Anfang des Jahres stufte die Bundesnetzagentur (BNetzA) die Puppe „My friend Cayla“ als getarnte Sendeanlage ein. Cayla verarbeitet Spracheingaben und beantwortet beispielsweise Fragen von Kindern. Der Grund für die Einstufung: Die Audiodateien – also die Gespräche von Kindern mit der Puppe – können unbemerkt zum Hersteller übertragen werden. Zudem können sich Dritte aufgrund mangelnder Sicherheitsvorkehrungen einfach via Bluetooth mit Cayla verbinden und den Kindern sowohl zuhören als auch das Mikrofon der Puppe nutzen. Die Puppe ist demnach verboten, der Hersteller nahm sie vom deutschen Markt, die BNetzA forderte Besitzer auf, die Puppe zu vernichten. Doch Cayla ist längst nicht das einzige Spielzeug, das sich mit dem Internet verbindet.
Immer mehr Spielzeuge speichern Daten in der Cloud
Da wäre beispielsweise der Roboter „i‑Que“, der nach einem ähnlichen Prinzip Fragen beantwortet, mit Kindern ein Quiz spielt oder Witze erzählen kann. Renate Künast und andere Mitglieder der grünen Bundestagsfraktion fragten deshalb bei der Bundesregierung nach, ob diese einen Unterschied zu der Cayla-Puppe sieht. Wie Cayla erlaubt i‑Que in der Nähe befindlichen Smartphone-Nutzern, Bluetooth-Verbindungen aufzubauen und das Gerät zu kontrollieren – ganz ohne Sicherheitsvorkehrungen.
Laut der noch nicht veröffentlichten Antwort der Bundesregierung sehe die BNetzA jedoch keinen Bedarf, ein Verwaltungsverfahren wegen des Roboters einzuleiten. Er sei „bei den großen Händlern nicht mehr im Sortiment“. Dennoch beobachte die BNetzA weiter die Sortimente.
Schwemme an IoT-Geräten mit Sicherheitslücken
Künast ist damit nicht zufrieden. Gegenüber netzpolitik.org sagt sie, die Angabe der Bundesregierung treffe nicht zu: „Eine einfache Online-Suche zeigt sofort fünf Händler in Deutschland an! Ich fordere die Bundesnetzagentur deshalb auf tätig zu werden, zumal nicht die Menge des Angebots Kriterium für ein Einschreiten sein darf.“
Bei weiteren Produkten wurde die BNetzA bereits tätig, bis zum August diesen Jahres habe sie 160 Verfahren eingeleitet, etwa 400 Angebote seien gelöscht wurden. Zu verborgenen Sendeanlagen gehören längst nicht nur Kinderspielzeuge, es gibt eine Schwemme von Internet-of-Things-Geräten. Künast sie ein Problem in dieser „Masse an Billigprodukten auf dem Markt, die technisch überhaupt nicht aktualisiert werden können.“ Sicherheitslücken sind dabei vorprogrammiert, die Schadsoftware Mirai nutzte beispielsweise IoT-Geräte, um riesige Botnetze aufzubauen. Sicherheitsforscher konnten ebenso leicht Babyfone mit Internetanbindung übernehmen und so Video- und Audioaufnahmen auslesen.
„Kinderzimmer darf kein Einfallstor für Ausspähung sein“
Heute veröffentlichte Stiftung Warentest einen Bericht, für den mehrere vernetze Spielzeuge untersucht wurden. Das Ergebnis ist: Den Toy-Fi-Teddy bezeichnen die Tester als Problembären. Eigentlich sollten sich durch den Teddy Eltern und Kinder Sprachnachrichten senden können, aber Dritte können sich ebenso leicht Zugang verschaffen. Viele der Spielzeuge, selbst wenn sie über eine Zugangssicherung verfügen, legen die Audiodaten auf den Servern der Anbieter ab, sodass Eltern das Kind ohne dessen Wissen belauschen können. Dazu sammeln einige ausführliche Daten über die verbundenen Smartphones der Eltern.
Künast sagt, das Kinderzimmer dürfe „kein Einfallstor für Ausspähung“ sein: „Kinder sind besonders schutzbedürftig im Sinne des Verbraucher- aber auch des Datenschutzes.“ Um für mehr Sicherheit bei den unzähligen IoT-Geräten zu sorgen, fehlen Regelungen. Ein Update des IT-Sicherheitsgesetzes räumt Providern ein, sogenannte Steuerdaten auszuwerten und in den Internetverkehr von Nutzern einzugreifen, wenn beispielsweise DDoS-Angriffe von Geräten erkannt werden. Das ist nicht nur ein Datenschutz- und Netzneutralitätsproblem, es packt das Problem außerdem nicht an der Wurzel an.
Um Hersteller dazu zu zwingen, Geräte mit Sicherheitsupdates zu versorgen, ist eine stärkere Produkthaftung notwendig. Doch in Deutschland wie auf EU-Ebene fehlen Regelungen. Unter anderem SPD und Grüne thematisieren das Problem in ihren Wahlprogrammen, ob das Thema nach der Bundestagswahl zeitnah behandelt werden wird, bleibt abzuwarten.
Stiftung Warentest empfiehlt währenddessen: „So ’smart’ solche Teddys auch sein mögen: Ein nicht internetfähiger, ‚dummer’ Teddy bleibt wohl auch in Zukunft die schlauere Wahl.“