Vor dem Kauf: Updates, Cloud-Zwang und Prüfzeichen richtig lesen

Kurz gesagt

Vier Fragen vor dem Kauf

Jede Antwort lautet erfüllt, nicht erfüllt oder unbekannt: „Nicht erfüllt“ nur, wenn Hersteller oder Händler es ausdrücklich sagen; fehlt eine Angabe, bleibt sie unbekannt, und das ist keine Entwarnung. Ein Häkchen ist deine eigene Angabe, keine Messung.

Wie lange es Updates gibt — und wo das steht

Updates der Gerätesoftware (Firmware) schließen bekannte Lücken. Wie lange es sie gibt, muss bisher nur für zwei Gruppen angegeben sein: für Fernseher und Monitore, die seit dem 1. März 2021 auf den Markt kommen, und für Smartphones und Tablets seit dem 20. Juni 2025. Der QR-Code auf ihrem EU-Energielabel führt zur Produktdatenbank der EU. Im Datenblatt steht die „garantierte“ Update-Dauer laut Verordnung bei Fernsehern und Monitoren unter Nummer 21 — seit dem 1. Mai 2021 als Zahl der Jahre, davor als Enddatum —, bei Smartphones und Tablets unter Nummer 19. Ältere Smartphones und Tablets dürfen ohne das neue Label verkauft werden, so ein von der EU mitfinanzierter Händlerleitfaden.

Die Zahl hat zwei Haken: Sie zählt bei beiden Gruppen ab dem Tag, an dem die letzte Einheit des Modells auf den Markt kam, nicht ab deinem Kauf. Und ob die Verordnung für Smartphones und Tablets fünf Jahre Updates vorschreibt oder nur kostenlosen Zugang zu angebotenen Updates, beschreibt selbst die EU-Kommission uneinheitlich; laut heise beruft sich ein Hersteller auf die enge Lesart und sagt für einzelne Modelle nur zwei oder drei Jahre Sicherheitsupdates zu. Die Zahl im Datenblatt bleibt eine Zusage des Herstellers; frag im Zweifel nach, wie lange es Sicherheitsupdates gibt.

Für andere Geräte gibt es bisher keine Pflichtangabe; lass dir eine Zusage schriftlich geben. Erst für Geräte, die ab dem 11. Dezember 2027 auf den Markt kommen, verlangt das EU-Gesetz zur Produkt-Cybersicherheit (Cyberresilienz-Verordnung) ein Enddatum für den Update-Zeitraum, in der Regel mindestens fünf Jahre mit kostenlosen Sicherheitsupdates. Laut unverbindlichen Erläuterungen der EU-Kommission zählt dabei jedes einzelne Gerät: Fehlt ab 2028 ein Enddatum, kann es ältere Lagerware sein, und Händler dürfen sogar Geräte mit abgelaufenem Zeitraum verkaufen. Die weiteren Fristen stehen im Fristenkalender.

Was dir der Händler schon heute schuldet

Kaufst du privat bei einem Unternehmen, schuldet dir der Verkäufer bei Käufen seit 2022 die Updates, die das Gerät vertragsgemäß halten, auch Sicherheitsupdates (§ 475b BGB und die EU-Richtlinie dahinter). Eine Jahreszahl nennt das Gesetz nicht; laut Gesetzesbegründung zählen etwa Werbung, Preis und übliche Nutzungsdauer, und bei Sicherheitsupdates reicht die Pflicht in der Regel über die Gewährleistungszeit hinaus. Spielst du ein angebotenes Update nicht in angemessener Frist ein, haftet er nicht für Mängel, die allein daraus folgen — sofern er dich über das Update und die Folgen informiert und richtig angeleitet hat.

Seit dem 12. September 2025 muss dir der Verkäufer vor dem Kauf eines vernetzten Geräts außerdem sagen, welche Daten es erzeugt, ob es sie auf dem Gerät oder auf einem Server speichern kann, wie lange und wie du sie abrufst und gegebenenfalls löschst; so verlangt es der Data Act. Die Angaben beschreiben, was das Gerät kann, nicht, was tatsächlich fließt. Fehlen sie, nimmt die Bundesnetzagentur Beschwerden über ihr Online-Formular an (Punkt „Vorvertragliche Informationen …“); ob schon vor dem Kauf, sagt sie nicht.

Bei Online-Käufen haben Verbraucher 14 Tage Widerrufsrecht ohne Begründung (§§ 312g, 355 BGB), beim Kauf im Laden gibt es kein gesetzliches Widerrufsrecht. Prüf in dieser Zeit, ob Grundfunktionen Konto, Cloud oder Abo verlangen, und richte das Gerät nur so weit ein, wie es dafür nötig ist; sonst musst du womöglich für den Wertverlust aufkommen (Wertersatz, § 357a BGB). Fristbeginn und Ausnahmen hängen vom Einzelfall ab.

Prüfzeichen: was sie zusagen und was nicht

Das BSI-Kennzeichen prüfst du selbst: Sein QR-Code muss eine Seite auf bsi.bund.de öffnen, die zeigt, ob Lücken bekannt sind, ein Update bereitsteht oder die Laufzeit abgelaufen ist. Führt er woandershin und fehlt das Produkt auch im BSI-Verzeichnis, ist das Kennzeichen laut BSI gefälscht. Dort standen am 24. Oktober 2026 nur 957 Einträge von 20 Herstellern, kein Mähroboter; fehlt das Kennzeichen, heißt das also bloß: keine Angabe.

Wenn der Hersteller die Server abschaltet

Hängen Grundfunktionen an der Hersteller-Cloud, bleibt nach deren Ende meist nur, was der Hersteller lokal vorgesehen hat:

Einen Betrieb ohne Internet schreibt kein Gesetz vor, eine europäische Norm empfiehlt ihn nur. Folge vor einem angekündigten Stichtag den Hinweisen des Herstellers, etwa zum letzten Update, und setz das Gerät nicht vorschnell zurück: Nach einer Abschaltung 2022 warnten laut The Register die Entwickler einer Smart-Home-Software, eine zurückgesetzte Steuerzentrale (Hub) lasse sich nicht wiederherstellen. Heb den Kaufbeleg auf; für Erstattungen verlangten Hersteller einen Nachweis. Für Geräte ohne Sicherheitsupdates rät das BSI zum Austausch. Wer eines weiter nutzt, kann es ins Gästenetz legen: Das trennt es meist von deinen Computern, schließt aber keine Lücke. Die neue Produkthaftung für Geräte, die ab dem 9. Dezember 2026 auf den Markt kommen, ersetzt kein abgeschaltetes Gerät, nur Schäden an Gesundheit, anderen Sachen und privaten Daten.

Ein Beispiel: Ines kauft eine Kamera für den Flur

Ines bestellt online eine Innenkamera mit „regelmäßigen Updates“, CE-Zeichen und Matter-Logo, ohne BSI-Kennzeichen. Vorher fragt sie den Shop nach den Datenangaben; nach der Lieferung richtet sie die Kamera nur zum Prüfen ein.

• Updates: kein Datum — unbekannt.
• Ohne Cloud: Laut Anleitung braucht die Kamera schon zum Start ein Hersteller-Konto — nicht erfüllt.
• Datenangaben: laut Shop Video und Ton, gespeichert auf der Speicherkarte oder, mit Abo, 30 Tage auf Servern des Herstellers — erfüllt.
• Ende-zu-Ende: nur „verschlüsselte Übertragung“ — unbekannt.

Das fehlende Kennzeichen heißt nicht „unsicher“; CE und Matter sagen über den Weg der Bilder nichts. Ein Gesamturteil gibt es nicht, aber Ines weiß, woran es hängt: Sie entfernt die Kamera aus ihrem Konto und schickt sie innerhalb der Widerrufsfrist zurück.

Wofür diese Angaben gelten

• Für Käufe in Deutschland, Stand 24. Oktober 2026. Das deutsche Gesetz zur Cyberresilienz-Verordnung und das neue Produkthaftungsrecht hatte der Bundestag beschlossen, verkündet war keines von beiden.
• Für private Käufe bei einem Unternehmen; nur dann gilt die Update-Pflicht des Händlers.
• Für Zusagen, nicht für Tatsachen: Ob Updates kommen, wohin Daten fließen und ob eine Verschlüsselung trägt, kannst du von außen nicht prüfen.
• HexWarte misst hier nichts: Es prüft kein Gerät, scannt kein Heimnetz und ruft keine Herstellerseite für dich ab.

Was dieser Artikel nicht sagt

• Dieser Artikel empfiehlt kein Gerät und bewertet keinen Hersteller; die Fälle sind Beispiele, keine vollständige Liste.
• Er ist keine Rechtsberatung: Was dir im Einzelfall zusteht, hängt von Vertrag und Umständen ab; dabei helfen etwa die Verbraucherzentralen. Gebrauchtkauf von privat und Abo-Kosten behandelt er nicht.

Quellen

Geprüft am 24. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.