Firmware-Updates bei Funk-Sicherheitstechnik: Warum die EU 2026 auf neue RED-Pflichten verzichtet – und Betreiber trotzdem genauer hinsehen sollten

Stand: 22. Januar 2026. Eine Nachricht aus Brüssel verdient in Sicherheitsabteilungen mehr Aufmerksamkeit, als ihr technischer Titel zunächst vermuten lässt: Die Europäische Kommission hat am 20. Januar 2026 ihre Initiative für zusätzliche Regeln zu software-rekonfigurierbaren Funkanlagen eingestellt. Konkret ging es um eine mögliche Aktivierung von Artikel 3 Absatz 3 Buchstabe i und Artikel 4 der Radio Equipment Directive (RED, Richtlinie 2014/53/EU).

Die Entscheidung ist keine Entwarnung für drahtlose Sicherheitstechnik. Sie besagt lediglich: Nach der verfügbaren Evidenz sieht die Kommission derzeit keine ausreichende Grundlage für eine zusätzliche, spezifische EU-Pflichtschicht rund um Software-Uploads und spätere Firmware-Änderungen an Funkgeräten. Für Betreiber, Integratoren und Einkäufer professioneller Sicherheitstechnik bleibt die entscheidende Frage damit praktisch statt legislativ: Was verändert ein Update nach der Abnahme – und lässt sich diese Veränderung kontrollieren und belegen?

Ein zurückgezogener Regulierungsplan, kein rechtsfreier Raum

Die RED regelt Funkanlagen bereits grundsätzlich. Anforderungen zu Sicherheit, elektromagnetischer Verträglichkeit und effizienter Nutzung des Funkspektrums verschwinden nicht, weil die Kommission auf eine weitere Aktivierung verzichtet. Der nun eingestellte Vorgang zielte enger: Er sollte untersuchen, ob für Geräte, deren Funkverhalten nach dem Inverkehrbringen per Software verändert werden kann, besondere Vorgaben nötig wären.

Die Kommission hatte das Thema nach eigenen Angaben bereits 2018 aufgenommen. Eine Studie zu reconfigurable radio systems erschien im September 2021; anschließend wurde das Vorhaben angesichts möglicher Überschneidungen mit horizontalen Cybersicherheitsvorschriften pausiert. Mit einem Call for Evidence vom 29. April 2025 prüfte die Kommission erneut Optionen; damals war eine mögliche Annahme im zweiten Quartal 2026 im Raum.

Der am 22. Dezember 2025 veröffentlichte Impact-Assessment-Bericht kam jedoch zu einem zurückhaltenden Ergebnis. Zwar seien Risiken durch nachträgliche Softwareänderungen denkbar. Die belastbare Evidenz für eine systemische Schadenslage sei aber begrenzt. Die Kommission entschied deshalb am 20. Januar 2026, keine legislative Maßnahme auf den Weg zu bringen. Das ist eine wichtige Präzisierung gegenüber der verkürzten Lesart „Updates sind regulatorisch kein Thema mehr“: Keine neue Spezialpflicht bedeutet nicht, dass technische, vertragliche oder organisatorische Verantwortung entfällt.

Warum ausgerechnet Sicherheitsanlagen betroffen sind

Professionelle Sicherheitsinfrastrukturen bestehen selten aus vollständig statischen Geräten. Drahtlose Alarmkomponenten, Zutrittsleser, Kamerabridges, WLAN-Infrastruktur, mobile Sensorik, IoT-Gateways oder vernetzte Ortungslösungen erhalten Updates über Monate und Jahre. Diese Aktualisierungen können Schwachstellen schließen. Sie können aber ebenso die Sendeleistung, die Kanalnutzung, das Roaming-Verhalten, die Verschlüsselung, die Authentifizierung, Cloud-Verbindungen oder die Interoperabilität mit einer Leitstelle verändern.

Gerade bei WLAN-Videoüberwachung ist das keine abstrakte Überlegung. Ein Firmware-Release kann beispielsweise Zertifikate, die Unterstützung eines WLAN-Sicherheitsstandards, die Behandlung von Netzwerkunterbrechungen oder die Update-Strategie selbst verändern. In einem Sicherheitskonzept zählt nicht allein, ob das Gerät nach dem Neustart wieder Bild liefert. Entscheidend ist auch, ob die dokumentierte Netzarchitektur, die Zugriffsrechte und die zuvor geprüfte Betriebsweise noch gelten.

Dasselbe gilt für eine zentrale Alarmanlage mit Funkmodulen sowie für drahtlose Melder und Gateways. Ein Update kann erforderlich und sinnvoll sein – insbesondere bei sicherheitsrelevanten Korrekturen. Ohne geregelte Freigabe kann es aber zu unerwarteten Wechselwirkungen führen: Ein Sensor verbindet sich nicht mehr, eine Bridge akzeptiert einen älteren Standard nicht mehr oder ein Rückfallmechanismus ist im Störungsfall nicht vorhanden.

Die Studie verschiebt den Blick: Risiko ist nicht bei jedem Gerät gleich

Der EU-Bericht unterscheidet deutlich. Er beschreibt moderate bis hohe theoretische Risiken schädlicher Funkstörungen insbesondere bei WLAN-Routern und Software-Defined-Radio-Kits. Dort kann Software besonders unmittelbar beeinflussen, wie und auf welchen Frequenzen ein Gerät sendet. Bei Smartphones und den meisten IoT-Geräten bewertet die Studie die Risiken niedriger, unter anderem wegen kontrollierter Update-Kanäle und eingebauter Schutzmechanismen.

Für die Praxis professioneller Sicherheitstechnik folgt daraus kein pauschales Urteil über einzelne Produktklassen. Eine Kamera, ein Zutrittsleser oder ein Funkmelder ist nicht allein deshalb kritisch, weil er aktualisierbar ist. Entscheidend sind sein Einsatzzweck, die technische Architektur und die Kontrolle über Änderungen. Ein Hersteller, der signierte Pakete verteilt, nachvollziehbare Release Notes liefert, eine Supportlaufzeit benennt und ein getestetes Rollback ermöglicht, schafft eine andere Risikolage als ein Anbieter mit undurchsichtigen Aktualisierungen ohne Versionshistorie.

Auch Geräte mit Mobilfunkanbindung verdienen diese Prüfung. Bei einem Fahrzeug-GPS-Tracker können Firmware- und Plattformänderungen etwa Übertragungsintervalle, Netzprofil, Alarmmeldungen oder die Schnittstelle zum Portal beeinflussen. Für Unternehmen mit Flotten, Mietobjekten oder mobilen Assets ist daher nicht nur die Positionsgenauigkeit relevant, sondern ebenso die Frage, wie nachvollziehbar sich ein technischer Zustand über die Laufzeit verändert.

Die operative Konsequenz: Firmware gehört in die Sicherheitsakte

In vielen Projekten wird die Firmware-Version bei der Inbetriebnahme allenfalls beiläufig notiert. Danach übernimmt der Hersteller die Update-Benachrichtigung, der Integrator spielt bei Gelegenheit ein Paket ein, und erst bei einem Fehler wird nachvollzogen, was sich verändert hat. Genau dieses Muster wird mit zunehmender Vernetzung unzureichend.

Ein professionellerer Umgang beginnt nicht mit einem komplizierten Compliance-Programm, sondern mit wenigen verbindlichen Fragen im Projektablauf:

• Referenzzustand: Welche Hardware-, Firmware- und gegebenenfalls App- oder Gateway-Version ist bei Abnahme im Einsatz?
• Freigabe: Wer entscheidet über ein Update – Hersteller, Integrator, IT, Sicherheitsleitung oder eine festgelegte Kombination?
• Auswirkung: Welche Funktionen, Funkparameter, Schnittstellen oder Cloud-Dienste nennt der Hersteller in den Release Notes als geändert?
• Rückfall: Gibt es ein dokumentiertes Rollback? Falls nicht: Welche Wiederherstellungszeit und welche Ersatzstrategie sind realistisch?
• Nachweis: Wo werden Zeitpunkt, verantwortliche Person, Versionswechsel und Ergebnis der Funktionsprüfung festgehalten?

Das ist kein Versuch, aus jeder Aktualisierung ein Rechtsgutachten zu machen. Es ist sauberes Betriebsmanagement. Besonders bei integrierten Anlagen hilft es, Funktionsprüfungen nach Updates nicht auf die reine Online-Anzeige zu reduzieren: Alarmierung, Ereignisprotokollierung, Berechtigungen, Zeitstempel, Aufzeichnung und Weiterleitung an nachgelagerte Systeme gehören je nach Architektur dazu.

Lieferantenprüfung: Die Update-Kette ist eine Sicherheitsfunktion

Die aufgegebene EU-Initiative macht Lieferantenfragen nicht weniger relevant, sondern sichtbarer. Wenn es vorerst keine zusätzliche verbindliche RED-Schicht gibt, werden Ausschreibungen, Verträge und technische Abnahmen wichtiger, um Erwartungen eindeutig festzuhalten.

Sicherheitsverantwortliche sollten deshalb nicht nur nach CE-Kennzeichnung und Datenblatt fragen. Relevante Punkte sind: Werden Updates kryptografisch signiert? Über welchen Kanal erhält das Gerät neue Software? Wie meldet der Hersteller kritische Sicherheitsinformationen? Wie lange stehen Patches bereit? Werden Release Notes mit technischen Auswirkungen bereitgestellt? Und kann ein Betreiber eine bestimmte Version in seinem Bestand eindeutig nachweisen?

Bei Spezialtechnik mit besonders flexiblen Funkschnittstellen ist die Schwelle zur vertieften Prüfung niedriger. Der EU-Bericht benennt Software-Defined-Radio-Kits ausdrücklich als Bereich theoretisch höherer Risiken. Das betrifft nicht jede Anwendung der digitalen Ermittlung, zeigt aber ein Prinzip: Je unmittelbarer Software das Funkverhalten formt, desto mehr gehört die Update-Kontrolle in Beschaffung, Einsatzfreigabe und Bestandsdokumentation.

Incident Readiness: Bei Funkstörungen zählt der Zeitstempel

Die Studie verweist auch auf Schwierigkeiten, schädliche Funkstörungen zurückzuverfolgen. Für Betreiber ist das ein handfester betrieblicher Hinweis. Wenn nach einem Update Verbindungsabbrüche, Reichweitenprobleme oder auffällige Interferenzen auftreten, braucht das Team mehr als eine allgemeine Aussage wie „gestern aktualisiert“.

Hilfreich sind ein Änderungsprotokoll mit Geräte-ID, alter und neuer Version, Update-Zeitpunkt, Standort beziehungsweise Segment, verwendeter Konfiguration und dokumentiertem Prüfergebnis. Ergänzt um Netzwerkänderungen und relevante Ereignislogs entsteht eine Ausgangsbasis, um Störungen einzugrenzen oder gegenüber Dienstleistern nachvollziehbar zu eskalieren. Das ist auch für Gegenmaßnahmen sinnvoll: Wer seine autorisierten Funksysteme sauber kennt, kann Auffälligkeiten gezielter von fremden oder unerwarteten Signalen abgrenzen. In sensiblen Bereichen kann dafür passende Gegenspionage- und Detektionstechnik Teil eines abgestimmten Prüfkonzepts sein.

Ein Signal für 2026: Best Practice wird zur Beschaffungsnorm

Als bevorzugte Option nannte der Impact-Assessment-Bericht einen Soft-Law-Ansatz mit freiwilligen Leitlinien und Best Practices. Freiwillig heißt allerdings nicht folgenlos. In der professionellen Beschaffung werden Best Practices häufig zu Anforderungen in Leistungsverzeichnissen, Versicherungsbedingungen, Rahmenverträgen und internen Sicherheitsstandards, lange bevor daraus eine neue gesetzliche Detailpflicht entsteht.

Für Verantwortliche ist die Brüsseler Entscheidung deshalb vor allem eine Gelegenheit, den Fokus richtig zu setzen. Nicht auf eine hypothetische neue RED-Formalität warten. Stattdessen bei updatefähiger Funktechnik präzise dokumentieren, Herstellerprozesse bewerten und Änderungen kontrolliert freigeben. Bei einer modernen Videoüberwachung oder Alarmarchitektur ist die Firmware keine unsichtbare Herstellerangelegenheit mehr. Sie ist Teil des Betriebszustands – und damit Teil der Sicherheitsqualität.

Redaktionelle Einordnung: Die Aufgabe der Initiative ist weder ein regulatorischer Rückzug aus der Funktechnik noch ein Freibrief für ungeprüfte Software-Uploads. Sie ist eine evidenzbasierte Entscheidung gegen zusätzliche Spezialregeln zum jetzigen Zeitpunkt. Wer Sicherheitsanlagen professionell betreibt, sollte daraus eine einfache Konsequenz ziehen: Das Update selbst ist kein Ausnahmefall. Die fehlende Kontrolle darüber wäre einer.

Quellen

• Europäische Kommission, Radio Equipment Directive (RED) – Informationen zu reconfigurable radio systems, abgerufen am 22. Januar 2026. Die Seite nennt unter anderem den Start der Initiative 2018, die Studie von 2021 und die Aufgabe am 20. Januar 2026.
• Publications Office of the European Union, Impact assessment study relating to software reconfigurable radio systems, Final Report, veröffentlicht am 22. Dezember 2025.
• EUR-Lex, Call for evidence: Activation of EU rules on radio equipment for reconfigurable radio systems, 29. April 2025.