Datenschutz im Smart Home: was Geräte über ihre Bewohner verraten

Beim Datenschutz im Smart Home denken viele zuerst an das Mikrofon im Lautsprecher. Das ist berechtigt, greift aber zu kurz. Ein Großteil der aufschlussreichen Daten entsteht nicht durch Sprache, sondern durch unscheinbare Messwerte: Wann geht das Licht an, wann öffnet sich die Haustür, wie verläuft der Stromverbrauch über den Tag? Aus solchen Zeitreihen lassen sich Anwesenheit, Tagesrhythmus und Gewohnheiten ablesen. Mit KI-Methoden geht das zunehmend genauer.

Welche Daten anfallen

Quelle	Typische Daten	Was sich daraus ablesen lässt
Sprachassistent	Audio nach dem Aktivierungswort, Transkripte, Gerätebefehle	Interessen, Tagesablauf, Stimmen weiterer Personen
Kameras, Türklingeln	Video, Bewegungsereignisse, Gesichter	Besuch, Abwesenheit, Nachbarn und Passanten
Sensoren	Tür- und Fensterkontakte, Bewegung, Temperatur, Luftfeuchte	Anwesenheit pro Raum, Schlafzeiten
Strom und Heizung	Verbrauchskurven, Heizpläne	Gerätenutzung, Urlaube, Lebensgewohnheiten
Apps und Konten	Standort, Nutzungszeiten, Kontaktdaten	Bewegungsprofile, Verknüpfung mit anderen Diensten

Hinzu kommen Metadaten, die auch bei verschlüsselter Übertragung sichtbar bleiben: Wer im selben Netz die Datenpakete beobachtet, kann allein aus Zeitpunkt und Größe der Übertragungen Rückschlüsse ziehen, etwa ob gerade eine Kamera ein Ereignis meldet.

Der Sonderfall Sprache

Bei verbreiteten Lautsprechern läuft nur die Erkennung des Aktivierungsworts auf dem Gerät. Alles danach wird zur Auswertung an Server übertragen. Studien und Erfahrungsberichte zeigen, dass Geräte gelegentlich fälschlich anspringen, etwa bei ähnlich klingenden Wörtern im Fernsehen. 2019 wurde öffentlich, dass mehrere große Anbieter Ausschnitte von Aufnahmen durch Beschäftigte oder Dienstleister anhören ließen, um die Erkennung zu verbessern. Die Anbieter haben danach Einstellmöglichkeiten nachgerüstet. 2025 entfernte ein großer Anbieter bei einigen Lautsprechern die Option, Sprachbefehle ausschließlich lokal zu verarbeiten, im Zuge der Umstellung auf einen KI-gestützten Assistenten.

Die Lehre daraus: Ob Sprache lokal oder in der Cloud verarbeitet wird, ist keine feste Eigenschaft eines Geräts, sondern kann sich mit Software-Updates ändern. Es lohnt sich, die Datenschutzeinstellungen nach größeren Updates erneut zu prüfen.

Welche Regeln gelten

DSGVO

Für Hersteller und Dienstanbieter gilt die Datenschutz-Grundverordnung. Sie gibt Nutzerinnen und Nutzern unter anderem ein Recht auf Auskunft (Art. 15), auf Löschung (Art. 17) und auf Datenübertragbarkeit (Art. 20). Für Privatpersonen gilt eine Ausnahme: Rein persönliche oder familiäre Tätigkeiten fallen nicht unter die Verordnung (Art. 2 Abs. 2 lit. c). Diese Ausnahme endet jedoch, sobald etwa eine Kamera auch öffentlichen Raum erfasst. Das hat der Europäische Gerichtshof 2014 in der Rechtssache C-212/13 (Ryneš) entschieden. Eine Türklingel mit Kamera, die den Gehweg filmt, ist also nicht automatisch Privatsache.

Data Act

Seit dem 12. September 2025 gilt in der EU der Data Act. Er gibt Nutzern vernetzter Produkte ein Recht auf Zugang zu den Daten, die bei der Nutzung entstehen, und erlaubt es, diese Daten an Dritte weiterzugeben, etwa an einen unabhängigen Reparatur- oder Energiedienst. Für das Smart Home ist das relevant, weil Messwerte bisher oft nur in der Hersteller-Cloud lagen.

Cybersicherheit

Seit August 2025 müssen funkfähige Geräte in der EU grundlegende Anforderungen an die Cybersicherheit erfüllen, gestützt auf eine delegierte Verordnung zur Funkanlagenrichtlinie. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, geht weiter: Er verpflichtet Hersteller von Produkten mit digitalen Elementen zu Sicherheitsupdates und zum Umgang mit Schwachstellen. Seine Hauptpflichten greifen ab Dezember 2027. Als technischer Bezugspunkt dient vielfach die europäische Norm ETSI EN 303 645 für die Sicherheit von Verbrauchergeräten im Internet der Dinge.

Weniger Daten durch lokale Verarbeitung

Der wirksamste Datenschutz ist, Daten gar nicht erst aus dem Haus zu geben. Standards wie Matter erlauben lokale Steuerung; quelloffene Hausautomationssysteme können Automationen, Auswertung und zunehmend auch Spracherkennung auf eigener Hardware ausführen. Das kostet Einrichtungsaufwand, reduziert aber die Abhängigkeit von Anbietern, deren Geschäftsmodelle und Einstellungen sich ändern können.

Für Stromzähler gilt in Deutschland ein Sonderweg: Intelligente Messsysteme kommunizieren über ein Smart-Meter-Gateway, das nach Vorgaben des Bundesamts für Sicherheit in der Informationstechnik zertifiziert sein muss. Welche Messwerte in welcher Auflösung an wen gehen, ist gesetzlich geregelt.

KI-Assistenten als neue Datensammler

Mit Agenten, die auf Kalender, Nachrichten und Gerätezustände zugreifen, entsteht eine neue Qualität: Der Assistent braucht viel Kontext, um hilfreich zu sein. Für den Datenschutz heißt das, genau hinzusehen, welche Daten ein Assistent dauerhaft speichert, ob Gespräche zum Training von Modellen verwendet werden und wie sich das abschalten lässt. Die Anbieter müssen das in ihren Datenschutzhinweisen angeben. Bei Fragen helfen die Datenschutzaufsichtsbehörden der Länder und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

Quellen

• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), EUR-Lex.
• Verordnung (EU) 2023/2854 (Data Act), EUR-Lex.
• Verordnung (EU) 2024/2847 (Cyber Resilience Act).
• EuGH, Urteil vom 11. Dezember 2014, C-212/13 (Ryneš).
• Bundesamt für Sicherheit in der Informationstechnik: Hinweise zu Smart Home und Smart-Meter-Gateways, bsi.bund.de.