Kurz gesagt
Fast alle neuen Pflichten gelten nur für Geräte, die ab einem Stichtag erstmals auf den EU-Markt kommen — nicht für das, was schon bei dir steht. Ab dem 11. Dezember 2027 etwa müssen Hersteller neuer Geräte Sicherheitslücken in der Regel mindestens fünf Jahre lang beheben und das Enddatum beim Kauf nennen. Für ältere Geräte gilt trotzdem einiges, zum Beispiel die Updatepflicht des Verkäufers und die Meldepflicht für ausgenutzte Lücken. Bei neuer Technik verschiebt sich vor allem, wer mitsieht: Sprachassistenten mit KI etwa verarbeiten Anfragen in der Cloud ihrer Anbieter.
Warum neue Regeln dein Gerät meist nicht erreichen
Neue Gerätepflichten hängen fast immer daran, wann ein Gerät erstmals auf den EU-Markt kommt (Inverkehrbringen) — jedes einzelne Exemplar, nicht das Modell, laut Leitfaden der EU-Kommission. Auf Geräte, die schon bei dir stehen, wirken solche Stichtage deshalb nicht zurück. So gelten die Anforderungen der EU-Cybersicherheitsregeln (Cyberresilienz-Verordnung, CRA) für ein Gerät, das vor dem 11. Dezember 2027 auf den Markt kam, nur nach einer „wesentlichen Änderung“, etwa wenn sich sein Zweck ändert; reine Sicherheitsupdates zählen nicht dazu.
Das Kaufdatum ist nur ein Anhaltspunkt: Ein Gerät, das du kurz nach einem Stichtag kaufst, kann schon vorher auf den Markt gekommen sein. Dann gelten für dieses Exemplar die alten Regeln.
Was für deine vorhandenen Geräte trotzdem gilt
- Updates vom Verkäufer: Hast du seit dem 1. Januar 2022 privat bei einem Unternehmen ein vernetztes Gerät gekauft, schuldet dir der Verkäufer Updates, die es vertragsgemäß halten, so lange, wie du es erwarten kannst (§ 475b BGB; mehr zum Kauf).
- Meldepflicht: Seit dem 11. September 2026 müssen Hersteller binnen 24 Stunden, nachdem sie von einer schon ausgenutzten Lücke oder einem schweren Sicherheitsvorfall erfahren, die zuständigen Stellen warnen. Auch die Betroffenen müssen sie informieren; beides gilt für ältere Geräte ebenso.
- Gerätedaten: Seit dem 12. September 2025 kannst du Daten deines Geräts beim Anbieter kostenlos anfordern, wenn du nicht selbst herankommst (Recht auf Gerätedaten, Data Act). Bei älteren Geräten gilt das laut unverbindlicher FAQ der EU-Kommission auch, aber nur für Daten ab dem 12. September 2025 (so geht es).
- Reparatur: Seit dem 23. Juli 2026 müssen Hersteller etwa Smartphones, Tablets und Waschmaschinen auf Verlangen reparieren, wenn dir keine Gewährleistung (mehr) zusteht, kostenlos oder gegen angemessenes Entgelt; Reparatursperren sind grundsätzlich verboten. Die Pflicht gilt nur, soweit EU-Ökodesign-Regeln Reparierbarkeit verlangen, bei Smartphones und Tablets also für Geräte, die seit dem 20. Juni 2025 auf den Markt kommen; ältere erfasst die Pflicht wahrscheinlich nicht. Ob sie für Käufe vor dem 31. Juli 2026 gilt, ist zudem nicht abschließend geklärt.
Selbst prüfen: Update-Zusage und 2G
Die Häkchen werden nicht gespeichert und nicht übertragen. Ausdrucken kannst du die Liste über den Druckdialog deines Browsers. Alle Punkte für alle Geräte: Prüfliste fürs Zuhause.
Der Fristenkalender: gilt, beschlossen, geplant
„Gilt“: schon anwendbar. „Beschlossen“: steht fest, gilt ab dem genannten Tag. „Angekündigt“: Plan eines Unternehmens. „Vorgeschlagen“: Entwurf, Ausgang offen. „Neue Geräte“: kommen ab dem Stichtag erstmals auf den EU-Markt.
Technik, die kommt — und wer dann mitsieht
Alexa+ (in Deutschland seit Mai 2026 im kostenlosen Vorabzugriff) schickt Anfragen laut Amazon in die Cloud des Herstellers. Von Gemini für Google Home führt laut Google kein Weg zurück zum Google Assistant (beides Stand Oktober 2026; mehr zum Sprachassistenten).
Ring bietet in Deutschland seit April 2026 schrittweise Gesichtserkennung („Bekannte Gesichter“) an, ab Werk aus. Die Gesichtsdaten liegen in der Cloud, Ende-zu-Ende-Verschlüsselung ist dann nicht möglich, und Besucher müssen in Europa ausdrücklich einwilligen (laut Ring, Stand Oktober 2026; mehr zur Videoklingel).
In der App der Datenbrille Ray-Ban Meta fand der Hamburgische Datenschutzbeauftragte leere Tabellen, die dem Namen nach auf Gesichtserkennung hindeuten. Gesichter erkannte die untersuchte Brille nach seiner Einschätzung bislang nicht (Bericht vom 10. September 2026; eine Stellungnahme von Meta zu diesen Tabellen enthält er nicht; mehr zu Datenbrillen).
Auch Funk kann mitsehen: Der Standard IEEE 802.11bf beschreibt seit 2025, wie WLAN Bewegungen erkennt (WLAN-Sensing). Unabhängig davon erkannten Forschende des KIT 2025 im Versuch 197 Personen mit sehr hoher Genauigkeit wieder — an Rückmeldungen zur Funkausrichtung (Strahlformung), die WLAN-Geräte seit WiFi 5 unverschlüsselt senden. Mitlesen konnte ein gewöhnliches WLAN-Gerät; die Betroffenen brauchten kein eigenes. Ob Router in Deutschland WLAN-Sensing nutzen, ist nicht belegt, ein Schutz für Laien ebenso wenig; die Forschenden fordern ihn im Standard.
Google testet seit dem 16. September 2026, KI-Helfer, die selbst handeln (KI-Agenten), mit allen Geräten und dem Ereignisverlauf in Google Home arbeiten zu lassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor versteckten Anweisungen (Prompt Injection), die Agenten zu ungewollten Aktionen verleiten können, und rät zu wenigen Berechtigungen.
Verschlüsselte Verbindungen (TLS) bekommen Verfahren, die auch Quantenrechnern standhalten sollen. Chrome ab Version 131 sowie iPhone, iPad, Mac und Vision Pro ab Systemversion 26 bieten sie von sich aus an; Firefox unterstützt sie ab Version 132. Umgestellt wird schon jetzt, weil Angreifer heute mitschneiden und später entschlüsseln könnten; dass Quantenrechner das heute schon können, ist laut EU-Fahrplan nicht belegt.
Ein Beispiel: Malte sortiert seine Geräte
Maltes Saugroboter ist von 2024, privat im Handel gekauft; sein Laptop läuft mit Windows 10, und im Dezember 2026 kauft er ein Babyfon mit App.
- Für den Saugroboter gilt vom CRA nur die Meldepflicht für ausgenutzte Lücken, solange er nicht wesentlich geändert wird. Updates für den erwartbaren Zeitraum schuldet ihm der Händler, weil Malte nach dem 1. Januar 2022 gekauft hat.
- Für den Laptop mit Windows 10 Version 22H2 meldet er sich zu den erweiterten Sicherheitsupdates an, laut Microsoft unter Einstellungen › Update & Sicherheit › Windows Update › „Jetzt registrieren“ (Stand Oktober 2026). In Deutschland kostet das nichts, die Updates kommen aber nur, solange er mit dem Microsoft-Konto angemeldet bleibt; Schluss ist am 12. Oktober 2027.
- Beim Babyfon gilt laut beschlossenem Gesetz die alte Produkthaftung, wenn genau dieses Exemplar bis einschließlich 8. Dezember 2026 auf den Markt kam, sonst die neue. Ein Enddatum für Updates muss erst bei Geräten ab dem 11. Dezember 2027 dastehen; Malte fragt trotzdem danach.