BSI-Test: Zwei von drei Kinder-Smartwatches senden Daten unverschlüsselt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in Bonn gravierende Sicherheitslücken bei Kinder-Smartwatches festgestellt. Wie die Behörde in ihrer Untersuchung mit dem Titel „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Kinder-Smartwatches“ darlegt, weisen die Geräte deutliche Schwachstellen bei der Verschlüsselung und dem Datenschutz auf.

Da die Uhren sensible Standort- und Kommunikationsdaten verarbeiten, warnte das BSI davor, dass sie für die jungen Träger zum Sicherheitsrisiko werden können.

Fehlende Standardabsicherung und unverschlüsselte Daten

Für die Analyse untersuchte die Behörde drei Modelle aus unterschiedlichen Preissegmenten zusammen mit den zugehörigen Android-Begleit-Apps und der jeweiligen Datenübertragung: die One2Track Connect Neo, die Garmin Bounce sowie die Imoo Z3. Im Fokus der Prüfung standen technische Schwachstellen sowie der Schutz persönlicher Daten und der Kommunikation.

Das Ergebnis fiel ernüchternd aus: Keines der getesteten Modelle verfügte ab Werk über eine sichere Standardkonfiguration. Zwei der drei Geräte übertrugen sensible Informationen teils unverschlüsselt. Bei der Connect Neo betraf dies unter anderem den Datenstrom von Videoanrufen. Das Modell Imoo Z3 sendete Klartextnachrichten, Chat-Mediendateien sowie Informationen zu WLAN-Zugangspunkten, worüber sich der Standort des Nutzers bestimmen lässt.

Zudem boten die Standardeinstellungen oft keinen ausreichenden Schutz vor Fehlbedienungen. Die Modelle Garmin Bounce und Imoo Z3 verhinderten in der Basiskonfiguration nicht zuverlässig, dass Kinder das Gerät auf Werkseinstellungen zurücksetzen oder sich mit ungesicherten WLAN-Netzen verbinden. Bei der Connect Neo führte ein Reset dazu, dass die Anrufsperre für unbekannte Telefonnummern deaktiviert wurde.

Wer sich mit der Sicherheit vernetzter Geräte befasst, sollte auch das eigene Smartphone nicht vernachlässigen, um Datenverlust und Malware dauerhaft zu verhindern. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr mobiles Gerät sofort effektiv absichern. 5 Schutzmaßnahmen für Ihr Smartphone jetzt entdecken

Mängel bei Updates und Außerbetriebnahme

Auch bei der langfristigen Wartung sieht die Bonner Behörde Nachholbedarf. Lediglich ein Hersteller machte klare, langfristige Angaben zu künftigen Sicherheitsupdates. Ein im Abverkauf erworbenes Testgerät war bauartbedingt gar nicht in der Lage, Firmware-Updates über Funk zu empfangen.

Sämtliche drei Produkte wiesen zudem Defizite bei der sicheren Außerbetriebnahme auf. Nach dem Löschen des Benutzerkontos oder vor einer Weitergabe an Dritte verblieben teilweise personenbezogene Daten auf dem Gerät oder in der App-Sandbox. Das verlässliche Zurücksetzen auf einen sicheren Werkszustand funktionierte bei keinem Modell lückenlos.

Auf die Testergebnisse haben die Hersteller inzwischen reagiert: Sie schlossen die Lücken teils per Update oder sagten entsprechende Nachbesserungen zu.

BSI rät Eltern zu mehr Wachsamkeit

Lars Bartsch, Referatsleiter Technischer Verbraucherschutz beim BSI, betonte, dass Hersteller und Eltern an einem Strang ziehen müssten. Während Hersteller gefordert seien, die behördlichen Empfehlungen umzusetzen, sollten Eltern bereits vor der Anschaffung vorsorgen.

Dazu zähle die Klärung, wie lange Sicherheitsupdates garantiert werden; Geräte ohne verfügbare Aktualisierungen sollten nicht mehr genutzt werden. Zudem empfiehlt sich ein Blick auf Prüfberichte von Verbraucherschutzverbänden und Instituten.

Ein veraltetes Betriebssystem auf mobilen Endgeräten kann wie eine offene Tür für Cyberkriminelle wirken, wenn wichtige Sicherheitslücken nicht geschlossen werden. Erfahren Sie in diesem gratis Report, wie Sie automatische Updates richtig nutzen, um Ihre privaten Daten rund um die Uhr zu schützen. Kostenlosen Android-Update-Report herunterladen

Für den laufenden Betrieb rät das BSI, das zugehörige Konto zwingend mit einem starken Passwort und idealerweise per Zwei-Faktor-Authentisierung abzusichern. Eine aktivierte Tastensperre schützt vor unbefugtem Zugriff Dritter, während Anruf- und Nachrichtenfreigaben für fremde Personen gesperrt bleiben sollten. Zudem sei darauf zu achten, dass sich Funktionen wie Ortung, Bewegungsmuster und Kamera einzeln deaktivieren lassen.

Künftig dürften die gesetzlichen Anforderungen an solche Geräte ohnehin steigen: Auf europäischer Ebene schreibt der Cyber Resilience Act (CRA) Sicherheitskonzepte wie „Security by Design and by Default“ für vernetzte Produkte verbindlich vor.

Mehr zum Thema bei heise online: „Kinder-Smartwatches haben laut BSI Sicherheitslücken“