FCC blockiert ausländische mobile Roboter und Leistungswechselrichter: drittes Verbot zur Sicherheit der Lieferkette

Am 28. Juli hat die Federal Communications Commission (FCC) die Covered List um zwei neue Produktkategorien erweitert: mobile Roboter und vernetzte Leistungswechselrichter. Von nun an können keine neuen Importmodelle mehr die für den US-Markt erforderliche Zertifizierung erhalten. Es ist die dritte kategoriebezogene Maßnahme der FCC, nach dem Drohnenverbot (Dezember 2025) und dem Verbot für Heimrouter (März 2026). Die Einschränkung stützt sich auf zwei am 27. Juli übermittelte nationale Sicherheitsfeststellungen, die die Geräte als „ausländisches Produkt” im Sinne des Buy American Act (48 CFR 25.101(a)) einstufen und die technischen Anforderungen für die Aufnahme in die Liste festlegen. Bereits im Umlauf befindliche Modelle und solche, die sich im Besitz von Nutzern befinden, bleiben nutzbar; das gesamte Verfahren hat keine Auswirkungen auf Bundesbeschaffungen.

Was ins Visier gerät: die technischen Definitionen

Die Definition des mobilen Roboters ist bewusst weit gefasst. Dazu zählen Humanoide, Vierbeiner und jegliche mechanische Geräte, die zur Fortbewegung an Land fähig sind, über 4,4 Pfund wiegen (einschließlich Basisstation), Umgebungssensoren besitzen, über kabelgebundene oder drahtlose Verbindungen mit mindestens 200 kbit/s verfügen und über Software zur Bewegungssteuerung und Datenerfassung – einschließlich Firmware und KI-/ML-Modellgewichten. Ausgeschlossen sind vernetzte Straßenfahrzeuge, Drohnen, unbemannte Unterwasserfahrzeuge, von der FDA regulierte Medizingeräte und stationäre Industrieroboterarme (SCARA, kartesisch, Delta).

Bei Leistungswechselrichtern richtet sich der Fokus auf DC/AC- oder AC/DC-Umwandlungssysteme, die mit Komponenten für Fernkommunikation, -steuerung, -erkennung oder -überwachung integriert sind.

Die Covered List enthält keine Markennamen, aber die technischen Anhänge verweisen auf dokumentierte Schwachstellen bei Unitree-Robotern (Go1, Go2, B2, G1, H1) und bei Wechselrichtern von Sungrow, SMA, Growatt sowie auf einen anonymen Fall einer Fernabschaltung durch einen ausländischen Hersteller.

Die Schwachstellen, die den Alarm auslösten

Die bei der FCC eingereichten Untersuchungen zeichnen ein hohes Risikobild.

Bei mobilen Robotern konnten Forscher nachweisen, dass Video- und Audioströme abgefangen, Grundrisse der überwachten Räume rekonstruiert und Root-Rechte erlangt werden können. Mehrere CVE-Nummern im Zusammenhang mit Bluetooth Low Energy (darunter CVE-2025-35027) sowie die Schwachstelle CVE-2025-2894 beim Unitree Go1, die über den CloudSail-Dienst ausnutzbar ist, ermöglichen sogar die vollständige Fernsteuerung per API.

Auf der Seite der Wechselrichter hat die Untersuchung SUN:DOWN von Forescout 46 Schwachstellen aufgedeckt. In einem gegnerischen Szenario könnten sie Massenabschaltungen, die Exfiltration von Betriebsdaten und Manipulationen des Stromnetzes mit möglichen Kaskadeneffekten auslösen. Der texanische Netzbetreiber ERCOT bestätigte, dass die Netzinstabilität die schwerwiegendste Bedrohung darstellt. Bislang wurde keine aktive Ausnutzung auf bereits ausgelieferten Geräten festgestellt: Die Maßnahme hat rein präventiven Charakter.

Bestehende Modelle geschützt, neue Modelle warten auf Freigabe

Das Verbot betrifft nicht die bereits im Einsatz befindlichen Geräte. Eine am 28. Juli erteilte Ausnahmegenehmigung erlaubt ausdrücklich die Verteilung von Sicherheits- und Kompatibilitätsupdates für bereits zertifizierte Geräte, mindestens gültig bis zum 1. Januar 2029. Hersteller, die neue Modelle einführen möchten, können stattdessen bis zum 1. Januar 2028 einen Antrag auf bedingte Zulassung (Conditional Approval) stellen. Das Verfahren umfasst eine technische Prüfung: Für Roboter ist das Kriegsministerium (Department of War, DoW) zuständig; für Wechselrichter sind je nach Einsatzumgebung das DoW oder das Heimatschutzministerium (Department of Homeland Security, DHS) verantwortlich.

Gegenmaßnahmen für Unternehmen

• Installieren Sie umgehend Sicherheitspatches und Software-/Firmware-Updates, die nun dank der FCC-Ausnahmegenehmigung vollständig legitimiert sind.
• Überwachen Sie den ausgehenden Netzwerkverkehr, insbesondere zu unbekannten externen Zielen, um verdächtige Kommunikation frühzeitig zu erkennen.
• Überprüfen Sie manuell die Veröffentlichung offizieller Updates durch die genannten Hersteller (Unitree, Sungrow, SMA, Growatt und andere) und priorisieren Sie deren Anwendung.
• Initiieren Sie für neue Modelle das Verfahren zur bedingten Zulassung (Conditional Approval) und fügen Sie die von den Aufsichtsbehörden geforderten technischen Unterlagen bei.

Keine aktive Notlage, aber ein systemisches Signal, das die Regeln der amerikanischen Lieferkette für die Robotik- und Energiewelt ändert.