Cybersicherheit bei Funkspielzeug – RED, EN 18031 und Übergang zum CRA
Praxisleitfaden zu RED-Cybersicherheit bei Funkspielzeug, EN 18031, Datenschutz ohne Internet und Übergang zum CRA 2027.
Ein ferngesteuertes Spielzeug muss nicht mit dem Internet verbunden sein, damit einzelne Cybersicherheitsanforderungen der Funkanlagenrichtlinie RED relevant werden. Hersteller und Importeure prüfen Netzschutz gemäß Artikel 3 Absatz 3 Buchstabe d, Datenschutz gemäß Buchstabe e und Schutz vor Betrug gemäß Buchstabe f getrennt. Maßgeblich sind die tatsächlichen Funkfunktionen, verarbeiteten Daten und das erste Inverkehrbringen in der EU, nicht bloß die Bezeichnung „Bluetooth“ oder „smart“.
Für wen gelten die Vorschriften und ab wann?
Dieser Leitfaden richtet sich an Hersteller, Einführer, Händler und Qualitätsverantwortliche für ferngesteuerte Autos, Bluetooth-Spielzeuge und appgesteuerte Spielzeuge in Schweden und der EU. Die Richtlinie 2014/53/EU (RED) und die delegierte Verordnung (EU) 2022/30 sehen seit dem 1. August 2025 besondere Cybersicherheitsanforderungen für bestimmte Funkanlagen vor. Nicht jedes Spielzeug unterliegt allen Anforderungen. Ein Spielzeug ohne Funkanlage wird nicht allein aufgrund seiner Eigenschaft als Spielzeug erfasst. Spielzeugsicherheit, allgemeine Produktsicherheit und DSGVO sind gegebenenfalls zusätzlich gesondert zu prüfen.
Die delegierte Verordnung (EU) 2026/339 hebt die RED-Cybersicherheitsverordnung mit Wirkung vom 11. Dezember 2027 auf, wenn die zentralen Anforderungen des Cyber Resilience Act (EU) 2024/2847 anwendbar werden. Die Marktüberwachung für Produkte, die im früheren RED-Zeitraum in Verkehr gebracht wurden, bleibt möglich.
Entscheidungsmatrix: drei getrennte Anforderungen
| Frage zum Produkt | Mögliche Pflicht | Erforderliche Nachweise |
|---|---|---|
| Kann die Funkanlage unmittelbar oder über andere Geräte mit dem Internet kommunizieren? | RED 3(3)(d): Netzschutz | Verbindungsübersicht, App/Gateway, Funktionen und Prüfberichte. |
| Kann das Funkspielzeug personenbezogene, Verkehrs- oder Standortdaten verarbeiten? | RED 3(3)(e): Datenschutz und Privatsphäre, gegebenenfalls ohne Internet | Tatsächliche Datenarten, Berechtigungen, Speicherung und Schutzmaßnahmen. |
| Kann die internetfähige Funkanlage Geld, Geldwerte oder virtuelle Währungen übertragen? | RED 3(3)(f): Schutz vor Betrug bei erfüllten Voraussetzungen | Zahlungsfunktion, Transaktionsablauf und Kontrollen. |
Jede Vorschrift ist separat zu bewerten. Ohne Internet ist 3(3)(d) möglicherweise nicht einschlägig; für datenverarbeitendes Funkspielzeug entfällt 3(3)(e) dadurch nicht automatisch.
Was bedeuten EN 18031-1 und EN 18031-2?
EN 18031-1:2024, EN 18031-2:2024 und EN 18031-3:2024 sind harmonisierte Normen für die jeweiligen Bereiche. Die Norm ist kein zwingend vorgeschriebenes Zertifikat. Harmonisierte Normen bieten eine Möglichkeit zum Nachweis der Konformität; nach RED sind auch andere Bewertungswege möglich. Der Durchführungsbeschluss (EU) 2025/138 begrenzt in bestimmten Fällen die Konformitätsvermutung, etwa bei Passwörtern und elterlichen Zugriffskontrollen.
Eine pauschale Aussage „EN 18031 compliant“ genügt nicht. Verlangen Sie eindeutige Modell- und Firmwareangaben, angewendete Normabschnitte, überprüfbare Prüfberichte, Abweichungen und den Nachweis des geeigneten Konformitätsbewertungsverfahrens. Klären Sie, ob eine notifizierte Stelle beteiligt sein muss. Ein ausgefülltes Excel-Register oder eine Lieferantenaussage ersetzt weder die technische Dokumentation noch die EU-Konformitätserklärung.
Sieben Schritte vor der Produktfreigabe
- Modell, Artikelnummer, Firmware, Funkschnittstellen, Hersteller, Importeur, Charge und Datum des erstmaligen Inverkehrbringens in der EU festhalten.
- Direkte oder indirekte Internetverbindungen über Apps, Mobiltelefone, Router und andere Geräte prüfen.
- Sprach-, Bild-, Konto-, Gerätekennungs-, Verkehrs- und Standortdaten sowie verantwortliche Akteure erfassen.
- Für 3(3)(d), (e) und (f) jeweils eine begründete Ja/Nein-Entscheidung samt Ausnahmen dokumentieren.
- Echte Konstruktions- und Prüfberichte, Normfassung, ggf. Nachweise notifizierter Stellen und EU-Konformitätserklärung einholen.
- Offene Abweichungen, Korrekturmaßnahmen, interne Chargensperren und befugte Freigabe festhalten.
- Bei neuem Inverkehrbringen ab 11. Dezember 2027 die einschlägigen CRA-Pflichten gesondert beurteilen.
Drei Praxisbeispiele
Spielzeugauto mit lokaler Funkfernbedienung
Ohne Internetverbindung darf 3(3)(d) nicht automatisch bejaht werden. Die Fähigkeit, relevante personenbezogene, Verkehrs- oder Standortdaten zu verarbeiten, ist für 3(3)(e) gesondert zu prüfen; auch diese Pflicht kann bei fehlenden Voraussetzungen ausscheiden.
Appgesteuertes Spielzeug mit Mikrofon
Eine App übermittelt Daten ins Internet und speichert Tonaufnahmen zu einem Konto. Netzwerk- und Datenschutzanforderungen können gleichzeitig gelten. App, Cloud, Firmware und Nachweise müssen gemeinsam bewertet werden.
Undatierter Lieferantennachweis
Ein allgemeiner EN-18031-Vermerk ohne Modell, Firmware, Prüfumfang oder Aussteller begründet keine belastbare Nachweiskette. Fordern Sie Details an und prüfen Sie eine vorläufige Chargensperre.
Häufige Fragen
Gelten RED-Pflichten auch für Bluetooth-Spielzeug ohne Internet?
Ja, gegebenenfalls. Artikel 3(3)(e) kann Funkspielzeug mit relevanter Verarbeitung personenbezogener, Verkehrs- oder Standortdaten auch ohne Internet erfassen. Artikel 3(3)(d) ist getrennt zu prüfen.
Ist EN 18031-1 für alle Hersteller verbindlich?
Nein. EN 18031-1 betrifft den Netzschutz internetfähiger Funkanlagen. Die Verwendung harmonisierter Normen ist nicht stets zwingend; die gesetzlichen Anforderungen und das Konformitätsbewertungsverfahren bleiben verbindlich.
Dürfen ältere Modelle nach dem 11. Dezember 2027 weiter verkauft werden?
Prüfen Sie das erstmalige Inverkehrbringen der jeweiligen Produkte und spätere Änderungen. Die Aufhebung beseitigt frühere RED-Pflichten nicht rückwirkend; ggf. ist auch der CRA zu berücksichtigen.
Reicht eine Lieferantencheckliste für CE?
Nein. Sie ist nur eine Verwaltungshilfe und ersetzt keine echten technischen Nachweise, die korrekte Konformitätsbewertung und sonstige Produktanforderungen.
Passende Dokumentvorlagen
Für die praktische Dokumentation gibt es ein thematisch passendes Vorlagenpaket: RED-Cybersicherheit-Radiospielzeug 2026/2027 – EN 18031, Lieferantennachweis & Chargensperre | Word/PDF/Excel Die Vorlagen sind freiwillige Arbeitshilfen; der Leitfaden ist auch ohne Kauf hilfreich.
Amtliche Quellen und Prüfdatum
- PTS – cybersecurity requirements for radio equipment
- Delegated Regulation (EU) 2022/30
- Commission Decision (EU) 2025/138 – EN 18031
- Delegated Regulation (EU) 2026/339 – repeal
- RED 2014/53/EU · CRA 2024/2847
Redaktionelle Quellenkontrolle am 11. November 2026 anhand von PTS und EUR-Lex. Allgemeine Information, keine individuelle Rechtsberatung oder Konformitätsbewertung. Vor dem Inverkehrbringen Fachleute für Technik und Recht einbeziehen.
