Unser Sicherheitsversprechen

Bei TP-Link ist Sicherheit eine zentrale Säule unserer Produktstrategie und Unternehmenskultur. Über viele Jahre hinweg haben wir ein umfassendes Sicherheitskonzept entwickelt und kontinuierlich verfeinert, das darauf ausgelegt ist, Risiken frühzeitig zu erkennen, zu identifizieren und schnell sowie wirksam zu beheben.

Unser Engagement für sichere Produkte und den Schutz von Daten

Sicherheit ist fest im gesamten Produktentwicklungszyklus von TP-Link verankert. Von der Produktplanung über die Markteinführung bis hin zur weiteren Betreuung integrieren unsere Produktteams kontinuierlich Sicherheitsmaßnahmen in die Produktfunktionen und die Benutzererfahrung. Zu unseren Investitionen in die Sicherheit gehört ein internes Penetrationstest-Team, das aus erfahrenen Fachkräften mit umfassender Expertise in den Bereichen IoT- und Embedded-System-Sicherheit besteht und kontinuierlich Bedrohungsmodellierungen sowie realitätsnahe Angriffssimulationen durchführt. Darüber hinaus arbeiten wir mit akkreditierten, unabhängigen Sicherheitslaboren zusammen, die unsere Produkte eingehend prüfen und uns dabei unterstützen, potenzielle Schwachstellen zu identifizieren, zu priorisieren und zeitnah zu beheben, bevor sie Auswirkungen auf unsere Kunden haben können. Wenn unsere Sicherheitsteams oder externe Sicherheitsforscher Probleme feststellen, reagieren wir schnell und angemessen, unter anderem durch die Entwicklung und Bereitstellung von Sicherheits-Patches.

Um sicherzustellen, dass unser Code während des gesamten Entwicklungszyklus geschützt bleibt und weder durch Schadcode noch durch Schwachstellen kompromittiert werden kann, setzt TP-Link auf einen kontinuierlichen, automatisierten Prozess für die Erstellung, Prüfung und Bereitstellung von Software. Unsere Continuous-Integration-/Continuous-Delivery-Pipeline (CI/CD) trägt dazu bei, Schwachstellen und Hintertüren zu verhindern, indem sichergestellt wird, dass in jeder Entwicklungsphase ausschließlich validierter und autorisierter Code weiterverarbeitet wird.

Unser Sicherheitsversprechen umfasst gleichermaßen den Schutz von Benutzerdaten. Wir speichern Benutzerdaten in einer sicheren Cloud-Infrastruktur, die durch branchenweit anerkannte Sicherheitsprotokolle geschützt ist. Ein in den USA ansässiges Informationssicherheitsteam überwacht die zentralen Datensicherheitsfunktionen von TP-Link, während ein ebenfalls in den USA ansässiges Cloud-Operations-Team die Sicherheit und Integrität der in der Cloud gespeicherten Daten von US-Kunden überwacht.

Was die Diskussionen der FCC über Router für unsere Kunden bedeuten

TP-Link steht für die Sicherheit, Qualität und Leistungsfähigkeit seiner Netzwerkprodukte ein und erfüllt sämtliche regulatorischen Anforderungen der USA vollständig. Die Maßnahmen der FCC ermöglichen den weiteren Betrieb unserer bestehenden Router einschließlich fortlaufendem Support und regelmäßigen Aktualisierungen.

TP-Link unterstützt Bestrebungen zur Stärkung von Sicherheitsstandards und arbeitet aktiv daran, eine bedingte Zulassung („Conditional Approval“) für neue Produkte zu erhalten sowie die Pläne für eine Produktion in den USA weiter voranzutreiben. Bereits bestehende TP-Link-Router bleiben vollständig zugelassen und unterstützt und werden weiterhin regelmäßig mit Firmware- und Sicherheitsupdates versorgt.

 

Datengestützte Nachweise für unser Sicherheitsniveau

TP-Link hat sich zum Ziel gesetzt, eine führende Rolle in der Branche im Bereich Sicherheit einzunehmen. Unser Engagement können wir anhand konkreter Maßnahmen und messbarer Ergebnisse belegen. Ein Vergleich öffentlich verfügbarer Daten zeigt, dass TP-Link hinsichtlich der Sicherheitsergebnisse beim Common Vulnerability Scoring System (CVSS), bei Common Vulnerabilities and Exposures (CVEs) sowie bei Known Exploited Vulnerabilities (KEVs) auf einem vergleichbaren oder besseren Niveau als andere bedeutende Marktteilnehmer liegt.

 

CVSS-Wert

Der durchschnittlich gewichtete CVSS-Wert von TP-Link – eine branchenweit etablierte Kennzahl zur Bewertung des Schweregrads von Schwachstellen – liegt laut den Daten aus dem Jahr 2024 auf den jeweiligen Herstellerseiten von CVEdetails.com¹ auf einem vergleichbaren Niveau wie bei anderen führenden Herstellern. Die durchschnittlich gewichteten Werte von TP-Link und anderen führenden Herstellern sind in der nachstehenden Abbildung 1 dargestellt:

Abbildung 1: Durchschnittlich gewichteter CVSS-Wert (2024)

 

CVE-Positionierung

CVEs sind standardisierte Kennungen für öffentlich gemeldete Cybersicherheitslücken. Das Schwachstellenprofil von TP-Link liegt im Vergleich zu anderen Unternehmen der Branche sowohl hinsichtlich der Anzahl der CVEs als auch hinsichtlich ihres Schweregrads im unteren bis mittleren Bereich.

Wie in Abbildung 2 dargestellt, liegt TP-Link gemeinsam mit ASUS, Zyxel und anderen Unternehmen im Mittelfeld der Anbieter.

Die Verteilung der Schweregrade bei TP-Link ist relativ gleichmäßig auf die Kategorien „Mittel“, „Hoch“ und „Kritisch“ verteilt und entspricht damit weitgehend der Verteilung bei den meisten anderen Anbietern.

Abbildung 2: Anzahl der CVEs pro Anbieter nach Schweregrad (Stand: 31. Oktober 2025)

TP-Link verfolgt das Ziel, Schwachstellen innerhalb von 90 Tagen nach ihrer Validierung zu beheben. In schwerwiegenden Fällen stellt TP-Link außerdem Patches für Geräte bereit, die bereits das Ende ihres Lebenszyklus erreicht haben – eine Praxis, die von Wettbewerbern nicht durchgängig angewendet wird.

 

KEV-Positionierung

Auch die Anzahl der bei TP-Link in der KEV-Liste aufgeführten Schwachstellen liegt im mittleren Bereich. Einige Wettbewerber weisen deutlich höhere Werte auf. TP-Link hat alle derartigen Schwachstellen behoben, mit Ausnahme einer Schwachstelle, deren Aufnahme in die Liste TP-Link bestreitet und als nicht gerechtfertigt bewertet.

Wie in Abbildung 3 dargestellt, liegt die Anzahl der KEV-Einträge von TP-Link auf einem ähnlichen Niveau wie bei mehreren Wettbewerbern, während einige Ausreißer in der Branche deutlich höhere Werte aufweisen. So hat Zyxel beispielsweise ungefähr doppelt so viele KEV-Einträge wie TP-Link, und D-Link wiederum ungefähr doppelt so viele wie Zyxel.

Abbildung 3: CISA-KEV-Einträge nach Anbieter (Stand: 31. Oktober 2025)

Wie in Abbildung 4 dargestellt, hat TP-Link für alle in der KEV-Liste aufgeführten Schwachstellen Patches bereitgestellt – mit Ausnahme einer Schwachstelle, deren Gültigkeit TP-Link bestreitet. Diese Praxis ist branchenweit nicht einheitlich; insbesondere stellen einige Anbieter keine Patches für KEVs bereit, die Geräte am Ende ihres Lebenszyklus betreffen.

Abbildung 4: Anzahl der KEV-CVEs nach Anbieter und Patch-Verfügbarkeit (Stand: 31. Oktober 2025)

Die standardmäßigen Konfigurationen von TP-Link sind gegenüber den in der KEV-Liste aufgeführten Angriffsmöglichkeiten aus dem allgemeinen Internet nicht anfällig. Bei allen KEV-gelisteten Schwachstellen im Zusammenhang mit TP-Link-Produkten wären Benutzer nur dann gefährdet, wenn sie die standardmäßigen Sicherheitseinstellungen von TP-Link manuell ändern würden. Standardmäßig sind die mit diesen Schwachstellen verbundenen Funktionen entweder vollständig deaktiviert oder ausschließlich auf das lokale Heimnetzwerk beschränkt, wodurch Angriffe aus dem Internet blockiert werden. Für eine Ausnutzung aus der Ferne müssen Benutzer Remote-Management-Funktionen aktiv einschalten und die Verwaltungsoberfläche dem Internet zugänglich machen. TP-Link warnt Benutzer ausdrücklich, wenn sie versuchen, entsprechende Konfigurationsänderungen vorzunehmen.

Die überwiegende Mehrheit der Benutzer hat sich nicht bewusst dafür entschieden, ihre Verwaltungsoberflächen dem Internet zugänglich zu machen, und ist daher von diesen KEV-gelisteten Schwachstellen nicht betroffen.

Verpflichtung zu „Secure by Design“ und Branchenstandards

TP-Link unterstützt nachdrücklich staatlich initiierte Cybersicherheitsmaßnahmen sowie die Entwicklung von Branchenstandards. Wir beteiligen uns an der von der U.S. Cybersecurity and Infrastructure Security Agency (CISA) geförderten Initiative „Secure by Design“ und unterstützen den vorgeschlagenen Cyber Resilience Act (CRA) der EU. Seit 2022 haben mehr als 200 TP-Link-Produkte Sicherheitszertifizierungen erhalten, die unter anderem in Finnland, Deutschland und Südkorea anerkannt sind. TP-Link unterstützt ausdrücklich die Entwicklung vergleichbarer Produktsicherheitsstandards in den Vereinigten Staaten und ist überzeugt, dass solche Standards das allgemeine Sicherheitsniveau für alle erhöhen werden.

Verpflichtung zu Transparenz

Um die Integrität und Authentizität von Software- und Firmware-Komponenten zu schützen, setzt TP-Link branchenweit anerkannte Mechanismen wie Code-Signierung, Binärsignierung und Verschlüsselung ein. Diese Maßnahmen stellen sicher, dass jede Softwareversion als authentisch verifiziert werden kann und bestätigen, dass die Software nicht verändert oder manipuliert wurde. Solche Schutzmaßnahmen sind entscheidend, um zu verhindern, dass Angreifer Schadcode oder Hintertüren in bereits eingesetzte Produkte einschleusen.

Um Audits durch Dritte, schnellere Aktualisierungszeiten und eine transparentere Einsicht in die Bestandteile unserer Produkte zu ermöglichen, erstellt TP-Link für jedes Produkt eine Software Bill of Materials (SBOM). SBOMs sind umfassende Verzeichnisse der Softwarekomponenten eines Produkts und ihrer Herkunft. Sie werden für sämtliche Produktversionen in branchenüblichen Formaten erstellt und enthalten auch Informationen zur Herkunft während des Build-Prozesses. SBOMs schaffen eine prüfbare Dokumentation, die es Dritten ermöglicht, jede Komponente eines TP-Link-Produkts zu validieren. Dadurch können Schwachstellen im Code schnell identifiziert und entsprechende Maßnahmen eingeleitet werden. Dieser Prozess ist direkt in den Freigabe-Workflow integriert, um Genauigkeit und Rückverfolgbarkeit in jeder Phase der Entwicklung und Fertigung sicherzustellen.

Darüber hinaus stellen wir zeitnah Firmware- und Software-Updates bereit, die wir mit identifizierten Schwachstellen auf der Website cve.org verknüpfen, und veröffentlichen bei Bedarf detaillierte Sicherheitshinweise. Außerdem veröffentlichen und pflegen wir klare Richtlinien zum Ende des Produktlebenszyklus, damit Kunden nachvollziehen können, wie lange ältere Geräte weiterhin wichtige Updates erhalten und wie sie selbst zur Sicherheit ihrer Geräte beitragen können.

Da TP-Link vollständige Transparenz und Kontrolle über seine Design-, Entwicklungs- und Produktionsprozesse besitzt, sind die Erstellung und Überprüfung von SBOMs als Standardverfahren etabliert und werden nicht lediglich aufgrund regulatorischer Anforderungen durchgeführt. Dieses freiwillige Engagement ermöglicht vollständige Transparenz hinsichtlich der Softwarekomponenten und ihrer Herkunft und führt zu sichereren und zuverlässigeren Produkten mit weniger Schwachstellen sowie schnelleren Reaktionszeiten bei Sicherheitsproblemen.

Zusammenarbeit mit der Sicherheits-Community

TP-Link beteiligt sich aktiv an globalen Sicherheitsinitiativen und an der Cybersicherheits-Community. Wir sind eine registrierte CVE Numbering Authority. Das bedeutet, dass wir direkte Verantwortung für die Identifizierung und Veröffentlichung von Cybersicherheitslücken übernehmen, die unsere Produkte potenziell betreffen könnten. Wir arbeiten mit externen Partnern unter anderem bei Sicherheitstests unserer Produkte, bei Bug-Bounty-Programmen auf einer bekannten Branchenplattform sowie bei Hacking-Wettbewerben wie PWN2OWN der Zero Day Initiative zusammen. TP-Link beteiligt sich aktiv an globalen Sicherheitsinitiativen und betreibt ein proaktives Programm zur Offenlegung von Schwachstellen. Unabhängige Sicherheitsforscher und Mitglieder der Sicherheits-Community können potenzielle Probleme unter security@tp-link.com an uns melden.

Kontinuierliche Verbesserung und Verantwortlichkeit

Wir lassen unseren Worten konkrete Maßnahmen folgen. Unsere CI/CD-Pipeline ermöglicht es uns, Probleme früher zu erkennen, und die Erkenntnisse aus kontinuierlichen Penetrationstests fließen direkt in unsere Produkt-Roadmaps ein. Wir messen unseren Erfolg daran, wie schnell wir auf Schwachstellen reagieren, wie effektiv wir ihre Gesamtzahl reduzieren und welches Vertrauensfeedback wir von unseren Kunden erhalten. TP-Link beobachtet weltweit aktiv die Entwicklungen im Bereich Cybersicherheit und ist darauf vorbereitet, auf jede bekannt gewordene Schwachstelle zu reagieren, die von Advanced-Persistent-Threat-Akteuren ausgenutzt wird.

Kurz gesagt strebt TP-Link danach, eine führende Rolle im Bereich der IoT- und Netzwerksicherheit einzunehmen, und erkennt zugleich an, dass Sicherheit niemals abgeschlossen ist, sondern sich kontinuierlich weiterentwickelt. Durch die Zusammenarbeit mit Branchenexperten, die Umsetzung staatlicher Leitlinien und Standards sowie unseren konsequenten Fokus auf kontinuierliche Verbesserung stellen wir sicher, dass unsere Kunden unseren Geräten heute und auch in Zukunft vertrauen können.