Welche Produkte fallen überhaupt unter die RED DA?

July 3, 2026 · Reading Time: 7-9 minutes

Seit dem 1. August 2025 gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie verbindlich. Für Hersteller ist die erste und wichtigste Frage nicht wie man konform wird, sondern ob das eigene Produkt überhaupt betroffen ist. Genau hier entstehen die teuersten Fehleinschätzungen, in beide Richtungen.

Die kurze Antwort

Unter die RED DA (den delegierten Rechtsakt zur Funkanlagenrichtlinie, Delegierte Verordnung (EU) 2022/30) fällt jede Funkanlage, die direkt oder indirekt mit dem Internet kommunizieren kann. „Indirekt“ ist dabei der entscheidende Zusatz: Ein Gerät ist auch dann betroffen, wenn es selbst keinen eigenen Internetzugang hat, aber über ein Gateway, eine Bridge oder eine Smartphone-App ans Netz angebunden ist.

Wenn Ihr Produkt Funkwellen sendet oder empfängt und auf irgendeinem Weg Daten mit dem Internet austauscht, ist die RED DA mit hoher Wahrscheinlichkeit anwendbar.

Zwei Bedingungen müssen erfüllt sein

Damit ein Produkt in den Anwendungsbereich fällt, müssen zwei Voraussetzungen zusammenkommen:

1. Es ist eine Funkanlage im Sinne der RED (Richtlinie 2014/53/EU).
   Das sind elektrische oder elektronische Produkte, die bestimmungsgemäß Funkwellen aussenden und/oder empfangen, etwa über WLAN, Bluetooth, Zigbee, NFC, Mobilfunk oder proprietäre Funktechnik.
2. Es kann direkt oder indirekt mit dem Internet kommunizieren.
   Direkt heißt: eigener Internetzugang.
   Indirekt heißt: Anbindung über ein anderes Gerät, etwa einen Hub, eine Bridge, einen Router oder eine App auf dem Smartphone des Nutzers.

Fehlt eine der beiden Bedingungen, greift die RED DA nicht. Ein reines Funkgerät ohne jede Internetanbindung fällt ebenso wenig darunter wie ein internetfähiges Produkt ohne Funkschnittstelle.

Welche Produktkategorien sind typischerweise betroffen?

Die Bandbreite ist groß und reicht weit über klassische IT-Geräte hinaus:

• Consumer Electronics: Smartphones, Tablets, Wearables, Wireless-Headsets, Smartwatches
• IoT & Smart Home: Thermostate, IP-Kameras, smarte Türschlösser, vernetzte Haushaltsgeräte, Sprachassistenten
• Netzwerktechnik: WLAN-Router, Access Points, Mesh-Systeme, Zigbee- und Bluetooth-Hubs
• Industrie & Gebäudetechnik: vernetzte Sensorik, Brandmelder, Zutrittssysteme, Steuerungen
• Gesundheits- und Fitnessprodukte: Fitness- und Vitaldatentracker (soweit nicht als Medizinprodukt reguliert)
• Zahlungsgeräte: mPOS-Terminals, kontaktlose Kartenleser, NFC-Transaktionsgeräte

Auffällig: Ein spürbarer Teil dieser Produkte hat keinen eigenen Bildschirm, keine sichtbare „IT“ und wird von Herstellern intuitiv nicht als Cybersecurity-relevant eingeordnet. Ein batteriebetriebener Funksensor, der seine Werte über ein Gateway in eine Cloud schickt, ist ein Lehrbuchbeispiel für den unterschätzten Anwendungsfall.

Der Sonderfall, der am häufigsten übersehen wird: indirekte Anbindung

In der Praxis wird die indirekte Internetanbindung regelmäßig unterschätzt. Die Entscheidungslogik ist jedoch eindeutig:

• Fällt das Produkt unter die RED?
  Wenn nein, kein Handlungsbedarf.
• Kann es selbstständig auf das Internet zugreifen?
  Wenn ja: betroffen.
• Wenn nein: Verwendet es Internetprotokolle oder kann es über ein anderes Gerät mit dem Internet kommunizieren?
  Wenn ja: betroffen.

Das bedeutet: Ein Zigbee-Türsensor ohne eigene IP-Adresse ist betroffen, sobald er über einen Hub erreichbar ist. Ein Bluetooth-Kopfhörer, der ausschließlich per App konfiguriert wird, kann in den Scope fallen. Die Frage „Hat mein Gerät WLAN?“ ist deshalb der falsche Prüfmaßstab. Die richtige Frage lautet: „Können über dieses Gerät auf irgendeinem Weg Daten ins Internet gelangen?“

Welche Produkte sind ausgenommen?

Nicht jede Funkanlage ist erfasst. Ausgenommen sind unter anderem:

• Funkanlagen ohne direkte oder indirekte Internetanbindung
• rein militärisch genutzte Geräte
• Produkte unter sektorspezifischen Rahmenwerken (etwa Luftfahrt)
• Medizinprodukte im Anwendungsbereich der EU-Medizinprodukteverordnungen (MDR/IVDR)

Gerade die Medizinprodukte-Abgrenzung ist heikel: Ein Fitnesstracker fällt unter die RED DA, ein regulatorisch als Medizinprodukt eingestuftes Gerät hingegen unter das jeweilige Medizinprodukterecht. Die Einordnung sollte früh und belastbar erfolgen, nicht nachträglich.

Drei Schutzziele, drei Normteile

Ist der Scope einmal geklärt, bestimmt das konkrete Produkt, welche Teile der harmonisierten Normenreihe EN 18031 anwendbar sind:

• EN 18031-1, Netzwerkschutz (RED Art. 3.3 d): für alle internetfähigen Funkanlagen.
• EN 18031-2, Datenschutz und Privatsphäre (Art. 3.3 e): wenn personenbezogene, Verkehrs- oder Standortdaten verarbeitet werden.
• EN 18031-3, Betrugsschutz (Art. 3.3 f): wenn Geld-, Werte- oder Wertpapiertransaktionen ermöglicht werden.

Viele Produkte fallen unter mehrere Teile gleichzeitig. Welcher Teil wann greift, ist Thema des nächsten Beitrags dieser Serie.

Der Scope entscheidet über Ihren Marktzugang

Die Scope-Frage ist kein akademisches Detail. Ohne belastbaren Konformitätsnachweis kein CE-Zeichen, und ohne CE-Zeichen kein EU-Marktzugang. Seit dem 1. August 2025 prüft die Marktüberwachung auch die Cyberanforderungen; in Deutschland ist die Bundesnetzagentur zuständig. Verdachtsfälle können von jeder natürlichen oder juristischen Person gemeldet werden, ausdrücklich auch von Wettbewerbern. Dass ein Verfahren nicht öffentlich wird, heißt nicht, dass nicht geprüft wird.

Wer sein Produkt fälschlich als „nicht betroffen“ einstuft, riskiert Vertriebsstopps, Rückrufe und Bußgelder. Wer umgekehrt vorsorglich Aufwand für ein gar nicht betroffenes Produkt betreibt, verschwendet Entwicklungsbudget. Beides lässt sich mit einer sauberen Scope-Analyse zu Projektbeginn vermeiden.

Häufige Fragen

Fällt mein Gerät unter die RED DA, wenn es nur über eine App ins Internet geht? Sehr wahrscheinlich ja. Erfasst sind auch Funkanlagen, die indirekt, etwa über eine Smartphone-App oder ein anderes Gerät, mit dem Internet kommunizieren.

Ist ein Produkt ohne WLAN automatisch außerhalb des Scopes? Nein. Entscheidend ist nicht die konkrete Funktechnik, sondern ob überhaupt eine direkte oder indirekte Internetanbindung besteht. Bluetooth, Zigbee oder NFC in Kombination mit einem Gateway reichen aus.

Gilt die RED DA auch für Bestandsprodukte? Maßgeblich ist der Zeitpunkt des Inverkehrbringens. Funkanlagen, die vor dem 1. August 2025 in Verkehr gebracht wurden, unterliegen weiterhin den bisherigen Anforderungen, solange kein erneutes Inverkehrbringen erfolgt.

Bedeutet ein vorhandenes CE-Zeichen, dass ich RED-DA-konform bin? Nein. Ein CE-Zeichen deckt nur die Anforderungen ab, gegen die tatsächlich bewertet wurde. Die Cyberanforderungen der RED DA sind ein eigener Nachweis, dazu mehr in einem späteren Beitrag dieser Serie.

Fazit

Die Scope-Frage entscheidet sich an einer einzigen Achse: Funkanlage plus direkte oder indirekte Internetanbindung. Wer diese Prüfung ernst nimmt, inklusive der leicht übersehenen indirekten Fälle, legt das Fundament für ein belastbares Compliance-Projekt. Wer sie überspringt, baut auf Annahmen, die die Marktüberwachung nicht teilen muss.

Unsicher, wie Ihr Produkt einzuordnen ist? Der RED-DA-Scope-Check von uwuWARE ordnet Ihre Funkanlagen in wenigen Schritten ein, bevor aus einer offenen Frage ein Marktzugangsrisiko wird.

Wenn Sie die Scope-Frage lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch ordnen wir Ihre Ausgangslage ein. Mehr dazu auf unserer Seite zur RED-DA-Beratung.