Die Europäische Union macht Ernst mit der Cybersicherheit vernetzter Geräte. Der EU Cyber Resilience Act (CRA) ist das umfassendste Gesetz, das jemals für die Sicherheit von IoT-Geräten – also vernetzten Alltagsgeräten – verabschiedet wurde. Und er betrifft direkt das, was viele von uns täglich nutzen: Alarmanlagen, Überwachungskameras, smarte Türschlösser und Smart-Home-Systeme. „Ihre Alarmanlage schützt Sie vor Einbrechern – aber wer schützt Ihre Alarmanlage vor Hackern?“
Was ist der EU Cyber Resilience Act?
Der Cyber Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt – also für jedes Gerät, das eine Netzwerkverbindung hat. Das Gesetz wurde im Oktober 2024 verabschiedet und tritt stufenweise in Kraft.
Die Kernforderungen des CRA:
- Security by Design: Cybersicherheit muss von Anfang an in die Produktentwicklung integriert sein – nicht nachträglich angefügt.
- Verpflichtende Sicherheitsupdates: Hersteller müssen während der gesamten erwarteten Produktlebensdauer Sicherheitsupdates bereitstellen.
- Meldepflicht für Schwachstellen: Aktiv ausgenutzte Sicherheitslücken müssen innerhalb von 24 Stunden an die EU-Cybersicherheitsbehörde ENISA gemeldet werden.
- Keine Standard-Passwörter: Geräte dürfen nicht mit Standardpasswörtern wie „admin/admin“ ausgeliefert werden.
- Transparenz: Hersteller müssen eine Software-Stückliste (SBOM) führen und Sicherheitsinformationen veröffentlichen.
Zeitplan: Wann tritt was in Kraft?
Ab dem 11. September 2026 müssen alle Hersteller die Meldepflicht für Schwachstellen erfüllen. Ab dem 11. Dezember 2027 müssen alle Produkte, die in der EU verkauft werden, die vollständigen CRA-Anforderungen erfüllen – einschließlich Security by Design, Update-Pflicht und Dokumentation.
Welche Geräte sind betroffen?
Der CRA gilt für praktisch alle vernetzten Geräte. Für den Bereich Sicherheitstechnik besonders relevant:
- Überwachungskameras (IP-Kameras, Doorbell-Kameras, NVR-Systeme)
- Alarmanlagen mit Netzwerkanbindung (WLAN, GSM, LAN)
- Smarte Türschlösser und elektronische Zutrittskontrollen
- Bewegungsmelder und Sensoren mit Funkanbindung
- Smart-Home-Zentralen und Gateways
- Rauchmelder und Wassersensoren mit Netzwerkfunktion
Der CRA unterscheidet zwischen „normalen“ und „kritischen“ Produkten. Alarmanlagen und Zugangskontrollsysteme fallen in die höhere Kategorie und unterliegen strengeren Prüfanforderungen – einschließlich externer Audits.
Was das für Alarmanlagen und Kameras bedeutet
Für Verbraucher ist der CRA eine gute Nachricht: Sie können künftig darauf vertrauen, dass vernetzte Sicherheitsgeräte tatsächlich cybersicher sind. Konkret ändert sich Folgendes:
Schluss mit „Plug and Pray“
Bisher konnten Hersteller billige IP-Kameras mit Standard-Passwörtern und ohne Verschlüsselung verkaufen. Solche Geräte sind ein Einfallstor für Hacker – im schlimmsten Fall können Fremde Ihre eigene Kamera gegen Sie verwenden. Der CRA macht damit Schluss: Jedes Gerät muss ab Werk sicher konfiguriert sein.
Verpflichtende Sicherheitsupdates
Kennen Sie das: Eine Kamera, die vor drei Jahren installiert wurde, hat seit zwei Jahren kein Update mehr bekommen? Das wird künftig nicht mehr legal sein. Hersteller müssen über den gesamten Lebenszyklus Updates liefern. Wer das nicht kann oder will, darf in der EU nicht mehr verkaufen. Wie wichtig regelmäßige Updates auch für den Datenschutz sind, haben wir bereits beleuchtet.
Transparenz über Sicherheitslage
Hersteller müssen künftig offenlegen, welche Software-Komponenten in ihren Geräten stecken. Das macht es für Sicherheitsexperten und Verbraucher möglich, die tatsächliche Sicherheitslage einzuschätzen.
Billig-Kameras vs. Profi-Systeme – der Unterschied wird größer
Der CRA wird den Markt verändern. Billige No-Name-Kameras und Alarmsysteme aus Fernost, die bisher über Online-Marktplätze verkauft wurden, werden es deutlich schwerer haben. Denn die CRA-Anforderungen verursachen Kosten – für Entwicklung, Tests, Audits und langfristige Update-Bereitstellung. „Billig ist nicht günstig – und schon gar nicht sicher.“
Die Konsequenz für Verbraucher: Wer in eine Alarmanlage oder ein Kamerasystem investiert, sollte auf Hersteller setzen, die nachweislich die CRA-Anforderungen erfüllen. Protexium arbeitet ausschließlich mit europäisch zertifizierten Herstellern, die bereits heute die kommenden Standards erfüllen oder übertreffen.
Der CRA gilt für neue Produkte, die ab Dezember 2027 in den Verkehr gebracht werden. Bereits installierte Geräte sind nicht betroffen – erhalten aber möglicherweise keine Updates mehr, wenn der Hersteller den Markt verlässt. Wenn Ihr System älter als 5 Jahre ist, lohnt sich ein Sicherheits-Check.
Wie Protexium den CRA bereits erfüllt
Für Protexium-Kunden ändert sich durch den CRA wenig – weil wir die meisten Anforderungen bereits heute erfüllen:
- Zertifizierte Systeme: Alle Protexium-Anlagen sind nach EN 50131 zertifiziert und erfüllen die höchsten europäischen Sicherheitsstandards.
- Verschlüsselte Kommunikation: Unsere Funksysteme nutzen verschlüsselte Funkprotokolle – kein offenes WLAN, kein unsicheres Bluetooth.
- Regelmäßige Updates: Firmware-Updates werden zentral über die Leitstelle eingespielt – Sie müssen sich um nichts kümmern.
- Keine Standard-Passwörter: Jedes System wird bei der Installation individuell konfiguriert – mit eigenen Zugangsdaten und 2-Faktor-Authentifizierung.
- Europäische Hersteller: Wir arbeiten ausschließlich mit Herstellern zusammen, die in der EU produzieren und den CRA proaktiv umsetzen.
„Cybersicherheit ist kein Feature – sie ist eine Grundvoraussetzung. Bei Protexium war das schon immer so.“
Checkliste: Ist Ihre Sicherheitstechnik CRA-ready?
Prüfen Sie Ihre bestehende Anlage mit diesen Fragen:
- Wurden die Standard-Passwörter bei der Installation geändert?
- Ist die Firmware auf dem neuesten Stand?
- Nutzt das System verschlüsselte Kommunikation (kein offenes WLAN)?
- Gibt es einen benannten Hersteller mit Support in der EU?
- Erhalten Sie regelmäßig Sicherheitsupdates?
- Ist die App-Verbindung mit 2-Faktor-Authentifizierung gesichert?
- Wurde das System professionell installiert und konfiguriert?
Wenn Sie mehr als zwei Fragen mit „Nein“ oder „Weiß ich nicht“ beantworten, sollten Sie Ihre Anlage prüfen lassen. Protexium bietet einen kostenlosen Sicherheits-Check – auch für bestehende Systeme anderer Anbieter.
Fazit: Mehr Sicherheit für alle – wenn man auf die richtigen Partner setzt
Der EU Cyber Resilience Act ist ein wichtiger Schritt für die Sicherheit vernetzter Geräte. Er zwingt Hersteller, Cybersicherheit ernst zu nehmen – und schützt Verbraucher vor unsicheren Billigprodukten, die mehr Risiko als Schutz bieten. „Ein Schloss, das man hacken kann, ist kein Schloss – es ist eine Einladung.“
Für Sie als Verbraucher bedeutet das: Setzen Sie auf Sicherheitstechnik von zertifizierten Anbietern, die bereits heute die Standards von morgen erfüllen. Und lassen Sie bestehende Systeme regelmäßig prüfen – physische Sicherheit und Cybersicherheit gehören zusammen.
