Warum das Rooten von IoT-Geräten gerechtfertigt und notwendig ist

Begriffsdefinition "Rooten"

Rooten (engl. rooting) bezeichnet das Verschaffen von erweiterten Administrator- bzw. Superuser-Rechten durch den Benutzer auf einem Gerät mit Unix-artigem Betriebssystem – heute fast auf allen Embedded Systemen der Internet of Things (IoT). Der Begriff leitet sich vom Root-Konto ab, dem Administratorkonto in Unix/Linux-Systemen.

In der Praxis hat der Hersteller die Zugriffe auf das Root-Konto standardmäßig gesperrt, damit Nutzer das System nicht versehentlich beschädigen. Beim Rooten werden diese Sperren (z. B. über das Entsperren des Bootloaders und ein Custom-Recovery wie TWRP) umgangen, sodass man vollen Lese- und Schreibzugriff auf das gesamte Dateisystem erhält. Das ermöglicht u. a. das Entfernen von vorinstallierten Apps (Bloatware), das Installieren von Custom-ROMs oder tiefgreifende Systemeinstellungen.

Das Rooten birgt Risiken: Garantieverlust, mögliche Sicherheitslücken und im schlimmsten Fall ein dauerhaft unbrauchbares Gerät („Bricking“). Dies trifft vor allem zu, wenn man der Erste ist, der es versucht. Die vorhandenen Rootkits und Anleitungen sind jedoch bereits derart etabliert und entwickelt, dass diese Gefahr bereits minimiert und abschätzbar ist. Manche Geräte bieten darüberhinaus einen Factory-Reset, der aus dem gebrickten Zustand hinaus führt.

Motivation

Jedes der in diesem Artikel aufgeführten Geräte sendet ohne wirksames, informiertes Einverständnis Daten an Hersteller- und Werbeserver. Die Zustimmung über eine elfseitige Datenschutzerklärung, die bei der Inbetriebnahme mit einem einzigen Haken abgenickt wird, erfüllt nicht die Anforderungen an eine informierte Einwilligung im Sinne des ACM-Code-Prinzips 1.6

„Computing professionals should establish transparent policies and procedures that allow individuals to understand what data is being collected and how it is being used, to give informed consent for automatic data collection, and to review, obtain, correct inaccuracies in, and delete their personal data."
(„IT-Fachleute sollten transparente Richtlinien und Verfahren etablieren, die es Einzelpersonen ermöglichen, nachzuvollziehen, welche Daten erhoben und wie diese verwendet werden; zudem sollten sie eine informierte Einwilligung zur automatischen Datenerhebung erteilen sowie ihre personenbezogenen Daten einsehen, abrufen, korrigieren und löschen lassen können.")

Die Praxis zeigt das Gegenteil: ACR-Screenshots alle zehn Millisekunden, unverschlüsselte UDP-Verbindungen, Cloud-Pflicht, keine Löschung auf Verlangen. Der Konsument hat keine Möglichkeit, die Sammlung nachträglich zu kontrollieren oder zu stoppen, außer er greift in das Gerät selbst ein.

Der menschenrechtliche Anspruch

Artikel 12 der Allgemeinen Erklärung der Menschenrechte lautet:

„Niemand darf willkürlich in seine Privat- und Familienverhältnisse, in seine Wohnung oder seinen Briefverkehr eingreifen oder seinen Ehre und Ruf angegriffen werden. Jeder hat das Recht auf den Schutz des Gesetzes gegen derartige Eingriffe."

Drei Punkte sind hier entscheidend:

Wohnung. Das vernetzte Gerät befindet sich physisch in der Wohnung des Nutzers. Es ist ein Überwachungsinstrument in der eigenen Privatwohnung, exakt der Ort, den Artikel 12 schützt.

Willkürlich. Eine Einwilligung, die als Bedingung für die Grundnutzung eines Geräts verlangt wird („entweder du akzeptierst die Cloud oder das Gerät funktioniert nicht"), ist keine freiwillige, sondern eine erzwungene Einwilligung. Sie ist daher willkürlich im Sinne des Artikels.

Recht auf den Schutz des Gesetzes. Wenn der Hersteller sich weigert, die Datenerhebung zu stoppen, und der Gesetzgeber nicht eingreift, bleibt dem Individuum nur der eigene technische Selbstschutz. Das Rooten ist in dieser Konstellation die de-facto-Realisierung des Rechts auf Schutz gegen willkürliche Eingriffe.

Die UN-Menschenrechtskommission hat in ihrer Auslegung von Artikel 12 (2013, A/HRC/27/37) ausdrücklich klargestellt, dass das Recht auf Privatsphäre auch gegen private Akteure gilt, nicht nur gegen den Staat.

Die ethische Rechtfertigung nach dem ACM Code of Ethics (2018)

Der ACM Code adressiert zwar primär Computing Professionals, aber seine Prinzipien bilden den Maßstab, an dem sich auch das Verhalten von Geräteherstellern messen lässt, und umgekehrt die Berechtigung des Nutzers, gegen Verletzungen zu handeln:

Die juristische Einordnung (Deutschland)

§ 202a StGB (Verletzung fremden Zugangsrechts) greift nicht, da der Nutzer das Gerät gekauft hat und damit alle Nutzungsrechte daran besitzt. Es ist kein fremdes System.

§ 85a UrhG (Umgehung von Zugangsschutzmaßnahmen) schützt ausschließlich Urheberrechte. Die Umgehung eines Bootloader-Locks zum Schutz der eigenen Privatsphäre verletzt kein Urheberrecht.

Die EU-Reparaturrechte-Richtlinie (COM/2022/45) und die Forderung nach einem Right to Repair stützen das Prinzip, dass der Eigentümer eines Geräts das Recht hat, es zu modifizieren.

DSGVO Art. 7 Abs. 3: „Die Person, der die Einwilligung erteilt wurde, muss in der Lage sein, die Einwilligung jederzeit zu widerrufen." Wenn der Hersteller einen Widerruf technisch unmöglich macht (Cloud-Pflicht), ist die Einwilligung sinnlos, und der Nutzer ist berechtigt, sie technisch zu erzwingen.

Warum „einfach ein anderes Gerät kaufen" nicht ausreicht

Man könnte einwenden: Kaufe einfach ein datensparsames Gerät. Das ist in der Praxis oft nicht möglich, weil die datensparsamsten Alternativen (Valetudo, Eve, Shelly, Reolink) unter Umständen teurer, weniger funktionsreich oder für bestimmte Use-Cases schlicht überhaupt nicht verfügbar sind. Der Markt wird von wenigen Playern dominiert (Amazon, Google, Apple, Samsung, LG, Xiaomi). Wer nicht rootet, hat oft keine echte Wahl mehr. Rooten ist die einzige Maßnahme, die den Nutzer in die Position bringt, die Kontrolle tatsächlich auszuüben, nicht nur zu fordern.

Das Rooten eines eigenen vernetzten Geräts ist menschenrechtlich gerechtfertigt (UDHR Art. 12), ethisch geboten (ACM 1.1, 1.2, 1.6), juristisch unproblematisch (kein Verstoß gegen § 202a StGB, § 85a UrhG oder DSGVO) und notwendig, weil der Hersteller den einzigen wirksamen Schutzmechanismus, die technische Kontrolle über die eigene Datenerhebung, verweigert. Es ist kein Hackerangriff. Es ist Selbstverteidigung der Privatsphäre mit den Mitteln, die der Eigentümer selbst besitzt.

Die am weitesten verbreiteten vernetzten Geräte in deutschen Haushalten

Laut Destatis (2024) und Bitkom (2025/2026):

Wichtigste Einordnung:

Der vernetzte Fernseher ist mit Abstand das häufigste Rückverbindungsgerät. Forscher haben bei LG- und Samsung-Geräten nachgewiesen, dass diese auch im Standby WLAN scannen und per Automated Content Recognition mitlesen, was auf dem Bildschirm läuft. Daten fließen an Werbesparte-Server.

Vernetzte Lautsprecher (vor allem Amazon Alexa, bei rund 70 % der Smart-Speaker-Besitzer) sammeln permanent Sprachdaten, selbst wenn das Weckwort nicht aktiviert wurde.

Saugroboter (Xiaomi, iRobot, Roborock) senden Raumkarten und Nutzungsdaten an die Hersteller-Cloud.

Rund 49 % der deutschen Haushalte haben mehr als vier vernetzte Geräte im Einsatz, 23,5 % sogar mehr als sieben. Bei den vernetzten Lautsprechern dominiert der Amazon Echo den deutschen Markt, gefolgt von Google Nest und Apple HomePod.

Die datengierigsten Modelle je Sparte

Vernetzter Fernseher

LG und Samsung bestreiten beide die Vorwürfe; LG sagt, ACR arbeite nur mit Audio-Fingerabdrücken und sei ab Werk deaktiviert.

Vernetzter Lautsprecher

Saugroboter

Steckdosen, Beleuchtung, Thermostate

Datensparsame Alternativen: Eve Energy (komplett cloud-frei), Shelly Plug S (lokal, REST-API), FRITZ!DECT 200 (lokal über FRITZ!Box).

Videoüberwachung

Datensparsame Alternativen: Reolink Argus 3 Pro (nur SD-Karte, kein Cloud-Upload), Eufy (lokale Speicherung auf HomeBase), Netatmo (EU-Server, DSGVO-konform).

Die drei absolut datengierigsten Geräte

1. Amazon Echo – 28/32 Datenpunkte, zwingende Cloud, 30×-Werbeprämie
2. LG vernetzter Fernseher – ACR alle 10 ms plus Netzwerk-Scan plus Mikrofon
3. Ring / Arlo Kamera – Videoaufnahmen plus Gesichtserkennung in US-Cloud

Wer diese drei Kategorien meidet oder die jeweiligen Tracking-Funktionen (ACR, Cloud-Sync, Sprachaufnahmen) deaktiviert, reduziert die Rückverbindungsfläche im Haushalt drastisch.

Root-Anleitungen und verfügbare Ressourcen

Praktische Empfehlung

• LG Fernseher: RootMyTV plus Homebrew Channel, ACR und Tracking-Apps deinstallieren
• Xiaomi / Roborock: Valetudo, komplett cloud-frei, Karten bleiben lokal
• Echo Show: LineageOS, Amazon-Tracking komplett eliminiert
• Tapo: modded Firmware, Cloud-Verbindung entfernen
• Ring / Arlo / Nest: Gerät ersetzen (z. B. durch Reolink oder Eufy)