Wenn Hacker die Barbie kapern: Agentin im Kinderzimmer

Alexander Geschonneck würde kein vernetztes Spielzeug kaufen, aus Prinzip: „Ich bin berufsparanoid“, betont der Experte für IT-Forensik von der Wirtschaftsprüfungsgesellschaft KPMG. Dass Hacker Sicherheitslücken in solchen Spielzeugen entdecken, überrascht ihn nicht. „Jede Branche macht schmerzhafte Erfahrungen damit, was es bedeutet, sich zu digitalisieren.“ Ähnlich wie bei Herstellern von vernetzten Autos oder Geräten zur Hausautomatisierung fehle anfangs oft das Bewusstsein für die IT-Sicherheit. Wenn auch mit eklatanten Auswirkungen.

Für die meisten Hersteller ist es eine gänzlich neue Erfahrung, ins Visier der Hacker zu geraten. Vernetztes Spielzeug sei noch ein recht kleiner Bereich des Sortiments, unterstreicht Ulrich Brobeil, Geschäftsführer des Deutschen Verbands der Spielwarenindustrie. Gleichwohl sei schon seit einiger Zeit zu erkennen, dass immer mehr Puppen, Autos oder Lerncomputer mit dem Internet verbunden seien. Das sei auch nicht weiter überraschend, meint Brobeil: „Unsere Branche bildet das Große im Kleinen ab.“ Seit Jahren gebe es einen Beirat für Spielzeugsicherheit in dem Verband. Doch das reiche wohl nicht mehr aus, meint Brobeil. Schließlich ging es da bisher vor allem um Materialien, um mechanische Sicherheit. Daher will der Manager nun eine Expertengruppe zu IT-Sicherheit einrichten.

Das scheint dringend nötig. Bei VTech drangen Hacker in die Datenbank des Unternehmens ein. Darin waren die Profildaten von Millionen Kindern und Eltern gespeichert, in vielen Fällen inklusive Porträtbildern. Hierzulande waren eine halbe Million Kinderprofile sowie 400.000 dazugehörige Elternkonten betroffen. Die Firma aus Hongkong entschuldigte sich inzwischen für den Vorfall und kündigte an, die Systeme sicherer zu machen.

Bei „Hello Barbie“ haben Experten mehrere Sicherheitslücken entdeckt, die gewieften Angreifern einen weitreichenden Datenzugang gewährt hätten. Brisant ist das nicht zuletzt, weil die Firma Gespräche der Kinder bis zu zwei Jahre auf seinen Servern speichert. Die Puppe des US-Konzerns Mattel wird in Deutschland jedoch nicht verkauft.

Wie IT-Sicherheit mitgedacht werden kann, zeigt die Firma Elemental Path, die mit einem schlauen Dinosaurier Schlagzeilen gemacht hat – er beantwortet Spracheingaben mit Hilfe von Watson, also künstlicher Intelligenz von IBM. „Wir wussten, dass wir sensible Informationen speichern müssen, um ein personalisiertes Spielzeug anbieten zu können“, erklärt Gründer JP Benini. Sein Team habe daher vom ersten Tag an auf IT-Sicherheit und Datenschutz Wert gelegt.

So werde jede Datenübertragung anonymisiert und mit Industriestandards verschlüsselt – im schlimmsten Fall soll nur eine begrenzte Menge Daten nach außen dringen. Das Start-up aus New York verspricht außerdem, Lücken schnell zu schließen und die Sicherheit der Plattform regelmäßig zu überprüfen.

„Und um Eltern letztlich die Kontrolle über die Daten ihrer Kinder zu geben, bieten wir einen ,Kill Switch’ an“, sagt Benini. Heißt: Mit einem Klick lassen sich alle personenbezogenen Daten löschen. Bei Elemental Patch gilt allerdings wie bei allen anderen: Man muss darauf vertrauen, dass die Firma es richtig macht.

Dass die Sicherheitslücken ausgerechnet jetzt publik werden, ist für die Spielwarenhändler ungünstig, könnten die Meldungen doch die Kunden verunsichern. In den Wochen vor Weihnachten erwirtschaften die Geschäfte hierzulande rund 40 Prozent des Jahresumsatzes. Bei Deutschlands größtem Händlerverbund, der Nürnberger Vedes, steht das Thema IT-Sicherheit daher inzwischen ganz oben auf der Agenda.

Die Genossenschaft reagiere bei Gefahr sofort, erklärt Marketingchef Stephan Bercher: „Wir als Verbundgruppenzentrale weisen unsere Händler unverzüglich per Blitzinfo auf uns bekannt gewordene Missstände hin, leiten Informationen des Herstellers weiter und geben gegebenenfalls Hilfestellung, wie Fragen von Endverbrauchern beantwortet werden sollen.“ Doch Bercher warnt: Natürlich sei auch jeder Nutzer von vernetzten Angeboten gefordert, den Umgang mit den eigenen Daten selbstkritisch zu überwachen.

Kurzfristige Besserung ist kaum in Sicht – IT-Sicherheit lässt sich nicht verordnen, dafür braucht es Fachleute und Prozesse. „Ich kann Eltern nur empfehlen, sich genau anzuschauen, welche Gadgets sie in den privaten Lebensraum lassen“, empfiehlt KPMG-Berater Geschonneck. Bei einem Tablet lässt sich über die Konfiguration des Geräts häufig einstellen, was Kinder dürfen und was nicht, etwa in abgesicherten Bereichen. Bei Puppen ist das nicht der Fall. Immerhin: Spielen kann man mit Cayla & Co. auch ohne Internetverbindung.