PlattformWissen & MethodikVernetzte Geräte: wer mitsieht, wenn dein Zuhause online ist
Lokal & kontrolliert
WISSEN · FÜR ALLE MIT VERNETZTEN GERÄTEN
Vernetzte Geräte: wer mitsieht, wenn dein Zuhause online ist
Hersteller-Cloud, Internetanbieter, Prüfer, Mitnutzer und Behörden — was jede Stelle sehen kann und was du daran ändern kannst
Geprüft am 24. Oktober 2026 · etwa 8 Minuten Lesezeit
Kurz gesagt
Bilder und Ton kann vor allem sehen, wer an die Hersteller-Cloud kommt: der Hersteller, seine Dienstleister, wer Zugang zu deinem Konto hat und wer dort einen Fehler ausnutzt. Ob der Hersteller Aufnahmen lesen kann, entscheiden drei Weichen: Gehen sie in die Cloud? Liegen sie dort Ende-zu-Ende-verschlüsselt? Hast du sie „zur Verbesserung“ freigegeben? Dein Internetanbieter sieht bei verschlüsselter Übertragung keine Inhalte, aber wann deine Geräte wie viel mit welchem Server austauschen. Behörden sehen nicht laufend mit; sie brauchen eine Rechtsgrundlage, für Inhalte meist einen Richter.
Wer an welcher Stelle mitsehen kann
KI-generiertes SymbolbildBilder und Ton vieler Geräte laufen über die Cloud ihres Herstellers; sehen kann sie vor allem, wer dorthin Zugang hat.Vom Gerät bis zur Behörde
Dein GerätHier entstehen Bilder, Ton, Raumkarte und Nutzungszeiten. Ein Lautsprecher sendet laut Herstellern erst nach dem vermeintlichen Aktivierungswort, samt kurzem Vorlauf.
Router und InternetanbieterSehen bei verschlüsselter Übertragung keine Inhalte, aber Ziel, Zeitpunkt und Menge jeder Verbindung; bei eigener SIM-Karte im Gerät sieht das der Mobilfunkanbieter.
Hersteller-CloudBündelt App, Fernzugriff, Benachrichtigungen und Aufnahmen. Solange der Hersteller die Schlüssel verwaltet, kann er Gespeichertes technisch öffnen; mit Ende-zu-Ende-Verschlüsselung sieht er laut eigener Angabe nur Begleitdaten.
Prüfer, auch bei DienstleisternKommen laut Herstellern vor allem dazu, wenn Aufnahmen „zur Verbesserung“ freigegeben sind.
Fremde DiensteWerbe- und Analysedienste, etwa auf Fernsehern, erhalten mindestens Begleitdaten; verknüpfte Dienste das, was du freigibst.
Mitnutzer mit App-ZugangNur wer eingeladen ist, deine Anmeldung kennt oder das Gerät eingerichtet hat, sieht mit — dann in der Regel alles, was die App zeigt.
BehördenNur mit Rechtsgrundlage, meist mit Anordnung: beim Internetanbieter Begleitdaten, beim Hersteller, was er selbst lesen kann.
Wenn du vermutest, dass jemand aus deinem Umfeld mitsieht
Einen Zugang zu entfernen kann die Person warnen. Halte erst fest, was du siehst, und hol dir Hilfe; sichere Schritte und Beratungsstellen nennt die Seite zur Überwachung des Handys. Bei akuter Gefahr: Notruf 110.
Was dein Internetanbieter trotz Verschlüsselung sieht
Verschlüsselung (TLS) schützt den Inhalt, nicht die Begleitdaten (Metadaten). Daraus lassen sich Tätigkeiten ableiten — in einer Studie mit 81 Geräten in US- und britischen Laboren (2019) bei 30 Geräten zuverlässig. Eine Klingel, die bei Bewegung hochlädt, zeigt so, wann sich vor der Tür etwas tat. Jedes der 81 Geräte sendete mindestens einen Datenstrom unverschlüsselt.
Drei Weichen beim Hersteller: Cloud, Schlüssel, Freigabe
Erstens: Gehen Inhalte hinaus? Auch bei „lokalem“ Speicher können Vorschaubilder und Livebild über die Hersteller-Cloud laufen.
Zweitens: Wer hat den Schlüssel? Verschlüsselung auf dem Weg und auf dem Server schützt vor Mitlesern, nicht vor dem Anbieter: Solange er die Schlüssel verwaltet, kann er selbst öffnen. Erst bei Ende-zu-Ende-Verschlüsselung liegen sie nur auf deinen Geräten. Für Kameras bieten das laut Herstellern etwa Apple mit HomeKit Secure Video und Ring an; für gespeicherte Aufnahmen von Saugrobotern ist es in den geprüften Quellen nicht dokumentiert, Roborock gibt es für Videoanrufe an (Stand Oktober 2026). Zwischen Schlüsseln beim Anbieter und Ende-zu-Ende-Verschlüsselung liegt Rings Schlüssellöschung „TAKE“ (kurz für „Throw Away the Key“), die Ring seit September 2026 schrittweise einführt, laut Ring als künftigen Standard: Ring nutzt eine Schlüsselkopie für eigene Funktionen und löscht sie laut eigener Angabe nach 24 Stunden. Sobald dein Konto infrage kommt, benachrichtigt dich Ring in der App, und du richtest TAKE dort ein (Stand 25. Oktober 2026).
Drittens: Hast du Aufnahmen „zur Verbesserung“ freigegeben? Dann prüfen womöglich Menschen Stichproben. Google und Apple tun das bei Tonaufnahmen laut eigenen Angaben nur nach deiner Freigabe; ob bei Amazon „aus“ jede Prüfung durch Menschen ausschließt, sagt Amazon nicht ausdrücklich (siehe Steckbrief Sprachassistent).
Wenn etwas schiefgeht: vier belegte Wege
Belegt sind vier Wege: Beschäftigte des Herstellers, Dienstleister, die Aufnahmen sichten, übernommene Konten und Fehler in der Hersteller-Cloud. Bei Fehlern in der Hersteller-Cloud läuft der Zugriff an der Anmeldung vorbei; dagegen hilft auch die Zwei-Faktor-Anmeldung nicht. Ende-zu-Ende-verschlüsselte Aufnahmen blieben dann nach Bauart unlesbar; an einem Fall belegt ist das nicht.
Laut US-Handelsbehörde FTC konnte jede beschäftigte Person private Kundenvideos ansehen; Angreifer kamen mit geleakten oder erratenen Passwörtern an Aufnahmen von rund 55.000 US-Kunden. Anordnung gerichtlich eingetragen am 16.06.2023. Quelle: FTC: Pressemitteilung zu Ring (31.05.2023) ↗
Verfahren abgeschlossen
Laut Ring-Blog (31.05.2023) hat Ring die Punkte lange vor der Untersuchung selbst behoben und bestreitet einen Rechtsverstoß.
19.12.2022 iRobot: Bilder aus Testhaushalten bei Datenbeschriftern
Laut MIT Technology Review teilten Datenbeschrifter eines Dienstleisters Bilder aus iRobot-Testhaushalten in geschlossenen Online-Gruppen, darunter eine Frau auf der Toilette. Unter den 15 bekannt gewordenen waren laut iRobot auch Bilder aus Deutschland. Quelle: MIT Technology Review: A Roomba recorded a woman on the toilet (19.12.2022) ↗
Stand unbekannt
iRobot: umgebaute Entwicklungsgeräte, die Teilnehmenden hätten schriftlich zugestimmt (Stand 12/2022).
Laut New Yorker Generalstaatsanwaltschaft warb eufy damit, Daten verließen das Zuhause „nie“; doch Vorschaubilder von Benachrichtigungen landeten ohne Hinweis an die Kunden auf US-Servern, und Livestreams waren 2022 über die passende Webadresse ohne Anmeldung abrufbar. Stand: Vereinbarung dreier Vertriebsfirmen mit der Generalstaatsanwaltschaft (28.01.2025). Quelle: New York Attorney General: Assurance of Discontinuance Nr. 24-103 (Januar 2025) ↗
Verfahren abgeschlossen
Hersteller Anker räumte laut MacRumors im Januar 2023 unverschlüsselte Webportal-Streams ein und meldete sie als behoben.
13.07.2026 Shark: Cloud-Regel erlaubte Zugriff auf fremde Saugroboter
Ein Forscher las mit Schlüssel und Zertifikat seines eigenen Saugroboters über die Cloud Nachrichten fremder Geräte mit (1.517.605 Geräte in 24 Stunden, US-Region) und zeigte an einem eigens gekauften zweiten Gerät Livebild, Steuerung, Karte und WLAN-Passwort. Laut Forscher seit 20.07.2026 behoben, unabhängig unbestätigt; ob EU-Geräte betroffen waren, ist offen. Quelle: tokay0: No Shark is Safe: Millions of Shark Vacuums are Vulnerable to RCE (13.07.2026, Nachtrag 20.07.2026) ↗
Behoben laut Forschenden
SharkNinja, vom Forscher zitiert: Die Lücke sei vollständig behoben („completely addressed“).
Die Fälle zeigen, dass diese Stellen mitsehen können, nicht, wie heutige Modelle arbeiten.
Behörden: was sie verlangen können und was nicht
Bei Verdacht einer Straftat können Ermittler nach der Strafprozessordnung Geräte beschlagnahmen (§ 94) und Daten verlangen: beim Internetanbieter Verkehrsdaten und wem eine IP-Adresse gehörte (§§ 100g, 100j), beim Hersteller Nutzungsdaten und Gespeichertes (§§ 100k, 95). Laufende Telekommunikation überwachen dürfen sie nur bei bestimmten schweren Straftaten (§ 100a), wobei Verschlüsseltes beim Internetanbieter verschlüsselt bleibt; unverschlüsselt mitlesen können sie per Software auf dem Gerät (Quellen-TKÜ). Ein Gerät heimlich durchsuchen (§ 100b) dürfen sie nur bei besonders schweren Straftaten.
Seit 18. August 2026 können sie nach der e-Evidence-Verordnung (EU) 2023/1543 auch Anbieter in anderen EU-Staaten direkt zur Herausgabe verpflichten, gleich wo die Daten liegen. Videos, Bilder und Ton dürfen sie so nur bei Straftaten mit mindestens drei Jahren Höchststrafe oder bei bestimmten Cyber-, Zahlungsbetrugs-, Missbrauchs- und Terrordelikten verlangen, und ein Gericht muss die Anordnung erlassen oder ihr zustimmen. US-Anbieter müssen nach dem CLOUD Act auf US-Anordnung auch Daten in Europa herausgeben.
Was ein Anbieter nicht entschlüsseln kann, kann er nicht lesbar herausgeben. Apple hat laut seinen Richtlinien keine Schlüssel zu Ende-zu-Ende-verschlüsselten Daten; dazu zählen laut Apple HomeKit-Secure-Video-Aufnahmen. Ring kommt laut eigenen Richtlinien nur an Videos, die weder TAKE noch Ende-zu-Ende-Verschlüsselung schützt (Stand Oktober 2026). Konto- und Begleitdaten können Behörden weiterhin verlangen.
Ob du davon erfährst, ist nicht sicher: Nach der e-Evidence-Verordnung muss die Behörde dich informieren, darf das aber aufschieben, einschränken oder unterlassen. Apple, Google und Ring sagen Benachrichtigungen zu, mit Ausnahmen.
Wie oft Smart-Home-Daten gefragt sind, ist unbekannt: Apple meldet für Deutschland im zweiten Halbjahr 2025 3.121 Kontoanfragen, Google 44.792 Anfragen, beide ohne Aufteilung nach Smart-Home-Produkten. Einen geprüften deutschen Fall mit Smart-Home-Daten fand die Recherche nicht — das ist keine Entwarnung.
Was du einstellen kannst — und was es kostet
Was jede Einstellung ändert, Stand Oktober 2026
Einstellung
Wen sie ausschließt
Was du aufgibst
Was sie nicht ändert
Keine Aufnahmen in der Cloud
Hersteller, Behörden über ihn und Kontodiebe finden nichts Gespeichertes
Cloud-Funktionen, je nach Hersteller
Livebild und Vorschaubilder können weiter über Server laufen
Ende-zu-Ende-Verschlüsselung
Hersteller, Behörden über ihn und Kontodiebe sehen laut Herstellern nur Begleitdaten
Cloud-Auswertungen wie Gesichtserkennung, teils das Teilen; ohne Wiederherstellung sind die Videos verloren
Älteres bleibt laut Ring lesbar, Zeitpunkte bleiben sichtbar
„Zur Verbesserung“ aus
Prüfer von Tonaufnahmen, laut Google und Apple
kein Preis genannt
Der Hersteller verarbeitet weiter; ob Mitschriften ungeprüft bleiben, sagen beide nicht eindeutig; bei Google bleiben alte Aufnahmen bis zum Löschen
Ein angegriffenes Gerät erreicht deinen Computer schwerer; hast du das Passwort deines Heimnetzes nach dem Umzug geändert, kann es nur noch das des Gästenetzes verraten
lokale Funktionen wie Streamen vom Handy oder das Hinzufügen von Smart-Home-Geräten mit dem Standard Matter, die laut Apple und Google ein gemeinsames Netz brauchen; nach dem Passwortwechsel verbindest du alle Geräte im Heimnetz neu
Hersteller, Internetanbieter, Behörden, Cloud-Fehler; bei eigener SIM wirkungslos
Zwei-Faktor-Anmeldung
Wer nur dein Passwort hat, kommt in der Regel nicht hinein
einen Schritt mehr beim Anmelden
Cloud-Fehler; Phishing, das auch den zweiten Faktor abgreift
Ausschalten, solange ungenutzt
alle: Was nicht läuft, sendet nichts
Sprachsteuerung, Zugriff von unterwegs
eine ausgeschaltete Klingel meldet niemanden
Die Schalter je Gerät stehen in den Steckbriefen, das Gästenetz in der Gästenetz-Anleitung; was ein Hersteller gespeichert hat, erfragst du per Datenanfrage.
Ein Beispiel: Jana und ihre Klingel
Jana hat eine Videoklingel mit Cloud-Speicher, ihr Bruder Zugang zur App. Um 19 Uhr filmt die Klingel einen Paketboten: Der Internetanbieter sieht nur, dass Daten zum Hersteller flossen; der Hersteller könnte das Video öffnen, der Bruder sieht es. Schaltet Jana die Ende-zu-Ende-Verschlüsselung ein, kann der Hersteller neue Videos laut eigener Angabe weder öffnen noch einer Behörde geben; das Video von 19 Uhr bleibt lesbar. Der Preis bei Janas Modell: kein Zugang mehr für den Bruder, keine Gesichtserkennung.
Wofür diese Übersicht gilt
Für Deutschland, Stand 24. Oktober 2026, und für Gerätearten, nicht jedes Modell. Herstellerangaben stehen mit Quelle und Datum; HexWarte kann sie nicht nachprüfen, misst keine Geräte, liest keinen Datenverkehr mit und durchsucht kein Heimnetz. Ein Häkchen in der Prüfliste fürs Zuhause ist deine Angabe, kein Messwert.
Was dieser Artikel nicht sagt
Er bewertet keine Hersteller und empfiehlt keine Geräte; Namen belegen nur Fälle und Herstellerangaben mit Datum.
Er zeigt Behördenzugriffe nur für die Strafverfolgung, nicht nach Polizeirecht der Länder oder für Nachrichtendienste; er ist keine Rechtsberatung.
Er sagt nicht, welche Begleitdaten Hersteller bei Ende-zu-Ende-Verschlüsselung genau sehen; sie dokumentieren es nur teilweise.
Ob ein Schalter an deinem Gerät technisch wirkt, kann weder HexWarte noch ein Laie messen.
Geprüft am 24. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.
