Berichten zufolge haben Florida, Iowa, Nebraska und Montana Klagen gegen TP-Link Systems erhoben. Konkret datiert ist Iowas Verfahren: Generalstaatsanwältin Brenna Bird kündigte die Klage an und reichte sie am 6. Oktober 2026 beim Bezirksgericht des Polk County ein. Iowa wirft dem Unternehmen Verstöße gegen das Verbraucherschutzgesetz des Bundesstaats vor.

Was Iowa zur Routersicherheit vorwirft

Iowa beanstandet Aussagen zur Sicherheit des Dienstes HomeShield und zu bestimmten Routern. Die Klage nennt den TL-WR940N, den Archer C7, den Archer AX21 und den Archer AXE75. Sie führt konkrete Schwachstellen und Einschränkungen bei Firmware-Updates an.

Beim TL-WR940N nennt Iowa CVE-2023-50224 und behauptet, Betreiber des Quad7-Botnetzes sowie Russlands GRU hätten die Schwachstelle ausgenutzt. Für den Archer C7 nennt die Klage die Versionen 2 und 3 und behauptet, sie seien bei Quad7-Angriffen kompromittiert worden und unterstützten keine automatischen Firmware-Updates.

Für die Versionen 1 bis 3 des Archer AX21 führt Iowa CVE-2023-1389 an. Separat behauptet die Klage, dass bei den Varianten v1 und v1.20 automatische Updates nicht standardmäßig aktiviert gewesen seien und der Support im Mai 2024 endete. Beim Archer AXE75 nennt Iowa CVE-2024-53375 und CVE-2025-15568.

Vorwürfe zu Lieferkette und App-Daten

Iowa behauptet, TP-Link habe seine Trennung vom chinesischen Unternehmen TP-Link Technologies zwar 2024 abgeschlossen, aber weiterhin China-Bezüge unterhalten. Außerdem sollen demnach nur 0,5 Prozent der Bauteile für die vietnamesische Fabrik, gemessen am Wert, in Vietnam gekauft worden sein; andere Komponenten seien aus China oder über China importiert worden.

Die Klage wirft TP-Link auch vor, in seinen Angaben zu App-Daten wichtige Risiken nicht offengelegt zu haben. Iowa zufolge erfassen TP-Link-Apps unter anderem E-Mail-Adressen, Standortdaten und Kennungen von Mobiltelefonen. Die Datenschutzrichtlinien sähen zudem eine Weitergabe an verbundene Unternehmen oder zur Einhaltung von Gesetzen vor.

TP-Links Reaktion und Iowas Forderungen

TP-Link soll die Vorwürfe zurückgewiesen und erklärt haben, TP-Link Systems sei ein unabhängiges US-Unternehmen und stehe weder unter der Kontrolle der chinesischen Regierung noch der Kommunistischen Partei Chinas. Geräte für den US-Markt würden in Vietnam hergestellt.

Iowa beantragt eine Unterlassungsverfügung, Hinweise an Verbraucher zu Routern mit ausgelaufenem Support oder bekannten, aktiv ausgenutzten Schwachstellen sowie Angaben zum Datum von Sicherheitsupdates beim Verkauf. Außerdem fordert der Bundesstaat Geldstrafen von bis zu 40.000 US-Dollar je Verstoß und bei Verstößen gegen ältere Personen zusätzliche bis zu 5.000 US-Dollar. Zu den weiteren beantragten Maßnahmen gehören Rückerstattungen und die Abschöpfung erzielter Gewinne.