Smarte Türschlösser: Die Sicherheitsfalle, über die niemand spricht

Am 14. November 2025 schaltete Assa Abloy die Server für das Kwikset Kevo ab - über Nacht wurden tausende smarte Türschlösser zu teuren Briefbeschwerern. Kein Einzelfall: Das BSI warnte offiziell vor einem ABUS-Schloss, Sicherheitsforscher fanden elf Schwachstellen bei Nuki, und deutsche Versicherer verweigern im Ernstfall die Zahlung, weil digitale Einbrüche keine Spuren hinterlassen. Wir haben den Markt durchleuchtet, Versicherungsbedingungen verglichen und Sicherheitsstudien ausgewertet - und zeigen, welche Schlösser trotzdem empfehlenswert sind.

Der Markt 2026: Milliardengeschäft mit Schattenseiten

Der Markt für smarte Türschlösser wächst zweistellig - der europäische Markt soll bis 2030 auf rund 1,5 Milliarden US-Dollar anwachsen, Deutschland hält daran den größten Anteil. Der österreichische Hersteller Nuki dominiert das europäische Retrofit-Segment: Nach eigenen Angaben sind über 600.000 Nuki-Schlösser im Einsatz, die 2025 rund zwei Milliarden Sperrvorgänge ausführten. Dahinter folgen Yale (Assa Abloy), der chinesische Aufsteiger Aqara, der polnische Datenschutz-Spezialist Tedee und der Preisbrecher SwitchBot. Gerade zur Urlaubszeit, wenn Wohnungen länger leer stehen, greifen viele zum smarten Nachrüstschloss - im Glauben, damit die Einbruchsicherheit zu erhöhen. Genau hier beginnt das Missverständnis.

Der technologische Umbruch heißt Matter über Thread - ein neuer Standard, der Smart Locks endlich plattformübergreifend macht. Ein Matter-Schloss funktioniert gleichzeitig mit Apple Home, Google Home und Alexa, ohne herstellerspezifische Bridge. Wer 2026 ein Smart Lock ohne Matter kauft, riskiert eine technologische Sackgasse.

Regulatorisch bewegt sich etwas: Der EU Cyber Resilience Act tritt ab September 2026 schrittweise in Kraft. Er verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die EU-Behörde ENISA zu melden. Ab Dezember 2027 müssen Smart Locks mindestens fünf Jahre lang Sicherheitsupdates erhalten - ein Meilenstein für Verbraucher, der ältere Geräte ohne Update-Funktion (wie das ABUS HomeTec Pro CFA3000) endgültig zum Auslaufmodell macht.

Doch hinter dem Komfortversprechen lauern Risiken, über die kaum jemand spricht: Versicherungslücken, dokumentierte Hacker-Angriffe, Cloud-Abhängigkeit und ein Datenschutz-Flickenteppich. Während die Branche zweistellig wächst, hinken Sicherheitsstandards und Verbraucherschutz hinterher.

Unsere Empfehlungen

Fünf Schlösser, die in Sicherheit, Datenschutz und Praxistauglichkeit überzeugen - mit ehrlicher Einordnung der Schwächen. Alle Preise Stand Juli 2026.

Unsere Empfehlung

Nuki Smart Lock Pro (5. Generation)

Für sicherheitsbewusste Nutzer, die Datenschutz und Smart-Home-Integration vereinen wollen

259,00 € 269,00 € (-4%)

Testsieger bei connect.de, nextpit und PC-WELT. Fünfmal AV-TEST-zertifiziert, Server in Deutschland, digitale Schlüssel werden ausschließlich auf dem Endgerät gespeichert - kein anderes Smart Lock nimmt Datenschutz so ernst. Der bürstenlose Motor ist der schnellste im Markt (0,5 Sekunden im Insane-Modus).

• Stärke: Matter, Thread, WLAN und Bluetooth integriert - keine Bridge nötig. Made in Austria mit Servern in Deutschland.
• Besonderheit: Kein Zylindertausch nötig - wird auf den bestehenden Europrofil-Zylinder montiert. Installation in unter 5 Minuten, rückstandsfrei entfernbar.
• Einschränkung: Nuki-Kundenservice in der Kritik (wochenlange Antwortzeiten dokumentiert). Akkulaufzeit mit WLAN nur 4-6 Monate (Herstellerangabe bis 9 Monate ohne Fernzugriff), und der Motor ist mit 57-60 dB in allen Geschwindigkeitsstufen deutlich hörbar.

Preis-Leistungs-Tipp

Yale Linus Smart Lock L2

Für Nutzer, die ein zuverlässiges Allround-Schloss ohne Kompromisse bei der Bedienung suchen

179,95 €

Das Yale Linus L2 hat in Tests das zuverlässigste Auto-Unlock aller Smart Locks und die wenigsten systematischen Beschwerden. Matter über Thread ist an Bord; für den Fernzugriff braucht das L2 allerdings ein separates Yale-Connect-Modul oder einen Thread Border Router - ein eigenes WLAN ist nicht integriert. Mit 4,5 von 5 Sternen bei über 100 Amazon-Rezensionen das am besten bewertete Schloss im Vergleich.

• Stärke: Auto-Unlock funktioniert mit nahezu 100 Prozent Zuverlässigkeit - deutlich besser als bei der Konkurrenz.
• Besonderheit: Wiederaufladbarer Akku mit USB-C, doppelt so schnell und leiser als der Vorgänger L1.
• Einschränkung: Yale gehört zu Assa Abloy, die 2025 den Kevo-Support abschalteten. Zugriffsprotokolle werden auf AWS-Servern gespeichert, mindestens 90 Tage nach Kontolöschung.

Budget-Tipp

SwitchBot Smart Lock Pro

Für preisbewusste Einsteiger, die maximale Flexibilität bei den Entsperrmethoden wollen

Das günstigste ernstzunehmende Smart Lock im Markt - im Angebot teils unter 100 Euro. Bis zu 15 Entsperrmethoden inklusive Fingerabdruck, PIN, NFC und Apple Watch (mit optionalem Keypad). Über 7.000 Amazon-Bewertungen liefern ein solides Stimmungsbild.

• Stärke: Günstigster Einstieg mit Aluminium-Gehäuse. Matter-kompatibel über den separat erhältlichen Hub Mini.
• Besonderheit: Kompatibel mit Euro-, britischen Oval-, Schweizer Rund- und Knaufzylindern - die breiteste Türkompatibilität im Test.
• Einschränkung: Hub zwingend nötig für Fernzugriff und Matter. SwitchBot (Shenzhen, China) sammelt umfangreich Nutzungsdaten, keine klare DSGVO-Zusicherung für EU-Server.

Für Apple Home Key

Aqara Smart Lock U200

Für iPhone-Nutzer, die per Apple Home Key und Fingerabdruck öffnen wollen

149,99 € 179,99 € (-17%)

Das U200 ist eines der ersten in Deutschland breit verfügbaren Nachrüstschlösser mit Apple Home Key: Sie öffnen die Tür, indem Sie iPhone oder Apple Watch kurz vorhalten - ganz ohne App. Dazu ein Fingerabdruck-Keypad und Matter über Thread für die plattformübergreifende Einbindung.

• Stärke: Apple Home Key (NFC), Fingerabdruck-Keypad, Matter über Thread, USB-C-Notladung. Für Apple-Home-Haushalte die nahtloseste Einbindung im Vergleich.
• Besonderheit: Unterstützt zusätzlich Google Home, Alexa und SmartThings - selten in dieser Preisklasse.
• Einschränkung: Für Fernzugriff ist ein Thread-Hub nötig. Eine frühe U200-Charge hatte einen vom Hersteller eingeräumten Kupplungsdefekt. Als China-Marke ist ein Datentransfer möglich; das Gerät setzt einen Euro-Zylinder mit Not-/Gefahrenfunktion voraus, sonst wird doch ein Zylindertausch nötig.

EU-Datenschutz-Tipp

Tedee Lock GO

Für Datenschutzbewusste, die das kompakteste und leiseste Gerät suchen

Der polnische Hersteller Tedee liefert neben Nuki das stärkste EU-Datenschutz-Argument: Firmensitz in Polen, Server auf Microsoft Azure in der EU, TLS-1.3-Verschlüsselung, das tedee-System ist AV-TEST-zertifiziert. Mit 58 x 65 mm ist das Lock GO das kompakteste Gerät im Vergleich - und mit rund 100 Euro das günstigste Markenschloss.

• Stärke: Sehr kompakt und leise, starker EU-Datenschutz, günstigster Markenpreis. heise kürte die Tedee-Reihe zum Technologiesieger.
• Besonderheit: Bluetooth ist Standard, Matter über Thread folgt 2026; für den Fernzugriff sonst die Tedee Bridge nötig.
• Einschränkung: Inkompatibel zu Zylindern mit festem Knauf auf der Außenseite. Tedee vertreibt vorrangig über den eigenen Shop - die Verfügbarkeit auf Amazon schwankt.

Wir behalten Verfügbarkeit und Preise im Blick und tauschen Modelle bei Bedarf aus. Welche Geräte wir selbst über Wochen im Alltag testen, finden Sie in unseren Testberichten.

Technik-Check: Protokolle, Verschlüsselung und ihre Grenzen

Smarte Türschlösser kommunizieren über verschiedene Funkprotokolle mit dem Smartphone - und jedes hat Stärken und Schwächen. Die entscheidende Frage ist nicht nur, wie gut die Verschlüsselung ist, sondern ob das Schloss überhaupt ohne Internet funktioniert.

Alle empfohlenen Schlösser verschlüsseln mit AES-256 und nutzen dynamische Session-Keys - theoretisch unknackbar. In der Praxis zeigte eine Studie an 18 kommerziellen BLE-Schlössern jedoch, dass 78 Prozent verwundbar waren, betroffen über 20 Millionen Nutzer. Die Schwachstellen lagen nicht in der Verschlüsselung selbst, sondern in der fehlerhaften Implementierung: fest einprogrammierte Schlüssel, fehlende Nonces gegen Replay-Angriffe, ungesicherte API-Endpunkte.

Matter über Thread bietet derzeit das beste Sicherheitsprofil: lokale Kommunikation ohne Cloud-Umweg, IPv6-Adressierung und DTLS-Verschlüsselung auf Transportebene. Wer Fernzugriff braucht, kommt aber auch mit Matter nicht um eine Cloud-Verbindung herum.

Die Versicherungsfalle: Zahlt die Hausrat bei digitalem Einbruch?

Das drängendste Problem, über das fast niemand schreibt: Was passiert, wenn jemand Ihr Smart Lock hackt und einbricht - ohne sichtbare Spuren? Die Antwort hängt davon ab, bei wem Sie versichert sind. Die folgenden Positionen sind eine Momentaufnahme aus öffentlich dokumentierten Angaben und keine tagesaktuelle Tarifzusage - die Praxis ist uneinheitlich. Klären Sie Ihren konkreten Vertrag daher immer individuell.

Das Kernproblem: Bei einem digitalen Einbruch hinterlässt der Täter keine Hebelspuren, keine aufgebrochene Tür - nichts. Die Versicherung kann das als "einfachen Diebstahl" statt als Einbruchdiebstahl einstufen. Die Beweislast liegt beim Versicherungsnehmer. Und den Nachweis eines Hacker-Angriffs zu führen, ist technisch extrem schwierig.

Ein weit verbreiteter Irrtum betrifft die VdS-Zertifizierung. Zwar hat kaum ein Consumer-Smart-Lock - weder Nuki noch Yale, Tedee oder Aqara - ein VdS-Siegel. Doch die Standard-Hausratversicherung nach den Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) verlangt gar kein VdS-zertifiziertes Schloss. Eine Leistungskürzung allein wegen fehlender Zertifizierung ist nur zulässig, wenn Ihr Vertrag ausdrücklich eine Sicherungsvereinbarung enthält und Sie diese schuldhaft verletzt haben. Das AV-TEST-Siegel von Nuki und Tedee wiederum prüft die IT-Sicherheit, nicht die mechanische Einbruchresistenz - beides sollten Sie nicht verwechseln.

Neuheit 2026: Gesichtserkennung an der Haustür - und ihr Versicherungshaken

Mit dem SwitchBot Lock Ultra kam 2026 das erste Nachrüstschloss mit 3D-Gesichtserkennung auf den Markt (heise-Gesamttestsieger im März 2026). Die Biometrie wird laut Hersteller lokal per AES-128 verarbeitet und lässt sich nicht mit Foto oder Video überlisten - technisch ein Fortschritt. Der Haken liegt woanders: Das Kamera- und Biometrie-Modul sitzt außen an der Tür. Genau das kann bei Versicherern zum Problem werden, die - wie im CosmosDirekt-Muster - den Schutz bei einem Bedienelement an der Türaußenseite einschränken. Ein reizvolles Feature, das im Ernstfall den Versicherungsschutz kosten kann: Klären Sie es vor dem Kauf.

Hack-Chronik: Wenn das Smart Lock zum Einfallstor wird

Die Hersteller betonen AES-256-Verschlüsselung und mehrstufige Authentifizierung. Die Realität sieht anders aus - eine Chronik dokumentierter Sicherheitsvorfälle:

August 2022 - BSI warnt vor ABUS HomeTec Pro CFA3000: Das Bundesamt für Sicherheit in der Informationstechnik sprach eine offizielle Warnung nach § 7 BSIG aus - ein äußerst seltener Schritt für ein Verbraucherprodukt. Die Schwachstelle erlaubte Angreifern in der Nähe, das Schloss per Funk zu öffnen. Das Fatale: Kein Patch möglich, weil das Gerät keine Update-Funktion besitzt. ABUS stellte die Produktion ein, bot aber kein Austauschprogramm an.

Juli 2022 - Elf Schwachstellen in Nuki entdeckt: Sicherheitsforscher der NCC Group fanden kritische Lücken, darunter fehlende TLS-Zertifikatsvalidierung (Man-in-the-Middle möglich), einen Stack Buffer Overflow im HTTP-API-Parser und offene Hardware-Debug-Interfaces. Nuki reagierte professionell: Alle Lücken wurden innerhalb von zwei Monaten gepatcht. Die Frage bleibt, warum sie überhaupt existierten.

2022 - BLE Relay Attack (NCC Group): Die weltweit erste Link-Layer-Relay-Attacke auf Bluetooth Low Energy bewies, dass sich Smart Locks aus hunderten Metern Entfernung täuschen lassen. Zwei Hardware-Geräte für unter 100 Euro genügen: eines beim Smartphone des Besitzers, eines an der Tür. Der Angriff umgeht die Verschlüsselung, weil er unterhalb der Verschlüsselungsschicht ansetzt.

2016 - DEF CON: Sicherheitsforscher testeten 16 Smart Locks auf der Hacker-Konferenz. Ergebnis: 12 von 16 ließen sich hacken. Seitdem hat sich die Branche verbessert - doch die jüngste Studie (2024) zeigt, dass noch immer 78 Prozent der BLE-Schlösser verwundbar sind.

Zur Einordnung: Die dokumentierten kritischen Lücken bei Nuki stammen aus dem Jahr 2022 und sind längst gepatcht. Für die hier empfohlenen Schlösser sind für 2025 und 2026 keine neuen kritischen Schwachstellen öffentlich belegt. Das AV-TEST-Siegel prüft dabei die IT-Sicherheit - über die mechanische Einbruchresistenz sagt es nichts aus, und ein gezielter digitaler Angriff bleibt aufwendiger als der klassische Einbruch übers Fenster.

Cloud-Falle: Heute smart, morgen Elektroschrott

Was passiert mit Ihrem 300-Euro-Türschloss, wenn der Hersteller die Server abschaltet? Die Frage ist nicht theoretisch - sie ist Realität.

Kwikset Kevo (Assa Abloy): Am 14. November 2025 wurde die App und das Web-Portal komplett eingestellt. Fernzugriff, Gäste-Verwaltung, Aktivitätsprotokoll - alles weg. Nutzern blieb nur der physische Schlüssel und ein befristeter Rabattcode für ein Ersatzschloss. Besonders brisant: Yale gehört zum selben Assa-Abloy-Konzern.

Nello: Die smarte Gegensprechanlage ging pleite, Server wurden abgeschaltet, die Hardware wurde wertlos.

Gigaset Smart Home: Nach der Insolvenz stellte Gigaset die Cloud-Dienste ein. Alle Geräte - darunter Tür- und Fenstersensoren - wurden über Nacht funktionslos.

Die gute Nachricht: Die Grundfunktionen (Auf- und Zusperren per Bluetooth, PIN, Fingerabdruck) laufen bei allen empfohlenen Schlössern auch ohne Internet. Wer auf Fernzugriff verzichten kann, ist vor der Cloud-Falle geschützt. Matter über Thread bietet den besten Kompromiss: lokale Smart-Home-Steuerung über einen Thread Border Router (in vielen Apple- und Google-Geräten integriert), ohne Hersteller-Cloud.

Datenschutz: Wer weiß, wann Sie nach Hause kommen?

Ein Smart Lock protokolliert jeden Zugang: Wer hat wann die Tür geöffnet oder geschlossen? Die Electronic Frontier Foundation (EFF) warnt ausdrücklich: Zugriffsprotokolle sind Überwachungsdaten. Vermieter können damit Mieter überwachen, Polizeibehörden können die Daten rückwirkend anfordern, und Unternehmen speichern sie oft länger als nötig.

Praxistest: Motor-Verschleiß, Support und die "Ausgesperrt"-Frage

Die Fachmagazin-Tests zeigen Momentaufnahmen. Was nach ein, zwei, drei Jahren passiert, steht in Foren und Bewertungsportalen.

Motor-Verschleiß - das verschwiegene Branchenproblem: In Foren und auf ComputerBase dokumentieren Nuki-Nutzer, dass der Motor nach 12 bis 24 Monaten langsam und schwach wird - ein Muster, das auf systematischen Getriebeverschleiß hindeutet. Bei Aqara hat der Hersteller einen Kupplungsdefekt in frühen Produktionschargen des U200 offiziell eingeräumt: mangelnde Schmierung führte nach Monaten zum Getriebetod. Kein Hersteller kommuniziert transparent die erwartbare Lebensdauer des Motors.

Auto-Unlock - die unzuverlässigste Kernfunktion: Das automatische Öffnen bei Annäherung ist der größte Komfortvorteil - und das größte Frustthema. Auf Android ist die Funktion bei Nuki und Tedee dokumentiert unzuverlässig, weil Batterieoptimierungen das Bluetooth-Scanning im Hintergrund blockieren. Yale Linus L2 schneidet hier als einziges Schloss mit nahezu 100 Prozent Zuverlässigkeit ab.

Ausgesperrt vor der eigenen Tür: Es passiert - aber seltener als befürchtet. Die typischen Szenarien: Akku entlädt sich auf Reisen, Motorblockade verhindert auch manuelles Öffnen, oder ein Firmware-Update macht das Schloss unbrauchbar. Prävention: physischen Schlüssel immer dabeihaben, Keypad als Backup installieren, Gefahrenzylinder einbauen (beidseitig sperrbar, auch wenn innen ein Schlüssel steckt).

Support auf Sicherheitsprodukt-Niveau? Nuki fällt mit wochenlangen Antwortzeiten und Standardantworten auf - bei einem Produkt, das die Haustür sichert, inakzeptabel. In einem dokumentierten Fall musste das Technikmagazin teltarif intervenieren, damit ein defektes Schloss nach Garantieablauf getauscht wurde. SwitchBot wird in Bewertungen vorgeworfen, effektiv keinen Kundenservice zu haben. Tedee und Yale schneiden hier besser ab.

Kaufberatung: Sieben Regeln für den sicheren Kauf

Häufige Fragen

Zahlt die Versicherung, wenn jemand mein Smart Lock hackt?
Das hängt vom Versicherer ab. HUK-Coburg und Barmenia/Adcuri decken Hacking explizit als Einbruchdiebstahl ab. CosmosDirekt verweigert bei PIN-Keypads an der Außenseite. Klären Sie das vor dem Kauf schriftlich mit Ihrem Versicherer - im Schadensfall liegt die Beweislast bei Ihnen.

Kann mein Smart Lock gehackt werden?
Theoretisch ja. BLE Relay Attacks, fehlerhafte Implementierungen und Cloud-Schwachstellen sind dokumentiert. Schlösser mit AV-TEST-Zertifizierung (Nuki, Tedee) und aktueller Firmware minimieren das Risiko erheblich. Ein gezielter Hack erfordert Spezialwissen und physische Nähe - ein Einbruch über das Fenster ist für Kriminelle nach wie vor einfacher.

Funktioniert mein Smart Lock ohne Internet?
Die Grundfunktionen ja: Auf- und Zusperren per Bluetooth, PIN-Code und Fingerabdruck laufen bei allen empfohlenen Schlössern ohne Internet. Fernzugriff, Gästeeinladungen per Link und Sprachassistenten erfordern eine Cloud-Verbindung.

Darf ich als Mieter ein Smart Lock installieren?
Retrofit-Systeme (Nuki, SwitchBot), die auf den bestehenden Zylinder aufgesetzt werden, dürfen ohne Vermieter-Genehmigung installiert werden - solange sie rückstandsfrei entfernbar sind und der Originalzustand bei Auszug wiederhergestellt wird. Systeme mit Zylindertausch (Tedee, Nuki Ultra) erfordern die Zustimmung des Vermieters.

Was passiert, wenn der Hersteller pleitegeht?
Die Grundfunktionen per Bluetooth bleiben erhalten, aber Fernzugriff, App-Updates und Cloud-Dienste fallen weg. Kwikset Kevo, Nello und Gigaset Smart Home sind dokumentierte Fälle, in denen genau das passiert ist. Matter-Schlösser sind besser geschützt, weil sie auch über andere Plattformen steuerbar bleiben.

Welches Schloss ist am sichersten für den Datenschutz?
Nuki (Österreich) mit Servern in Deutschland, keiner Cloud-Pflicht und fünffacher AV-TEST-Zertifizierung. Digitale Schlüssel werden ausschließlich auf dem Endgerät gespeichert. Am anderen Ende des Spektrums stehen Aqara und SwitchBot (beide China) mit intransparenter Datenverarbeitung.

Brauche ich eine Bridge oder einen Hub?
Nur das Nuki Smart Lock Pro hat WLAN integriert - hier ist keine Bridge nötig. Das Yale Linus L2 benötigt für den Fernzugriff ein Yale-Connect-Modul oder einen Thread Border Router, der SwitchBot Lock Pro den Hub Mini. Mit Matter über Thread genügt allgemein ein Thread Border Router (in Apple HomePod, Google Nest Hub und Amazon Echo 4 integriert) als Zentrale.

Fazit der Redaktion

Smarte Türschlösser sind 2026 ausgereifter denn je - Matter über Thread, AES-256-Verschlüsselung und lokale Offline-Fähigkeit sind bei den führenden Herstellern Standard. Wer sich informiert, die Versicherung klärt und ein europäisches Produkt mit AV-TEST-Zertifizierung wählt, bekommt echten Komfortgewinn bei vertretbarem Risiko.

Die Schattenseiten sind real: Versicherungslücken bei digitalem Einbruch, dokumentierte Hacker-Angriffe, Cloud-Abhängigkeit und ein Datenschutz-Flickenteppich zwischen österreichischer Sorgfalt und chinesischer Intransparenz. Kein Hersteller kommuniziert diese Risiken ehrlich. Das Nuki Smart Lock Pro (5. Generation) kommt der idealen Balance aus Sicherheit, Datenschutz und Bedienkomfort am nächsten - trotz des ausbaufähigen Kundenservices.

Unser Rat: Ein Smart Lock ist eine Komfort-Ergänzung, kein Ersatz für ein gutes mechanisches Schloss. Wer das versteht und die sieben Kaufregeln beherzigt, kann 2026 bedenkenlos zugreifen.