Sieben digital kommunizierende Spielzeuge für Kinder sowie die dazu gehörigen Apps hat die Stiftung Warentest unter die Lupe genommen. Im Fokus standen Datensicherheit und Daten-Sendeverhalten. Zu den Smart Toys gehörten ein Spielzeug-Roboter, ein Teddy, ein Roboter-Hund, ein Bär, ein Kätzchen, ein Dinosaurier und eine sprechende „Hello Barbie“. Die untersuchten Spielzeuge haben verschiedene Fähigkeiten und Funktionen: Sie empfangen Sprachnachrichten und -antworten, sie erzählen Geschichten, folgen Befehlen und spielen mit den Kindern.

Die Steuerung läuft über Apps für die mobilen Betriebssysteme Android und iOS. Es gibt einen steten Datenfluss, sowohl zwischen Spielzeug und App als auch zwischen App und den Datenbanken der Anbieter. Dabei werden beispielsweise Tondateien, aber auch persönliche Angaben übermittelt. Die Testerinnen und Tester hatten viel an den Produkten auszusetzen und schreiben unter anderem: „… insgesamt täuscht die niedliche Gestaltung der Spielzeuge darüber hinweg, dass sie mitunter wie Spione im Kinderzimmer agieren.“

Ungesicherte Verbindungen, laxer Passwort-Schutz

Bei drei Smart Toys war die Verbindung zwischen Spielzeug und Smartphone ungesichert. Beim Roboter-Spielkamerad i-Que könnte das beispielsweise bedeuten, dass ein fiktiver Nachbar in naher Umgebung per Bluetooth-Verbindung Kontakt aufnimmt – und i-Que dazu bringt, Nachrichten an das Kind zu übermitteln.

Kritisiert wurde zudem der durchgehend laxe Schutz von Passwort-Daten. Zwar werden die Passwörter auf dem Weg zum Server des Anbieters verschlüsselt, dort werden sie wohl aber im Klartext gespeichert. Vier Anwendungen übermitteln Geburtstag und Namen der Kinder an die Server, und drei Apps geben die Geräte-Identifikationsnummer des Smartphones an Dritt-Unternehmen weiter. Gelobt wird, dass einige Apps mit deutlich weniger Daten als andere auskommen. Da keine der Anwendungen einen ausreichend hohen Passwort-Schutz gewährleistet, wurden am Ende jedoch alle Apps als kritisch eingestuft.

Smart-Toy-Daten als Hacker-Beute?

Stiftung Warentest sieht verschiedene mögliche Bedrohungsszenarien. Durch die übermittelten Daten werden sowohl Kinder als auch Eltern zu gläsernen Usern, für die Werbewirtschaft und vielleicht auch für den bösen Nachbarn, der das Kind mit einfachen technischen Mitteln bespitzeln und manipulieren kann. Und für Hacker können die, auf den Servern der Spielzeugfirmen gespeicherten, Informationen hoch interessant sein.

In der Vergangenheit gab es bereits Fälle, bei denen Angreifer massenhaft Daten und Sprachaufzeichnungen aus Smart Toys gestohlen haben. Ende 2015 beispielsweise wurden, wie ein Hersteller einräumen musste, Daten von weltweit mehr als sechs Millionen Kinder-Profilen erbeutet. In Deutschland waren etwa 400.000 Eltern- und 500.000 Kinder-Accounts betroffen.