Produktsicherheit und Daten

MESHLE GmbH · Stand: 03.11.2026

Diese Seite enthält die Informationen nach Anhang II der Verordnung (EU) 2024/2847 (Cyber Resilience Act), nach Art. 3(3)(d) der Richtlinie 2014/53/EU (Funkanlagen) und nach Art. 3 der Verordnung (EU) 2023/2854 (Data Act) für die unten genannten Produkte der MESHLE GmbH.

1. Hersteller

MESHLE GmbH
Parkstr. 42, 47877 Willich, Deutschland
E-Mail: info@meshle.com · Web: meshle.com
Sicherheitsmeldungen: security@meshle.com · Datenzugang: data@meshle.com

2. Produkte

Diese Informationen gelten für folgende Produkte der MESHLE GmbH. Produktname, Modell und Firmwareversion stehen auf dem Typenschild bzw. werden in der MESHLE App angezeigt.

Einsatzumgebung: Gewerbe- und Wohngebäude. Die Geräte bilden ein eigenes, verschlüsseltes Funknetz (Bluetooth Low Energy, 2,4 GHz). Das Gateway wird im lokalen Netzwerk des Gebäudes betrieben.

Wesentliche Funktionen: Schalten, Dimmen, Farb- und Farbtemperatursteuerung, Szenen, Zeitpläne, sensorgesteuerte Automatik, Fern- und Sprachsteuerung über das Gateway, Anbindung an Gebäudeleittechnik.

3. Cybersicherheit

Die beschriebenen Sicherheitsmerkmale gelten für die jeweils aktuelle, über die MESHLE App bzw. das MESHLE Gateway bereitgestellte Software (Versionshinweise: meshle.com/compliance/releases).

Sichere Werkseinstellungen

• Keine Standardpasswörter, keine geräteübergreifend gleichen Schlüssel.
• Jedes Gerät hat eine individuelle, in der Produktion erzeugte Identität.
• Ein Gerät im Auslieferungszustand wird mit der MESHLE App in ein Netzwerk aufgenommen. Danach ist es an dieses Netzwerk gebunden: Steuerung und Konfiguration nur mit dem Netzwerkschlüssel bzw. Administratorrechten. In ein anderes Netzwerk kann es erst nach einem Werksreset vor Ort aufgenommen werden. Netzwerkschlüssel werden nie ungeschützt übertragen.

Geschützte Kommunikation

• Die Funkkommunikation im Mesh ist verschlüsselt, authentifiziert und gegen Wiedereinspielen geschützt.
• Bluetooth-Verbindungen zwischen App und Gerät sind verschlüsselt und authentifiziert. Befehle an in Betrieb genommene Geräte werden nur mit gültiger kryptografischer Authentifizierung ausgeführt.
• Gateway und App verbinden sich mit der MESHLE Cloud ausschließlich verschlüsselt (TLS mit Prüfung des Server-Zertifikats).
• Lokale Schnittstellen des Gateways sind nur nach Authentifizierung nutzbar.

Zugriffskontrolle

• Getrennte Rollen für Administratoren und Nutzer. Firmware-Update, Werksreset aus der Ferne und Konfiguration erfordern Administratorrechte.
• Schlüssel und Berechtigungen können erneuert und entzogen werden, ohne die Geräte zurückzusetzen.

Schutz gespeicherter Daten

• Schlüssel und Zugangsdaten sind nicht über Funk-, App- oder Gateway-Schnittstellen auslesbar.
• Ein Werksreset löscht alle Schlüssel, Zugangsdaten und Konfigurationsdaten.
• Debug-Schnittstellen und Speicherauslesung sind bei Seriengeräten gesperrt.

Widerstandsfähigkeit

• Eingehende Daten werden geprüft, ungültige verworfen. Ratenbegrenzung und ein Hardware-Watchdog schützen Gerät und Netzwerk.
• Lichtsteuerung, Sensoren, Taster, Szenen, Zeitpläne und Automatiken arbeiten lokal im Mesh weiter, auch ohne Gateway oder Internetverbindung.

Protokollierung

• Sicherheitsrelevante Ereignisse (Inbetriebnahme, Updates, Resets, abgewiesene Zugriffe) werden protokolliert.

4. Bekannte Risiken bei der Nutzung

• Nicht eingespielte Updates: bekannte Schwachstellen bleiben offen.
• Weitergabe von Administratorzugängen oder Netzwerkpasswörtern an Unbefugte.
• Betrieb des Gateways in einem ungeschützten oder aus dem Internet erreichbaren Netzwerk.
• Installierte, aber noch nicht in Betrieb genommene Geräte (Auslieferungszustand) können von Dritten in Funkreichweite in ein eigenes Netzwerk aufgenommen werden. Geräte daher zeitnah nach der Installation in Betrieb nehmen.
• Physischer Zugriff Unbefugter auf Gateway oder Geräte.
• Weitergabe oder Entsorgung von Geräten ohne Werksreset.

5. Schwachstellen melden

Melden Sie Sicherheitslücken vertraulich an security@meshle.com. Wir bestätigen den Eingang innerhalb von 5 Werktagen und informieren Sie über Bewertung und Behebung.

Richtlinie zur koordinierten Offenlegung: meshle.com/compliance/security
Maschinenlesbarer Kontakt: meshle.com/.well-known/security.txt

Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle meldet MESHLE über die Single Reporting Platform der ENISA (Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb von 14 Tagen nach Bereitstellung einer Korrektur bzw. innerhalb eines Monats bei Sicherheitsvorfällen) und informiert betroffene Kunden über Auswirkungen und Maßnahmen.

6. Updates und Unterstützungszeitraum

Art der Unterstützung: Sicherheitsupdates werden kostenlos und ohne unnötige Verzögerung bereitgestellt, nach Möglichkeit getrennt von Funktionsupdates, und in den Versionshinweisen gekennzeichnet.

Unterstützungszeitraum: Für Geräte, die ab dem 11.12.2027 in Verkehr gebracht werden, stellt MESHLE Sicherheitsupdates mindestens 5 Jahre ab Inverkehrbringen bereit, bzw. länger, wenn die erwartete Nutzungsdauer länger ist. Das Enddatum (Monat und Jahr) wird je Produkt angegeben.

Installation: Geräte im Mesh werden über die MESHLE App oder das MESHLE Gateway aktualisiert, das Gateway über die MESHLE Cloud, die App über App Store bzw. Google Play. Jedes Firmware-Image ist kryptografisch signiert und nur für das jeweilige Produkt gültig; ältere Versionen werden abgelehnt.

Automatische Updates: sind standardmäßig aktiv und können in der App unter Einstellungen → Updates → „Automatisch installieren“ abgeschaltet werden.

Versionshinweise: meshle.com/compliance/releases

7. Sichere Inbetriebnahme, Nutzung und Außerbetriebnahme

Inbetriebnahme

• Geräte nur mit der MESHLE App einrichten. Ein sicheres Netzwerkpasswort wählen und vertraulich aufbewahren.
• Das Gateway in einem geschützten Netzwerksegment betreiben; lokale Schnittstellen nur bei Bedarf aktivieren.
• Administratorrechte nur an berechtigte Personen vergeben.

Während der Nutzung

• Updates zeitnah einspielen bzw. automatische Updates aktiviert lassen.
• Änderungen an Konfiguration, Rollen oder Schnittstellen beeinflussen die Sicherheit und sollen nur durch Administratoren erfolgen.

Außerbetriebnahme

• Vor Weitergabe oder Entsorgung einen Werksreset durchführen; die Anleitung steht im Datenblatt bzw. in der Bedienungsanleitung des jeweiligen Produkts. Der Reset löscht alle Schlüssel, Zugangsdaten und Konfigurationsdaten auf dem Gerät.
• Das MESHLE Konto und alle dazu gespeicherten Daten löschen: in der App unter Cloud-Einstellungen → „Konto löschen“ oder per Anfrage an data@meshle.com.

8. Informationen für Leuchtenhersteller und Integratoren

Hersteller, die MESHLE Komponenten in eigene Produkte einbauen, erhalten auf Anfrage die Informationen für ihre eigene Konformitätsbewertung: Sicherheitsmerkmale, Updatefähigkeit, Unterstützungszeitraum, Angaben zur Firmware für die Bewertung nach EN 18031-1 und die Software-Stückliste (SBOM). Bitte melden Sie Schwachstellen, die eine MESHLE Komponente betreffen, an security@meshle.com.

Software-Stückliste (SBOM): wird je Version geführt; Marktüberwachungsbehörden erhalten sie auf Verlangen, Integratoren auf begründete Anfrage an security@meshle.com.

9. Konformität

Angewandte Rechtsakte und Normen: Richtlinie 2014/53/EU (Funkanlagen) einschließlich Art. 3(3)(d) mit EN 18031-1:2024, seit 01.08.2025; Verordnung (EU) 2024/2847 (Cyber Resilience Act): Meldepflichten nach Art. 14 seit 11.09.2026, alle übrigen Pflichten ab 11.12.2027.

Software-Sicherheitserklärung und Konformitätsunterlagen: meshle.com/compliance/doc. Die EU-Konformitätserklärung liegt jedem Produkt bei.

10. Daten nach EU Data Act

Dateninhaber und Kontakt

Diese Information wird vor dem Kauf eines Produkts bzw. vor der Registrierung des MESHLE Kontos bereitgestellt. MESHLE GmbH, Anschrift siehe Abschnitt 1. Anfragen zu Datenzugang, Weitergabe und Löschung: data@meshle.com.

Welche Daten entstehen

Umfang: Eine Statusmeldung im Mesh umfasst weniger als 300 Byte, die Konfiguration einer Anlage wenige Kilobyte; über Sprachsteuerung bzw. Gateway umfasst jeder Befehl bzw. jede Zustandsmeldung weniger als 1 Kilobyte. Das Gesamtvolumen hängt von der Anzahl der Geräte und der Nutzung ab.

Speicherung

Die App liest Zustand und Konfiguration der Geräte direkt per Bluetooth; an die Cloud werden Kontodaten, Anlagenkonfiguration und verschlüsselter Netzwerkzugang übertragen, bei verknüpfter Sprachsteuerung zusätzlich Gerätezustände und Steuerbefehle, bei Nutzung eines Gateways die oben genannten Gerätezustände, Einstellungen und Gerätedaten. Diagnose- oder Nutzungsstatistiken erhebt die App nicht.
Speicherort: Rechenzentrum in Deutschland (EU). Hosting-Dienstleister: netcup GmbH, Deutschland. E-Mail-Dienst: Contabo GmbH, Deutschland.

Zugang zu den Daten

Nutzer haben jederzeit unentgeltlich Zugang zu ihren Daten einschließlich der Metadaten, in einem gängigen, maschinenlesbaren Format und ohne unangemessene Verzögerung:

Auf Anfrage an data@meshle.com: MESHLE stellt die bei MESHLE verfügbaren Produktdaten und Daten des verbundenen Dienstes (z. B. Anlagenkonfiguration, Gerätezustände und Steuerbefehle) einschließlich der relevanten Metadaten gemäß Art. 4 Data Act unentgeltlich und ohne unangemessene Verzögerung in einem gängigen, maschinenlesbaren Format (JSON) bereit.

Personenbezogene Kontodaten erhalten Nutzer auf demselben Weg gemäß Art. 15 DSGVO sowie, soweit anwendbar, Art. 20 DSGVO.

Löschung

• Gerät und Gateway: Werksreset; er löscht alle im Gerät bzw. Gateway gespeicherten Daten.
• App: Netzwerke und Geräte in der App löschen.
• Cloud: in der App unter Cloud-Einstellungen → „Konto löschen“ oder per Anfrage an data@meshle.com; gelöscht werden auch alle Gerätedaten, Einstellungen und Gerätezustände des Gateways. Datensicherungen und Server-Protokolle werden spätestens nach 14 Tagen gelöscht.

Nutzung durch MESHLE und Weitergabe an Dritte

• MESHLE nutzt nicht-personenbezogene Daten nur auf Grundlage des Vertrags mit dem Nutzer für Betrieb, Support und Sicherheitsupdates. Die Daten werden nicht verkauft und nicht für Werbung genutzt.
• Auf Verlangen des Nutzers stellt MESHLE die Daten einem vom Nutzer benannten Dritten zu fairen, angemessenen und nicht diskriminierenden Bedingungen bereit (Art. 5 Data Act). Anfragen an data@meshle.com; der Nutzer kann die Weitergabe jederzeit beenden. Ohne entsprechende Rechtsgrundlage oder Berechtigung des Nutzers gibt MESHLE vom Data Act erfasste Daten nicht an unabhängige Dritte weiter; die Verarbeitung durch beauftragte Dienstleister (Hosting, E-Mail) bleibt unberührt.
• Sprachassistenten und Smart-Home-Plattformen (Amazon Alexa, Google Home, Apple Home über Matter) erhalten Gerätezustände und Steuerbefehle nur, wenn der Nutzer sie verknüpft, und nur im dafür nötigen Umfang. Die Verknüpfung kann jederzeit aufgehoben werden.

Personenbezogene Daten

Konto- und Standortdaten sind personenbezogen; Anwesenheitsdaten können es sein. Es gelten zusätzlich die DSGVO und die Datenschutzerklärung: meshle.com/app-privacy-policy

Geschäftsgeheimnisse

Die bereitgestellten Daten enthalten keine Geschäftsgeheimnisse von MESHLE oder Dritten. Sollten im Einzelfall Geschäftsgeheimnisse betroffen sein, gelten die Schutzmaßnahmen gemäß Art. 4 und 5 Data Act.

Vertragslaufzeit und Beschwerde

Der Vertrag über das MESHLE App-Konto wird auf unbestimmte Zeit geschlossen und kann vom Nutzer jederzeit durch Löschung des Kontos beendet werden. Die Datenzugangsrechte richten sich nach den anwendbaren Bestimmungen des Data Act; Beendigung und Löschung erfolgen gemäß den Vertragsbedingungen (meshle.com/terms) und den gesetzlichen Vorgaben.
Beschwerde bei der zuständigen Behörde nach Art. 37 Data Act: Bundesnetzagentur.