Saugroboter für 720 Euro: Was ein Ecovacs X12 nach Hause meldet

Am 11. Oktober 2026 habe ich privat einen Saugroboter gekauft. Ecovacs DEEBOT X12 OmniCyclone, 720 Euro, geliefert wird er in den nächsten Tagen. Dieser Beitrag ist kein Testbericht, dafür ist das Gerät noch nicht im Haus. Es ist die andere Hälfte, die sich trotzdem schon sauber arbeiten lässt: Was kostet das Ding wirklich, und welche Adressen braucht es, um zu funktionieren. Beides lässt sich vor der Lieferung belegen, mit Quellcode, Marktdaten und den Papieren des Herstellers.

Der Preis: 720 Euro waren solide, nicht der Tiefstpreis

Der Hersteller bietet den X12 OmniCyclone im eigenen Shop mit 999,00 Euro an, durchgestrichene UVP 1.399,00 Euro. Die Geizhals-Liste für Österreich zeigte am Abend desselben Tages einen Bestpreis von 698,82 Euro bei 20 Angeboten, dazu die ausgewiesene Preisänderung von minus 22 Prozent über die letzten dreißig Tage. Die Spanne reichte an dem Abend von 698,82 Euro bis 1.604,99 Euro bei neckermann.de, dazwischen liegen cyberport.at mit 709 Euro und heynoor.at mit 716,74 Euro.

Der Kaufpreis von 720 Euro liegt also knapp über dem günstigsten verifizierbaren Angebot des Tages und deutlich unter der UVP-Listung. Wer 1.399 Euro als Vergleichspreis erwartet hätte, bekäme ein falsches Bild. Zum Gerät gehört außerdem eine Modellverwechslung, die beim Preis auffällt: Der X12S ist ein anderes Produkt und beginnt in Österreich bei 1.299 Euro. Angekündigt wurde der X12 auf der CES im Januar 2026, im deutschen Handel war er ab Mitte April verfügbar. Im Oktober kaufen wir hier also ein Herbstgerät im Abschlag, kein Neuerscheinungs-Produkt mit Phantasiepreisen.

Vier Hostnamen, die das Gerät braucht

Die interessanteste Frage bei Consumer-Hardware ist nicht die Saugkraft. Es ist die Netzfrage. Sie lässt sich ohne Messaufbau klären, weil die Referenzbibliothek für genau diese Roboter offen ist. Ich habe am 11. Oktober den Stand von DeebotUniverse/client.py geklont und die Adressbausteine direkt gelesen. Für ein Konto in Österreich ergeben sich daraus vier Zielpunkte.

Dazu passen drei Details aus denselben Dateien. Die Länderzuordnung schlägt Österreich das Kürzel eu zu, dasselbe gilt für Deutschland, nur Großbritannien wird auf UK gedreht. Die Realm-Konstante heißt ecouser.net, nicht ecovacs.com, wer also nur nach ecovacs filtert, sieht die Hälfte des Verkehrs nicht. Und der User-Agent der Bibliothek gibt sich als Android-Gerät aus, konkret als Dalvik/2.1.0 (Linux; U; Android 5.1.1; A5010 Build/LMY48Z). Der Grund ist Kompatibilität: Der Endpunkt wurde für eine Handy-App gebaut. Im DNS-Log steht deshalb ein Roboter, der sich als Telefon ausgibt.

Die Testdaten derselben Bibliothek zeigen zudem Bildpfade der Form https://portal-eu.ecouser.net/api/lg/image/…. Gemeint sind die Fotos aus dem Reinigungsprotokoll. Das ist ein Befund aus Testfixtures. Am live laufenden X12 ist er damit nicht gemessen, und so gehört er gelesen. Wer es am eigenen Gerät sehen will, findet es im DNS-Log wieder.

Was die Datenschutzerklärung selbst sagt

Dem Hersteller werden wir hier nur gerecht, weil er das Heikle offen aufschreibt. Die Datenschutzbestimmungen der ECOVACS-HOME-App tragen das Inkrafttretensdatum 2025.11.24. Darin steht bei den Konto-Unterlagen wörtlich, dass neben IP-Adresse, Systemversion und den Gerätekenungen des Handys auch die SSID des WLAN-Netzwerks und dessen Passwort erhoben werden, und zwar laufend, damit die Kopplung erhalten bleibt. Weiterverarbeitung findet laut Dokument die vom Gerät erzeugte Arbeitsumgebungskarte, Rechtsgrundlage Artikel 6 Absatz 1 f.

Der Kamera-Absatz ist derjenige mit dem größten Gesprächsbedarf, und er ist an eine Bedingung geknüpft. Nur wenn die Objekterkennung aktiviert ist und der Kunde dem Programm Produktverbesserungsplan zugestimmt hat, macht das Gerät bei einem unbekannten Objekt ein Foto, sendet es an den Hersteller und speichert es zur weiteren Verarbeitung in der Volksrepublik China. Personenbereiche werden vorher automatisch unscharf dargestellt. Ist das Modell mit dem Objekt überfordert, kann das Bild von Mitarbeitern einer Tochtergesellschaft in China geprüft werden, und der Text sagt ebenso klar: Das Bild wird in der Datenbank gespeichert, um die künstliche Intelligenz zu trainieren.

Zwei weitere Passus gehören zur selben Akte. Beim Sprachassistenten läuft die Aufnahme über eine in der Europäischen Union gehostete Ecovacs Cloud, von dort geht sie an Microsoft Azure für die automatische Spracherkennung, für Sprachausgabe und Sprachverstehen wird bei einigen Modellen Google Dialogflow eingesetzt, betrieben von Google Asia Pacific in Singapur mit Rechenzentren in der EU. Die Transkripte bleiben in der Ecovacs Cloud. Und bei der Webpräsenz stehen zwei Sätze im selben Dokument, die zusammen gehören: personenbezogene Daten lägen auf Servern innerhalb der Europäischen Union, Verarbeitungsorte könnten aber China einschließen, wo der Hauptsitz sitzt und wo Daten für Problemlösung und Analyse zugänglich sind. Mails an die Datenschutzadresse gehen laut Text nach China, weil dort die Mail-Infrastruktur steht. Der Betreiber-Sitz wird im Dokument selbst mit dem Satz eingeordnet, dass für China nicht anerkannt wurde, dass es ein hinreichendes Datenschutzniveau bietet; betont werden die Standardvertragsklauseln.

Die CVE-Akte: 16 Einträge, keiner nennt den X12

Wer IoT-Geräte im Firmennetz streng behandelt, verweist gern auf fehlende Schwachstellen. Bei diesem Hersteller trägt die NVD-Datenbank 16 Einträge, abgerufen am 11. Oktober 2026, und die haben es in der Sache in sich.

• CVE-2024-52327, publiziert am 23. Januar 2025: Über den Cloud-Dienst der Rasenmäher- und Saugroboter-Familie umgehen authentifizierte Angreifer die PIN für den Live-Video-Feed.
• CVE-2024-52331, gleiches Datum: deterministischer symmetrischer Schlüssel zum Entschlüsseln von Firmware-Updates.
• CVE-2024-42911, 14. Januar 2025: WiFi-Remote-Code-Execution beim Deebot T20 OMNI und T20e OMNI vor Firmware 1.24.0.
• CVE-2025-44251, 10. Juli 2025: Der Deebot T10 überträgt WLAN-Zugangsdaten beim Pairing im Klartext.
• CVE-2025-30198 und CVE-2025-30199, 5. September 2025: deterministisches WPA2-PSK zwischen Roboter und Station, dazu Basisstationen, die Firmware-Updates nicht validieren.
• CVE-2025-2394, 23. Mai 2025: eingebettete Zugriffsschlüssel in der ECOVACS-HOME-App für Android und iOS bis 3.3.0.

Kein einziger dieser Texte nennt den X12, das habe ich über die Volltextsuche der Trefferliste gemessen. Viele Formulierungen sind Familien, also Saugroboter und Rasenmäher zusammen, andere benennen ausdrücklich ältere Modelle. Was das für das eigene Gerät bedeutet, bleibt offen in beide Richtungen. Wer daraus eine Entwarnung bastelt, liest die Akte schlechter, als der Hersteller sie geschrieben hat.

Cloudabhängigkeit ist auch Verfügbarkeit

Der zweite Punkt, der im Betrieb früher kommt als jede Sicherheitslücke, ist ein Serverwechsel beim Lieferanten. Im Juli 2026 meldete die Community einen Fehlercode 1013 mit dem Text Please update to the latest version to continue, zuerst bei Nutzern der offiziellen Home-Assistant-Integration, später an mehreren regionalen Endpunkten. Der Hersteller hatte serverseitig ein neues Verifizierungsverfahren für Geräte verlangt. Auf GitHub läuft dazu die Issue #176484 im Repository home-assistant/core mit dem Titel 1013 Error, Change within EcovacsAPI?. Ein IoT-Gerät ohne lokalen Steuerpfad kann auf diesem Weg jederzeit in den Stand-only-Modus wechseln, ohne dass jemand am Gerät etwas verschraubt hat.

Die Exit-Tür ist eine Nische, aber sie existiert

Die bequeme Schiene bei Saugrobotern ist Rooten und Cloud-Abschalten, bei Roborock und Xiaomi heißt das Werkzeug Valetudo. Auf der Seite der unterstützten Geräte von Valetudo kommt das Wort Ecovacs nirgends vor, gezählt am 11. Oktober 2026 mit einem Treffer-Zähler von 0. Für Ecovacs gibt es denselben Komfort nicht.

Der Ersatzpfad ist jünger: Das Projekt bumper beschreibt sich selbst als eigenständige, selbst gehostete Implementierung des zentralen Servers, den Ecovacs-Saugroboter benutzen. Die offizielle Home-Assistant-Integration liefert den passenden Schalter gleich mit, im Config-Flow gibt es den Instanztyp cloud oder self_hosted mit eigenen Angaben für REST-URL und MQTT-URL. Damit liegen Roboter und App auf dem eigenen Server. Was dabei auf der Strecke bleibt, sind die Dienste, die der Hersteller nicht auslagert: Sprachsteuerung YIKO, die automatischen Firmware-Updates und die Komfortfunktionen der Hersteller-App. Das Projekt selbst warnt, dass die Hauptäste aktiver Entwicklung unterliegen und unausgereift sein können. Wer diese Tür nutzen will, betreibt einen Dienst, kein Gerät.

Was sich zuhause in zwanzig Minuten messen lässt

Weil das Heimnetz hier nicht von den Arbeitsrechnern erreichbar ist, bleibt für die Messung am Gerät der Weg über die eigenen Mittel. Die vier Adressen aus der Tabelle sind kein Geheimnis, also genügt ein DNS-Log, das die Abfragen mitschreibt. Wer Pi-hole oder AdGuard Home laufen hat, trägt die vier Namen in eine Beobachtungsliste und sieht innerhalb eines Tages, wann der Roboter klopft und wie oft. Wer schon die eigene DNS-Plattform betreibt, dem reicht ein Log-Retention von zwei Wochen. Das Verfahren habe ich bei DNS-Adblocking im Eigenbetrieb beschrieben.

Dazu gehören drei Handgriffe, die keinen Dauer-Umbau am Router verlangen. Erstens die DHCP-Inventur mit MAC-OUI zuordnen, denn Station und Roboter melden sich oft getrennt. Zweitens die vier Domains sinkholen und beobachten, was genau ausfällt: App-Kommandos und Sprachsteuerung sterben, der an Bord gespeicherte Putzplan läuft weiter. Diese Matrix ist die ehrlichste Antwort auf die Frage, wie viel Cloud das Gerät wirklich braucht. Drittens auf einem Managed Switch oder über die Router-Übersicht die Byte-Zähler je Port mitlaufen lassen. Der MQTT-Kanal erzeugt ein Muster aus kleinen regelmäßigen Paketen, ein Telemetrie-Burst sieht anders aus. Wer es genau wissen will, zieht temporär einen Spiegelport und liest SNI-Ziele, Ports und Paketgrößen, ohne die TLS-Payload öffnen zu müssen.

Der Rest ist eine Frage, die jeder für sich beantworten muss. Ich habe das Gerät für 720 Euro gekauft und weiß jetzt vor der Lieferung, dass es vier Adressen in zwei Domains braucht, dass sein Passwort und seine Karte im Papier des Herstellers stehen und dass es für China als Betreiber-Sitz keine Angemessenheitsentscheidung gibt. Diese Sätze stammen wörtlich aus der Dokumentation des Verkäufers. Der Testbericht folgt, wenn der Roboter einige Wochen gefahren ist.

Weiterführende Quellen

• Geizhals-Liste des X12 OmniCyclone, Preisstand 11. Oktober 2026, 21:24 Uhr, mit Bestpreis, Angebotszahl und 30-Tage-Kurve
• DeebotUniverse/client.py, Stand 11. Oktober 2026: authentication.py für die Endpunkte, mqtt_client.py für den Broker, util/continents.py für die Länderzuordnung
• Datenschutzbestimmungen der ECOVACS-HOME-App, Inkrafttreten 2025.11.24, Kamera- und WLAN-Passagen
• Datenschutz der Webpräsenz, Stand 31. Mai 2025, Kapitel VIII und IX
• NVD-Abfrage zum Hersteller, 16 Treffer am 11. Oktober 2026
• Home-Assistant-Integration Ecovacs und GitHub-Issue #176484 zum Fehler 1013