Bringt Bluetooth ein Produkt automatisch in den RED-DA-Scope?

14. August 2026 · Lesedauer: 10-12 Minuten

Bluetooth gilt vielen Herstellern als die harmlose Funktechnologie: kurze Reichweite, kein eigener IP-Stack, keine Internetverbindung im klassischen Sinn. Genau diese Einschätzung führt regelmäßig zu einer falschen Scope-Entscheidung. Denn der Delegierte Rechtsakt zur Funkanlagenrichtlinie fragt nicht nach der Funktechnologie, und er kennt neben dem Internetpfad noch einen zweiten Weg in den Anwendungsbereich, der bei Bluetooth-Produkten besonders häufig greift. Dieser Artikel ordnet ein, wann ein Bluetooth-Gerät betroffen ist und wann nicht.

Kurz gesagt

Nein, Bluetooth bringt ein Produkt nicht automatisch in den Scope. In der Praxis liegen die meisten Bluetooth-Produkte trotzdem darin. Maßgeblich sind zwei voneinander unabhängige Wege:

• Der Internetpfad: Das Gerät kann selbst über das Internet kommunizieren, direkt oder über ein anderes Gerät, typischerweise über eine Companion-App oder ein Gateway.
  Anwendbar sind dann die Cybersicherheitsanforderungen aus Artikel 3 Absatz 3 (d) der Funkanlagenrichtlinie und damit die DIN EN 18031-1.
• Die Produktkategorie: Das Gerät ist ein Wearable, ein Spielzeug oder ausschließlich für die Kinderbetreuung bestimmt und verarbeitet personenbezogene, Verkehrs- oder Standortdaten.
  Anwendbar ist dann Artikel 3 Absatz 3 (e) und damit die DIN EN 18031-2, auch ohne jede Internetanbindung.

Ein Bluetooth-Gerät ist also nur dann außerhalb des Scopes, wenn beide Wege ausgeschlossen sind.

RED DA kennt keine Technologiegrenze

In der Delegierten Verordnung (EU) 2022/30 kommt das Wort Bluetooth nicht vor. Auch WLAN, Zigbee, Thread, NFC oder Mobilfunk werden nicht genannt. Der Rechtsakt knüpft an eine Fähigkeit an, nicht an eine Übertragungstechnik: erfasst sind Funkanlagen, die selbst über das Internet kommunizieren können, „direkt oder über ein anderes Gerät“. Dass diese Grenze quer durch alle Funktechnologien verläuft und nicht entlang der WLAN-Fähigkeit, haben wir bereits im Zusammenhang mit dem verbreiteten Mythos vom fehlenden WLAN ausgeführt. Bluetooth ist die Spiegelseite derselben Fragestellung: Die Technologie sagt nichts über den Scope aus, die Architektur des Produkts hingegen alles.

Internetpfad häufig über Companion-App

Der erste Prüfpfad ist die indirekte Internetanbindung. Entscheidend ist dabei nicht, ob überhaupt ein Smartphone im Spiel ist, sondern ob Daten des Geräts über dieses Smartphone einen Endpunkt im Internet erreichen. Die App wirkt dann als Vermittler, das Gerät selbst kommuniziert über das Internet.

Vier typische Konstellationen aus der Praxis:

• BLE-Sensor mit App und Cloud-Konto: Messwerte laufen über die App in ein Backend, Konfiguration und Nutzerkonto kommen von dort zurück. Klar im Scope.
• Kopfhörer mit Firmware-Update über App: Die App lädt ein Firmware-Image vom Hersteller-Backend und schiebt es per Bluetooth ins Gerät. Der Aktualisierungsweg führt über das Internet, das Gerät ist damit im Scope.
• Bluetooth-Kopfhörer ohne App: Wiedergabe lokal gespeicherter Titel, Bedienung nur am Gerät, keinerlei Datenaustausch mit einem Backend. Kein Internetpfad, damit kein Scope über Artikel 3 Absatz 3 (d).
• Bluetooth-Tastatur oder -Maus: Rein lokale HID-Verbindung ohne eigenen Kanal ins Netz. Ebenfalls kein Internetpfad.

Zwei Feinheiten werden dabei oft übersehen. Erstens genügt die Fähigkeit zur Internetkommunikation, sie muss nicht ständig genutzt werden. Ein Gerät, dessen Cloud-Anbindung optional ist oder erst nach Registrierung aktiv wird, ist trotzdem erfasst. Zweitens zählt auch der Weg über Hub, Bridge oder Gateway. Ein Bluetooth-Mesh-Aktor, der über eine Zentrale ansprechbar ist, hat einen Internetpfad, selbst wenn er selbst nie eine IP-Adresse sieht.

Wearables, Spielzeug und Kinderbetreuung greifen ohne Internetpfad

Der zweite Weg wird in der Praxis am häufigsten übergangen, betrifft aber gerade Bluetooth-Produkte. Artikel 3 Absatz 3 (e) der Funkanlagenrichtlinie, also der Schutz personenbezogener Daten und der Privatsphäre, ist nach der Delegierten Verordnung nicht auf internetfähige Geräte beschränkt. Erfasst sind zusätzlich:

• Funkanlagen, die ausschließlich für die Kinderbetreuung konzipiert oder bestimmt sind,
• Funkanlagen im Anwendungsbereich der Spielzeugrichtlinie 2009/48/EG,
• sowie am Körper getragene Funkanlagen, also Wearables.

Für alle diese Kategorien gilt RED DA, sofern das Gerät personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeitet. Eine Internetanbindung ist dafür nicht erforderlich. Ein reines Bluetooth-Wearable, das Vitaldaten erhebt und ausschließlich lokal an ein gekoppeltes Gerät überträgt, kann damit im Anwendungsbereich der DIN EN 18031-2 liegen, obwohl es die Anforderungen aus Artikel 3 Absatz 3 (d) und die DIN EN 18031-1 nie berühren. Welcher Normteil bei welcher Konstellation greift, haben wir in unserem Überblick über die drei Normteile systematisch aufgeschlüsselt.

Ob ein konkretes Produkt als Wearable einzuordnen ist, bleibt eine Einzelfallbewertung und ist bei körpernah getragenen Geräten wie In-Ear-Kopfhörern oder Hörhilfen ohne Medizinprodukte-Status durchaus zu diskutieren. Für die Nachweisführung gilt deshalb: Die Einordnung samt Begründung gehört dokumentiert, nicht nur das Ergebnis.

Bluetooth gilt als Netzwerkschnittstelle

Ist der Scope geklärt, verschiebt sich die Frage. Dann geht es nicht mehr darum, ob Bluetooth zählt, sondern darum, dass Bluetooth eine Schnittstelle ist, über die Entitäten auf Assets Ihres Geräts zugreifen. Genau darauf zielen die Mechanismen der DIN EN 18031, genau hier entstehen die typischen Befunde:

• Pairing ohne Nutzerbestätigung („Just Works“) und damit ohne wirksame Authentifizierung der Gegenstelle.
• Feste PIN-Codes wie 0000 oder 1234, die dem Umgang mit Standardpasswörtern entsprechen und nicht änderbar sind.
• Offene GATT-Dienste, über die sich Konfiguration lesen oder schreiben lässt, ohne dass ein Access-Control-Mechanismus greift.
• Unauthentifizierte Update-Dienste über Bluetooth, bei denen die Signatur des Firmware-Images nicht geprüft wird.
• Statische Bluetooth-Adressen statt wechselnder Private Addresses, die eine dauerhafte Wiedererkennung des Trägers ermöglichen und im Kontext der DIN EN 18031-2 relevant werden.

Diese Punkte sind keine exotischen Sonderfälle, sondern Standardeinstellungen vieler Bluetooth-Stacks und Referenzdesigns. Wer sie unverändert übernimmt, hat die Konfiguration nicht bewertet, sondern geerbt.

Vier Schritte zur belastbaren Einordnung

1. Alle Bluetooth-Funktionen erfassen: genutzte Profile und Dienste, Pairing-Verfahren, Update-Wege, Adressierungsverhalten.
2. Internetpfad bestimmen: Erreichen Daten des Geräts über App, Hub, Bridge oder Gateway einen Endpunkt im Internet? Bereits die Fähigkeit genügt.
3. Produktkategorie prüfen: Wearable, Spielzeug oder Kinderbetreuung, und werden dabei personenbezogene, Verkehrs- oder Standortdaten verarbeitet?
4. Ergebnis dokumentieren: anwendbare Normteile, ausgeschlossene Normteile und die Begründung für den Ausschluss.

Gern nehmen wir diese Einordnung gemeinsam mit Ihnen vor und halten sie in einer Form fest, die einer Prüfung standhält.

Eine Fehleinordnung trifft den Marktzugang

Seit dem 1. August 2025 prüft die Marktüberwachung auch die Cybersicherheitsanforderungen; in Deutschland ist die Bundesnetzagentur zuständig, und Verdachtsfälle können von jeder Person gemeldet werden, ausdrücklich auch von Wettbewerbern. Wer ein Bluetooth-Produkt fälschlich als nicht betroffen einstuft, hat keine anwendbare Norm herangezogen, keine Bewertung dokumentiert und keinen tragfähigen Nachweis. Dass ein bestehendes CE-Zeichen diese Lücke nicht schließt, sondern nur verdeckt, haben wir in der vorherigen Woche im Artikel zum CE-Zeichen und zur Konformitätserklärung ausgeführt.

Häufige Fragen

Fällt ein Bluetooth-Gerät automatisch unter die RED DA? Nein. Bluetooth ist kein Scope-Kriterium. Erfasst wird ein Gerät, wenn es direkt oder indirekt über das Internet kommunizieren kann oder wenn es als Wearable, Spielzeug oder Gerät zur Kinderbetreuung personenbezogene, Verkehrs- oder Standortdaten verarbeitet.

Zählt eine Companion-App als Internetanbindung? Ja, sofern über die App Daten des Geräts einen Endpunkt im Internet erreichen, etwa ein Cloud-Konto, eine Telemetrie-Schnittstelle oder ein Firmware-Backend. Die App wirkt dann als Vermittler der Internetkommunikation des Geräts.

Ist ein Bluetooth-Wearable ohne Internetverbindung außerhalb des Scopes? In der Regel nicht. Am Körper getragene Funkanlagen sind von Artikel 3 Absatz 3 (e) auch ohne Internetanbindung erfasst, sofern sie personenbezogene, Verkehrs- oder Standortdaten verarbeiten. Anwendbar ist dann die DIN EN 18031-2.

Sind Bluetooth-Kopfhörer ohne App betroffen? Ohne Datenaustausch mit einem Backend fehlt der Internetpfad und damit die Grundlage für Artikel 3 Absatz 3 (d). Zu prüfen bleibt die Wearable-Einordnung sowie die Frage, ob personenbezogene Daten verarbeitet werden.

Bedeutet ein fehlender Scope, dass die RED nicht gilt? Nein. Jedes Bluetooth-Gerät bleibt eine Funkanlage und muss die übrigen grundlegenden Anforderungen der Funkanlagenrichtlinie erfüllen, insbesondere Gesundheit und Sicherheit, elektromagnetische Verträglichkeit und effiziente Frequenznutzung.

Fazit

Bluetooth ist kein Freifahrtschein und kein Automatismus. Wer die Einordnung an der Funktechnologie festmacht, prüft am falschen Merkmal und landet je nach Produkt zu früh im Ausschluss oder in unnötigem Aufwand. Belastbar wird die Entscheidung erst, wenn beide Wege in den Scope geprüft sind: der Internetpfad über App, Hub oder Gateway und die Produktkategorie mit Wearables, Spielzeug und Kinderbetreuung. Erst danach beginnt die eigentliche Arbeit an den Mechanismen der DIN EN 18031.

Im nächsten Artikel unserer RED-DA-Reihe schauen wir genauer auf den Begriff der Netzwerkschnittstelle: Was die DIN EN 18031 darunter versteht, welche Schnittstellen eines Geräts dazugehören und welche nicht, und warum diese Abgrenzung über den Umfang der gesamten Bewertung entscheidet.

Unser kostenfreier RED-DA-Scope-Check ordnet in wenigen Schritten ein, ob Ihr Bluetooth-Produkt betroffen ist und welche Normteile für Ihren Nachweis anwendbar sind.

Wenn Sie die Einordnung lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch prüfen wir Produktarchitektur, Internetpfade und Nachweisführung und ordnen Ihre Ausgangslage ein. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Artikel gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie der Normteile DIN EN 18031-1 und -2.