Forschende der Universität Basel stellen erhebliche Mängel beim Schutz der Privatsphäre fest

Die „Toniebox“ und die dazugehörigen Figuren sind vor allem bei kleinen Kindern beliebt. Viel einfacher zu bedienen als klassische Musik-Player, erlauben sie den Kleinen, Musik und Hörspiele jederzeit selbständig anzuschalten: Einfach eine Plastikversion des Räuber Hotzenplotz auf die Box stellen und schon startet die Geschichte von Ottfried Preussler. Möchte das Kind die Geschichte stoppen, nimmt es die Figur herunter. Zum Vor- und Zurückspulen kippt es die Box nach links beziehungsweise rechts.

Tolles Produkt, denken wohl viele Eltern. Allerdings registriert die „Toniebox“ genau, wann sie mit welcher Figur aktiviert wird, wann das Kind stoppt und wohin es spult – und sendet die Daten an die Herstellerfirma.

Zwölf Smart Toys getestet

Die „Toniebox“ ist eins von zwölf Smart Toys, welche die Forschenden um Prof. Dr. Isabel Wagner vom Departement Mathematik und Informatik der Universität Basel untersucht haben. Darunter waren weithin bekannte Spielzeuge, neben der „Toniebox“ etwa der smarte Lernstift „Tiptoi“, die Lern-App „Edurino“ oder das virtuelle Haustier „Tamagotchi“. Dabei waren aber auch weniger bekannte Spielsachen wie der „Moorebot“, ein beweglicher Roboter mit Kamera und Mikrofon, oder „Kidibuzz“, ein Smartphone für Kinder mit elterlicher Kontrollfunktion.

Der Fokus der Analyse lag zum einen auf Fragen der Sicherheit, etwa ob und wie gut der Datenverkehr verschlüsselt wird. Weiterhin ging es um Datenschutz, Transparenz, also etwa wie einfach Nutzerinnen und Nutzer Einblick in die über sie gesammelten Daten beantragen können, sowie die Einhaltung der EU-Datenschutz-Grundverordnung. Ihre Ergebnisse stellen Wagner und ihre Mitarbeiterinnen Anfang September am Annual Privacy Forum vor. Danach veröffentlicht der Springer-Verlag alle Konferenzbeiträge in der Reihe „Privacy Technologies and Policy“.

Daten offline sammeln, dann online versenden

In Sachen Sicherheit schneiden etwa die „Toniebox“ und der „Tiptoi“-Stift schlecht ab, da sie den Datenverkehr nicht sicher verschlüsseln. Auch bei der Wahrung der Privatsphäre erkennen die Forschenden Mängel bei der „Toniebox“, da sie Daten sammelt und dem Hersteller sendet. Der „Tiptoi“-Stift erfasst hingegen nicht, wie und wann ein Kind ihn nutzt.

Auch wenn die „Toniebox“ offline betrieben und nur temporär beim Laden neuer Audioinhalte mit dem Internet verbunden würde, könnte das Gerät gesammelte Daten lokal speichern und bei nächster Gelegenheit an den Hersteller senden, vermutet Isabel Wagner. „Bei einem anderen Spielzeug, das wir im Moment noch untersuchen und das ChatGPT integriert hat, sehen wir, dass Log-Daten regelmäßig verschwinden.“ Wahrscheinlich sei das System so eingerichtet, dass es die gesendeten Daten lokal wieder löscht, um den internen Speicher optimal zu nutzen.

Unternehmen behaupten oft, die gesammelten Daten würden ihnen helfen, ihre Geräte zu optimieren. Wozu die Daten noch dienen könnten, ist für Nutzerinnen und Nutzer aber kaum absehbar. „Begleit-Apps einiger Spielzeuge verlangen völlig unnötige Zugriffsrechte, wie etwa auf den Standort oder das Mikrophon des Smartphones“, hält die Forscherin fest. Und das ChatGPT-Spielzeug, dessen Analyse derzeit noch läuft, sende einen Datenstrom, der nach Audiodaten aussehe. Vielleicht wolle das Unternehmen damit die Spracherkennung von Kinderstimmen optimieren, vermutet die Professorin für Cyber Security.

Ein Label für Datenschutz

„Die Privatsphäre von Kindern ist besonders schützenswert“, betont Julika Feldbusch, Erstautorin der Studie. Spielzeughersteller sollten deshalb die Privatsphäre und Sicherheit ihrer Produkte entsprechend ihrer jungen

„Wir sehen jetzt schon Anzeichen für eine Zwei-Klassen-Gesellschaft beim Schutz der Privatsphäre von Kindern“, so Feldbusch. „Gut informierte Eltern setzen sich damit auseinander und können Spielzeuge wählen, die keine Verhaltensprofile ihrer Kinder erstellen. Aber vielen fehlt das technische Vorwissen oder sie haben keine Zeit, sich vertieft damit auseinanderzusetzen.“

Man könne sich zwar auf den Standpunkt stellen, dass den Kindern im Einzelfall wahrscheinlich keine negativen Konsequenzen entstehen, wenn Spielzeughersteller Profile von ihnen erstellen, sagt Isabel Wagner. „Aber wirklich sicher weiß man das nicht, weil sich umfassende Überwachung zum Beispiel negativ auf die Persönlichkeitsentwicklung auswirken kann.“

Originalpublikation

Julika Feldbusch, Valentyna Pavliv, Nima Akbari, Isabel Wagner
No Transparency for Smart Toys
Privacy Technologies and Policy (2024), doi: https://doi.org/10.1007/978-3-031-68024-3_11

Weitere Auskünfte

Prof. Dr. Isabel Wagner, Universität Basel, Departement Mathematik und Informatik, Tel. +41 61 207 05 56, E-Mail: isabel.wagner@unibas.ch

Quelle: Universität Basel, Angelika Jacobs

TÜV SÜD gibt Tipps zu Kauf und zur sicheren Nutzung von Smart Toys

Weihnachten steht vor der Tür und auf den Wunschzetteln vieler Kinder stehen nicht nur Bausteine und Brettspiele, sondern vermehrt auch smartes Spielzeug wie lernfähige Teddybären, ein mit dem Smartphone steuerbares Rennauto oder sprechende Puppen, die Fragen des Kindes beantworten können. Diese sogenannten Smart Toys sind mit dem Internet verbunden, können auf ihre Umgebung reagieren und lassen sich per App oder Sprachbefehl steuern. TÜV SÜD erklärt, worauf Eltern beim Kauf von intelligentem Spielzeug achten sollten.

Die Qualität muss stimmen

Ob neue Trends wie Smart Toys oder Klassiker wie Holzspielzeug – Artikel für Kinder müssen qualitativ hochwertig sein und dürfen keinerlei Gesundheitsrisiken bergen. TÜV SÜD prüft bei Produkten für die Kleinsten, ob alle relevanten Sicherheitsstandards eingehalten werden:

• Elektrische Sicherheit
• Mechanische Sicherheit
• Gebrauchstauglichkeits- und Dauertests
• Verpackungstests
• Chemische Prüfungen (Schadstoffprüfungen)
• Entflammbarkeitsprüfungen
• Spot-Tests
• Zertifizierung
• Spezielle Prüfungs-Setups für den chinesischen und amerikanischen Markt
• Cybersicherheit / IT- und Datensicherheit

Spielsachen, die über das Siegel „Sicherheit geprüft“ verfügen, sind auf Farbechtheit, Entflammbarkeit und Belastbarkeit geprüft. Als Grundlage werden produktspezifische Normen und Prüfprogramme herangezogen. Das Siegel „Schadstoffgeprüft“ gibt darüber Auskunft, ob die entsprechenden gesetzlichen Grenzwerte eingehalten beziehungsweise unterschritten werden. Das blaue TÜV SÜD-Oktagon steht für geprüfte Qualität.

Datenschutzrisiko im Kinderzimmer

Bei smartem Spielzeug müssen weitere Faktoren beachtet werden, die über die Produktsicherheit, die bei TÜV SÜD geprüft wird, hinausgehen. Eltern sollten vor allem auf den Datenschutz achten. Häufig dienen intelligente Spielzeuge nicht nur dem Spielspaß, sondern sollen Lernprozesse des Kindes gezielt fördern und es auf die digitale Welt vorbereiten. Darüber hinaus gibt es bereits Geräte, die diagnostisch tätig werden und Lernschwierigkeiten bei Kindern erkennen sollen. Einige Smart Toys können auf das Verhalten des Kindes reagieren, dank Spracherkennung und eingebauten Lautsprechern mit ihm kommunizieren und sogar dazulernen. Auf diese Weise kann smartes Spielzeug aber nicht nur positive Lerneffekte fördern, sondern auch wortwörtlich zum Spion im Kinderzimmer werden. Denn durch Sensoren, Kameras oder Mikrofone, die Gespräche aufzeichnen, lassen sich Rückschlüsse auf regelmäßige Aufenthaltsorte, Gewohnheiten und Interessen des Kindes und anderer Familienmitglieder ziehen. Über die Verbindung zum Internet oder anderen Geräten können so Sicherheitslücken entstehen.

Wie das Spielzeug Daten verarbeitet, hängt vor allem davon ab, ob es „offline“ betrieben wird oder für die Funktionalität mit dem Internet oder anderen Geräten verbunden sein muss: Bei nicht-vernetzten Smart Toys finden alle Prozesse innerhalb des Geräts statt und Daten werden nur lokal verarbeitet. Diese Spielzeuge führen in der Regel eine Reihe an vorprogrammierten Reaktionen aus, die beispielsweise durch einen Sprachbefehl des Kindes ausgelöst werden. Zwar ist es möglich, dass für Software-Updates eine Internetverbindung aufgebaut werden muss, diese Smart Toys sind jedoch auch ohne Internet voll funktionsfähig. Vernetztes Spielzeug hingegen baut bei der Nutzung eine Internet- oder Bluetooth-Verbindung auf. Viele Hersteller bieten zusätzlich eine App zur Steuerung an. Aus Datenschutzgründen sollten Eltern nicht-vernetzte Smart Toys bevorzugen, die Daten lokal verarbeiten und nicht mit einem externen Server verbunden sind.

Spielzeug vor dem Kauf kritisch prüfen

Vor dem Hintergrund von Datenspeicherung oder -missbrauch und dem Eingriff in die Privatsphäre des Kindes liegt die Verantwortung des sicheren Einsatzes von vernetztem Spielzeug vor allem bei den Eltern. Es ist möglich, sein Kind an Weihnachten mit einem Smart Toy zu beschenken, ohne Sicherheitsrisiken einzugehen. Doch grundsätzlich sollte sich jeder, der vernetztes Spielzeug kauft, darüber im Klaren sein, dass damit Gefahren verbunden sein können und man die Kontrolle über die Daten in vielen Fällen abgibt. Folgende Faktoren sollten Eltern vor dem Kauf deshalb prüfen:

• Welche Funktionen hat das Spielzeug, welche Daten werden darüber erhoben und wie werden diese weiterverarbeitet?
• Bietet das Spielzeug selbst sowie zugehörige Dienste angemessene Mechanismen wie Verschlüsselung zum Schutz anfallender Daten?
• Wie sehen die Datenschutzbestimmungen der dazugehörigen Apps aus?
• Welche Rechte werden dem Spielzeug und der dazugehörigen Applikation eingeräumt (z.B. der Zugriff auf Kontaktdaten)?
• Besteht eine ständige Verbindung ins Internet?
• Zeichnen Kameras und Mikrofone immer auf oder können sie ausgeschaltet werden?
• Wird über GPS-Daten der Standort aufgezeichnet?
• Haben internetfähige Spielzeuge eine passwortgeschützte Bluetooth-Schnittstelle?
• Garantiert der Hersteller das Bereitstellen von Updates über die zu erwartende Nutzungsdauer?

Es lohnt sich also, Smart Toys auf dem Wunschzettel kritisch unter die Lupe zu nehmen. Grundsätzlich sollten Verbraucher darauf achten, nie leichtfertig persönliche Daten ihres Kindes weiterzugeben und die Datenweitergabe auf das zur Nutzung erforderliche Minimum zu beschränken.

Sicherer Umgang mit Smart Toys

Um eine sichere und verantwortungsvolle Nutzung zu gewährleisten, sollten Eltern außerdem einige Tipps zum Umgang mit Smart Toys beherzigen: So sollte das Spielzeug nur in einer vertrauensvollen Umgebung, zum Beispiel zu Hause, in Betrieb genommen werden, um zu vermeiden, dass geheime Informationen wie Passwörter von unberechtigten Personen abgefangen werden. Ebenso sollte das Spielzeug nur mit einem passwortgeschützten WLAN verbunden werden. Schnittstellen, beispielsweise zu einem Smartphone, oder die Netzwerkverbindung sollten nur aktiviert werden, wenn sie zwingend zur Nutzung benötigt werden. Außerdem muss das Koppeln des Spielzeugs mit anderen Geräten zum Beispiel durch die Anzeige eines PIN-Codes gesichert sein. Falls das Spielzeug in fremde Hände fällt, ist es wichtig, dass zum Schutz der Daten immer ein Zugriffsschutz aktiviert ist. Und nicht zuletzt sollten Eltern regelmäßig prüfen, ob Updates für das Spielzeug vorhanden sind und diese installieren.

Weitere Informationen gibt es hier.

Quelle: TÜV SÜD