Ein erheblicher Teil der in deutschen Haushalten installierten Internetrouter läuft mit Firmware, für die die Hersteller keine Sicherheitsupdates mehr bereitstellen, weil die zugesagten Supportzeiträume abgelaufen sind.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verweist seit Jahren auf das daraus entstehende Risiko: Der Router ist das einzige Gerät im Haushalt, über das sämtlicher Datenverkehr läuft – vom Notebook über den Fernseher bis zur Heizungssteuerung –, und zugleich dasjenige, dessen Wartungsstatus praktisch niemand kontrolliert.

Warum der Router ein Sonderfall ist

Anders als beim Smartphone, das seinen Nutzer über Updates und auslaufende Versorgung informiert, kommuniziert ein Router nicht.
Er steht im Flur oder im Keller, läuft rund um die Uhr und meldet sich nur, wenn die Verbindung ausfällt. Ein Support-Ende ist kein Ereignis, das im Alltag sichtbar wird: Das Gerät funktioniert danach exakt wie zuvor, nur werden bekannt gewordene Schwachstellen nicht mehr geschlossen.

Hinzu kommt die Eigentumslage.
Seit der Einführung der sogenannten Routerfreiheit im Jahr 2016 dürfen Kundinnen und Kunden frei wählen, welches Endgerät sie am Anschluss betreiben.
Geräte, die der Telekommunikationsanbieter stellt, werden in der Regel automatisch und zentral aktualisiert.
Bei selbst gekauften Geräten liegt die Verantwortung beim Käufer – und damit bei jemandem, der den Support-Stichtag des Herstellers meist nie zur Kenntnis genommen hat.
Die typische Nutzungsdauer eines Routers übersteigt den Wartungszeitraum vieler Modelle deutlich; Marktteilnehmer verweisen darauf, dass Geräte im Bestand häufig acht Jahre und länger im Einsatz bleiben.

Was der Cyber Resilience Act vorschreibt

Der EU-Gesetzgeber hat die Lücke erkannt.
Die Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie verpflichtet Hersteller funkfähiger Geräte seit dem 1.
August 2025 zu grundlegenden Schutzmaßnahmen für Netzintegrität und Nutzerdaten.
Weiter geht der Cyber Resilience Act (Verordnung (EU) 2024/2847): Er verlangt, dass Hersteller Sicherheitsupdates über den erwarteten Produktlebenszyklus, mindestens jedoch fünf Jahre, bereitstellen und den Support-Zeitraum beim Kauf transparent ausweisen.
Die Meldepflichten für aktiv ausgenutzte Schwachstellen greifen ab dem 11.
September 2026, die übrigen Hauptpflichten ab dem 11.
Dezember 2027.
Für Breitbandrouter existiert zudem mit der Technischen Richtlinie TR-03148 des BSI eine nationale Anforderungsbeschreibung.

Der entscheidende Punkt: Diese Regeln wirken in die Zukunft.
Geräte, die heute in Millionen Haushalten stehen und deren Wartung längst eingestellt wurde, erfasst der Cyber Resilience Act nicht.
Der Bestand bleibt das Problem – und er verschwindet erst über Jahre durch Austausch.

Welche Folgen ein ungepatchter Router hat

Ein kompromittierter Router ist kein isolierter Schaden.
Angreifer können den Datenverkehr umleiten, Anfragen an manipulierte Namensserver senden, Zugangsdaten über gefälschte Seiten abgreifen oder das Gerät in ein Botnetz eingliedern, das für Angriffe auf Dritte genutzt wird.
Weil das Gerät als Vertrauensanker des Heimnetzes fungiert, öffnet es zugleich den Zugang zu allen dahinterliegenden Systemen – einschließlich Kameras, Sprachassistenten und Speichermedien.

Für Haushalte bleibt damit eine Aufgabe, die kaum jemand als solche wahrnimmt: den Firmware-Stand des eigenen Geräts prüfen, die Herstellerangabe zum Ende des Sicherheitssupports suchen, nicht benötigte Fernzugriffs- und Portfreigabefunktionen deaktivieren und Geräte ohne Update-Versorgung ersetzen.
Der Stichtag steht selten auf dem Karton – er steht im Kleingedruckten der Produktseite.