Das ist Salfeld Kindersicherung

Mit der App Salfeld Kindersicherung können Eltern die Smartphones ihrer Kinder einschränken. Per Zugang über eine passende Eltern-App oder ein Webportal lassen sich einzelne Apps sperren und zeitlich beschränken. Auch Webseiten können gesperrt werden.

[Hinweis: Bei einigen Geräten gibt es bei dieser App ein Problem mit dem Split-Screen. Über diese Funktion, die Android ab Version 7.0 mitbringt, lassen sich offenbar die eingestellten App-Limits umgehen.]

Über eine Protokoll-Funktion können Eltern einsehen, welche Apps ihr Kind wann genutzt hat und welche Webseiten es besucht hat. Die Protokoll-Funktion für Apps funktionierte in unserem Test jedoch nicht richtig, häufig wurde dort "unbekannte App" gelistet.

Anbieter von Salfeld Kindersicherung ist die Salfeld Computer GmbH mit Sitz in Stuttgart. Die App gibt es nur für Android. Nach Installation der "Salfeld Kindersicherung" aus dem Google Play-Store erscheint im Gerätemenü ein Icon mit dem Salfeld-Logo, jedoch heißt die App dort "Kisi 2018".

Die App ist die ersten 30 Tage kostenlos und kostet anschließend 19,95 Euro für ein Jahr (für ein Gerät). Es ist auch möglich, die App für mehrere Geräte einzurichten und für diese ein gemeinsames Profil und Zeitkonto einzurichten. Der Preis ist dann entsprechend höher.

Unser Test im Überblick

Die App Salfeld Kindersicherung nimmt Kontakt zu den Servern des Anbietern und zu zwei Analysediensten  (AppMeasurement und Google Analytics) sowie dem Push-Dienst von Google auf.

Sämtliche Informationen, die Eltern vom Gerät ihres Kindes erhalten, werden über die Server des Anbieters geleitet, sodass dieser sie theoretisch einsehen kann. Darunter sind nicht nur die Namen und Nutzungszeitpunkte aller installierten Apps, sondern auch die URL jeder aufgerufenen Webseite.

Das ist aus Datenschutzperspektive problematisch, da die Salfeld Computer GmbH auf diese Weise viel über die Interessen des Kindes oder des Jugendlichen erfährt. Selbst bei besten Absichten des Anbieters birgt dies stets die Gefahr, dass die Informationen durch Fehler oder Angriffe in die falschen Hände geraten.

Dass diese Möglichkeit durchaus realistisch ist, zeigt die Vergangenheit: Alleine in den letzten zwei Jahren wurden Datenlecks bei sieben Anbietern von Überwachungs-Apps bekannt.

Auf Nachfrage von mobilsicher.de, warum die Daten nicht Ende-zu-Ende-verschlüsselt gesendet werden (dann könnten nur Eltern und Kind sie einsehen), antwortete der Hersteller:

"Eine Ende-zu-Ende Verschlüsselung wäre natürlich prima, für uns als kleinen Anbieter ist das aber vor allem eine Frage des Aufwands und der damit verbundenen Kosten. Vorhandene Ressourcen nutzen wir derzeit eher, um die App im Sinne unserer Kunden weiter zu verbessern und auszubauen."

Die Datenschutzerklärung für "Salfeld Kindersicherung" wurde nach Kritik von mobilsicher.de Ende Oktober 2018 vom Anbieter akualisiert. Sie ist nun verständlich und vollständig.

Unser Fazit

Das Zeitmanagement der App funktioniert gut und kann helfen, vorher getroffene Absprachen zwischen Eltern und Kindern durchzusetzen. Dass Eltern die Smartphone-Nutzung ihrer Kind mit Hilfe der App vollständig überwachen können, stellt aber einen großen Eingriff in die Privatsphäre des Kindes dar.

Zudem besteht die Gefahr, dass sensible Daten von Kindern in falsche Hände geraten. Aus unserer Sicht gibt es unter den Kindersicherungs-Apps daher bessere Alternativen.

Unser Test im Detail

Diese Berechtigungen fordert die App

Die App verlangt Berechtigungen, die für eine "Überwachungs-App" plausibel, aber dennoch weitreichend sind. Auf dem Gerät des Kindes benötigt die App unter anderem:

• Administratorenrechte (Geräteverwaltung): Schützt die App davor, deinstalliert zu werden, ermöglicht es, einen Sperrbildschirm zu setzen um das Gerät z.B. zu sperren.
• Geräte- und App-Verlauf (Zugriff auf Nutzungsdaten): Um festzustellen, ob und wie lange andere Apps laufen.
• Standort und Kontakte: Diese Berechtigungen sind optional und können verweigert werden.

Wohin verbindet sich Salfeld Kindersicherung?

Jegliche Kommunikation erfolgt TLS-verschlüsselt. Auf zusätzliche Sicherheit durch Cert-Pinning verzichtet der Anbieter.

Hauptdienst (sync.salfeld.net): Nach dem Start nimmt die App zunächst keinen Kontakt zum Server auf. Erst während der Personalisierung der App werden unter anderem folgende Informationen übermittelt:

• E-Mail-Adresse und Passwort
• Sprache
• Gewählter Gerätename, Seriennummer des Geräts
• Gerätehersteller und Modell
• Android-Version, Version der App
• Der Name jeder installierten App, mit Installationsdatum und der Info, ob sie schon einmal gelöscht wurde

In regelmäßigen Abständen während der Nutzung:

• Gewählter Gerätename, Seriennummer des Geräts
• Gerätehersteller und Modell
• Android-Version, Version der App

Nach dem Öffnen / Schließen einer App:

• Welche App wann geöffnet bzw. genutzt wurde.
• Alle installierten Apps inklusive einer Block-Liste (gesperrte Apps)

Während dem Surfen mit Firefox / Chrome wird übermittelt:

• Die aufgerufene Webseite

AppMeasurement: Kostenloses Werkzeug zur Nutzeranalyse in iOS- und Android-Apps. Gehört zu Google.

• Android-Version und Build-Nummer
• Geräte-Modell

Weitere übermittelte Informationen bzw. Datenübermittlungen sind zusätzlich verschlüsselt und lassen sich nicht einsehen.

Hinweis: Die Übermittlung der Daten erfolgt noch bevor der Nutzer in die Datenschutzerklärung eingewilligt hat.

Google FCM: Google-Dienst für Push-Nachrichten.

Übertragung von:

• App-Name und -Version

Google-Analytics: Analysedienst zur Untersuchung des Nutzerverhaltens

Übertragung von:

• Android-Version
• Gerätemodell

Weitere übermittelte Informationen bzw. Datenübermittlungen sind zusätzlich verschlüsselt und lassen sich nicht einsehen.

Hinweis: Die Übermittlung der Daten erfolgt noch bevor der Nutzer in die Datenschutzerklärung eingewilligt hat.

Wie sicher speichert die App meine Daten?

Die Account-Daten werden lokal auf dem Gerät gesichert. Dazu gehört der Nutzername (E-Mail-Adresse) und das Passwort. Der Nutzername wird im Klartext gespeichert das Passwort wird mit dem veralteten, unsicheren MD5-Hashalgorithmus gehasht.

Wer ein wenig technisches Know-how hat, kann das Passwort innerhalb von Sekunden wieder „zurückrechnen“.

Was sagt die Datenschutzerklärung?

Die Datenschutzerklärung von "Salfeld Kindersicherung" wurde nach Kritik von mobilsicher.de Ende Oktober 2018 vom Anbieter akualisiert. Sie ist nun verständlich und vollständig. Sie deckt sich mit den Erkenntnissen unseres Tests und macht transparent, was die App genau tut.

Der Analysedienst AppMeasurement wird in der aktualisierten Datenschutzerklärung nicht erwähnt - der Anbieter erklärte gegenüber mobilsicher.de, ihn beim nächsten Update der App entfernen zu wollen.