Smarte Spielzeuge: BSI warnt vor Spionage

Zu Weihnachten werden wieder viele smarte Spielzeuge verschenkt. Diese bieten aber die Gefahr der Spionage. Das BSI warnt zu Weihnachten erneut explizit vor dieser Gefahr.

Mit sogenannten Smart Toys halten intelligente Spielzeuge Einzug in Kinderzimmern. Denn was Erwachsene in Form von Smart TVs, Lichtsteuerung oder Sprachassistenten fasziniert, begeistert auch Kinder und Jugendliche an lernfähigen Teddybären und mit dem Smartphone steuerbare Autos oder Robotern: zum einen lassen sich manche Dinge dank der niedlichen Helfer schneller erledigen und zum anderen interagieren die Spielzeuge persönlich mit den Besitzern. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert hier über mögliche Probleme.

Was sind SmartToys genau?

Smart Toys zeichnen sich dadurch aus, dass sie ihre Umgebung erkennen und auf Aktionen, wie Sprachbefehle oder Eingaben, oder andere Bedingungen reagieren und in Interaktion mit Menschen, Tieren oder anderen digitalen Geräten treten können. Dabei sollte man zwischen Smart Toys unterscheiden, die sich mit dem Internet oder anderen Geräten verbinden können und jenen, die "offline betrieben" werden.

Hilfestellung bei Lernprozessen

Intelligente Spielzeuge müssen nicht nur dem Spielspaß dienen, sondern können auch ganz gezielt Lernprozesse von Kindern fördern (Gamification – Lernen durch Spielen). Es gibt sogar Puppen, die, ähnlich einem digitalen Assistenten, Fragen des Kindes beantworten können, indem sie eine Suchanfrage über das Internet stellen und das Ergebnis wiedergeben. Diese Spielzeuge sind häufig darauf ausgelegt, Kindern einen Umgang mit digitalen Geräten beizubringen und sie auf die digitale Welt vorzubereiten. Darüber hinaus gibt es Weiterentwicklungen, die versuchen, diagnostisch tätig zu werden, indem sie frühzeitig versuchen, Lernschwierigkeiten bei Kindern zu erkennen.

Smarte Spielzeuge bieten ein großes Potential, denn sie eröffnen neue Möglichkeiten des spielerischen Lernens, unter anderem durch einen Zugriff auf die große Wissensdatenbank Internet, um so den Lernprozess des Kindes zu erleichtern und zu verbessern.

Smart Toys – kritisch hinterfragen ist wichtig

Smartes Spielzeug kann aber wortwörtlich auch zum Spion im Kinderzimmer werden. Durch Gesprächsaufzeichnungen, aus denen sich vielfältige Rückschlüsse ziehen lassen, können zum Beispiel regelmäßige Aufenthaltsorte, Gewohnheiten und Interessen des Kindes und anderer Familienmitglieder abgeleitet werden. Folgende Maßnahmen sollten beachtet werden, um einen sicheren und verantwortungsvollen Umgang mit Smart Toys zu gewährleisten:

• Ein Spielzeug wird häufig mit einem anderen Geräten (z.B. Smartphone, Tablet, PC) verbunden. Dabei ist darauf zu achten, welche Rechte (z.B. Kontaktdaten) dem Spielzeug und der dazugehörigen Applikation eingeräumt werden.
• Das Spielzeug sollte nur mit einem passwortgeschützten WLAN verbunden werden. Wenn es eine Netzwerkverbindung nicht zwingend benötigt, sollte es nur offline genutzt werden.
• Die Inbetriebnahme sollte immer in einer "sicheren" Umgebung stattfinden, da hierbei unter Umständen Geheimnisse zur Sicherung des Datentransports ausgetauscht werden. Damit kann zumindest teilweise vorgebeugt werden, dass unberechtigte Teilnehmer diese Geheimnisse abfangen.
• Nutzer sollten regelmäßig prüfen, ob Updates für das Spielzeug vorhanden sind und diese installieren. Im besten Falle existiert eine automatische Update-Funktion.
• Voreingestellte Codes und Passwörter sollten immer durch eigene, hinreichend starke Passwörter/PINs ersetzt werden.
• Schnittstellen, beispielsweise zu einem Smartphone, am Gerät sollten nur aktiviert sein, wenn sie wie Bluetooth benötigt werden, denn offene Schnittstellen bieten immer ein höheres Gefahrenpotenzial.
• Vor der Kaufentscheidung sollte darauf geachtet werden, dass das Spielzeug selbst sowie zugehörige Dienste angemessene Mechanismen wie Verschlüsselung zum Schutz anfallender Daten bieten.
• Zum Schutz der Daten, falls das Spielzeug in fremde Hände fällt, sollte immer ein Zugriffsschutz aktiviert sein.
• Das Koppeln des Spielzeugs mit anderen Geräten sollte z.B. durch die Anzeige eines PIN-Codes oder das Einscannen eines beigelegten QR-Codes gesichert werden.

Smart Toys are watching you

Im Februar 2018 kam es zu einem großen Informationsleck, bei dem ca.. 2 Millionen Sprachdateien offen im Netz verfügbar waren. Diese Dateien wurden durch die Nutzung der Cloudpets von SpiralToys generiert und in einer Cloud gespeichert, auf die ohne Authentisierung zugegriffen werden konnte. Das Spielzeug an sich konnte mit dem Smartphone über die Datenübertragungstechnologie Bluetooth verbunden werden, sodass Eltern über diese Verbindung mit ihrem Kind kommunizieren konnten.

Eine derartige Anwendung bietet selbstverständlich auch das Potenzial, das Kind ständig überwachen zu können, zumindest sofern es in Reichweite ist. Wäre das Spielzeug in das Internet eingebunden, wäre dies unter Umständen auch aus der Ferne möglich.

Solche Fälle zeigen die Bedenklichkeit der Funktionen mancher Spielzeuge. Nicht nur das Kind wird überwacht, sondern auch die Umgebung der Kinder und somit andere Menschen. Sind die Spielzeuge mit GPS-Funktionen ausgestattet, so ist es ebenfalls möglich, die Aufenthaltsorte des Kindes festzustellen. Das generiert auf der einen Seite einen Sicherheitsgewinn für das Kind und die Eltern.

Auf der anderen Seite können Kriminelle ebenfalls den Aufenthaltsort oder Gewohnheiten des Kindes ermitteln. Außerdem könnten Angreifer das Spielzeug nutzen, um Kontakt mit dem Kind herzustellen und sein Verhalten zu beeinflussen, indem sie sich als Vertraute ausgeben.

Smart Toys – Smart sichern

Ohne angemessene Mechanismen zum Schutz der Daten kann ein großer Schaden entstehen, z.B. durch Doxing, eine Form der Erpressung durch Offenlegung der erlangten personenbezogenen Daten. Über vermeintliche Sicherheitslücken in der Software von smarten Spielzeugen können Angreifer die Kontrolle über das Spielzeug übernehmen und so z.B. die Umgebung abhören oder mit dem Kind Kontakt aufnehmen.

Vor dem Hintergrund von Datenspeicherung oder -missbrauch und dem Eingriff in die Privatsphäre des Kindes, liegt die Verantwortung des sicheren Einsatzes von vernetztem Spielzeug vor allem bei den Eltern. Das BSI hat noch einmal die wichtigsten Punkte für einen verantwortungsbewussten und sicheren Umgang mit Smart Toys in folgender Grafik zusammengefasst:

Quelle: Bundesamt für Sicherheit in der Informationstechnik

(via)