Wenn du deine Haustür per App öffnest, vertraust du einem vernetzten Gerät mehr an als einer smarten Lampe. Ein Fehler kann Zugangsdaten offenlegen, das Schloss lahmlegen oder Angreifern einen zusätzlichen Ansatzpunkt liefern. Bislang lag es weitgehend im Ermessen des Herstellers, was in so einem Fall passiert und ob überhaupt jemand davon erfährt. Ab sofort endet dieses Ermessen.
24 Stunden für die erste Warnung – und eine Nachricht an dich
Dann greift der erste praktische Teil des Cyber Resilience Act (CRA). Wird eine Schwachstelle nachweislich ausgenutzt oder trifft ein schwerer Sicherheitsvorfall ein Produkt, muss der Hersteller binnen 24 Stunden eine Frühwarnung abgeben. Nach 72 Stunden folgt eine ausführlichere Meldung. Der Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur bereitsteht. Und bei schweren Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
Die Meldung läuft einmalig über eine zentrale EU‑Plattform. Adressat ist das CSIRT am Hauptsitz des Herstellers, also das nationale Reaktionsteam für IT-Sicherheitsvorfälle. Gleichzeitig erhält die EU-Agentur ENISA die Informationen. Öffentlich wird davon zunächst nichts.
Und du? Artikel 14 Absatz 8 der Verordnung verpflichtet den Hersteller, die betroffenen Nutzer selbst zu informieren. Genauer gesagt über die Lücke oder den Vorfall und, wo nötig, über Maßnahmen, die du ergreifen kannst. Versäumt er das, dürfen die zuständigen Stellen deine Benachrichtigung übernehmen. Das ist der Teil, der ab Freitag tatsächlich bei dir ankommt: Ein stiller Patch im Hintergrund reicht nicht mehr.
Smart Locks und der CRA: Was ab Dezember 2027 zusätzlich gilt
Der CRA legt verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen fest, von reiner Software bis zu vernetzter Hardware wie Türschlössern, Kameras oder Steckdosen. Gefordert sind sichere Voreinstellungen statt Standardpasswort, Verschlüsselung, Zugriffskontrolle und Updates über einen festgelegten Supportzeitraum.
Für dich heißt das am Freitag aber nicht, dass dein vorhandenes Smart Lock (Bestenliste) plötzlich verboten ist oder ein neues CE-Zeichen braucht. Die vollständigen Produktanforderungen samt EU-Konformitätserklärung, zentralem Kontakt für Schwachstellenmeldungen und Software-Stückliste gelten erst ab dem 11. Dezember 2027 für neu angebotene Geräte. Ältere Produkte fallen grundsätzlich erst bei einer wesentlichen Änderung darunter. Die Meldepflicht dagegen gilt auch für alles, was längst verkauft ist.
Damit geht der CRA weiter als die seit August 2025 verschärften Cybersicherheitsvorgaben für WLAN- und Bluetooth-Geräte, die nur die Funkschnittstelle in den Blick nehmen. Auch Standards helfen hier nicht weiter: Matter regelt die Kommunikation im Smart Home, und der neue Zugangsstandard Aliro soll digitale Schlüssel herstellerübergreifend nutzbar machen. Ob ein Anbieter Lücken über Jahre schließt und Vorfälle fristgerecht meldet, entscheidet sich in seinen internen Prozessen.
Security by Design ersetzt keinen CRA-Nachweis
Sicherheit ist für Smart-Lock-Hersteller auch ein Verkaufsargument. Einer eigenen Kundenbefragung von Nuki zufolge zählen Sicherheitsbedenken für 44 Prozent der Befragten zu den größten Hemmschwellen vor dem ersten Kauf eines elektronischen Türschlosses.
Nuki Smart Lock Pro 5.0 Bildquelle: inside digital
Nuki nennt Ende-zu-Ende-Verschlüsselung, Bedrohungsanalysen und automatische Updates einen festen Teil der Entwicklung. „IT-Sicherheit ist für uns kein nachträglicher Anstrich“, sagt Mitgründer und Innovationschef Jürgen Pansy. Belastbarer als das Zitat ist der Prüfstempel: Das beste Smart Lock auf dem Markt, das Nuki Smart Lock Pro (Test), aber auch das Pro und Go tragen seit März 2025 das Zertifikat „Approved IoT Product“ des AV-TEST-Instituts. Eines, wenn nicht sogar das beste Feature bei Nuki: Betreiben lassen sich die Schlösser ohne Pflicht-Nutzerkonto.
Nur: Ein Zertifikat ist kein CRA‑Nachweis. Dafür braucht es das vorgesehene Konformitätsverfahren, technische Unterlagen und ab Dezember 2027 die CE‑Kennzeichnung. All das als fortlaufenden Prozess, nicht als einmalige Prüfung. Besonders unangenehm ist dabei die Lieferkette: Steckt der Fehler in einem fremden Funkmodul oder einer zugekauften Software-Bibliothek, bleibt trotzdem der Schlosshersteller verantwortlich.
Billig ist das nicht. Die EU-Kommission schätzt die Umsetzungskosten branchenweit auf rund 29 Milliarden Euro, etwa zwei Prozent des Branchenumsatzes. „Die Pflicht, ein Produkt fünf Jahre und länger mit Sicherheitsupdates zu versorgen, bindet dauerhaft Entwickler-Ressourcen“, sagt Nuki-CEO Martin Pansy und fordert deshalb strikte Marktüberwachung. Bei Verstößen gegen die wesentlichen Sicherheitsanforderungen drohen bis zu 15 Millionen Euro Bußgeld oder 2,5 Prozent des weltweiten Vorjahresumsatzes. Kontrollieren müssen das die nationalen Marktüberwachungsbehörden, in Deutschland das BSI.
Fazit: Der Stichtag nützt dir nur, wenn du hinsiehst
Handeln musst du am Freitag nicht. Achte aber ab sofort darauf, ob dein Hersteller Sicherheitsmeldungen veröffentlicht, einen Kontakt für Schwachstellen nennt und Updates zügig ausliefert, und installiere sie. Und wenn du 2027 ein neues Schloss kaufst, steht die entscheidende Zahl auf der Verpackung: das Enddatum des Supportzeitraums. Mindestens fünf Jahre, bei langlebigen Geräten länger. Diese Angabe wird dann so vergleichbar wie Akkulaufzeit oder Zylinderlänge und sie ist bei einem Gerät an der Haustür der bessere Kaufgrund als jedes Werbeversprechen.
Jetzt weiterlesen
Die beste Nuki-Alternative im Test: Dieses Smart Lock erkennt Gesichter!