"Alle getesteten Spielzeuge können gehackt werden, weil ihre Nutzung keine starken Passwörter aus Wort-Buchstabenkombinationen erfordert. Wenn die Bluetooth-Verbindung ohne PIN läuft, können sogar Laien einsteigen", warnen die Sicherheitsexperten von NCC.

Internetfähige Spielzeuge, die mit Apps verbunden sind, hatte im Vorjahr das Österreichische Institut für angewandte Telekommunikation (ÖIAT) auf den Prüfstand gestellt. Dabei hatte sich gezeigt, dass selbst harmlos erscheinende Puppen und Teddybären mithören. Kinder geben ihre Namen und Vorlieben in die Handy-App ein, damit die Puppe sie persönlich ansprechen kann. "Jedes Spielzeug mit Mikrofon birgt Risiken für die Privatsphäre. Auch solche mit Kamera sollten nicht überall verwendet werden", sagt Studienautorin Louise Horvath zur "Wiener Zeitung".

Obwohl gerade die Kinder geschützt werden müssten, sind ihre Spielzeuge wenig bis nicht verschlüsselt. "Hersteller gehen von einer einfachen Zielgruppe aus. Kinder benötigen weniger Funktionen, daher testen die Produzenten sogar Innovationen an ihnen aus", erklärt die Sozialwissenschafterin. Passwörter müssen nur ein einziges Mal angegeben und können nicht geändert werden. Wer sie knackt, ist dabei. "Es fehlt das Bewusstsein, dass selbst einfache Spielzeug-Funktionen mit komplexen Maßnahmen geschützt werden müssen. Und es fällt auf, wie lieblos diese Produkte teilweise gemacht sind und wie viele Fehler sie enthalten", sagt Horvath.

In Deutschland ist der Besitz der Puppe Cayla, die von der Bundesnetzagentur als Abhöranlage klassifiziert wurde, verboten. In Österreich wurde diese Maßnahme nicht ergriffen. Die zuständige Agentur für Ernährungssicherheit empfiehlt nur, solches Spielzeug zu melden. Und obwohl jedes Auto mit Sicherheitsmängeln in die Fabrik zurück muss, fordert das ÖIAT nicht, gefährliche smarte Geräte aus dem Verkehr zu ziehen. Der Hintergrund ist die Spielzeugverordnung, die vor dem Markteintritt keine Sicherheitsprüfung durch Dritte vorschreibt.

Spielen verlangt keine starken Passwörter

Spielzeug wird nur bei Verdacht oder aus Routine auf physikalische Sicherheit, Lautstärke oder Entflammbarkeit getestet. Spielzeuge, die Daten aufzeichnen, fallen zudem unter das Datenschutzrecht und den Verbraucherschutz. "Wenn ein Spielzeug mehr ist als nur ein Teddybär, werden zusätzliche Regulatorien wirksam", erklärt Horvath. Wenn Kinder für ihr Vertrauen in ihr Lieblingsspielzeug, dem sie vielleicht alles erzählen, mit obszönen Bildern belohnt werden, können die Eltern nur im Nachhinein Klage einbringen.

Eltern, die ihrem Nachwuchs zu Weihnachten ein internetfähiges Gerät schenken wollen, müssen sich somit ebenso viele Gedanken machen wie beim Kauf eines neuen Smartphones oder eines ganzen Smart Home. Denn die Kinder landen heute mit Datenprofilen, Sprachaufnahmen, Vorlieben und Lieblingsspeisen im Internet, bevor sie im Internet sind.