Eine Kinderschutz-App soll den Familienalltag leichter machen: Standort teilen, Bildschirmzeit begrenzen, im Notfall erreichbar bleiben. Deshalb lohnt sich vor der Installation ein zweiter Blick. Nicht nur die sichtbare Funktion entscheidet, sondern auch die Frage, welche Daten dafür vom Kindergerät in ein Backend fließen.
Das Wichtigste in 30 Sekunden
- Forschende von Kumio beschreiben im DEF-CON-Abstract drei GPS-Tracking-Plattformen mit zusammen rund 36 Millionen Geräten und eine Zuordnung von etwa 39 Marken zu SETracker.
- Der Befund nennt 45 CVEs, darunter 19 kritische und neun mit CVSS v3.1 10.0. Technische Zugriffe beziehen sich auf untersuchte Plattformen und Geräte, nicht automatisch auf jede gebrandete App.
- Eine gemeinsame Infrastruktur ist nicht dasselbe wie eine bestätigte Ausnutzung oder ein Rechtsverstoß. Familien brauchen deshalb eine konkrete Prüfung statt eines pauschalen App-Urteils.
- Vor dem Start gehören Berechtigungen, Datenfluss, Aufbewahrung, Update-Praxis, Sicherheitskontakt, Löschung und Ausstieg auf die Checkliste.
Was der aktuelle Befund beschreibt
Ausgangspunkt ist eine Untersuchung, die Anfang August auf der Black-Hat-Konferenz vorgestellt wurde. Im offiziellen DEF-CON-Abstract „Tracking the Trackers: How We Took Over 36 Million GPS Devices Protecting Children and Vehicles“ beschreiben Felipe Solferini und Vangelis Stykas von Kumio drei GPS-Tracking-Plattformen. Für SETracker nennen sie ungefähr zehn Millionen Geräte und rund 39 Marken, für SinoTrack mehr als sechs Millionen und für TKSTAR/Thinkrace mehr als 20 Millionen. Die Forschenden fassen das zu rund 36 Millionen Geräten zusammen.
Im Abstract ist außerdem von 45 CVEs die Rede, darunter 19 kritische Schwachstellen und neun mit einem CVSS-v3.1-Wert von 10,0. Die Forschenden beschreiben unter anderem mögliche Zugriffe auf Standortdaten, Audio, Kameras und Backends. WIRED ergänzte den Konferenzbefund am 6. August mit Beobachtungen an einer Kinder-Smartwatch: In Tests wurde ein Standort über WLAN-Umgebungskennungen abgeleitet und es wurden Kamera- und Mikrofonfunktionen ausgelöst. Der Bericht wurde am 7. August aktualisiert.
Diese Angaben stammen aus der Darstellung der Forschenden. Sie belegen nicht, dass jede der 39 Marken gleich verwundbar oder aktuell ungepatcht ist. Auch der im Abstract genannte Serverstandort in China sagt allein nichts über Absicht, staatliche Beteiligung oder die Rechtmäßigkeit eines konkreten Dienstes aus.
Warum Schutzfunktionen zum Datenfluss werden
Für eine Familie sieht eine App zunächst nach einzelnen Schaltern aus: Standort anzeigen, einen Bereich festlegen, eine Nachricht senden, Bildschirmzeit begrenzen. Technisch steckt dahinter oft eine Kette aus Kindergerät, Eltern-App, Konto und Backend. Je nach Funktion können Standortdaten, Gerätekennungen, Nachrichten, Bewegungsprofile oder Informationen über App- und Bildschirmaktivität entstehen.
Das Mikrofon braucht nicht dieselbe Berechtigung wie die Standortanzeige. Ein Inhaltsfilter benötigt nicht automatisch Kamerazugriff. Und eine Notfallfunktion ist nicht automatisch ein Grund, jede Aktivität dauerhaft zu speichern. Die praktische Frage lautet deshalb: Welche Daten braucht genau die Funktion, die im Familienalltag gebraucht wird?
Der Kumio-/Black-Hat-Befund macht eine zweite Ebene sichtbar. Wenn mehrere Marken auf einer Plattform oder einem gemeinsamen Backend aufsetzen, kann eine Schwachstelle mehr als ein einzelnes Produkt betreffen. Das ist eine Infrastrukturfrage. Sie ersetzt aber nicht die Einzelprüfung: Welche Version läuft auf dem Gerät, welche Sicherheitslücke wurde untersucht, welche Maßnahmen wurden veröffentlicht und welche Daten verarbeitet der konkrete Anbieter?
Was daraus nicht folgt
- Eine gemeinsame Backend-Infrastruktur ist eine Zuordnung von Technik oder Lieferkette.
- Eine Schwachstelle beschreibt eine technische Lücke in einer untersuchten Plattform oder Version.
- Eine bestätigte Ausnutzung beschreibt, dass ein Angriff praktisch durchgeführt oder beobachtet wurde.
- Die rechtliche Bewertung hängt von Dienst, Datenverarbeitung, Zweck, Transparenz und Rechtsraum ab.
Wer diese Ebenen vermischt, macht aus einem wichtigen Forschungsbefund schnell eine falsche Sammelwarnung. Für Familien ergibt sich daraus noch keine brauchbare Entscheidung. Eine App kann eine sinnvolle Funktion haben und trotzdem zu viele Berechtigungen verlangen. Ein Anbieter kann ein Problem beheben, ohne dass damit jede frühere Version oder jedes Gerät automatisch sicher ist. Und eine Datenschutzfrage ist nicht erst dann relevant, wenn ein Angriff öffentlich geworden ist.
Die Prüfung vor der Installation
Die Europäische Kommission empfiehlt Eltern, die Altersangemessenheit von Apps und die Datenpraxis eines Dienstes zu prüfen. Die BfDI verweist im Zusammenhang mit der G7-Erklärung zu Kindern, Jugendlichen und vernetzten Geräten auf datenschutzfreundliche, kontextbezogene Schutzmechanismen. Daraus lässt sich eine nüchterne Kauf- und Installationsprüfung ableiten:
| Prüffrage | Worauf es ankommt | Stoppsignal |
|---|---|---|
| Welche Funktion wird gebraucht? | Nur die Berechtigung aktivieren, die für den konkreten Zweck nötig ist. | Die App verlangt Mikrofon, Kamera oder dauernden Standort ohne klare Erklärung. |
| Welche Daten fließen? | Standort, Nachrichten, Audio, Bilder, Geräte- und Kontodaten einzeln nachvollziehen. | Datenschutzerklärung und Einstellungen bleiben bei Sammelbegriffen. |
| Wer betreibt das Backend? | Anbieter, Sicherheitskontakt, Speicherort und eingesetzte Plattform sollten auffindbar sein. | Es gibt keinen erreichbaren Sicherheitskontakt oder keine Versionsangabe. |
| Wie lange bleiben Daten erhalten? | Aufbewahrung, Löschung und Export müssen verständlich beschrieben sein. | Löschung ist nur über einen unklaren Supportweg möglich. |
Zum Test gehört auch der Notfallweg: Kann das Elternkonto mit einem starken, eigenen Passwort und Mehrfaktor-Authentifizierung geschützt werden? Werden alte Geräte und Sitzungen sichtbar? Gibt es Updates über einen nachvollziehbaren Kanal? Bei einer Uhr oder einem Tracker sollte außerdem klar sein, ob ein Wechsel des Kontos, eine Reparatur und eine Rückgabe die bisherigen Daten beendet oder nur das Gerät vom Elterntelefon trennt.
Während der Nutzung: Schutz ist keine Dauerüberwachung
Nach der Installation lohnt sich ein Blick auf die tatsächlichen Berechtigungen. Manche Funktionen werden erweitert, nachdem ein Konto eingerichtet ist. Andere Einstellungen verstecken sich in der Eltern-App oder im Betriebssystem. Was nicht gebraucht wird, sollte abgeschaltet werden. Das gilt besonders für Mikrofon, Kamera, Kontakte und einen dauerhaft präzisen Standort.
Auch die familiäre Vereinbarung gehört zur Technik. Das Kind sollte altersgerecht wissen, welche Funktion aktiv ist, wer die Daten sehen kann und wann sie wieder gelöscht werden. Technischer Schutz kann bei Wegen, Notfällen oder Betreuung helfen. Er ersetzt aber weder Gespräch noch Vertrauen. Je selbstständiger ein Kind wird, desto genauer muss die Familie prüfen, ob eine Kontrolle noch dem vereinbarten Zweck dient.
Der Ausstieg gehört zum Produkt
- Elternkonto und Kindergerät voneinander trennen.
- Standort- und Aktivitätsdaten exportieren, falls das nötig ist.
- Konto, Geräteverknüpfung und gespeicherte Daten löschen lassen.
- Prüfen, ob Drittanbieter, Familienmitglieder oder alte Geräte noch Zugriff haben.
Wenn ein Dienst den Einstieg in zwei Minuten ermöglicht, beim Löschen aber nur auf ein schwer auffindbares Formular verweist, liegt das Risiko am Ende bei der Familie. Die EU-Kommission nennt nachvollziehbare Datenpraktiken, Privatsphäre-Einstellungen und die Möglichkeit, die Löschung personenbezogener Daten zu verlangen, als Orientierung. Das ist keine automatische Rechtsbewertung der untersuchten Dienste und ersetzt keine individuelle Beratung. Als Entscheidungskriterium ist es trotzdem brauchbar: Ein Anbieter sollte erklären können, was gespeichert wird und wie die Nutzung endet.
Meine Einordnung
Der Wert des aktuellen Befunds liegt nicht in der Zahl 39 allein. Er zeigt, wie leicht Familien beim Kauf eine Marke auswählen, während die technische Infrastruktur dahinter unsichtbar bleibt. Für die Schutzwirkung ist diese Architektur aber mitentscheidend: Eine nützliche Funktion wird nicht dadurch verhältnismäßig, dass sie bequem erreichbar ist.
Familien müssen deshalb nicht jede Kinderschutz-App pauschal ablehnen. Sie sollten den Zweck klein halten, Berechtigungen begrenzen, Sicherheitsinformationen und Update-Stand prüfen und den Ausstieg vorab testen. Wenn ein Dienst diese Fragen nicht verständlich beantwortet, ist das selbst eine Information. Dann passt vielleicht nicht die Funktion, sondern das Produkt nicht zur Verantwortung, die es übernehmen soll.
Quellen und weiterführende Informationen
- DEF CON: „Tracking the Trackers: How We Took Over 36 Million GPS Devices Protecting Children and Vehicles“ – offizieller Talk-Abstract der Kumio-Forschenden.
- WIRED: „Hackers Stalked Me by Hijacking a Smartwatch for Kids“ – zeitnahe Reportage und Testbeobachtungen, 6. August 2026, aktualisiert am 7. August.
- PCMag: „39 Popular Parental Control Apps Are Secretly Feeding Data to One Overseas Server“ – aktuelle Konferenzberichterstattung vom 7. August 2026.
- Black Hat USA 2026: Briefings Schedule – Konferenz- und Sprecherprüfung.
- BfDI: „G7-Datenschutzbehörden fokussieren Kinder und Jugendliche“ – deutsche Einordnung zu Kinderprivatsphäre und vernetzten Geräten.
- Europäische Kommission: „Protecting children online“ – Orientierung zu Altersangemessenheit, Datenpraktiken, Privatsphäre und Löschung.
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-09
