Smarte Produkte mit Sicherheitslücken: Wann droht Händlern ein Verkaufsverbot?

Sicherheitslücken bei smarten Produkten können Händler zu einem Verkaufsstopp zwingen. Wann müssen sie reagieren, Kunden informieren oder Updates bereitstellen? Und welche zusätzlichen Pflichten bringt der Cyber Resilience Act?

Müssen Händler selbst nach Sicherheitslücken suchen?

Eine allgemeine Verpflichtung, jedes angebotene Gerät eigenständig auf Software-Schwachstellen zu untersuchen, besteht für Händler grundsätzlich nicht.

Bei vernetzten Geräten wie WLAN-Kameras oder smarten Türschlössern ergeben sich die Händlerpflichten regelmäßig aus dem Funkanlagengesetz (FuAG). Nach § 14 Abs. 1 FuAG müssen Händler vor der Bereitstellung auf dem Markt insbesondere prüfen, ob die CE-Kennzeichnung und die vorgeschriebenen Unterlagen vorhanden sind und bestimmte Hersteller- und Einführerpflichten erfüllt wurden. Eine eigenständige technische Untersuchung auf Software-Schwachstellen verlangt die Vorschrift dagegen nicht.

Auch Erwägungsgrund 32 der EU-Produktsicherheitsverordnung (GPSR) geht davon aus, dass Händler lediglich zu faktenbezogenen Überprüfungen verpflichtet sein sollen.

Welche Sicherheitsvorschriften gelten für smarte Produkte?

Nicht für jedes smarte Produkt gelten dieselben Sicherheitsvorschriften. Welche Anforderungen Händler erfüllen müssen, richtet sich vor allem nach der Art des Geräts und ihrer Rolle in der Lieferkette.

1. Funkanlagen und andere Produkte

Viele smarte Geräte, darunter WLAN-Kameras und funkgesteuerte Türschlösser, fallen unter die Funkanlagenrichtlinie 2014/53/EU und das deutsche Funkanlagengesetz (FuAG).

Händler, die solche Geräte innerhalb der EU beziehen und unverändert weiterverkaufen, müssen insbesondere die Anforderungen des § 14 FuAG beachten.

Wer Funkanlagen dagegen selbst aus einem Drittstaat in die EU einführt, unterliegt den besonderen Einführerpflichten nach § 12 FuAG. Noch weiter reichen die Pflichten, wenn Händler oder Einführer rechtlich als Hersteller gelten. Nach § 15 FuAG ist das etwa der Fall, wenn sie Geräte unter eigenem Namen oder eigener Marke in Verkehr bringen oder so verändern, dass deren Konformität beeinträchtigt werden kann.

Allerdings fällt nicht jedes smarte Produkt unter das Funkanlagengesetz. Je nach Bauart können andere europäische Sicherheitsvorschriften einschlägig sein, etwa bei kabelgebundenen Elektrogeräten. Soweit bestimmte Sicherheitsaspekte nicht bereits durch speziellere unionsrechtliche Vorschriften geregelt sind, kann ergänzend die EU-Produktsicherheitsverordnung (GPSR) zur Anwendung kommen.

2. Cybersicherheitsanforderungen seit August 2025

Seit dem 1. August 2025 gelten für bestimmte Funkanlagen zusätzliche Cybersicherheitsanforderungen nach der Delegierten Verordnung (EU) 2022/30.

Je nach Produktkategorie müssen die Geräte insbesondere so beschaffen sein, dass sie Netzwerke, personenbezogene Daten und die Privatsphäre schützen sowie bestimmte Betrugsrisiken verhindern.

Eine Sicherheitslücke muss also nicht erst Menschen körperlich gefährden, um rechtlich relevant zu sein. Auch eine internetfähige Kamera, deren Software Unbefugten den Zugriff auf personenbezogene Daten ermöglicht, kann gegen die gesetzlichen Sicherheitsanforderungen verstoßen.

Entscheidend ist allerdings, wann die jeweilige Produkteinheit erstmals in Verkehr gebracht wurde. Die zusätzlichen Anforderungen gelten grundsätzlich für Funkanlagen, die ab dem 1. August 2025 erstmals auf dem EU-Markt bereitgestellt wurden. Bereits zuvor in Verkehr gebrachte Geräte müssen sie nicht allein deshalb nachträglich erfüllen, weil sie weiterhin verkauft werden.

Zum 11. Dezember 2027 wird die Delegierte Verordnung (EU) 2022/30 durch die Delegierte Verordnung (EU) 2026/339 aufgehoben. An ihre Stelle treten grundsätzlich die umfassenderen Produktanforderungen des Cyber Resilience Act (CRA). Für Funkanlagen, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht wurden und den bisherigen Cybersicherheitsanforderungen unterlagen, bleiben diese im Rahmen der Marktüberwachung jedoch weiterhin relevant.

Wann müssen Händler den Verkauf einstellen?

Erfährt ein Händler von einer Sicherheitslücke, stellt sich zunächst die Frage, ob er die betroffenen Geräte überhaupt noch verkaufen darf.

1. Vertriebsverbot bei begründeter Annahme einer Nichtkonformität

Nach § 14 Abs. 2 FuAG dürfen Händler eine Funkanlage nicht auf dem Markt bereitstellen, wenn sie Kenntnis oder Grund zu der Annahme haben, dass diese die grundlegenden Anforderungen des § 4 FuAG nicht erfüllt.

Dafür ist weder ein behördliches Verkaufsverbot noch eine abschließende Bestätigung des Herstellers erforderlich. Es genügt, wenn die verfügbaren Informationen hinreichende Anhaltspunkte für einen Verstoß gegen die gesetzlichen Sicherheitsanforderungen bieten.

Nicht jede Sicherheitslücke führt allerdings automatisch zu einem Verkaufsverbot. Ob die betroffenen Geräte weiterhin verkauft werden dürfen, hängt auch davon ab, welche Sicherheitsanforderungen für sie gelten. Dabei kann insbesondere der Zeitpunkt des erstmaligen Inverkehrbringens eine Rolle spielen.

Besteht Grund zu der Annahme einer solchen Nichtkonformität, muss der Händler den weiteren Vertrieb aussetzen, bis die Konformität hergestellt ist. Ein bloßer Hinweis auf die Sicherheitslücke in der Produktbeschreibung reicht nicht aus.

2. Informationspflichten gegenüber Behörden

Neben einem möglichen Vertriebsverbot können Händler verpflichtet sein, den Hersteller und die zuständige Marktüberwachungsbehörde zu informieren.

Bei Funkanlagen gilt dies nach § 14 Abs. 2 FuAG, wenn von einem nicht konformen Gerät ein Risiko ausgeht. In diesem Fall muss der Händler unverzüglich den Hersteller oder Einführer sowie die Bundesnetzagentur unterrichten.

Für den Verkaufsstopp und die Behördeninformation gelten somit unterschiedliche Voraussetzungen: Der weitere Vertrieb ist bereits bei begründeter Annahme einer Nichtkonformität untersagt. Die zuständige Behörde muss dagegen erst informiert werden, wenn von dem Gerät auch ein Risiko ausgeht.

Für Produkte, die den Händlerpflichten der EU-Produktsicherheitsverordnung (GPSR) unterliegen, ergeben sich entsprechende Vorgaben insbesondere aus Art. 12 Abs. 3 GPSR.

Was gilt für bereits verkaufte Geräte?

Besonders schwierig wird es, wenn die betroffenen Geräte bereits verkauft wurden. Denn dann reicht es unter Umständen nicht aus, den weiteren Vertrieb einzustellen. Händler müssen gegebenenfalls auch dafür sorgen, dass die Sicherheitslücke bei den bereits ausgelieferten Geräten behoben wird.

1. Sicherheitswarnungen und Rückrufe

Für vernetzte Geräte wie WLAN-Kameras oder smarte Türschlösser, die unter das Funkanlagengesetz fallen, ergeben sich entsprechende Handlungspflichten insbesondere aus § 14 Abs. 4 FuAG.

Erfährt ein Händler, dass ein verkauftes Gerät möglicherweise nicht den gesetzlichen Sicherheitsanforderungen entspricht, muss er dafür sorgen, dass die erforderlichen Maßnahmen ergriffen werden. Je nach Art der Schwachstelle kann beispielsweise ein Softwareupdate ausreichen. Lässt sich das Problem dadurch nicht beheben, kann auch eine Rücknahme oder ein Rückruf erforderlich werden.

Geht von dem Gerät eine Gefahr aus, muss der Händler außerdem unverzüglich die zuständigen Marktüberwachungsbehörden informieren. In Deutschland ist dies bei Funkanlagen insbesondere die Bundesnetzagentur.

Auch die betroffenen Kunden müssen gegebenenfalls gewarnt werden. Dabei können ergänzend die Vorschriften der EU-Produktsicherheitsverordnung (GPSR) relevant werden. Diese sehen unter bestimmten Voraussetzungen vor, dass erreichbare Verbraucher direkt über Sicherheitswarnungen oder Rückrufe informiert werden. Für Funkanlagen ist allerdings rechtlich nicht abschließend geklärt, inwieweit diese Informationspflicht unmittelbar gilt.

2. Sicherheitsupdates und Gewährleistung

Auch das Kaufrecht spielt bei Sicherheitslücken eine wichtige Rolle. Denn gegenüber Verbrauchern bleibt der Verkäufer grundsätzlich für die Mangelfreiheit der Ware verantwortlich.

Bei Waren mit digitalen Elementen, etwa WLAN-Kameras oder smarten Türschlössern, muss der Verkäufer nach § 475b Abs. 4 Nr. 2 BGB dafür sorgen, dass Kunden die erforderlichen Softwareupdates erhalten und darüber informiert werden. Dazu gehören insbesondere Updates, die Sicherheitslücken schließen. Die Bereitstellung kann dabei auch durch den Hersteller erfolgen.

Wie lange diese Pflicht besteht, hängt unter anderem von der Art des Produkts und dem Zeitraum ab, für den Verbraucher dessen sichere Nutzung berechtigterweise erwarten dürfen.

Installiert ein Kunde ein bereitgestelltes Sicherheitsupdate nicht, kann dies seine Gewährleistungsansprüche einschränken. Nach § 475b Abs. 5 BGB haftet der Verkäufer für einen allein darauf zurückzuführenden Mangel unter bestimmten Voraussetzungen nicht. Insbesondere muss der Kunde über das Update und die Folgen einer unterlassenen Installation informiert worden sein. Außerdem darf die fehlende Installation nicht auf einer mangelhaften Anleitung beruhen.

Eine Sicherheitslücke kann aber auch unabhängig von fehlenden Updates einen Sachmangel darstellen. Denn nach § 434 Abs. 3 Satz 2 BGB gehört die Sicherheit zu den Eigenschaften, die Verbraucher von einer Ware erwarten dürfen.

Für die gesetzlichen Gewährleistungsansprüche bleibt grundsätzlich der Verkäufer verantwortlich, auch wenn die Sicherheitslücke vom Hersteller verursacht wurde. Diese Verantwortung lässt sich gegenüber Verbrauchern nicht ohne Weiteres durch vertragliche Vereinbarungen ausschließen (§ 476 Abs. 1 BGB). Zwingende gesetzliche Sicherheitsanforderungen müssen ohnehin eingehalten werden.

Weitere Einzelheiten erläutern wir in unserem Beitrag Aktualisierungs- und Informationspflichten bei Waren mit digitalen Elementen.

Welche weiteren rechtlichen Risiken bestehen?

Sicherheitslücken können für Händler auch außerhalb des Produktsicherheits- und Gewährleistungsrechts Folgen haben. Das zeigen mehrere Gerichtsentscheidungen zu Sicherheitswarnungen und irreführender Werbung.

1. Wettbewerbsrechtliche Risiken

Werden Kunden nicht ausreichend über bekannte Sicherheitsprobleme informiert oder wird mit überholten Sicherheitsbewertungen geworben, können wettbewerbsrechtliche Ansprüche entstehen.

Das zeigt ein Urteil des LG Bochum vom 23.11.2023 (Az. I-8 O 26/23). Ein Hersteller hatte auf seiner Website über eine Sicherheitslücke bei einem elektronischen Türschlossantrieb informiert. Das Gericht hielt dies unter den konkreten Umständen für unzureichend, weil die betroffenen Verbraucher ihre Geräte überwiegend über Händler oder Online-Plattformen gekauft hatten und die Herstellerwebsite deshalb nicht unbedingt besuchten.

Zwar betraf die Entscheidung den Hersteller und begründet keine allgemeine Benachrichtigungspflicht für Händler. Sie zeigt aber, dass es nicht immer ausreicht, eine Sicherheitswarnung lediglich auf der eigenen Website zu veröffentlichen.

Ein weiteres Risiko besteht bei der Werbung für Produkte mit bekannten Sicherheitslücken. So untersagte das LG Mannheim einem Händler mit Urteil vom 20.10.2023 (Az. 14 O 14/23), einen elektronischen Türschlossantrieb weiterhin mit einem positiven Testergebnis der Stiftung Warentest zu bewerben. Die Stiftung hatte ihre ursprüngliche Bewertung wegen einer gravierenden Sicherheitslücke zurückgezogen. Die Werbung mit dem überholten Testergebnis war deshalb irreführend.

Händler sollten bei bekannt gewordenen Sicherheitsproblemen daher auch ihre Produktbeschreibungen, Sicherheitsversprechen und die Werbung mit Testergebnissen überprüfen.

Darüber hinaus können Verstöße gegen gesetzliche Produktsicherheitsanforderungen wettbewerbsrechtliche Folgen haben, wenn die Voraussetzungen des § 3a UWG erfüllt sind.

2. Neues Produkthaftungsrecht ab Dezember 2026

Führt eine Sicherheitslücke zu einem Personen- oder Sachschaden, können außerdem Ansprüche nach dem Produkthaftungsrecht entstehen. Das neue Produkthaftungsgesetz, das am 9. Dezember 2026 in Kraft tritt, erfasst ausdrücklich auch Software und berücksichtigt Risiken durch mangelnde Cybersicherheit.

Die neuen Vorschriften gelten für Produkte, die ab diesem Zeitpunkt in Verkehr gebracht oder in Betrieb genommen werden. Bei der Beurteilung, ob ein Produkt fehlerhaft ist, können künftig insbesondere Sicherheitslücken und unterlassene Sicherheitsupdates eine Rolle spielen.

Neu ist außerdem, dass unter bestimmten Voraussetzungen auch Schäden durch die Beschädigung oder Vernichtung privat genutzter Daten ersetzt werden können.

Für Händler hängt das Haftungsrisiko davon ab, welche Rolle sie beim Vertrieb übernehmen. Wer Produkte lediglich weiterverkauft, haftet nach § 12 ProdHaftG grundsätzlich nur nachrangig. Das kommt insbesondere dann in Betracht, wenn kein verantwortlicher Wirtschaftsakteur in der EU ermittelt werden kann und der Händler auf entsprechende Aufforderung nicht innerhalb eines Monats einen solchen Wirtschaftsakteur oder seinen eigenen Lieferanten benennt.

Wer Produkte dagegen selbst herstellt, unter eigener Marke vertreibt oder aus einem Drittstaat in die EU einführt, kann unmittelbar nach den strengeren Haftungsvorschriften verantwortlich sein.

Weitere Einzelheiten zu den neuen Haftungsrisiken erläutern wir in unserem Beitrag Neues Produkthaftungsrecht ab Dezember 2026: Was Onlinehändler wissen müssen.

Was ändert der Cyber Resilience Act?

Ab Dezember 2027 müssen Händler bei smarten Produkten weitere Cybersicherheitsanforderungen beachten. Grundlage ist der Cyber Resilience Act (Verordnung (EU) 2024/2847), der europaweit einheitliche Vorgaben für Produkte mit digitalen Elementen schafft.

Dazu gehören etwa WLAN-Kameras, smarte Türschlösser und zahlreiche andere vernetzte Geräte. Ziel der Verordnung ist es insbesondere, Sicherheitslücken bereits bei der Entwicklung und Bereitstellung solcher Produkte zu vermeiden.

1. Neue Pflichten für Händler

Ab dem 11. Dezember 2027 müssen Händler vor dem Verkauf insbesondere prüfen, ob die vorgeschriebene CE-Kennzeichnung und die erforderlichen Unterlagen vorhanden sind und bestimmte Hersteller- und Einführerpflichten erfüllt wurden (Art. 20 CRA).

Eine eigene technische Untersuchung jedes Geräts auf Sicherheitslücken ist damit grundsätzlich nicht verbunden.

Erhalten Händler jedoch Hinweise darauf, dass ein Produkt die gesetzlichen Cybersicherheitsanforderungen nicht erfüllt, dürfen sie es nicht weiterverkaufen, solange die erforderliche Konformität nicht hergestellt ist.

Das kann insbesondere bei bekannten ausnutzbaren Sicherheitslücken der Fall sein. Denn nach dem CRA müssen Produkte grundsätzlich ohne solche Schwachstellen auf den Markt gebracht werden.

Auch nach dem Verkauf können Händler zum Handeln verpflichtet sein. Erfahren sie, dass ein bereits verkauftes Gerät möglicherweise nicht den gesetzlichen Anforderungen entspricht, müssen sie dafür sorgen, dass die erforderlichen Korrekturmaßnahmen ergriffen werden. Dazu können beispielsweise Sicherheitsupdates gehören.

Werden Händler auf eine Schwachstelle aufmerksam, müssen sie außerdem unverzüglich den Hersteller informieren. Besteht ein erhebliches Cybersicherheitsrisiko, sind zusätzlich die zuständigen Marktüberwachungsbehörden zu unterrichten.

Besondere Pflichten bestehen auch dann, wenn ein Hersteller seinen Betrieb einstellt und deshalb keine Sicherheitsupdates oder andere erforderliche Maßnahmen mehr bereitstellen kann. In solchen Fällen müssen Händler unter den Voraussetzungen des Art. 20 Abs. 6 CRA die zuständigen Behörden und, soweit möglich, die Nutzer informieren.

2. Besondere Verantwortung bei Eigenmarken und Importen

Für Händler, die Produkte unter ihrer eigenen Marke verkaufen oder aus Nicht-EU-Staaten importieren, können weitergehende Pflichten gelten.

Wer ein Gerät herstellen lässt und unter seinem eigenen Namen oder seiner eigenen Marke vertreibt, kann nach Art. 3 Nr. 13 CRA bereits als Hersteller gelten. Das betrifft beispielsweise Händler, die smarte Geräte als sogenannte White-Label-Produkte anbieten.

Sie müssen dann grundsätzlich die Herstellerpflichten erfüllen. Dazu gehören unter anderem die Einhaltung der Cybersicherheitsanforderungen und die gesetzlich vorgeschriebenen Meldungen bei bestimmten Sicherheitsvorfällen.

Die Meldepflichten nach Art. 14 CRA gelten bereits seit dem 11. September 2026. Sie betreffen insbesondere aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle.

Wer Produkte dagegen lediglich aus einem Drittstaat in die EU einführt, wird dadurch nicht automatisch zum Hersteller. Für solche Importeure gelten eigene Pflichten nach Art. 19 CRA, die grundsätzlich ab dem 11. Dezember 2027 zu beachten sind.

3. Was gilt für bereits vorhandene Lagerbestände?

Die neuen Anforderungen gelten nicht automatisch für alle Geräte, die sich im Dezember 2027 bereits im Handel befinden.

Produkte, die vor dem 11. Dezember 2027 erstmals auf dem EU-Markt in Verkehr gebracht wurden, müssen die neuen Anforderungen des CRA grundsätzlich nur dann erfüllen, wenn sie nach diesem Zeitpunkt wesentlich verändert werden (Art. 69 Abs. 2 CRA).

Hat ein Händler beispielsweise WLAN-Kameras bereits vor dem Stichtag von einem EU-Großhändler bezogen, darf er diese grundsätzlich auch nach dem 11. Dezember 2027 weiterverkaufen, sofern die Geräte zuvor bereits auf dem EU-Markt in Verkehr gebracht wurden. Allein durch den Weiterverkauf werden die neuen CRA-Anforderungen nicht ausgelöst.

Maßgeblich ist dabei nicht der Zeitpunkt des Wareneinkaufs durch den Händler, sondern der Zeitpunkt, zu dem die jeweilige Produkteinheit erstmals auf dem EU-Markt in Verkehr gebracht wurde.

Die Übergangsregelung gilt zudem nicht uneingeschränkt. Insbesondere können die Meldepflichten nach Art. 14 CRA auch ältere Produkte betreffen.

Unabhängig davon müssen Händler weiterhin die bereits geltenden gesetzlichen Sicherheitsanforderungen beachten. Eine bekannte Sicherheitslücke darf deshalb auch bei älteren Geräten nicht einfach ignoriert werden.

Weitere Einzelheiten erläutern wir in unserem Beitrag Cyber Resilience Act: Müssen Online-Händler eine Meldestelle für Schwachstellen einrichten?.

Fazit

Händler müssen smarte Produkte nicht eigenständig auf jede denkbare Sicherheitslücke untersuchen. Werden ihnen jedoch konkrete Schwachstellen bekannt, dürfen sie diese nicht ignorieren. Je nach Produkt und geltenden Sicherheitsanforderungen kann es erforderlich sein, den Verkauf einzustellen, Behörden zu informieren oder Maßnahmen für bereits ausgelieferte Geräte zu veranlassen.

Hinzu kommen die kaufrechtlichen Pflichten zur Bereitstellung erforderlicher Sicherheitsupdates. Mit dem Cyber Resilience Act werden die Anforderungen ab Dezember 2027 nochmals erweitert.

Händler sollten deshalb sicherstellen, dass sie auf Herstellerwarnungen und andere Hinweise auf Sicherheitslücken zeitnah reagieren und die erforderlichen Maßnahmen einleiten können.