Saugroboter Datenschutz: Kamera, Karte, Cloud und Vorfälle

Ihr Saugroboter kennt den Grundriss Ihrer Wohnung. Manche Modelle sehen und hören außerdem mit. Wer das nicht möchte, sollte nicht zuerst nach Verschlüsselung fragen, sondern danach, ob überhaupt eine Kamera an Bord sein muss. Unter den hier verglichenen Geräten halten wir deshalb den Kärcher RVC 3 Comfort Extra für die vernünftigste Wahl: Kärcher nennt für ihn Laser-Navigation und keine Kamera, leitet den Datenverkehr laut eigener Angabe über Server in Deutschland, nennt im Datenblatt Software-Updates bis Ende 2032, und er lässt sich über Tasten am Gerät steuern. Soll eine Kamera Hindernisse erkennen, spricht am meisten für den Roborock Qrevo Curv 2 Flow. Bei Ecovacs raten wir zu Vorsicht. Warum, steht gleich unten.

Was erfährt der Hersteller überhaupt?

Mehr, als der Name Staubsauger vermuten lässt. Die Verbraucherzentrale beschreibt es nüchtern: Saugroboter erstellen Navigationskarten Ihrer Räume und schicken sie über die App in die Cloud. Damit lassen sich Wohnräume genau ausmessen. Dazu kommt, was die App je nach Berechtigung einsammelt, etwa Standort oder Kontakte. Das BSI warnt, dass ein Gerät mit 3D-Karte, Kamera und Mikrofon unbeabsichtigt Daten übertragen oder von außen kompromittiert und fremdgesteuert werden kann.

Beim DEEBOT T90 PRO OMNI gehören Kamera und Mikrofon zur Ausstattung, der Aufweckabstand der Sprachsteuerung liegt laut Ecovacs bei 5 Metern. Die Stiftung Warentest prüft zwar das Sendeverhalten der Apps. Ob ein Modell eine Kamera hat, steht aber nach ihrer Auskunft vom Februar 2026 nicht in den Tabellen.

Was ist bei Ecovacs passiert?

Der Fall ist gut dokumentiert und unangenehm. Im Dezember 2023 zeigten die Forscher Dennis Giese und Braelynn Luedtke auf einer Fachkonferenz, dass die PIN für das Live-Bild nur in der App geprüft wurde, nicht auf dem Server oder dem Roboter. Im Mai 2024 übernahmen Unbekannte in mehreren US-Städten Geräte vom Typ Deebot X2, steuerten sie fern und riefen Beleidigungen durch die Lautsprecher. So berichtete der australische Sender ABC, der selbst einen X2 übernommen hatte.

Ecovacs führte das auf anderswo gestohlene Zugangsdaten zurück, fand nach eigener Aussage keinen Einbruch in eigene Systeme und erklärte die PIN-Lücke für behoben. Giese hielt die Korrektur laut ABC für unzureichend. Im Dezember 2024 folgte ein Sicherheitshinweis zu fehlender Zertifikatsprüfung, mit Korrekturen ab App-Fassung 3.0.0 und neuer Firmware für Reihen wie X1, X2 und T10.

Die US-Schwachstellendatenbank NVD führt im November 2026 zum Stichwort Ecovacs 16 Einträge. Dazu zählen zwei als kritisch eingestufte Fehler bei der Zertifikatsprüfung, eine Umgehung der Video-PIN, ein gemeinsamer Bluetooth-Schlüssel, Stationen, die Firmware nicht prüfen, und bei App-Fassungen bis 3.3.0 eingebettete Cloud-Zugangsschlüssel. Ob X12, T90 oder T30e je betroffen waren, geht aus den Einträgen nicht hervor. Dass Ecovacs Hinweise veröffentlicht, ist anständig. Die Liste wiegt trotzdem.

Stehen die anderen wirklich besser da?

Teilweise. Zu Roborock, Narwal, Roomba, Kärcher und Vorwerk führt die NVD keinen Eintrag, bei eufy betreffen sie Kamera-Zentralen. Null heißt aber nicht sicher. Ein Eintrag entsteht erst, wenn jemand sucht und meldet.

iRobot hatte seinen eigenen Skandal. 2022 machte die MIT Technology Review öffentlich, dass Bilder von Entwicklungsgeräten der Roomba-J7-Reihe, darunter eine Frau auf der Toilette, über Datenbeschrifter in Online-Gruppen gelandet waren. Laut iRobot waren es keine Kundengeräte, sondern Testhaushalte mit Einwilligung. Seit Januar 2026 gehört iRobot vollständig dem bisherigen Fertiger Picea aus China. Eine neue US-Tochter soll Verbraucherdaten schützen. Die Mitteilung nennt vor allem US-Daten.

Und wie lange hält ein Dienst? Die Stiftung Warentest nahm im August 2026 das Ende des Service für Neato-Geräte zur Kenntnis. Ein Leser berichtete dort von abgeschalteter Cloud und Saugern, die nicht mehr voll funktionieren.

Wo liegen die Daten, und wie lange gibt es Updates?

Die Verbraucherzentrale rät bei Cloud-Systemen zu Anbietern, die ihre Dienste aus der EU heraus betreiben. Kärcher schreibt von Servern ausschließlich in Deutschland. Roborock verarbeitet Daten laut Trust Center in Rechenzentren der registrierten Region. Ecovacs speichert laut Datenschutzerklärung der Website auf Servern in der EU, nennt aber China als möglichen Ort, von dem aus für Problemlösung und Analyse zugegriffen wird. Für die App gilt eine eigene Erklärung, die Sie vor dem Einrichten lesen sollten.

Fragen Sie vor dem Kauf nach dem Update-Ende, das empfiehlt auch das BSI. Ein festes Datum fanden wir in diesem Feld nur bei Kärcher. iRobot sagt immerhin sechs Monate Vorwarnung zu. Besserung bringt der Cyber Resilience Act: Seit dem 11. September 2026 müssen Hersteller Schwachstellen melden, ab dem 11. Dezember 2027 gelten alle Anforderungen für neu verkaufte Produkte. Dann muss ein Unterstützungszeitraum genannt werden, laut BSI in der Regel fünf Jahre.

Vier Modelle, vier Antworten

Kärcher RVC 3 Comfort Extra

Er orientiert sich per Laser, Kamera und Mikrofon tauchen im Datenblatt nicht auf. Die Anleitung sagt ausdrücklich, dass er über Tasten am Gerät oder per App gesteuert werden kann. Für alle Funktionen empfiehlt Kärcher die App. Er wischt mit einem einfachen Tuch und hat nur eine Absaugstation. Datenschutz kostet hier also Komfort.

Roborock Qrevo Curv 2 Flow

Hat eine Kamera, legt aber die meisten Belege vor: laut Hersteller TÜV-zertifiziert nach ETSI EN 303 645, Kamerafunktionen ab Werk aus. Videoanrufe verlangen einen Tastendruck am Gerät und ein Gestenpasswort. Das sind Herstellerangaben.

DEEBOT T30e OMNI

Die Hindernisse erkennt er laut Hersteller über Infrarot-Lichtmuster, eine Kamera nennt die Shopseite nicht. Konto und Cloud bleiben, ebenso die Frage, wie gründlich die Firma gelernt hat.

DEEBOT T90 PRO OMNI

Kamera und Mikrofon, genau die Kombination aus dem Fall von 2024. Wie sich beides dauerhaft abschalten lässt, beschreibt die Anleitung an diesen Stellen nicht. Für sensible Haushalte würden wir ihn nicht nehmen, erst recht nicht den DEEBOT mini 2, dessen Shopseite Videoanrufe von unterwegs bewirbt.

Geht es ganz ohne Cloud?

Ja, mit Abstrichen. Das BSI bestätigt, dass ein Saugroboter nicht online sein muss, offline aber oft Funktionen fehlen. Ecovacs widerspricht sich: Die Anleitung des T90 PRO nennt ein WLAN als Voraussetzung für den Betrieb und schreibt zugleich, die Grundfunktionen liefen ohne Zustimmung zur Datenschutzerklärung manuell. Prüfen Sie das innerhalb der Widerrufsfrist.

Für Bastler gibt es mehr. Home Assistant spricht die meisten Roborock-Sauger lokal an, Einrichtung, Karten und Routinen laufen aber weiter über die Cloud. Für Ecovacs geht die Integration über die Cloud oder einen selbst betriebenen Server, gestützt auf nachgebaute Schnittstellen. Das freie Projekt Valetudo ersetzt die Hersteller-Software ganz, verlangt aber Rooten und unterstützt nur bestimmte, meist ältere Roborock-, Dreame- und Midea-Modelle. Dazu gehört eine Smart-Home-Zentrale und Geduld.

Sechs Handgriffe vor der ersten Fahrt

• Eigenes Gastnetz für den Roboter einrichten, wie es BSI und Verbraucherzentrale raten. Das kann fast jeder aktuelle Router.
• Ein einmaliges Passwort vergeben und, falls angeboten, die Zwei-Faktor-Anmeldung nutzen. Ecovacs führt den Fall von 2024 auf gestohlene Zugangsdaten zurück.
• App-Rechte kürzen: Standort und Kontakte nur erlauben, wenn eine Funktion sie braucht.
• Automatische Updates einschalten. Bei Ecovacs liegt das unter Erweiterte Robotereinstellungen.
• Videofunktionen aus lassen und Besuch informieren, denn auch Gäste haben Rechte. Vieles aus dem Ratgeber Überwachungskamera sicher einrichten gilt hier genauso.
• Vor dem Verkauf das Gerät aus der App löschen und zurücksetzen.

So würden wir entscheiden

• Keine Kamera, klare Update-Zusage, Bedienung auch ohne App: Kärcher RVC 3 Comfort Extra.
• Kamera gewünscht, aber mit nachvollziehbaren Sicherungen: Roborock Qrevo Curv 2 Flow.
• Station mit Wischpflege bei Ecovacs, aber ohne Kamera: DEEBOT T30e OMNI, dann mit Gastnetz.
• Homeoffice mit vertraulichen Unterlagen: kein Modell mit Kamera. Ein Akku-Staubsauger kennt keinen Grundriss.

Quellen

• BSI: Saugroboter sicher nutzen
• BSI: Cyber Resilience Act
• Verbraucherzentrale: Datenschutz bei digitalen Helfern
• Verbraucherzentrale: Smart Home
• Verbraucherzentrale: Podcast Datenschutz im Smart Home
• Stiftung Warentest: Saugroboter im Test
• National Vulnerability Database: Einträge zu Ecovacs
• Ecovacs: Sicherheitshinweis zur Zertifikatsprüfung (englisch)
• Ecovacs: Datenschutzerklärung
• ABC News: Bericht zu den Vorfällen
• MIT Technology Review: Bilder von Roomba-Entwicklungsgeräten
• iRobot: Übernahme durch Picea
• iRobot: Roboter- und Datensicherheit
• Kärcher: RVC 3 Comfort Extra
• Kärcher: Betriebsanleitung RVC 3
• Roborock: Qrevo Curv 2 Flow
• Roborock: Trust Center
• Home Assistant: Roborock-Integration
• Home Assistant: Ecovacs-Integration
• Valetudo: unterstützte Roboter