Die Antwort ist unbequem: Bei einer getesteten GPS-Smartwatch für Kinder konnten Forscher den Träger orten, aus der Ferne Fotos aufnehmen und Mikrofon-Audio übertragen – ohne dass die Uhr dabei eine offensichtliche Warnung anzeigte. Das ist kein Beweis dafür, dass jede Kinder-Smartwatch angreifbar ist. Es zeigt aber, wie weitreichend die Folgen sein können, wenn eine Uhr und ihr Backend schlecht abgesichert sind.
Was die Live-Demonstration zeigte
Im Mittelpunkt stand eine von CJC verkaufte und von YiQingTeng Electronics hergestellte Kinder-Smartwatch mit GPS, Kamera, Mikrofon, Nachrichten- und Standortfunktionen. Die Sicherheitsforscher Vangelis Stykas und Felipe Solferini konnten die Uhr in einem praktischen Versuch missbrauchen.
Zunächst funktionierte das GPS der Uhr nicht zuverlässig. Trotzdem ließ sich der Träger anhand nahegelegener WLAN-Kennungen orten. Später demonstrierten die Forscher auch die Ortung über die GPS-Funktion. Außerdem nahmen sie aus der Ferne Fotos auf und griffen Mikrofon-Audio ab. Für die betroffene Person war dabei kein offensichtlicher Hinweis auf Kamera- oder Mikrofonzugriff zu sehen.
Die Aufnahme zeigt lediglich das Aussehen der getesteten Uhr. Sie selbst dokumentiert weder den Angriff noch eine Sicherheitslücke.
Das eigentliche Problem steckt im Backend
Eine Kinderuhr ist nicht nur ein kleines Gerät am Handgelenk. Standortdaten, Nachrichten und Befehle laufen typischerweise über Apps und Server. Genau dort fanden die Forscher eine stark fragmentierte, aber zugleich eng verbundene Infrastruktur.
Viele günstige Geräte werden als White-Label-Produkte verkauft: Auf der Uhr steht eine Marke, während App und Backend von einem spezialisierten Zulieferer stammen. Für Käufer ist dadurch oft schwer erkennbar, welche Plattform im Hintergrund arbeitet. Eine Schwachstelle in einem gemeinsamen Backend kann deshalb mehrere Marken betreffen – ohne dass diese äußerlich etwas miteinander zu tun haben.
Die Untersuchung analysierte mehr als 70 GPS-Uhren und Fahrzeug-Tracker. Dabei tauchten drei größere Plattformen auf: YiQingTeng/SETracker, NewGPS2012 und SinoTrack. Die Forscher ordneten mehr als 30 analysierte Ortungsgeräte YiQingTeng/SETracker zu; NewGPS2012 soll hinter mehr als 30 Marken von Fahrzeug- und Kinder-Trackern stehen. Insgesamt sprachen die Forscher von mehreren zehn Millionen GPS-Geräten in diesen drei Lieferketten. Das ist eine Forschungsschätzung, keine unabhängig geprüfte Marktzahl.
Welche Schwächen gemeldet wurden
Die technischen Begriffe klingen trocken, ihre Folgen sind es nicht. Authentifizierung soll prüfen, ob eine Anfrage wirklich von einem berechtigten Nutzer stammt. Fehlt diese Kontrolle, können Angreifer Befehle an Geräte senden, die ihnen nicht gehören. Eine SQL-Injection wiederum nutzt Fehler in der Verarbeitung von Datenbankabfragen aus und kann unter Umständen Informationen offenlegen oder Serverfunktionen missbrauchbar machen.
| Plattform oder Ökosystem | Zugeordneter Geräteumfang | Gemeldete technische Schwäche | Gemeldete Folge |
| YiQingTeng/SETracker | Mehr als 30 analysierte Ortungsgeräte | Fehlende Authentifizierung sowie Schwächen beim Zugriff auf Gerätefunktionen | Unbefugte Befehle, Standortmanipulation sowie Zugriff auf Kamera und Mikrofon wurden als mögliche Folgen der untersuchten Schwächen beschrieben. |
| NewGPS2012 | Mehr als 30 Marken für Fahrzeug- und Kinder-Tracker | SQL-Injection und die Möglichkeit, Code auf Servern auszuführen | Die Untersuchung beschrieb weitreichende Eingriffe in die gemeinsame Plattform und verbundene Ortungsgeräte. |
| SinoTrack | Plattform für Smartwatches und Fahrzeug-Tracker | SQL-Injection und Missbrauch von Konten | Standorte, Passwörter und Fahrzeugdaten aus Zehntausenden Geräten sollen offengelegt worden sein. |
Zusätzlich wurden manipulierte Nachrichten und Standorte sowie das Ersetzen von Notfallkontakten beschrieben. Das macht aus einer vermeintlichen Sicherheitsfunktion – „Eltern können ihr Kind erreichen“ – im schlimmsten Fall ein Werkzeug für falsche Nachrichten, falsche Positionsdaten oder unerwünschten Zugriff.
Bedeutet SETracker oder NewGPS2012 automatisch Gefahr?
Nein. Die Nutzung einer dieser Plattformen ist ein Warnsignal für die Lieferkette, aber kein Beweis, dass jedes einzelne Markenmodell verwundbar ist. Die Forscher und die Untersuchung bestätigten nicht jedes Gerät individuell. Von der Plattformzuordnung direkt auf eine ausnutzbare Lücke in jeder Uhr zu schließen, wäre daher zu weitgehend.
Auch die zentrale Demonstration bezieht sich auf das getestete CJC-Gerät und die dabei untersuchten Systeme. Sie zeigt, was bei einem verwundbaren Gerät möglich war – nicht, dass jede Kinder-Smartwatch heimlich fotografiert oder belauscht werden kann.
Ein wiederkehrendes Muster bei Kinderuhren
Der Fall steht nicht völlig isoliert da. Bereits bei der früher untersuchten MiSafes Kid’s Watcher Plus wurden Sicherheitsprobleme beschrieben, durch die Standortdaten und Kommunikation zugänglich werden konnten. Bei einer Studie aus dem Jahr 2020 zeigten fünf von sechs getesteten Kinder-Smartwatches gravierende Sicherheitslücken.
Das beweist nicht, dass alle Produkte dieselben Fehler haben. Es zeigt aber ein wiederkehrendes Branchenproblem: Bei Geräten für Kinder treffen besonders sensible Daten – Aufenthaltsort, Kontakte, Nachrichten und möglicherweise Audio – auf Hardware und Dienste, deren Sicherheitsniveau für Käufer schwer einzuschätzen ist.
Was Eltern vor dem Kauf prüfen können
Eine hundertprozentige Sicherheitsgarantie lässt sich aus dem Markennamen allein nicht ableiten. Einige Prüfungen verbessern die Ausgangslage trotzdem deutlich:
- Hersteller und Sicherheitspraktiken ansehen: Bevorzuge etablierte Anbieter, die Sicherheitsupdates, Ansprechpartner und einen nachvollziehbaren Umgang mit Schwachstellen dokumentieren.
- Das Familienkonto prüfen: Die App sollte klar erklären, welche Konten Zugriff auf Standort, Nachrichten, Kamera oder Mikrofon erhalten und wie sich Berechtigungen entziehen lassen.
- Zwei-Faktor-Authentifizierung aktivieren: Wo diese Funktion angeboten wird, sollte sie eingeschaltet werden.
- Ein einzigartiges, starkes Passwort verwenden: Das Passwort der Kinderuhr darf nicht auch für E-Mail, Cloud-Speicher oder andere Konten genutzt werden.
- Nicht nur auf GPS achten: Gerade Kamera, Mikrofon, Nachrichten und Notfallkontakte verdienen vor dem Kauf dieselbe Aufmerksamkeit wie die Ortungsfunktion.
Wer eine bereits verwendete Uhr besitzt, sollte außerdem die hinterlegten Familienkonten, Notfallkontakte und App-Berechtigungen kontrollieren. Entscheidend ist nicht allein, wie viel die Uhr kann, sondern wer diese Funktionen auslösen darf.
Die wichtigste Grenze bleibt dabei: Eine gemeinsame Plattform macht ein Produkt nicht automatisch angreifbar, aber sie kann das Risiko über viele scheinbar unabhängige Marken verteilen. Bei einer Kinder-Smartwatch sollte deshalb nicht nur das Gehäuse überzeugen. Auch Backend, Kontoabsicherung und der Umgang mit Sicherheitslücken gehören auf die Checkliste.
