// HEISE ONLINE — MOBILE & WEB
Kinder-Smartwatches haben laut BSI Sicherheitslücken
Das BSI hat vernetzte Uhren für Kinder überprüft. Die Analyse legt große Lücken etwa bei Verschlüsselung, Datenlöschung und Standard-Konfigurationen offen.
Junge mit Smartwatch am Arm: deutliche Schwachstellen beim Datenschutz und der Verschlüsselung
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Kinder-Smartwatches erfreuen sich wachsender Beliebtheit. Die vernetzten Mini-Computer am Handgelenk versprechen eine direkte Erreichbarkeit, einfache Kommunikation und ein Gefühl von Sicherheit durch GPS-Ortung – ohne dass die Jüngsten dafür ein eigenes Smartphone benötigen. Doch was als Schutz- und Hilfsmittel gedacht ist, birgt teils erhebliche IT-Sicherheitsrisiken.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Kinder-Smartwatches und deren Begleit-Apps genauer untersucht. Das Fazit fällt ernüchternd aus: Keines der geprüften Geräte hatte ab Werk eine sichere Standardkonfiguration. Bei mehreren Modellen zeigten sich ferner deutliche Schwachstellen beim Datenschutz und der Verschlüsselung.
Für die Untersuchung wählte das BSI drei Modelle aus unterschiedlichen Preissegmenten aus: die Connect Neo von One2Track, die Garmin Bounce sowie die Imoo Z3. Geprüft wurden dann sowohl die Hardware und Firmware als auch die dazugehörigen Android-Apps und die Datenübertragungswege. Im Fokus standen die Absicherung des Kontozugangs, die Transparenz bei Sicherheitsupdates, die Verschlüsselung des Datenverkehrs sowie das Verhalten der Geräte beim Zurücksetzen und bei der Außerbetriebnahme.
Das BSI kritisierte besonders Mängel bei den werkseitigen Voreinstellungen sowie der Datenübertragung. Zwei der drei getesteten Modelle verschickten sensible Informationen streckenweise unverschlüsselt, bei der Connect Neo etwa den Datenstrom für Videoanrufe. Noch gravierender fiel der Befund bei der Imoo Z3 aus: Diese sendete unverschlüsselt Klartextnachrichten, Mediendateien aus dem Chat sowie Informationen zu nahegelegenen WLAN-Zugangspunkten. Dabei handelt es sich um Daten, mit denen Angreifer unter Umständen den Standort des Kindes bestimmen könnten.
Auch beim Schutz der Geräte vor unbefugten Einstellungsänderungen kamen Schwachstellen zutage. Weder die Garmin Bounce noch die Imoo Z3 verhinderten in den Standardeinstellungen zuverlässig, dass Kinder selbst das Gerät auf die Werkseinstellungen zurücksetzen oder ungesicherte WLAN-Netze hinzufügen. Bei der Connect Neo führte ein Zurücksetzen der Uhr dazu, dass die zuvor aktive Anrufsperre für unbekannte Telefonnummern deaktiviert wurde.
Problematisch sind zudem die Security-Updates: Nur ein Produzent machte dazu klare und langfristige Angaben. Bei den übrigen Geräten lässt laut dem Bericht kaum nachvollziehen, wie lange ein Hersteller ein Modell mit Aktualisierungen versorgt. Eines der Testgeräte befand sich während der Untersuchung bereits im Abverkauf und konnte bauartbedingt keine Firmware-Updates über Funk empfangen. Ohne solche Aktualisierungen bleiben selbst bekannt gewordene Sicherheitslücken dauerhaft offen.
Ferner identifizierten die Prüfer Mängel bei der Außerbetriebnahme. Wurde ein Benutzerkonto gelöscht oder die Uhr weitergegeben, verblieben bei allen Modellen teilweise personenbezogene Daten auf dem Speicher des Geräts oder in der App-Sandbox. Das ist riskant, wenn gebrauchte Geräte verkauft werden.