{"id":10074,"date":"2017-04-17T10:42:56","date_gmt":"2017-04-17T10:42:56","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=10074"},"modified":"2019-11-22T12:22:24","modified_gmt":"2019-11-22T10:22:24","slug":"kids-devices-vulnerabilities","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/kids-devices-vulnerabilities\/10074\/","title":{"rendered":"Kinderspielzeuge weisen ernsthafte Probleme f\u00fcr die Privatsph\u00e4re auf"},"content":{"rendered":"<p>Wenn man sich die weitreichenden Regelungen und Gesetze ansieht, die darauf ausgerichtet sind, die Privatsph\u00e4re von Kindern zu sch\u00fctzen, sollte man denken, dass die elektronischen Ger\u00e4te und Spielzeuge f\u00fcr Kinder besonders sicher sind. Im Allgemeinen sehen wir die Privatsph\u00e4re von Kindern als unantastbar an, da Kinder besonders anf\u00e4llig f\u00fcr Werbung, Vermarkter, J\u00e4ger und mehr sind.<\/p>\n<p>Mit jedem neu aufgedeckten Datenleck wird es immer deutlicher, dass wir den Herstellern nicht vertrauen sollten, dass sie auf unsere Sicherheit oder die Sicherheit unserer Kinder R\u00fccksicht nehmen. Analysieren wir ein paar Beispiele, um die h\u00e4sslichen \u00dcberraschungen, die Smart Toys mit sich bringen k\u00f6nnen, zu verstehen.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>Wie Sie Ihre\u00a0Kinder vor unsicheren Ger\u00e4ten und invasiven Online-Services sch\u00fctzen<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2Fpq9N&amp;text=Wie+Sie+Ihre%C2%A0Kinder+vor+unsicheren+Ger%C3%A4ten+und+invasiven+Online-Services+sch%C3%BCtzen+\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p><strong>Spionage<\/strong><\/p>\n<p>Im Dezember 2016 haben Datensch\u00fctzer <a href=\"https:\/\/epic.org\/privacy\/kids\/EPIC-IPR-FTC-Genesis-Complaint.pdf\" target=\"_blank\" rel=\"noopener nofollow\">eine Beschwerde bei der US-amerikanischen Handelskommission gegen Genesis Toys eingereicht<\/a>, dem Hersteller der <a href=\"https:\/\/www.kaspersky.de\/blog\/my-friend-cayla-risks\/9807\/\" target=\"_blank\" rel=\"noopener\">Cayla Puppen<\/a> und i-Que Spielzeugrobotern. Ein weiterer Angeklagter war Nuance Communications, das Unternehmen hinter der Spracherkennungstechnologie, die es erm\u00f6glicht, dass Spielzeuge mit Kindern sprechen.<\/p>\n<p>Die Kl\u00e4ger waren von Anfang an deutlich: <a href=\"https:\/\/epic.org\/privacy\/kids\/EPIC-IPR-FTC-Genesis-Complaint.pdf\" target=\"_blank\" rel=\"noopener nofollow\">\u201eDiese Beschwerde bezieht sich auf Spielzeuge, die spionieren.\u201c<\/a><\/p>\n<p>Schauen wir uns die Details der Anklage genauer an:<\/p>\n<ul>\n<li>Die App, die die Cayla-Puppen nutzt um zu interagieren, ben\u00f6tigt eine Erlaubnis, um auf Dateien Zugriff zu erhalten, die auf einem Ger\u00e4t gespeichert sind und die App von i-Que fragt nach Erlaubnis, um auf die Kamera des Ger\u00e4ts zugreifen zu k\u00f6nnen. Der Anbieter erkl\u00e4rt nicht, warum die Apps diese Erlaubnis brauchen. Au\u00dferdem ist die Erlaubnis f\u00fcr den Zugriff auf die Kamera auch auf der Webseite oder dem Demo-Video nicht angegeben.<\/li>\n<li>Die Spielzeuge nutzen Bluetooth, um sich mit einem Smartphone oder einer Tablet zu verbinden. Das ist eine unsichere Verbindung, die keine Authentifizierung ben\u00f6tigt. Au\u00dferdem benachrichtigt das Spielzeug den Nutzer nicht, wenn es sich mit einem Ger\u00e4t verbindet. Diese Unsicherheit kann es Eindringlingen nicht nur erm\u00f6glichen, zu lauschen, sondern auch mit dem Kind zu sprechen.<\/li>\n<li>Das Spielzeug macht Werbung, indem es verschiedene Marken w\u00e4hrend der Konversation nennt.<\/li>\n<li>Die App der Cayla Puppe veranlasst Kinder dazu, pers\u00f6nliche Identit\u00e4tsinformationen zu nennen: die Namen der Eltern, den Wohnort, den Namen der Schule und mehr.<\/li>\n<li>Beide Apps senden Aufnahmen der Konversationen an die Server von Nuance Communications, wo sie analysiert werden, um die Antworten zu verbessern. Die Aufnahmen werden auf den Servern gespeichert, um den Service zu verbessern.<\/li>\n<li>Die Anbieter versagen vollkommen dabei, zu erkl\u00e4ren, welche Art von Daten von den Kindern gesammelt werden.<\/li>\n<\/ul>\n<p>Die Spionagef\u00e4higkeiten von Genesis Toys waren f\u00fcr deutsche Beh\u00f6rden ausreichend, um den Verkauf derselben vollkommen zu verbieten. Besitzer von unsicheren Spielzeugen wurden ausdr\u00fccklich darauf hingewiesen, diese <a href=\"https:\/\/www.kaspersky.de\/blog\/my-friend-cayla-risks\/9807\/\" target=\"_blank\" rel=\"noopener\">los zu werden<\/a>. Die deutsche Regierung identifiziert diese Spielzeuge als verdeckte \u00dcberwachungsger\u00e4te, die vom Gesetz her verboten sind.<\/p>\n<p>Im Dezember 2016 machte auch die <a href=\"https:\/\/fil.forbrukerradet.no\/wp-content\/uploads\/2016\/12\/complaint-dpa-co.pdf\" target=\"_blank\" rel=\"noopener nofollow\">Verbraucherschutzbeh\u00f6rde von Norwegen<\/a> ihre Sorgen \u00fcber das Thema der Privatsph\u00e4re in Zusammenhang mit den Cayla Puppen und der i-Que Roboter laut.<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/lAOj0H5c6Yc?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Die britische <em>Toy Retailers Association<\/em> hingegen <a href=\"http:\/\/www.bbc.com\/news\/world-europe-39002142\" target=\"_blank\" rel=\"noopener nofollow\">sagte der BBC<\/a>, dass Cayla \u201ekeine besonderen Risiken birgt.\u201c<\/p>\n<p><strong>Unsicherheit<\/strong><\/p>\n<p>In einem weiteren Sicherheitsvorfall kommt die Bezeichnung \u201eLeck\u201c wohl nicht im Geringsten an das heran, was die Gr\u00f6\u00dfenordnung dieser Verletzung ausmacht. Es war ein katastrophaler Dammbruch, der eine Flut ausl\u00f6ste oder sogar eine \u00dcberschwemmung von pers\u00f6nlichen Daten, um die Metapher auszuweiten. Oder, um ganz genau zu sein, es hat von Anfang an garkeinen Damm gegeben.<\/p>\n<p>Die CloudPets von Spiral Toys sind Pl\u00fcschtiere, die Nachrichten zwischen Kindern und Eltern austauschen k\u00f6nnen. Das Spielzeug verbindet sich mit dem Smartphone der Eltern \u00fcber eine Bluetooth-Verbindung und Eltern nutzen eine spezielle App, um sich mit dem Spielzeug zu verbinden.<\/p>\n<p>F\u00fcr Eltern mag es ein super Weg zu sein, so mit ihren Kindern in Kontakt bleiben zu k\u00f6nnen, aber die Inhalte, die von dem System gesammelt wurden, waren nicht ausreichend gesichert. Die Datenbank mit den Anmeldeinformationen der Nutzer war \u00fcberhaupt nicht gesch\u00fctzt. Jeder konnte sich ohne Authentifizierung mit dem Server verbinden, die Daten einsehen oder die Datenbank kopieren und auf einem anderen Computer speichern.<\/p>\n<p>Der Sicherheitsforscher Victor Gevers bemerkte den Vorfall und informierte den Anbieter am 31. Dezember 2016 dar\u00fcber. Dann bekam Troy Hunt, ein anerkannter Sicherheitsexperte, von einer anonymen Quelle eine Datei, die <a href=\"https:\/\/www.troyhunt.com\/data-from-connected-cloudpets-teddy-bears-leaked-and-ransomed-exposing-kids-voice-messages\/\" target=\"_blank\" rel=\"noopener nofollow\">mehr als eine halbe Million Aufnahmen<\/a> von CloudPets-Nutzern enthielt. Neben dem Namen des Kindes beinhaltete jede Aufnahme ein Geburtsdatum und Informationen \u00fcber Familienangeh\u00f6rige, zu dem das Kind durch das Spielzeug gesprochen hatte. Die Gesamtzahl der betroffenen Aufnahmen von CloudPets-Nutzern \u00fcberstieg 800.000.<\/p>\n<p>Ein Fremder, der das Passwort hat, kann alle Nachrichten herunterladen, die durch das Spielzeug gesendet wurden. Im Gegensatz zu den anderen Daten, wurden die Passw\u00f6rter der Nutzer gehasht, um sie zu sch\u00fctzen. Hashen bietet etwas Schutz, dennoch k\u00f6nnen Brute-Force-Attacken immer noch Passw\u00f6rter aufdecken, vor allem die einfachen.<\/p>\n<p>Leider ist es auch gut m\u00f6glich, bei den Konversationen ohne das Passwort mitzuh\u00f6ren. Es kam heraus, dass die Aufnahmen der Nachrichten und die Fotos in einer Amazon S3 Cloud gespeichert wurden. Ein Angreifer musste nur einen Link der beeintr\u00e4chtigten Datenbank anklicken, um eine Audiodatei von dem Server zu bekommen. Die Anzahl der verf\u00fcgbaren Aufnahmen \u00fcberstieg 2.000.000.<\/p>\n<p>Nat\u00fcrlich waren es nicht nur diejenigen mit den wei\u00dfen H\u00fcten, die etwas \u00fcber die Unsicherheit gelernt hatten. Der Server mit den Daten der Kinder wurde zu einem Chaos mit gel\u00f6schten Datenbank-Kopien und L\u00f6segeldforderungen. Die Datenbank wurde anschlie\u00dfend vom Server genommen, obgleich es da Drau\u00dfen noch Kopien gibt.<\/p>\n<p>Spiral Toys reagierte nicht auf diejenigen Leute, die versuchten, sie auf das Problem aufmerksam zu machen, wozu auch Gevers, Hunt, Hunts Informant und der Reporter Lorenzo Franceschi-Bicchierai geh\u00f6rten. Dann im M\u00e4rz 2017 forderte der US-Senat Spiral Toys dazu auf, mit den Datenlecks und ihrer Datenschutzpolitik aufzur\u00e4umen. Troy Hunt <a href=\"http:\/\/files.troyhunt.com\/03.07.17%2520BN%2520Letter%2520to%2520Spiral%2520Toys%2520re%2520Data%2520Breach.pdf\" target=\"_blank\" rel=\"noopener nofollow\">ver\u00f6ffentlichte<\/a> den Text dieser Anfrage.<\/p>\n<p>Schlussendlich antwortete Spiral Toys dem Generalstaatsanwalt von Kalifornien. DataBreaches.net <a href=\"https:\/\/www.databreaches.net\/spiral-toys-sends-something-to-the-california-attorney-general-but-what-is-it\/\" target=\"_blank\" rel=\"noopener nofollow\">ver\u00f6ffentlichte die Antwort<\/a>. Das Unternehmen gab an, am 22. Februar durch Franceschi-Bicchierai, der davon durch eine anonyme Quelle erfuhr, auf den Vorfall aufmerksam gemacht worden zu sein. Obwohl verschiedene Sicherheitsforscher versucht hatten, vor dem 22. Februar mit dem Unternehmen in Kontakt zu treten, sagte Spiral Toys, dass sie diese Nachrichten niemals bekommen hatten und den Fall untersuchen w\u00fcrden.<\/p>\n<p>Das Leck war laut Spiral Toys Bestandteil einer massiven Attacke auf MongoDB Installationen im ganzen Internet. Sprachnachrichten und Bilder waren nicht betroffen, sagte das Unternehmen, weil diese auf einem anderen Server gespeichert waren. Die beeintr\u00e4chtigte Datenbank war nicht die Haupt-Datenbank, sagten sie, sondern eine tempor\u00e4re Datenbank, die von Entwicklern genutzt wurde.<\/p>\n<p>Spiral Toys hat auch einen <a href=\"https:\/\/cloudpets.zendesk.com\/hc\/en-us\/articles\/115003696948-CloudPets-Data-Breach-FAQs\" target=\"_blank\" rel=\"noopener nofollow\">FAQ f\u00fcr Nutzer ver\u00f6ffentlicht, der die oben genannte Information enth\u00e4lt und auf die neuen, st\u00e4rkeren Passwortanforderungen des Unternehmens hinweist<\/a>.<\/p>\n<p><strong>Offene Datenbanken<\/strong><\/p>\n<p>Andere prominente Lecks schlie\u00dfen die <a href=\"https:\/\/www.kaspersky.de\/blog\/hello-kitty-hacked\/6640\/\" target=\"_blank\" rel=\"noopener\">Datenbank der offiziellen Webseite des Unternehmens hinter den Hello Kitty Spielzeugen<\/a> (3.300.000 beeintr\u00e4chtigte Aufnahmen von Nutzern) und die <a href=\"https:\/\/www.kaspersky.com\/blog\/vtech-toys-hacked\/10697\/\" target=\"_blank\" rel=\"noopener nofollow\">Datenbank von VTech\u00b4s Online-Shop<\/a> (5.500.000 Aufnahmen von Nutzern und ein gro\u00dfer Anteil von Fotos von Kindern waren betroffen) ein. Beide Vorkommnisse geschahen im Jahr 2015.<\/p>\n<p>Der Service von CLoudPets und die Entwickler der Webseite von Hello Kitty nutzten Verwaltungssysteme der MongoDB Datenbanken, die Schlagzeilen machten, nachdem Hacker Zehntausende von Datenbanken angriffen (oder eher die vollkommene Kontrolle \u00fcber diese \u00fcbernahmen).<\/p>\n<p>Besitzer von entf\u00fchrten Datenbanken m\u00f6gen Opfer sein, aber sie sind nicht unschuldig. Bei dem Versagen Autorisierungen zu verlangen, lie\u00df MongoDB die T\u00fcren der Datenbanken weit ge\u00f6ffnet und durch die Nutzung von offenen Datenbanken zeigten die Hersteller, dass sie darauf keine Acht geben.<\/p>\n<p>Nat\u00fcrlich ist MongoDB nicht das ganze Problem. An der allgemeinen Sicherheitslage muss gearbeitet werden. Alle Bem\u00fchungen der Beh\u00f6rden, Datensch\u00fctzer und Sicherheitsexperten k\u00f6nnen die Geschwindigkeit der technischen Entwicklungen und die Gesamtentwicklung der Entwertung von Nutzerdaten nicht bew\u00e4ltigen.<\/p>\n<p>\u00dcbrigens, nach dem Angriff auf MongoDB unternahmen Hacker massive Attacken auf Verwaltungssysteme von Datenbanken. Jede ungesch\u00fctzte Datenbank &lt;em&gt;wird&lt;\/em&gt; damit enden, \u00f6ffentlich online zug\u00e4nglich zu sein und der Durchschnittsnutzer wird nicht in der Lage sein, etwas dagegen zu tun. Es ist ein schwacher Trost, dass dieses Datenbankenleck nur tempor\u00e4r war und es sich lediglich um eine Hilfsdatenbank gehandelt hat, wenn die Daten echt waren. Ein angegriffenes System herunterzufahren macht pers\u00f6nliche Daten nicht wieder privat.<\/p>\n<p><strong>Tipps f\u00fcr Eltern<\/strong><\/p>\n<p>Seien Sie vorsichtig damit, ihrem Kind ein elektronisches intelligentes Spielzeug zu geben und beachten Sie die folgenden roten Flaggen:<\/p>\n<ul>\n<li><strong>Wenn das Spielzeug Daten an das Internet sendet.<\/strong> Viele Spielzeuge tun dies und der Trend geht dahin, dass sogar herk\u00f6mmliche Stofftiere dies tun.<\/li>\n<li><strong>Wenn Sie die T\u00e4tigkeiten des Spielzeugs nicht kontrollieren k\u00f6nnen.<\/strong><br>\nZumindest die Cayla Puppen haben einen blinkenden Anzeiger, der angibt, ob das Mikrofon eingeschaltet ist. Mit mobilen Apps wissen Sie manchmal nicht einmal, wann sie eingeschaltet sind. Kaspersky Lab hat herausgefunden, dass 96% der Apps im Hintergrundmodus starten, auch wenn ein <a href=\"https:\/\/www.kaspersky.de\/blog\/secret-life-of-apps\/9939\/\" target=\"_blank\" rel=\"noopener\">Nutzer sie gar nicht einschaltet<\/a>.<\/li>\n<li><strong>Wenn ein Spielzeug ein Mikrofon und eine Kamera hat.<\/strong> Es handelt sich nicht blo\u00df um fortgeschrittene Teddyb\u00e4ren und Roboter, diese Kategorie beinhaltet Apps mit <a href=\"https:\/\/www.kaspersky.de\/blog\/android-permissions-guide\/9743\/\" target=\"_blank\" rel=\"noopener\">wichtigen Zugangserlaubnissen<\/a>.<\/li>\n<li><strong>Wenn das Spielzeug pers\u00f6nliche Informationen des Kindes erhalten will.<\/strong><\/li>\n<li><strong>Wenn die Einstellungen zu simple sind. <\/strong>Zum Beispiel erfordert eine Bluetooth-Verbindung keine Authentifizierung.<\/li>\n<\/ul>\n<p>Wenigstens einer dieser Punkte sollte ausreichen, um zu \u00fcberlegen, ob ein Gleichgewicht zwischen dem Spa\u00df mit den verbundenen Spielzeugen und der Privatsph\u00e4re Ihrer Kinder besteht.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Denken Sie, dass mit dem Internet verbundene Spielzeuge f\u00fcr Kinder sicherer sind als die f\u00fcr Erwachsene? Denken Sie noch einmal nach. <\/p>\n","protected":false},"author":2049,"featured_media":10075,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2711,2286,10],"tags":[2029,115,1903,2482,2481,130,1653,2480,1654],"class_list":{"0":"post-10074","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-privacy","9":"category-tips","10":"tag-hackerangriffe","11":"tag-kinder","12":"tag-kindererziehung","13":"tag-lecks","14":"tag-online-service","15":"tag-privatsphare","16":"tag-security","17":"tag-spielzeuge","18":"tag-tips"},"hreflang":[{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/kids-devices-vulnerabilities\/10074\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/kids-devices-vulnerabilities\/11038\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/kids-devices-vulnerabilities\/9092\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/kids-devices-vulnerabilities\/10405\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/kids-devices-vulnerabilities\/10144\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/kids-devices-vulnerabilities\/14574\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/kids-devices-vulnerabilities\/14679\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/kids-devices-vulnerabilities\/6948\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/kids-devices-vulnerabilities\/9100\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/kids-devices-vulnerabilities\/6611\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/kids-devices-vulnerabilities\/15313\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/kids-devices-vulnerabilities\/14679\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/kids-devices-vulnerabilities\/14679\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.de\/blog\/tag\/kinder\/","name":"Kinder"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/10074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/users\/2049"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/comments?post=10074"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/10074\/revisions"}],"predecessor-version":[{"id":21043,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/10074\/revisions\/21043"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media\/10075"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media?parent=10074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/categories?post=10074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/tags?post=10074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}