Studie: Smarte Spielzeuge senden Nutzungsdaten an Hersteller

Inhaltsverzeichnis

Smarte Spielzeuge wie die Toniebox, der Tiptoi oder Tamagotchis sind bei Kindern beliebt. Eine Studie der Universität Basel zeigt nun: Die Geräte haben große Lücken im Schutz der Privatsphäre.

Insgesamt zwölf Smart Toys, die auf dem EU-Markt erhältlich sind, hat das Forschungsteam um Isabel Wagner, Professorin für Cyber Security vom Departement Mathematik und Informatik der Universität Basel, untersucht. Darunter waren die mit Figuren funktionierende Lautsprecherbox "Toniebox", der smarte Lernstift "Tiptoi", die Lern-App "Edurino", das virtuelle Haustier "Tamagotchi", der bewegliche Roboter "Moorebot", der mit Kamera und Mikrofon ausgestattet ist, und das Kinder-Smartphone "Kidibuzz". Das Erstellen eines Verhaltensprofils der Kinder über Spielzeuganalysedaten und auch fehlende Transparenz wegen unzureichender und schwer zugänglicher Informationen über die Datenerhebung und -verarbeitung seien weit verbreitet gewesen.

Spielzeug leitet Daten an Hersteller weiter

Die Toniebox etwa ist ein smarter Lautsprecher, der mit Figuren funktioniert. Stellt das Kind eine Figur auf die Box, spielt diese die zugehörige Geschichte ab. Nimmt es die Figur herunter, kann es die Geschichte stoppen. Vor- und Zurückspulen funktioniert über das Kippen der Toniebox nach rechts oder links.

Genau diese Daten speichert die Toniebox laut dem Forschungsteam. Die Daten, wann ein Kind die Box mit welcher Figur aktiviert, wann es stoppt und an welche Stelle es spult, sendet die Box an die Herstellerfirma. Zudem sei der Datenverkehr nicht sicher verschlüsselt, so das Forschungsteam. "Auch wenn die Toniebox offline betrieben und nur temporär beim Laden neuer Audioinhalte mit dem Internet verbunden würde, könnte das Gerät gesammelte Daten lokal speichern und bei nächster Gelegenheit an den Hersteller senden", vermutet Isabel Wagner laut der Mitteilung.

Verschlüsselung über mutual TLS

Hersteller Tonies betont, sich "vollständig und selbstverständlich an die rechtlichen Rahmenbedingungen, wie die DSGVO" zu halten, sagte ein Unternehmenssprecher auf Nachfrage von heise online. Die Box erhebe zudem keine personenbezogenen Daten und das Unternehmen erfahre nicht, wer mit der Box interagiere. "Wir erfassen gerätebezogene Bediendaten, zum Beispiel zur Berechnung der durchschnittlichen Abspielzeit eines Tonies auf einer Toniebox", sagte der Sprecher. "Diese nutzen wir, um unsere Produkte und Inhalte weiterzuentwickeln und besser bedienbar zu machen. Die Daten werden ausschließlich in aggregierter Form ausgewertet, ohne dass ein Rückschluss auf eine konkrete Toniebox erfolgt." Die Daten, die zwischen der Toniebox und den Unternehmensservern fließen, verschlüssele Tonies. "Wir nutzen dazu mutual TLS", erläuterte der Sprecher.

Bei dieser Form der Verschlüsselung müssen sich beide Seiten, Client und Server, ausweisen. Auf dem CCC 2023 zeigte das Team RevvoX, dass sich die Client-Server-Kommunikation der damaligen Box mitlesen ließ. Das Team hatte die Protokolle reverse-enginieered. Auch seien einige Daten übermittelt worden, sagte RevvoX. Die Firmware auf den verbreiteten ESP32-basierten neueren Tonieboxen war RevvoX zufolge weder verschlüsselt noch signiert und ließ sich durch eigene Software austauschen. Ob es seit dem Jahresende eine Änderung gab, geht aus der Stellungnahme nicht hervor.

Laut dem Unternehmenssprecher erfordere die Box keine Registrierung und auch keine Angabe persönlicher Informationen. Registriere sich eine Kundin oder ein Kunde dennoch, weise das Unternehmen in der Datenschutzerklärung explizit darauf hin, dass dies auch mit einer Fantasie-E-Mail-Adresse möglich sei. Wer außerdem vermeiden wolle, dass die Box die Bediendaten an die Server schicke, könne die Box ohne Internetverbindung nutzen. Die versendeten Bedieninformationen seien erforderlich, um bei Gerätestörungen Supportleistungen zu ermöglichen.

Datennutzung oft intransparent

IT-Forscherin Wagner sagt: "Bei einem anderen Spielzeug, das wir im Moment noch untersuchen und das ChatGPT integriert hat, sehen wir, dass Log-Daten regelmäßig verschwinden." Sie vermutet, das System sei so eingerichtet, dass der interne Speicher optimal genutzt werden könne, indem es die gesendeten Daten lokal wieder löscht.

Nicht sicher verschlüsselt sei der Datenverkehr der Ladestation des Tiptoi-Stifts. Der Tiptoi-Stift erfasse allerdings nicht, wie das Kind ihn nutze. Tiptois der dritten Generation in Sonderedition mit WLAN oder ab der vierten Generation haben einen per Ladestation aufladbaren Akku und können selbst per WLAN online gehen und ausschließlich Audio-Inhalte zu Büchern und Spielen herunterladen. Für die älteren Gerätegenerationen zeichnet dafür eine App für den PC zuständig, die nicht näher bewertet wurde.

Für die Nutzenden sei es mitunter kaum absehbar, für welchen Zweck Unternehmen die Daten tatsächlich nutzten – auch wenn die Angabe oft laute, es gehe darum, Geräte zu optimieren. "Begleit-Apps einiger Spielzeuge verlangen völlig unnötige Zugriffsrechte, wie etwa auf den Standort oder das Mikrofon des Smartphones", sagt Wagner. Das Team untersuche derzeit noch ein Spielzeug, das ChatGPT integriert habe. Dieses sende einen Datenstrom, hinter dem das Team Audiodateien vermutet. Wagner denke, das Unternehmen wolle möglicherweise Spracherkennung von Kinderstimmen optimieren.

Sorge vor Zwei-Klassen-Gesellschaft

Die Forscherinnen schlagen ein Label für die Einhaltung von Sicherheits- und Datenschutzstandards vor – vergleichbar mit den Nährwertampeln auf Lebensmitteln. Das vereinfache Eltern, die Sicherheitsrisiken smarter Spielzeuge für ihre Kinder zu verstehen. Julika Feldbusch, Erstautorin der Studie, betont, die Privatsphäre von Kindern sei besonders schützenswert und Unternehmen sollten die Sicherheit ihrer Produkte höher gewichten als bisher. "Wir sehen jetzt schon Anzeichen für eine Zwei-Klassen-Gesellschaft beim Schutz der Privatsphäre von Kindern", sagte Feldbusch. "Gut informierte Eltern setzen sich damit auseinander und können Spielzeuge wählen, die keine Verhaltensprofile ihrer Kinder erstellen." Vielen fehle aber das technische Vorwissen oder die Zeit, um sich intensiver mit dem Thema zu beschäftigen. Ihre Ergebnisse stellt das Team Anfang September beim Annual Privacy Forum vor.

(are)