Kinder-Smartwatches haben laut BSI Sicherheitslücken

Was geschehen ist – die Kernmeldung ausführlich

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine eingehende Untersuchung zu vernetzten Smartwatches für Kinder durchgeführt. Diese Geräte, die oft als Sicherheitsinstrumente für Eltern beworben werden, um den Nachwuchs per GPS zu orten und eine direkte Kommunikation zu ermöglichen, weisen laut der Analyse des BSI teils erhebliche IT-Sicherheitsrisiken auf. Die Experten des Bundesamtes untersuchten dabei nicht nur die Hardware und die Firmware der Uhren, sondern auch die zugehörigen Android-Applikationen sowie die gesamten Datenübertragungswege. Das Ergebnis der Untersuchung ist aus Sicht der Behörde ernüchternd: Keines der geprüften Modelle verfügte ab Werk über eine sichere Standardkonfiguration. Vielmehr zeigten sich bei mehreren der getesteten Produkte deutliche Schwachstellen, die sowohl den Datenschutz als auch die Verschlüsselung betreffen. Die Untersuchung verdeutlicht, dass die vermeintlichen Schutzhelfer am Handgelenk in der Praxis oft selbst zu einer Sicherheitslücke werden können, da sie sensible Informationen ungeschützt übertragen oder grundlegende Sicherheitsmechanismen vermissen lassen. Damit stellt sich die Frage nach der tatsächlichen Sicherheit dieser vernetzten Mini-Computer, die ohne die Notwendigkeit eines eigenen Smartphones für Kinder eine ständige Erreichbarkeit versprechen.

Die Einzelheiten – Zahlen, Namen und Orte

Für die detaillierte Analyse wählte das BSI drei spezifische Modelle aus, die unterschiedliche Preissegmente abdecken: die Connect Neo von One2Track, die Garmin Bounce sowie die Imoo Z3. Die Prüfer nahmen dabei die Absicherung des Kontozugangs, die Transparenz bei Sicherheitsupdates, die Verschlüsselung des Datenverkehrs sowie das Verhalten der Geräte bei der Außerbetriebnahme unter die Lupe. Besonders kritisch bewerteten die Experten die werkseitigen Voreinstellungen. Bei der Connect Neo wurde beispielsweise der Datenstrom für Videoanrufe teilweise unverschlüsselt übertragen. Noch gravierender gestaltete sich die Situation bei der Imoo Z3: Dieses Modell übertrug Klartextnachrichten, Mediendateien aus dem Chatverlauf sowie Informationen zu WLAN-Zugangspunkten in der Umgebung unverschlüsselt. Diese Daten könnten von Angreifern genutzt werden, um den Standort des Kindes zu ermitteln. Zudem konnten bei der Garmin Bounce und der Imoo Z3 Kinder selbst das Gerät auf Werkseinstellungen zurücksetzen oder ungesicherte WLAN-Netze hinzufügen, ohne dass dies durch die Standardeinstellungen verhindert wurde. Bei der Connect Neo führte ein Zurücksetzen sogar dazu, dass die Anrufsperre für unbekannte Nummern deaktiviert wurde.

Hintergrund – Vorgeschichte und Verlauf

Der Markt für Kinder-Smartwatches ist in den vergangenen Jahren stark gewachsen. Eltern greifen vermehrt zu diesen Geräten, da sie sich davon eine höhere Sicherheit für ihre Kinder versprechen, ohne diesen bereits ein vollwertiges Smartphone überlassen zu müssen. Die Geräte versprechen eine einfache Kommunikation und eine permanente GPS-Ortung. Doch während die Nachfrage stieg, hielt die IT-Sicherheit der Produkte oft nicht Schritt. Das BSI hat sich nun dieser Problematik angenommen, um die Risiken für Verbraucher transparent zu machen. Die Untersuchung ist Teil der Bemühungen des Bundesamtes, den technischen Verbraucherschutz zu stärken. Dass es sich hierbei um ein systemisches Problem handelt, zeigt sich auch daran, dass bereits in der Vergangenheit Sicherheitslücken bei anderen Herstellern, wie etwa Xplora, bekannt wurden, die den Zugriff auf die Geräte ermöglichten. Die aktuelle Untersuchung der drei Modelle Connect Neo, Garmin Bounce und Imoo Z3 dient dazu, die Breite der Mängel aufzuzeigen, die von mangelhafter Verschlüsselung bis hin zu unzureichenden Update-Strategien reichen. Die Ergebnisse unterstreichen, dass die Sicherheit bei der Entwicklung dieser Wearables bisher oft nicht ausreichend priorisiert wurde.

Die Beteiligten – Wer ist betroffen und wer entscheidet

Betroffen sind in erster Linie die Nutzer dieser Geräte, also Kinder und deren Eltern, die sich auf die Sicherheitsversprechen der Hersteller verlassen. Auf der Seite der Institutionen ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die treibende Kraft hinter der Untersuchung. Lars Bartsch, der als Referatsleiter für den Technischen Verbraucherschutz beim BSI fungiert, hat sich im Zuge der Veröffentlichung der Ergebnisse deutlich zu Wort gemeldet. Er betont die gemeinsame Verantwortung von Herstellern und Eltern. Die Hersteller stehen aus seiner Sicht in der Pflicht, ihre Produkte bereits in der Entwurfsphase durch sichere Konzepte zu schützen, ein Prinzip, das als „Security by Design and by Default“ bekannt ist. Auf der anderen Seite werden die Hersteller der untersuchten Geräte – One2Track, Garmin und Imoo – in die Pflicht genommen. Diese haben nach dem Bericht des BSI bereits teilweise reagiert, indem sie Lücken durch Software-Updates schlossen oder weitere Nachbesserungen in Aussicht stellten. Die Kommunikation zwischen der Behörde und den Unternehmen ist dabei ein wesentlicher Bestandteil, um die Sicherheit der bereits im Umlauf befindlichen Geräte nachträglich zu verbessern.

Einordnung – Was das bedeutet

Einzuordnen ist das Ergebnis so, dass die Sicherheitsmängel bei Kinder-Smartwatches kein Einzelfall sind, sondern ein strukturelles Problem im Bereich der vernetzten Konsumgüter darstellen. Den Berichten zufolge ist die mangelnde Transparenz bei Sicherheitsupdates besonders kritisch. Nur ein einziger Hersteller machte im Rahmen der Untersuchung klare und langfristige Angaben dazu, wie lange ein Modell mit Aktualisierungen versorgt wird. Bei den anderen Geräten ist dies kaum nachvollziehbar. Ein Testgerät befand sich sogar bereits im Abverkauf und konnte bauartbedingt keine Firmware-Updates mehr über Funk empfangen. Dies bedeutet, dass bekannte Sicherheitslücken bei solchen Geräten dauerhaft offen bleiben. Zudem identifizierten die Prüfer Mängel bei der Außerbetriebnahme: Wenn Benutzerkonten gelöscht oder Uhren weitergegeben werden, verbleiben bei allen untersuchten Modellen teilweise personenbezogene Daten auf dem Speicher des Geräts oder in der App-Sandbox. Dies stellt ein erhebliches Risiko dar, wenn gebrauchte Geräte den Besitzer wechseln. Die Ergebnisse verdeutlichen, dass das Vertrauen in die Sicherheit solcher Produkte derzeit noch auf einer sehr wackeligen Basis steht.

Offene Fragen – Was der Quelltext nicht beantwortet

Der Quelltext lässt einige Fragen offen, die für Eltern und Nutzer von Bedeutung sein könnten. So wird zwar kritisiert, dass bei zwei Modellen keine langfristigen Angaben zu Sicherheitsupdates gemacht wurden, es wird jedoch nicht explizit genannt, welcher der drei Hersteller die einzige positive Ausnahme bildet, die klare Angaben zu Support-Zeiträumen machte. Auch wird nicht detailliert aufgeschlüsselt, welche spezifischen technischen Hürden die Hersteller bei der Implementierung einer durchgehenden Verschlüsselung für Videoanrufe oder Chat-Nachrichten angeführt haben könnten. Ebenso bleibt offen, wie viele Geräte der betroffenen Modelle aktuell in Deutschland im Einsatz sind und ob es bereits konkrete Fälle von Missbrauch durch Dritte gab, die auf die identifizierten Schwachstellen zurückzuführen sind. Der Text konzentriert sich auf die technische Analyse des BSI und die daraus resultierenden Empfehlungen, lässt aber die wirtschaftlichen Auswirkungen auf die betroffenen Hersteller oder mögliche regulatorische Sanktionen, die über den kommenden Cyber Resilience Act hinausgehen könnten, weitgehend außen vor.

Wie es weitergeht – Angekündigte Schritte

Die Hersteller haben auf die Kritik des BSI reagiert und teilweise bereits Software-Updates bereitgestellt oder Nachbesserungen zugesagt. Dies ist ein erster Schritt zur Behebung der identifizierten Schwachstellen. Langfristig soll der sogenannte Cyber Resilience Act (CRA) für mehr Sicherheit sorgen, da dieser künftig vorschreibt, dass Produkte bereits durch ihr Design und sichere Voreinstellungen geschützt sein müssen. Für Eltern gibt das BSI konkrete Empfehlungen für das weitere Vorgehen: Vor der Anschaffung sollten sie sich genau über Support-Zeiträume und Einstellungsoptionen informieren. Nach dem Kauf gilt es, die Standardeinstellungen zu prüfen, Ortungsdienste anzupassen und den Zugriff auf Benutzerkonten mit starken Passwörtern oder einer Zwei-Faktor-Authentifizierung abzusichern. Zudem sollten Positivlisten für erlaubte Anrufer eingerichtet werden. Vor einer Weitergabe der Uhr ist zwingend eine vollständige Löschung der Daten sicherzustellen. Schließlich weist das BSI darauf hin, dass neben der Technik auch die Persönlichkeitsrechte der Kinder zu wahren sind; eine ständige Überwachung sollte daher immer in einem altersgerechten und aufklärenden Gespräch mit dem Kind thematisiert werden.