Smart Home absichern, bevor das nächste Gerät einzieht

Die sinnvollen Varianten

Vor dem Kauf: fünf Ja-Nein-Fragen

• Gibt es eine nachvollziehbare Update-Zusage und nicht nur Marketing-Sätze wie „regelmäßige Verbesserungen“?
• Funktioniert das Gerät für den Kernzweck auch lokal oder zwingt es dich in ein Herstellerkonto?
• Lässt sich das Konto mit Zwei-Faktor-Anmeldung absichern und lassen sich alte Gerätezugriffe entfernen?
• Kannst du Aufnahmen, Automationen oder Messdaten exportieren und dein Konto wieder löschen?
• Was passiert, wenn Internet, Cloud oder Herstellerdienst ausfallen oder eingestellt werden?
• Hat das Gerät Sensoren wie Kamera, Mikrofon, Bewegung oder Standort, die du wirklich brauchst?

Die ersten fünf Prüfungen nach dem Einschalten

• Standardkennwort sofort ersetzen oder bei Erststart ein eigenes langes Passwort setzen.
• Automatische Updates aktivieren und einmal kontrollieren, ob das Gerät oder die App die aktuelle Version tatsächlich anzeigt.
• Fernzugriff, UPnP und Cloud-Freigaben abschalten, solange du sie nicht bewusst brauchst.
• Herstellerkonto mit 2FA absichern und Wiederherstellungscodes außerhalb des Smart Homes ablegen.
• Prüfen, ob das Gerät nur im vorgesehenen Netz sichtbar ist und keine unnötigen Freigaben zu NAS, Arbeitsrechner oder Druckern hat.

Home Assistant: lokal ist gut, offen ins Internet nicht

Home Assistant reduziert viele Cloud-Abhängigkeiten, nimmt dir aber nicht die Sicherheitsarbeit ab. Die offizielle Doku empfiehlt starke, einzigartige Passwörter, Mehrfaktor-Anmeldung, sparsame Administratorrechte und aktuelle monatliche Updates.

Fernzugriff sollte über Home Assistant Cloud, HTTPS mit gültigem Zertifikat oder ein sauber eingerichtetes VPN laufen. Eine nackte Portfreigabe auf eine lokale Weboberfläche ist für ein dauerhaft erreichbares System die falsche Abkürzung.

• Unter Settings > People nur den Konten Administratorrechte geben, die wirklich konfigurieren müssen.
• Unter Settings > System > Backups automatische verschlüsselte Backups einrichten und mindestens ein Ziel außerhalb des Geräts aktivieren.
• Wenn du die mobile App lokal per HTTP verbindest, unter Settings > Companion app > [Server] > Connection security level die Option „Most secure“ wählen oder besser vollständig auf HTTPS umstellen.
• Teste die Wiederherstellung einer Sicherung, bevor du Integrationen, Zigbee-Sticks oder Automationen als erledigt betrachtest.

Matter, Thread, Zigbee und Z-Wave: praktisch, aber kein Datenschutzsiegel

Matter verbessert vor allem Interoperabilität und schafft eine gemeinsame Sicherheitsbasis für kompatible Geräte. Die Connectivity Standards Alliance beschreibt Matter als IP-basierten Standard über Thread, Wi-Fi und Ethernet mit Sicherheit und Datenschutz als Entwurfsprinzipien.

Daraus folgt aber nicht automatisch, dass ein konkretes Produkt wenig Daten sammelt. Ob dein Zuhause ruhig bleibt oder zur Telemetriequelle wird, entscheiden zusätzlich Hersteller-App, Cloud-Konto, Bridge, Border Router, Analysefunktionen und Updatepraxis.

• Funkstandard nicht mit Offline-Betrieb verwechseln: Ein Matter-Gerät kann trotzdem an Cloud-Dienste, App-Analytics oder Sprachassistenten gekoppelt sein.
• Bridge, Border Router und Gateway aktuell halten; dort laufen Schlüssel, Gerätezustand und oft auch der Fernzugriff zusammen.
• Bevorzuge Geräte, deren Grundfunktionen lokal weiterlaufen und deren Dokumentation das Verhalten ohne Internet klar beschreibt.
• Wenn du mehrere Ökosysteme koppelst, dokumentiere bewusst, welche Plattform welche Daten erhält.

Eigenes Netz für IoT, anderes Netz für Arbeit und Privatleben

Das BSI empfiehlt, smarte Geräte in ein separates Netz aufzunehmen und von sensiblen Diensten wie Onlinebanking, Arbeit, E-Mail und privaten Backups zu trennen. Für viele Haushalte reicht dafür schon ein sauberes Gäste- oder IoT-WLAN.

Ganz blind sollte die Trennung trotzdem nicht sein. Geräte, die lokal auf NAS, NVR oder Medienserver zugreifen sollen, brauchen gezielte Regeln statt pauschalen Vollzugriff zurück ins Hauptnetz.

• Wenn dein Router nur ein Gastnetz kann, nutze es konsequent für IoT und nicht gleichzeitig für Besuch, Homeoffice und Familiengeräte.
• UPnP am Router abschalten, wenn du es nicht bewusst für einen konkreten Zweck brauchst.
• Bei VLANs klare Namen und Regeln vergeben, damit du in sechs Monaten noch verstehst, warum Kamera, NAS und Home Assistant miteinander sprechen dürfen.

Kameras, Reolink und Türsprechanlagen: Schutz ja, Dauerblick nein

Eine Kamera kann Eigentum schützen und zugleich tief in die Rechte anderer eingreifen. Entscheidend sind nicht die Werbewörter auf der Verpackung, sondern Bildausschnitt, Audio, Speicherdauer, Kontoschutz, Freigaben und die Frage, wer das Material wirklich sehen kann.

Bei Reolink zeigt die aktuelle Herstellerdoku zwei wichtige Punkte, die auch für andere Systeme typisch sind: Die Verknüpfung eines Geräts mit einem Herstellerkonto ist teils optional, und lokale Speicherung kann je nach Modell auf microSD, NVR oder Home Hub erfolgen. Lokal heißt aber nicht automatisch datensparsam, wenn parallel Cloud, Smart-Home-Plattformen oder Kontofreigaben aktiv bleiben.

• Kamera nur auf den eigenen notwendigen Bereich richten; öffentliche Wege, Nachbargrundstücke und gemeinschaftliche Flächen maskieren oder ganz aussparen.
• Tonaufzeichnung standardmäßig deaktivieren, solange sie nicht zwingend erforderlich und rechtlich geprüft ist.
• Falls du ein Herstellerkonto nutzt, 2FA aktivieren und Backup-Codes offline sichern.
• Kontofreigaben für Familienmitglieder, Dienstleister oder Mitarbeitende regelmäßig prüfen und nicht mehr benötigte Zugriffe entfernen.
• Lokalen Speicher wie microSD, NVR oder Home Hub gegen fremde Zugriffe schützen und das Admin-Konto nicht als gemeinsames Familienpasswort benutzen.

Videoüberwachung: Rechte anderer sind kein Nebenthema

Die Datenschutzaufsichten stellen klar, dass Videoüberwachung durch Privatpersonen und Unternehmen nicht einfach alles filmen darf, was technisch erreichbar ist. Spätestens wenn öffentliche Wege, Nachbargrundstücke, Treppenhäuser oder gemeinsam genutzte Bereiche erfasst werden, greifen die Datenschutzregeln regelmäßig voll.

Auch bei zulässigem Schutzinteresse gelten Datenminimierung, Transparenz und Speicherbegrenzung. Das BayLDA nennt grundsätzlich 72 Stunden als Richtwert für die Löschung, sofern keine konkret begründeten Ausnahmen vorliegen.

• Vor der Montage den Zweck aufschreiben: Welches konkrete Risiko soll diese Kamera an genau diesem Ort mindern?
• Hinweis auf die Videoüberwachung sichtbar anbringen und Verantwortliche erreichbar machen.
• Speicherdauer so kurz wie möglich setzen und regelmäßig prüfen, ob der Zweck noch besteht.
• In Mehrfamilienhäusern, am Arbeitsplatz oder bei Publikumsverkehr besonders streng prüfen, ob andere Rechte überwiegen.

Wann du besser nicht kaufst oder austauschst

• Wenn der Hersteller keinen Updatezeitraum nennt oder bekannte Lücken lange offen lässt.
• Wenn die Kernfunktion nur mit Cloud-Zwang, Abo oder unnötig breiten App-Berechtigungen läuft.
• Wenn du den Fernzugriff nur durch riskante Bastellösungen stabil bekommst.
• Wenn Kamera oder Türklingel mehr Bereich erfasst als du datenschutzkonform verantworten kannst.
• Wenn ein Altgerät keine Sicherheitsupdates mehr erhält und sich nicht sinnvoll isolieren lässt.