Kinder-Smartwatches haben laut BSI Sicherheitslücken

Kinder-Smartwatches erfreuen sich wachsender Beliebtheit. Die vernetzten Mini-Computer am Handgelenk versprechen eine direkte Erreichbarkeit, einfache Kommunikation und ein Gefühl von Sicherheit durch GPS-Ortung – ohne dass die Jüngsten dafür ein eigenes Smartphone benötigen. Doch was als Schutz- und Hilfsmittel gedacht ist, birgt teils erhebliche IT-Sicherheitsrisiken.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Kinder-Smartwatches und deren Begleit-Apps genauer untersucht. Das Fazit fällt ernüchternd aus: Keines der geprüften Geräte hatte ab Werk eine sichere Standardkonfiguration. Bei mehreren Modellen zeigten sich ferner deutliche Schwachstellen beim Datenschutz und der Verschlüsselung.

Für die Untersuchung wählte das BSI drei Modelle aus unterschiedlichen Preissegmenten aus: die Connect Neo von One2Track, die Garmin Bounce sowie die Imoo Z3. Geprüft wurden dann sowohl die Hardware und Firmware als auch die dazugehörigen Android-Apps und die Datenübertragungswege. Im Fokus standen die Absicherung des Kontozugangs, die Transparenz bei Sicherheitsupdates, die Verschlüsselung des Datenverkehrs sowie das Verhalten der Geräte beim Zurücksetzen und bei der Außerbetriebnahme.

Schwachstellen schon bei Voreinstellungen

Das BSI kritisierte besonders Mängel bei den werkseitigen Voreinstellungen sowie der Datenübertragung. Zwei der drei getesteten Modelle verschickten sensible Informationen streckenweise unverschlüsselt, bei der Connect Neo etwa den Datenstrom für Videoanrufe. Noch gravierender fiel der Befund bei der Imoo Z3 aus: Diese sendete unverschlüsselt Klartextnachrichten, Mediendateien aus dem Chat sowie Informationen zu nahegelegenen WLAN-Zugangspunkten. Dabei handelt es sich um Daten, mit denen Angreifer unter Umständen den Standort des Kindes bestimmen könnten.

Auch beim Schutz der Geräte vor unbefugten Einstellungsänderungen kamen Schwachstellen zutage. Weder die Garmin Bounce noch die Imoo Z3 verhinderten in den Standardeinstellungen zuverlässig, dass Kinder selbst das Gerät auf die Werkseinstellungen zurücksetzen oder ungesicherte WLAN-Netze hinzufügen. Bei der Connect Neo führte ein Zurücksetzen der Uhr dazu, dass die zuvor aktive Anrufsperre für unbekannte Telefonnummern deaktiviert wurde.

Fehlende Updates und Mängel bei der Datenlöschung

Problematisch sind zudem die Security-Updates: Nur ein Produzent machte dazu klare und langfristige Angaben. Bei den übrigen Geräten lässt laut dem Bericht kaum nachvollziehen, wie lange ein Hersteller ein Modell mit Aktualisierungen versorgt. Eines der Testgeräte befand sich während der Untersuchung bereits im Abverkauf und konnte bauartbedingt keine Firmware-Updates über Funk empfangen. Ohne solche Aktualisierungen bleiben selbst bekannt gewordene Sicherheitslücken dauerhaft offen.

Ferner identifizierten die Prüfer Mängel bei der Außerbetriebnahme. Wurde ein Benutzerkonto gelöscht oder die Uhr weitergegeben, verblieben bei allen Modellen teilweise personenbezogene Daten auf dem Speicher des Geräts oder in der App-Sandbox. Das ist riskant, wenn gebrauchte Geräte verkauft werden.

Handlungsbedarf und Empfehlungen

Alle Hersteller schlossen nach dem Bericht Lücken teilweise durch Software-Updates oder sagten Nachbesserungen zu. Lars Bartsch, Referatsleiter Technischer Verbraucherschutz beim BSI, mahnt, dass Hersteller und Eltern an einem Strang ziehen müssten. Erstere stünden in der Pflicht, ihre Produkte bereits durch das Design und sichere Voreinstellungen zu schützen („Security by Design and by Default“). Das schreibe künftig auch der Cyber Resilience Act (CRA) vor.

Eltern rät das BSI, sich vor der Anschaffung genau über Support-Zeiträume und Einstellungsoptionen zu informieren. Nach dem Kauf sollten die Standardeinstellungen geprüft und Funktionen wie Ortungsdienste angepasst werden. Ebenso gelte es, den Zugriff auf das Benutzerkonto mit starken Passwörtern oder einer Zwei-Faktor-Authentifizierung abzusichern, Positivlisten für erlaubte Anrufer einzurichten und vor einer Weitergabe der Uhr eine vollständige Löschung der Daten sicherzustellen.

Neben den technischen Vorkehrungen verweist das BSI auf die Persönlichkeitsrechte der Kinder: Eine ständige Überwachung stehe im Konflikt mit dem Recht des Nachwuchses auf Privatsphäre. Ortungs- und Kommunikationsfunktionen sollten daher altersgerecht nach einem aufklärenden Gespräch eingesetzt werden.