Warum wurde die mit dem Internet verbundene My Friend Cayla-Puppe als „verstecktes Spionagegerät“ verboten?

Laut CNET wurde die My Friend Cayla-Puppe in Deutschland verboten, weil sie als illegales "verstecktes Spionagegerät" eingestuft wurde:

Wenn Sie überlegen, ein vernetztes Spielzeug für Ihre Nachkommen zu kaufen, sollten Sie es sich zweimal überlegen.

In Deutschland haben die Aufsichtsbehörden festgestellt, dass die My Friend Cayla-Puppe angesichts ihres Potenzials, Informationen über Kinder, die damit spielen, zu stehlen, nichts Gutes bewirken kann. Und sie sagen, dass deutsche Eltern, deren Kinder im Besitz einer Cayla-Puppe sind, das Spielzeug zerstören sollten.

Die Federal Network Agency teilte in einer Pressemitteilung am Freitag mit, dass sie Cayla-Puppen vom deutschen Markt genommen habe und nicht versuchen werde, Eltern, die eine gekauft haben, strafrechtlich zu verfolgen. Es wird jedoch erwartet, dass Eltern, die eine Puppe gekauft haben, die Verantwortung dafür übernehmen, sie zu zerstören.

Cayla-Puppen, die Mikrofone enthalten und Kindern Fragen über sich und ihre Eltern stellen, werden als "versteckte Spionagegeräte" eingestuft, deren Besitz und Verkauf nach deutschem Recht verboten sind.

Ich habe vorher ein bisschen über das Spielzeug recherchiert, als jemand nach dem Spielzeug gefragt hat, und obwohl es etwas unangemessen erscheint, die Rede Ihrer Kinder an einen Cloud-Server zu senden, ist sie nicht genau verborgen . Das Gerät wird als "intelligent" beworben und mit dem Internet verbunden.

Gibt es andere Mängel an der Puppe, die sie illegal gemacht haben (Hacking vielleicht?), Oder wurde sie einfach aus Datenschutzgründen verboten, wenn Daten an den Hersteller gesendet wurden?

Soweit ich die Probleme verstehe, gibt es zwei besondere Punkte, in denen sich die Cayla-Puppe von ähnlichen erlaubten Spielzeugen unterscheidet:

• Die Puppe hat ein Licht, das anzeigt, wann sie sendet - aber das kann aus der Ferne ausgeschaltet werden (Smartphone-App).

• Darüber hinaus ist es aufgrund mangelnder Bluetooth-Pairing-Sicherheit (kein Tastendruck, keine PIN) für Dritte recht einfach, die Kontrolle über die Puppe zu übernehmen:

  Jeder innerhalb eines Radius von 15 Metern [...] kann eine Verbindung zu den Spielzeugen herstellen, solange diese eingeschaltet sind und noch nicht aktiv mit einem anderen Gerät gekoppelt sind

  von: #Toyfail Eine Analyse von Verbraucher- und Datenschutzproblemen in drei mit dem Internet verbundenen Spielzeugen, Dez. 2016, Forbrukerrådet, p. 31

Zusammen bedeutet dies, dass ein Dritter sein Telefon mit der Puppe koppeln, die Sendeanzeige ausschalten und den ahnungslosen Personen um die Puppe herum zuhören kann. Es geht also nicht "nur" darum, dass 3D-Parteien sich der Sendefunktionen nicht bewusst sind, sondern um versteckte Sendefunktionen, die fast unvermeidbar sind, wenn das Gerät entsprechend seinem Zweck verwendet wird.
"Gesunder Menschenverstand" (zu wissen, dass die Puppe über Internet-Konnektivität und Sendefunktionen verfügt und das Sendelicht nicht leuchtet) reicht nicht aus, um die Privatsphäre hier zu gewährleisten - zumindest müsste man diese Exploits kennen und dann zusätzliche Vorsichtsmaßnahmen treffen .

In der Pressemitteilung der Bundesnetzagentur heißt es:

Ohne Kenntnis der Eltern können die Gespräche des Kindes und anderer Personen aufgenommen werden. [...] Weiter kann ein Spielzeug, wenn die Funkverbindung vom Bluetooth nicht hergestellt wird.

Grobe Übersetzung:

Ohne Kenntnis der Eltern können die Gespräche des Kindes und anderer aufgezeichnet und [an das Internet / Dritte] gesendet werden. [...] Wenn die Funkübertragung (z. B. Bluetooth) nicht ordnungsgemäß gesichert ist, kann das Spielzeug von Dritten in der Nähe verwendet werden, um unbeabsichtigte Gespräche zu führen.

es ist nicht gerade versteckt; Das Gerät wird als "intelligent" beworben und mit dem Internet verbunden.

Okay, aber wenn Sie nicht derjenige sind, der es gekauft hat, wissen Sie möglicherweise nicht, dass es Ihre Rede aufzeichnet und ins Internet sendet! Kaufen Sie einfach eine und verschenken Sie sie an jemanden, den Sie ausspionieren möchten. Sie werden denken, es ist nur eine Puppe. Daher ist es sehr viel ein verstecktes Spionagegerät.

Die Nachrichten in Deutschland berichteten, dass die Puppe nach deutschem Recht als verstecktes Spionagegerät gilt, da sie für Menschen, die die Funktionen nicht kennen, wie ein normales Spielzeug ohne elektronische Teile aussieht, obwohl sie Daten aufzeichnen und senden kann .

Dies fällt unter "§ 90 Beschwerden von Sende- oder sonstigen Telekommunikationsanlagen" des Telekommunikationsgesetzes (TKG) und ist daher innerhalb des Landes verboten.

Quellen:

• http://www.zeit.de/digital/datenschutz/2017-02/my-friend-cayla-puppe-spion-bundesnetzagentur
• https://www.gesetze-im-internet.de/tkg_2004/__90.html

Eines der Hauptprobleme bei My Friend Cayla ist, dass die gesendeten Audiodateien nicht sicher gespeichert werden. Ken Munro hat umfangreiche Analysen zu diesem (und vielen anderen IoT-Geräten) durchgeführt und weist darauf hin, dass die Audiodateien mit schlechten Zugangskontrollen im Internet verfügbar sind!

Es geht also nicht nur alles, was Ihr Kind sagt, irgendwo auf einen Server, andere können es sich anhören ...

(Ratschlag - Folgen Sie für die IoT-Sicherheit Ken Munro. Sie werden überrascht sein, welchen Zugriff er nicht nur auf IoT-Geräte, sondern auch auf Heimcomputer, Passwörter und mehr erhält!)