang ab 11. Dezember 2027. Hersteller müssen Produkte mit digitalen Elementen dann unter anderem so entwickeln, dass sie ein angemessenes Cybersicherheitsniveau erreichen. Dazu gehören auch Anforderungen an den Umgang mit Schwachstellen und Sicherheitsupdates.

Einzelne Bestimmungen greifen bereits früher. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und bestimmte Sicherheitsvorfälle gelten ab 11. September 2026.

Für Verbraucher bedeutet das allerdings nicht, dass sie bis 2027 mit dem Kauf sicherer Geräte warten sollten. Updateversorgung, lokale Steuerungsmöglichkeiten, Zwei-Faktor-Authentifizierung und transparente Datenschutzinformationen sind bereits heute sinnvolle Auswahlkriterien.

So machen Sie Ihr Smart Home sicherer

Wer vernetzte Haustechnik einsetzen möchte, muss deshalb nicht auf Komfort verzichten. Einige Regeln reduzieren das Risiko deutlich:

1. Geräte mit langfristiger Updateversorgung kaufen.
2. Standardpasswörter sofort ändern.
3. Zwei-Faktor-Authentifizierung aktivieren.
4. IoT-Geräte in einem getrennten Netzwerk betreiben.
5. Lokale Steuerung bevorzugen, wenn sie angeboten wird.
6. Nicht benötigte Cloud- und Fernzugriffe abschalten.
7. Datenschutz- und App-Berechtigungen prüfen.
8. Kameras und Mikrofone besonders kritisch behandeln.

Fazit

Ein Smart Home schafft zusätzliche Datenströme und vergrößert die digitale Angriffsfläche eines Haushalts. Wie groß das tatsächliche Risiko ist, hängt jedoch stark von den eingesetzten Geräten ab.

Besonders günstig sind Systeme, die auch lokal funktionieren, über Jahre Sicherheitsupdates erhalten und dem Nutzer Kontrolle darüber geben, welche Daten das Heimnetz verlassen.

Wer dagegen jedes Gerät einfach mit dem WLAN verbindet, Benutzerkonten mit Standardkonfiguration übernimmt und Updates ignoriert, gibt unnötig Kontrolle ab.

Die wichtigste Frage beim Kauf lautet deshalb nicht nur: Was kann dieses Gerät?

Ebenso wichtig ist: Welche Daten braucht es dafür – und wohin schickt es sie?