CRA für vernetzte Haushaltsgeräte

Warum vernetzte Haushaltsgeräte unter den CRA fallen

Waschmaschine mit App-Start, Backofen mit Cloud-Rezepten, Saugroboter mit Karte auf dem Smartphone: Alle tauschen Daten mit einem Netz oder Gerät aus. Der Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA) gilt für Produkte mit digitalen Elementen, „deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“ (Art. 2 Abs. 1). Geräte, die über WLAN oder Bluetooth Daten austauschen, sind danach voraussichtlich erfasst. Auch ein Gerät ohne Funk kann erfasst sein, wenn eine Service- oder Diagnoseschnittstelle Daten überträgt; als physische Verbindung gelten auch elektrische und optische Schnittstellen (Art. 3 Nr. 9). Die Ausnahmen in Art. 2 Abs. 2 bis 4 betreffen Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Luftfahrt und Schiffsausrüstung und passen auf Haushaltsgeräte voraussichtlich nicht.

Ergänzend ziehen wir den Entwurf der Leitlinie der Kommission zur Anwendung des CRA heran, dessen Inhalt die Kommission am 27.07.2026 gebilligt hat (C(2026) 5252, bisher nur englisch; die förmliche Annahme steht aus). Er gilt laut Begleitmitteilung erst ab der förmlichen Annahme und bindet Wirtschaftsakteure nicht (Rn. 8). Wir stützen keine Aussage allein auf ihn.

Typische Produkte und ihre wahrscheinliche Einordnung

Das Konformitätsbewertungsverfahren richtet sich nach der Kernfunktion des Produkts (Art. 7 Abs. 1; DVO (EU) 2025/2392, Erwägungsgrund 2); der Leitlinienentwurf geht von genau einer Kernfunktion je Produkt aus (Rn. 144). Waschen, Spülen, Kühlen, Backen, Kaffeezubereitung, Saugen und Klimatisieren stehen weder in Anhang III noch in Anhang IV. Ein Haushaltsgerät, dessen Kernfunktion eine dieser Aufgaben ist, bleibt deshalb voraussichtlich ohne Einstufung in der Standardkategorie mit interner Kontrolle nach Modul A (Art. 32 Abs. 1 Buchst. a). Die Tabelle ist eine technische Ersteinschätzung, keine verbindliche Einordnung und keine Rechtsberatung.

Für Klasse I ist die interne Kontrolle nur zulässig, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema mindestens der Stufe „mittel“ vollständig angewandt werden; sonst ist eine notifizierte Stelle einzubinden (Art. 32 Abs. 2). Am 01.11.2026 war im Amtsblatt keine harmonisierte Norm zum CRA veröffentlicht; prüfen Sie den aktuellen Stand. Mehr zu den CRA-Produktklassen.

Wann eine Kernfunktion nach Anhang III greifen könnte

Die Integration eines Produkts mit Anhang-III-Kernfunktion führt „für sich genommen nicht dazu“, dass das aufnehmende Produkt den strengeren Verfahren unterliegt (Art. 7 Abs. 1 Satz 2). Ein Produkt, das die Funktionen einer Kategorie ausüben kann, dessen Kernfunktion sich aber unterscheidet, entspricht nicht deren technischer Beschreibung (DVO (EU) 2025/2392, Erwägungsgrund 5; ebenso Leitlinienentwurf Rn. 141).

Allgemeiner Sprachassistent im Gerät

Anhang III Klasse I Nr. 16 nennt „virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck“: Produkte, die über das öffentliche Internet kommunizieren, Anfragen in natürlicher Sprache bearbeiten und darauf gestützt Zugang zu anderen Diensten gewähren oder vernetzte Geräte in Wohnumgebungen steuern (DVO (EU) 2025/2392, Anhang I Nr. 16).

• Sprachsteuerung nur für das eigene Gerät: Es fehlt der allgemeine Zweck. Voraussichtlich Standard.
• Allgemeiner Assistent als eingebaute Komponente, etwa im Kühlschrank: Die Kernfunktion bleibt das Kühlen (Art. 7 Abs. 1 Satz 2); die Sicherheit des Assistenten fließt dennoch in die Bewertung des gesamten Produkts ein (DVO (EU) 2025/2392, Erwägungsgrund 3).
• Assistent als Hauptzweck, etwa ein Küchendisplay, das Fragen beantwortet und andere Hausgeräte steuert: Hier spricht viel für Nr. 16 und damit für Klasse I.

Die technische Dokumentation beschreibt die Zweckbestimmung (Anhang VII Nr. 1 Buchst. a); klare Widersprüche zu Werbung und Anleitung wertet der Leitlinienentwurf als Warnzeichen (Rn. 143).

Kamera im Saugroboter

Nr. 17 erfasst Produkte, „die die physische Sicherheit von Verbrauchern in einer Wohnumgebung schützen“ und aus der Ferne gesteuert oder verwaltet werden können, darunter Heimüberwachungskameras (DVO (EU) 2025/2392, Anhang I Nr. 17). Ein Saugroboter mit Live-Bild kann technisch Ähnliches, seine Kernfunktion bleibt aber voraussichtlich die Reinigung. Anders kann es liegen, wenn ein Modell gezielt als mobile Wohnungsüberwachung mit Kontrollfahrten und Alarmmeldungen entwickelt und vermarktet wird.

Funkmodul

Ein WLAN- oder Bluetooth-Modul kann eine physische Netzschnittstelle nach Anhang III Klasse I Nr. 10 sein (DVO (EU) 2025/2392, Anhang I Nr. 10). Das betrifft den Modulhersteller; im Gerät verbaut ändert das Modul dessen Einordnung nicht (Art. 7 Abs. 1 Satz 2).

Hersteller-App und Cloud-Backend als Datenfernverarbeitung

Zum Produkt gehören nach Art. 3 Nr. 1 auch seine Datenfernverarbeitungslösungen. Datenfernverarbeitung ist „entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“ (Art. 3 Nr. 2).

Daraus folgen zwei Fragen, die beide zu bejahen sind: Fiele ohne die entfernte Verarbeitung eine Gerätefunktion aus? Hat der Hersteller die Software selbst oder unter seiner Verantwortung entwickelt? Abschnitt 8 des Leitlinienentwurfs ordnet ebenso (Rn. 188 und 202), zählt Befehle, Ersteinrichtung, Konfiguration und Updates zu den Funktionen (Rn. 190) und bejaht die Datenfernverarbeitung für einen smarten Thermostat mit App und Cloud (Abschnitt 8.3.2). Unsere Einschätzung:

• Eigenes Backend für Fernstart, Status, Kopplung und Updates, auch auf gemieteter IaaS oder PaaS: voraussichtlich Datenfernverarbeitung (Art. 3 Nr. 2; Leitlinienentwurf Rn. 198 und 199).
• Telemetrie nur für Statistik: keine Datenfernverarbeitung, weil keine Gerätefunktion ausfällt, aber Teil der Risikobewertung (Art. 13 Abs. 2; Leitlinienentwurf Rn. 192 und 193).
• Fertige SaaS-Dienste Dritter: nicht vom Hersteller oder in seinem Auftrag entwickelt, aber wie eine Fremdkomponente mit gebotener Sorgfalt zu behandeln (Art. 13 Abs. 5; Leitlinienentwurf Rn. 200 bis 202).

Die technische Dokumentation beschreibt die Systemarchitektur, also auch, wie sich das Backend in die Gesamtverarbeitung integriert (Anhang VII Nr. 2 Buchst. a); bei einer gemeinsamen Cloud für viele Modelle lässt der Leitlinienentwurf die Wiederverwendung dieser Beschreibung zu (Rn. 204). Gehört das Backend zum Produkt, erstreckt sich nach unserer Ersteinschätzung auch die Meldepflicht nach Art. 14 darauf. Wechselt ein Gerät den Besitzer, zählen Rücksetzung in den Ursprungszustand (Anhang I Teil I Nr. 2 Buchst. b) und sicheres Löschen aller Daten (Buchst. m), abgestimmt zwischen Gerät und Cloud-Konto.

Abgrenzung zu Smart Home, Gebäudetechnik und Funkanlagenrecht

Router, Kameras, Türschlösser, Alarmanlagen und Sprachlautsprecher behandelt die Seite Consumer-IoT und Smart Home, fest installierte Gebäudeautomation mit KNX oder BACnet die Seite Gebäudetechnik und GLT. Raumklimageräte ordnen wir hier ein.

Funkanlagen, die selbst über das Internet kommunizieren können, unterliegen der Delegierten Verordnung (EU) 2022/30 (Art. 1 Abs. 1), deren Anforderungen seit dem 01.08.2025 gelten (Delegierte Verordnung (EU) 2026/339, Erwägungsgrund 5). Die Delegierte Verordnung (EU) 2026/339 hebt sie mit Wirkung vom 11.12.2027 auf (Art. 1); für zwischen dem 01.08.2025 und dem 10.12.2027 in Verkehr gebrachte Funkanlagen bleiben Marktüberwachung und Konformitätskontrolle unberührt (Erwägungsgrund 5). Mehr unter Telekom, Funkgeräte und RED-DA.

Fristen, Bestandsgeräte und Unterstützungszeitraum

Seit dem 11.09.2026 gilt die Meldepflicht nach Art. 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, mit Frühwarnung spätestens nach 24 Stunden und Meldung spätestens nach 72 Stunden über die einheitliche Meldeplattform (Art. 14 Abs. 1 bis 4). Die übrigen Pflichten gelten ab dem 11.12.2027 (Art. 71 Abs. 2). Mehr zur Meldepflicht seit September 2026.

Die Meldepflicht gilt auch für Geräte, die vor dem 11.12.2027 in Verkehr gebracht wurden; die übrigen Anforderungen treffen sie nur bei einer wesentlichen Änderung nach diesem Datum (Art. 69 Abs. 2 und 3). Inverkehrbringen ist die erstmalige Bereitstellung eines Produkts (Art. 3 Nr. 21); der Leitlinienentwurf bezieht das auf jedes einzelne Gerät (Rn. 11). Für eine über Dezember 2027 hinaus gebaute Modellreihe gelten die Anforderungen also für jedes danach in Verkehr gebrachte Gerät. Ersatzteile, die identische Komponenten nach denselben Spezifikationen ersetzen, fallen nicht unter den CRA (Art. 2 Abs. 6).

Der Unterstützungszeitraum richtet sich nach der voraussichtlichen Nutzungsdauer und beträgt mindestens fünf Jahre, es sei denn, das Produkt ist voraussichtlich kürzer in Betrieb (Art. 13 Abs. 8). Die Pflege des Backends sollte für denselben Zeitraum geplant werden. Mehr zu Unterstützungszeitraum und Update-Pflicht.

Ein konstruiertes Beispiel: ein Hersteller von Geschirrspülern und Backöfen

Das Beispiel ist frei erfunden. Ein mittelständischer Hersteller vertreibt Geschirrspüler und Backöfen mit WLAN, eigener App und selbst entwickeltem Backend auf gemieteter Cloud; ein neues Backofenmodell erhält einen allgemeinen Sprachassistenten eines Drittanbieters. Ersteinschätzung: Beide Gerätefamilien bleiben voraussichtlich Standard, auch das Modell mit Assistent, weil die Kernfunktion das Backen bleibt (Art. 7 Abs. 1 Satz 2). Das Backend ist voraussichtlich Datenfernverarbeitung, der Sprachdienst eine Fremdkomponente. Zuerst steht der Meldeweg nach Art. 14, auch für verkaufte Geräte; dann folgen Software-Stücklisten je Release und die dokumentierte Abgrenzung zu Anhang III Nr. 16. Die rechtliche Bewertung übernimmt seine Rechtsabteilung.

Nächste Schritte

1. Vernetzte Gerätelinien erfassen, je Modell die Kernfunktion festhalten.
2. Bei Sprachassistent oder Kamera die Abgrenzung zu Anhang III Nr. 16 und 17 dokumentieren.
3. App, Backend und zugekaufte Dienste nach Art. 3 Nr. 2 einordnen und ihre Risiken bewerten.
4. Meldeweg nach Art. 14 einrichten, Unterstützungszeitraum für Gerät und Backend planen.

Einen ersten Überblick gibt der kostenlose Betroffenheits-Check. Wir schätzen die Einordnung Ihrer Geräte technisch ein und markieren offene Punkte zur Prüfung durch Ihre Rechtsabteilung. Mehr: Threat Modeling, SBOM-Beratung, Meldeprozess und PSIRT, Kontakt.