Matter Sicherheit im Detail: Zertifikate, Commissioning, Fabric, was bedeutet das konkret?

Smart Home und Sicherheit, das ist ein Thema, bei dem viele People entweder gar nicht nachfragen oder viel zu viel Angst haben. Matter ist in dieser Hinsicht ein Quantensprung gegenüber allem, was vorher existierte. Aber wie funktioniert die Sicherheit konkret? Was ist ein Fabric? Was macht ein Zertifikat? Und die Frage, die wirklich viele beschäftigt: Kann jemand mein Matter-Gerät «entführen», also übernehmen, ohne dass ich es merke?

Dieser Beitrag beantwortet alle diese Fragen, ohne unnötig in technisches Kauderwelsch zu verfallen. Wer die Grundlagen zu Matter noch braucht, findet sie im Matter Smart Home Guide. Den Sicherheitsaspekt der Protokollvielfalt zeigt der Vergleich mit Zigbee und Z-Wave.

Warum Matter sicherer ist als seine Vorgänger

Bevor wir in die Details gehen, ein kurzer Kontext: Was haben Zigbee, Z-Wave und klassisches Bluetooth beim Thema Sicherheit gemeinsam? Alle drei haben in ihrer Geschichte Schwachstellen gehabt, die Angreifer ausnutzen konnten, fehlende Verschlüsselung, schwache Schlüssel, kein echter Gerätenachweis. Matter wurde von Grund auf anders konzipiert. Die drei Kernprinzipien:

Verschlüsselung überall: Jede Kommunikation zwischen Matter-Geräten ist Ende-zu-Ende-verschlüsselt. Es gibt keine unverschlüsselte Kommunikation im Matter-Standard.

Zertifikatsbasierte Identität: Jedes Matter-Gerät hat ein einzigartiges kryptographisches Zertifikat, das vom Hersteller vergeben wird. Gefälschte Geräte können dieses Zertifikat nicht imitieren.

Lokale Kontrolle: Matter kommuniziert lokal, ohne Umweg über Cloud-Server. Weniger externe Angriffsfläche bedeutet weniger Angriffsmöglichkeiten. Das ist auch einer der Hauptgründe, warum Home Assistant als Matter-Controller so attraktiv ist, vollständig lokal, kein Datenstrom nach aussen.

Das Zertifikat: Der digitale Ausweis jedes Geräts

Stell dir vor, jedes Matter-Gerät hat einen fälschungssicheren Pass. Dieser Pass heisst in der Fachsprache DAC (Device Attestation Certificate). Er wird vom Hersteller bei der Produktion ins Gerät eingebrannt und kann danach nicht mehr verändert werden.

Der DAC enthält:

• Die eindeutige Geräteidentität (Seriennummer, Hersteller-ID, Produkttyp)
• Einen kryptographischen Schlüssel, der zum Zertifikat passt
• Eine digitale Signatur der CSA (Connectivity Standards Alliance), der Organisation hinter Matter

Die Signaturkette funktioniert so: Der Hersteller bekommt von der CSA eine Berechtigung, Zertifikate auszustellen. Er erstellt für jedes Gerät ein einzigartiges DAC. Dieses DAC ist mit dem Hersteller-Zertifikat signiert, das wiederum mit dem CSA-Root-Zertifikat signiert ist. Das ist dasselbe Prinzip wie bei HTTPS im Browser, eine Vertrauenskette von unten nach oben.

Was das in der Praxis bedeutet: Wenn du ein Matter-Gerät einrichtest, prüft dein Controller (Apple Home, Home Assistant etc.) automatisch die Zertifikatskette. Stimmt etwas nicht, gefälschtes Gerät, manipuliertes Zertifikat, unbekannter Hersteller, wird das Gerät abgewiesen. Du kannst ein gefälschtes Matter-Gerät nicht einfach in ein echtes Netzwerk einschleusen.

Das ist vergleichbar mit dem YubiKey-Prinzip der Hardware-Authentifizierung: Auch dort geht es darum, dass Identität durch einen kryptographischen Beweis erbracht wird, den man nicht einfach kopieren kann.

Das Commissioning: wie ein Gerät ins Netzwerk kommt

Commissioning ist der technische Begriff für die Einrichtung eines Matter-Geräts. Dieser Prozess ist absichtlich aufwendig gestaltet und das ist gut so.

Schritt 1: Physischer Zugriff als Voraussetzung

Das Commissioning erfordert immer physischen Zugriff auf das Gerät. Entweder scannst du den QR-Code auf dem Gerät oder der Verpackung, oder du gibst den 11-stelligen PIN ein, der auf dem Gerät aufgedruckt ist. Beides ist einmalig pro Gerät und kann nicht einfach aus der Ferne abgefangen werden.

Das ist ein bewusstes Designprinzip: Ein Gerät kann nicht aus der Ferne, ohne physischen Zugang, in ein Netzwerk aufgenommen werden. Wer das Gerät nicht in den Händen hat, kann es auch nicht einrichten.

Schritt 2: PASE, die erste Verbindung absichern

Wenn du den QR-Code scannst, startet das Protokoll PASE (Passcode-Authenticated Session Establishment). Der Controller und das Gerät tauschen dabei kryptographische Schlüssel aus, basierend auf dem PIN oder QR-Code. Diese Session ist nur für die Einrichtung gedacht und läuft über Bluetooth Low Energy, kurze Reichweite, kein Netzwerk-Zugang nötig.

Über PASE wird dann das eigentliche Gerätezertifikat (DAC) geprüft, der «Pass-Check» vom letzten Abschnitt.

Schritt 3: CASE, die dauerhafte Verbindung

Nach erfolgreichem Commissioning wechselt die Kommunikation zu CASE (Certificate-Authenticated Session Establishment). Hierbei authentifizieren sich Gerät und Controller gegenseitig mit ihren Zertifikaten, bevor eine Session aufgebaut wird. CASE läuft über das normale Heimnetz (Wi-Fi oder Thread) und ist Ende-zu-Ende-verschlüsselt.

Jede einzelne Kommunikation zwischen Controller und Gerät läuft über eine CASE-Session. Kein einziger Befehl geht unverschlüsselt über dein Netzwerk.

Die Fabric: Das Vertrauensnetzwerk

Der Begriff «Fabric» taucht im Zusammenhang mit Matter immer wieder auf. Was steckt dahinter?

Eine Fabric ist ein verschlüsseltes Vertrauensnetzwerk, das eine Matter-Plattform für ihre Geräte aufbaut. Jede Plattform (Apple Home, Google Home, Home Assistant, Amazon Alexa) betreibt eine eigene Fabric. Wenn du ein Gerät in Apple Home aufnimmst, bekommt es ein Fabric-Zertifikat von Apples Fabric, quasi eine Mitgliedskarte, die beweist: «Dieses Gerät ist Teil dieses sicheren Netzwerks.»

Innerhalb einer Fabric können alle Geräte miteinander kommunizieren, weil sie sich gegenseitig als vertrauenswürdig kennen. Geräte aus verschiedenen Fabrics können standardmässig nicht direkt miteinander reden, es sei denn, ein Controller fungiert als Vermittler.

Fabric und Multi-Admin

Matter erlaubt es, dasselbe physische Gerät gleichzeitig in mehrere Fabrics einzubinden, das ist der Multi-Admin-Mechanismus, den ich im Multi-Admin Beitrag ausführlich erkläre. Technisch bekommt das Gerät für jede Fabric ein eigenes Zertifikat. Diese Zertifikate sind unabhängig voneinander, kompromittierst du eine Fabric (z.B. du verlierst Zugang zu deinem Home-Assistant-Server), sind die anderen Fabric-Mitgliedschaften davon nicht betroffen.

Ein Gerät kann laut Matter-Spezifikation Mitglied in bis zu 16 Fabrics gleichzeitig sein. In der Praxis sind 2 bis 4 Fabrics realistisch und völlig ausreichend.

Kann ein Matter-Gerät «entführt» werden?

Das ist die Kernfrage, die viele beschäftigt. Die kurze Antwort: Nein, nicht ohne dein Wissen und nicht ohne physischen Zugang.

Hier ist warum:

Angriff 1: Fremdes Gerät ins Netzwerk einschleusen

Ein Angreifer müsste den QR-Code oder PIN deines Geräts haben. Beides ist physisch auf dem Gerät. Ohne das Gerät in den Händen zu halten, gibt es keinen Weg, das Commissioning zu starten. Selbst wenn jemand den QR-Code-Aufkleber fotografiert, Commissioning ist nur einmal möglich; danach muss das Gerät zuerst zurückgesetzt werden.

Angriff 2: Mithorchen auf dem Netzwerk

Alle Matter-Kommunikation ist verschlüsselt. Selbst wenn jemand deinen WLAN-Traffic mitschneidet, sieht er nur verschlüsselten Datenstrom ohne verwertbaren Inhalt. Das ist ähnlich wie beim HTTPS-Schutz im Browser, der Inhalt ist für Dritte nicht lesbar.

Angriff 3: Man-in-the-Middle-Angriff

Jemand täuscht vor, dein Controller zu sein, um Befehle abzufangen. Das scheitert an CASE, beide Seiten müssen sich mit gültigen Zertifikaten ausweisen. Ein Angreifer ohne gültiges Fabric-Zertifikat wird abgewiesen, bevor auch nur ein Befehl ausgetauscht wird.

Angriff 4: Gerät übernehmen durch Firmware-Manipulation

Das ist der realistischste Angriffsvektor bei Smart-Home-Geräten generell. Ein Angreifer manipuliert die Firmware eines Geräts und bringt es damit unter Kontrolle. Matter schützt davor durch Secure Boot und Firmware-Signierung, verpflichtende Anforderungen für alle Matter-zertifizierten Geräte. Allerdings: Wie gut diese Schutzmechanismen umgesetzt sind, liegt beim jeweiligen Hersteller.

Fazit: Matter ist deutlich sicherer als ältere Smart-Home-Standards. Aber wie bei jeder Technologie gilt: Die Sicherheit ist nur so gut wie das schwächste Glied. Ein Gerät von einem Hersteller, der schlechte Firmware-Sicherheit implementiert oder seine Geräte nicht mit Updates versorgt, bleibt ein Risiko, unabhängig davon, ob es Matter-zertifiziert ist.

Was passiert bei einem Fabrik-Reset?

Wenn du ein Matter-Gerät zurücksetzt (Factory Reset), werden alle Fabric-Mitgliedschaften gelöscht. Das Gerät verliert seine Zertifikate, vergisst alle Netzwerkeinstellungen und ist wieder «frisch» wie beim ersten Start.

Das ist wichtig zu wissen, wenn du ein Gerät weitergibst oder verkaufst: Mach immer einen Factory Reset, bevor du ein Matter-Gerät aus der Hand gibst. Nur so stellst du sicher, dass der neue Besitzer keinen Zugang zu deiner Fabric bekommt.

Was passiert, wenn eine Plattform nicht mehr existiert?

Angenommen, Home Assistant crasht, wird neu installiert oder du wechselst auf eine neue Hardware. Die Fabric-Informationen auf dem Server sind weg, aber das Gerät hat noch sein Fabric-Zertifikat. Das Gerät weiss also noch, dass es zur alten Home-Assistant-Fabric gehörte, auch wenn der Server nicht mehr existiert.

Praktische Auswirkung: Das Gerät hat einen «toten» Fabric-Slot. Es funktioniert in allen anderen Fabrics weiterhin normal. Wenn du Home Assistant neu einrichtest, bekommst du eine neue Fabric mit einem neuen Zertifikat. Du kannst das Gerät neu commissionen, dabei wird der alte, tote Slot überschrieben.

Das funktioniert, weil Matter so designt wurde, dass Geräte und Controller unabhängig voneinander ausfallen dürfen, ohne das gesamte System zu lähmen. Mehr zum Multi-Admin und Plattform-Wechsel-Verhalten findest du im Multi-Admin Beitrag.

Praktische Sicherheitstipps für dein Matter-Setup

Theorie gut und schön, aber was kannst du konkret tun, um dein Matter-Setup sicher zu halten?

Tipp 1: Firmware immer aktuell halten

Matter-Geräte erhalten wie alle vernetzten Geräte regelmässig Firmware-Updates. Diese beheben Sicherheitslücken. Aktiviere automatische Updates, wo immer das möglich ist.

Tipp 2: Eigenes IoT-Netzwerk / VLAN einrichten

Smart-Home-Geräte im selben Netzwerk wie dein Computer und dein Smartphone, das ist keine gute Idee. Ein separates Netzwerk (VLAN oder Gastnetzwerk) für IoT-Geräte begrenzt den Schaden, falls ein Gerät kompromittiert wird. Wie du ein sicheres Gastnetzwerk auf der FRITZ!Box einrichtest, habe ich in einem eigenen Tutorial beschrieben. Wer noch tiefer geht, passt auch die FRITZ!Box-Sicherheitseinstellungen gezielt an.

Tipp 3: Vertrauenswürdige Hersteller kaufen

Ein Matter-Zertifikat garantiert, dass das Gerät die Spezifikation erfüllt. Es garantiert nicht, dass der Hersteller gute Sicherheits-Praktiken hat. Kaufe bei Herstellern, die eine nachgewiesene Update-Geschichte haben und nicht nach sechs Monaten den Support einstellen.

Tipp 4: QR-Codes nicht öffentlich teilen

Der QR-Code auf einem Matter-Gerät ist der Schlüssel für das Commissioning. Poste ihn nicht in sozialen Medien, schicke keine Fotos davon an Unbekannte. Das ist das Matter-Äquivalent zum Schutz vor Juice-Jacking an öffentlichen Ladestationen, beide Male geht es darum, einen physischen Zugangspunkt zu schützen.

Tipp 5: Lokale Kontrolle bevorzugen

Je weniger deine Matter-Geräte mit Cloud-Servern kommunizieren, desto kleiner ist die Angriffsfläche. Home Assistant als lokaler Controller oder das FRITZ!Smart Gateway als lokale Bridge sind aus Sicherheitsperspektive besser als cloud-abhängige Lösungen. Was das FRITZ!Box-Netzwerk für Smart Home leisten kann, zeigt der entsprechende Beitrag.

Tipp 6: Factory Reset vor Geräte-Weitergabe

Wie oben beschrieben: Bevor du ein Matter-Gerät verkaufst, verschenkst oder entsorgst, immer Factory Reset durchführen.

Wie gut ist Matter wirklich im Vergleich?

Eine kurze Einordnung gegenüber den älteren Smart-Home-Standards:

Standard	Verschlüsselung	Geräte-Zertifikat	Offener Standard	Cloud-Abhängigkeit
Matter	✅ TLS 1.3 / CASE	✅ DAC (PKI)	✅	Optional (lokal möglich)
Zigbee	⚠️ AES-128, aber variabel	❌	✅	Hersteller-abhängig
Z-Wave	✅ AES-128 (S2)	⚠️ DSK	✅	Hersteller-abhängig
Bluetooth LE	✅ AES-128	❌	✅	Gerät-abhängig
klassisches HomeKit	✅	✅ (HAP)	❌	Apple-Cloud optional

Matter liegt klar vorne, besonders bei der Kombination aus offensivem Gerätenachweis, modernem Verschlüsselungsprotokoll (TLS 1.3) und lokaler Betriebsmöglichkeit.

Fazit

Matter ist das sicherste Fundament, das es bisher für Consumer-Smart-Home gibt. Die Zertifikatskette von der CSA über den Hersteller bis zum einzelnen Gerät macht GeräteFälschungen nahezu unmöglich. Das Commissioning erfordert physischen Zugriff. Alle Kommunikation ist verschlüsselt. Und die Fabric-Architektur stellt sicher, dass auch bei Multi-Platform-Setups jede Plattform ihren eigenen, unabhängigen Vertrauensbereich hat.

«Entführen» im Sinne von «unbefugt übernehmen» ist praktisch ausgeschlossen, solange du keine QR-Codes leichtfertig weitergibst, deine Firmware aktuell hältst und auf bewährte Hersteller setzt.

Den vollständigen Überblick über alle Matter-Themen findest du im Matter Hub-Artikel.

Hast du konkrete Sicherheitsfragen zu deinem Setup? Schreib sie in die Kommentare, ich beantworte sie gerne!

FAQ