Das neue Shelly Firmware Update besteht größtenteils aus Wartungsarbeit, die Du nie siehst, doch der Teil, der angepasst wird, entscheidet darüber, wem Dein Gerät vertraut. Eine Shelly arbeitet dabei wie ein Pförtner mit fester Gästeliste: Wer draufsteht, kommt rein, und das gilt auch für die verschlüsselten Verbindungen, die das Gerät selbst aufbaut.
Am 26. Oktober hat Shelly die Firmware 2.1.1, 2.0.3 und 1.7.6 veröffentlicht. In allen dreien steht dieselbe Zeile im Changelog: Die CA-Bundles wurden aktualisiert und die kompromittierten eMudhra-Roots entfernt. Mehr Erklärung liefert Shelly nicht. Den Hintergrund kann man aber nachvollziehen, und er zeigt, warum ein Modul hinter Deinem Lichtschalter hier etwas tun muss, während Dein Browser das Thema schon vor Tagen erledigt hat.
Was bei eMudhra schiefgelaufen ist
eMudhra ist eine Zertifizierungsstelle aus Indien, einer der Anbieter, die digitale Ausweise für Websites und Software ausstellen. Am 17. Oktober meldete ein Forscher, dass die privaten Schlüssel von acht Zwischenzertifikaten des Unternehmens schwach waren: sechs für Websites (TLS) und zwei für das Signieren von Software. Mozilla und Chrome bestätigten das Problem am 20. Oktober.
Schlüssel, die jeder nachrechnen konnte
Die Schlüssel wurden nicht gestohlen. Sie sind im April 2025 beim Erzeugen mit zu wenig Zufall entstanden, weshalb sie sich aus den öffentlichen Zertifikaten zurückrechnen lassen. Laut eMudhra hat ein Fehler im Skript an jenem Tag neben dem vorgesehenen Satz einen zweiten, schwachen Satz Schlüssel erzeugt, der versehentlich in die Vertrauenslisten gelangte. Ein Forscher hat die Schlüssel nach eigenen Angaben in weniger als einer Sekunde berechnet. Wer so einen Schlüssel besitzt, kann ein Zertifikat für jede beliebige Website oder jeden Server ausstellen, und ein System, das eMudhra vertraut, akzeptiert das.
Missbrauch ist nicht bekannt. eMudhra gibt an, dass aus diesen acht Zwischenzertifikaten nie Zertifikate ausgestellt wurden, und sieht keinen Hinweis darauf, dass die Schlüssel vor der Entdeckung benutzt wurden. Das Unternehmen hat sie am 18. Oktober zurückgezogen.
Warum Dein Browser das schneller löst als Dein Smart Home
Chrome und Firefox haben die Zertifikate am 17. Oktober gesperrt, iOS und Android zwei Tage später, Windows am 20. Oktober. Das läuft über eine zentrale Liste, die jedes Betriebssystem aus der Ferne aktualisiert. Ein Browser ist der Pförtner, der jeden Morgen eine neue Liste bekommt. Ein Smart-Home-Gerät hat so einen Kanal oft nicht. Die Liste der vertrauenswürdigen Zertifizierungsstellen steckt fest in der Firmware und ändert sich erst, wenn eine neue Firmware erscheint.
Wie groß ist das Risiko bei Dir zu Hause? Gering. Wer ein gefälschtes Zertifikat nutzen will, muss sich zusätzlich in den Netzwerkverkehr zwischen Deinem Gerät und dem Server schalten können, und bekannten Missbrauch gibt es nicht. Hier wird also eine Lücke geschlossen, bevor jemand sie nutzt. Das ist kein Grund, eine Shelly aus dem Sicherungskasten zu reißen, wohl aber ein guter Grund, das Update nicht auf die lange Bank zu schieben.
Welches Shelly Firmware Update passt zu Deinem Gerät?
Shelly ordnet im Changelog den drei Versionen keine Modelle zu, eine feste Liste pro Modell lässt sich deshalb nicht geben. Feststeht dagegen die Update-Politik. Alle Gen3- und Gen4-Geräte bekommen alle Updates, ebenso Gen2-Modelle, die noch produziert werden. Gen2-Geräte mit direktem Nachfolger, etwa Plus 1, Plus 1PM, Plus 2PM, Plus i4, Plus Plug S und Plus H&T, sind mit Firmware 1.7.x funktional eingefroren: Neue Funktionen kommen nicht mehr, kritische Fixes schon. Das separate 1.7.6-Release mit derselben Zertifikatskorrektur zeigt, dass Shelly diese Linie auch dafür offenhält.
Landest Du bei Deinem Gerät auf einer 1.7.x oder 2.0.x statt auf 2.1.1, liegt das am Modell. Entscheidend ist, was die App anbietet. Baust Du jetzt neue Module ein, bist Du mit Gen4 auf der Seite, die alle Updates weiter bekommt, etwa mit dem Shelly 1 Gen4 hinter einem Lichtschalter oder dem Shelly 1PM Gen4, das zusätzlich den Verbrauch misst.
So aktualisierst Du in der App
Öffne Shelly Smart Control, wähle das Gerät und geh in die Einstellungen. Im Firmware-Menü siehst Du die aktuelle und die verfügbare Version, dazu einen Schalter für automatische Updates. Tippe auf Update und bestätige noch einmal. Danach kann das Gerät kurz neu starten, und bei einzelnen Modellen musst Du nach dem Update den physischen Knopf drücken.
Shelly rät davon ab, ein Update bei einem Gerät zu starten, das Du nicht physisch erreichen kannst, falls etwas schiefgeht. Schalte automatische Updates ein, wenn die App das anbietet, dann musst Du Dir solche Korrekturen nicht merken.
Shelly Smart Control 1.12.0: CarPlay läuft wieder mit iOS 27.2
Neben der Firmware hat die iPhone-App ein Update bekommen. In den Versionshinweisen von Shelly Smart Control 1.12.0 stehen zwei Punkte: CarPlay-Geräte, die unter iOS 27.2 nicht mehr aktualisiert wurden, sind repariert, und die Unterstützung der BLU-TRV-Thermostate wurde verbessert. Außerdem nennt Shelly Bugfixes und Performance-Verbesserungen. Die App ist kostenlos und verlangt mindestens iOS 15. Seit dem 27. Oktober steht das Update im App Store.
CarPlay mit Deinen Shelly-Geräten
Shelly sagt nicht, welche Geräte oder Autos von dem Fehler betroffen waren, nur dass Geräte in Apple CarPlay nicht mehr aktualisiert wurden. Wer seine Außenlampe oder sein Garagentor vom Autodisplay aus bedient, will sich auf die Anzeige verlassen können: Steht der Schalter wirklich auf an oder aus? Dieses Vertrauen bringt der Fix zurück. Selbst getestet haben wir die Reparatur nicht, mehr als in den Hinweisen steht, können wir dazu also nicht sagen.
Eingerichtet wird das in der App. Öffne die Einstellungen, geh zu den App-Einstellungen und such den Bereich für CarPlay-Geräte. Mit Bearbeiten wählst Du, welche Geräte im Auto erscheinen, anschließend verbindest Du Dein iPhone mit CarPlay. Wähle bewusst eine Handvoll Geräte, mit denen Du unterwegs etwas vorhast, statt das ganze Haus. Auch Homematic IP hat CarPlay zuletzt in seine App geholt, Smart Home im Auto wird also immer selbstverständlicher.
Bessere BLU-TRV-Unterstützung
Das BLU TRV ist das Heizkörperthermostat von Shelly, das über Bluetooth arbeitet. Was die neue Version genau verbessert, steht nicht in den Hinweisen, eine neue Funktion oder ein behobenes Heizungsproblem lässt sich daraus also nicht ableiten. Hast Du BLU-TRV-Thermostate, installiere das App-Update und prüf danach, ob Zeitpläne und Temperaturen noch stimmen. Hängen bei Dir außerdem andere smarte Heizkörperthermostate an den Heizkörpern, solltest Du auch deren Apps und Firmware im Blick behalten.
So hältst Du auch den Rest Deines Smart Homes aktuell
Der eMudhra-Vorfall zeigt, dass ein Smart Home Pflege an einer Stelle braucht, für die es keinen Knopf und kein Display gibt: die Vertrauensliste in der Firmware. Fang mit allem an, was Tür, Tor oder Kamera bedient, etwa smarten Türschlössern und der Garagentorsteuerung, und arbeite danach Schalter, Module und Sensoren ab. Prüf in den Wochen nach so einem Vorfall auch Router und Hub auf neue Firmware, denn nicht jeder Hersteller ist gleich schnell.
Für Geräte, die auf 1.7.x stehen geblieben sind, kann ein Gen4-Nachfolger auf Sicht eine kluge Wahl sein, vor allem dort, wo ein Modul eine Tür oder ein Tor bedient.
Du willst noch mehr aus Deinen Routinen herausholen, zum Beispiel mit einem WLAN-Rauchwarnmelder, weiteren Relais für andere Räume oder einem Zweikanal-Modul mit Verbrauchsmessung? Entdecke das komplette Sortiment von Shelly bei tink und automatisiere die Stellen, an denen Du bisher noch selbst zum Schalter greifst.
![Jetzt bei Licht und Sicherheit bis zu 50% sparen - zum tink Shop](https://www.tink.at/blog/wp-content/uploads/sites/6/2026/10/300x250_DAT_wm-deals_Announcement-1.jpg")