Ihre Smartwatch ist „verschlüsselt“ – aber wer hält den Schlüssel?

Die alte Smartwatch liegt noch in der Schublade, die neue schon im Warenkorb. Dazwischen steht ein Konto mit Jahren persönlicher Daten: Pulsverläufe, Trainingseinheiten, Nächte, Wege und Routinen. Auf der Produktseite heißt es lediglich „verschlüsselt“. Das klingt beruhigend, beantwortet aber die zentrale Frage nicht: Kann der Anbieter die synchronisierten Daten selbst lesen?

Der Moment: Eine neue Uhr, ein altes Datenleben

Der Akku hält nicht mehr lange, das Display hat Kratzer, die App reagiert träge. Irgendwann wird die Smartwatch ersetzt. Was zunächst wie ein gewöhnlicher Gerätewechsel aussieht, ist bei einem Wearable persönlicher als bei vielen anderen Technikprodukten.

Im Konto des bisherigen oder künftigen Anbieters liegen häufig nicht nur Einstellungen. Je nach genutzten Funktionen und gewählter Synchronisierung können dort über Jahre Bewegungsroutinen, Ruhezeiten, Trainingsmuster, Herzfrequenzwerte, Schlafzeiten oder Angaben aus Zyklus- und Gesundheitsfunktionen zusammenkommen. Daraus entsteht nicht automatisch eine eindeutige Lebensgeschichte. Die Kombination kann dennoch intime Muster erkennen lassen: wann jemand regelmäßig unterwegs ist, wann Erholung fehlt oder wann vertraute Abläufe unterbrochen werden.

An diesem Punkt greift die Produktangabe „verschlüsselt“ zu kurz. Sie sagt für sich genommen nicht, ob Daten nur auf dem Weg in die Cloud geschützt sind, dort serverseitig verschlüsselt liegen oder selbst für den Anbieter nicht im Klartext lesbar sind.

Die Frage: Reicht „verschlüsselt“ als Kaufargument?

Die präzisere Frage lautet nicht: „Sammelt die Uhr Daten?“ Wearables müssen je nach Funktion Daten erfassen. Relevant ist vielmehr: Welche Nachweise liefert der Anbieter, bevor ihm weitere Jahre körperbezogener Daten und Informationen über persönliche Routinen anvertraut werden?

Den aktuellen Anlass liefert ein Vergleich der Electronic Frontier Foundation vom 15. Juli 2026. Die EFF betrachtete die öffentlich zugänglichen Datenschutz- und Transparenzangaben von zehn Anbietern von Smartwatches, Ringen und Fitnessbändern. Im Mittelpunkt standen keine Sensorlisten oder Fitnessfunktionen, sondern drei konkrete Punkte: Gibt es Ende-zu-Ende-Verschlüsselung für die untersuchten synchronisierten Daten? Veröffentlicht der Anbieter Transparenzberichte zu staatlichen Datenanfragen? Beschreibt er, ob und wie Betroffene im rechtlich zulässigen Rahmen informiert werden?

Der Vergleich ist weder eine Rangliste des gesamten Wearable-Markts noch ein Beleg dafür, dass einzelne Anbieter Daten rechtswidrig herausgeben oder Behörden beliebig auf Smartwatch-Daten zugreifen können. Sein Wert liegt in einer anderen Beobachtung: Er macht sichtbar, wie viel oder wie wenig vor einem Kauf über den späteren Umgang mit den Daten zu erfahren ist.

Was dahintersteckt: Verschlüsselung ist nicht gleich Verschlüsselung

Verschlüsselung wirkt im Alltag oft wie ein Schalter: an oder aus. Bei Cloud-Daten müssen jedoch drei Ebenen auseinandergehalten werden.

Erstens: Verschlüsselung bei der Übertragung. Sie schützt Daten auf dem Weg vom Gerät zur App oder von der App zum Server. Das ist notwendig, sagt aber wenig darüber aus, wie die Daten anschließend beim Anbieter gespeichert und verarbeitet werden.

Zweitens: serverseitige Verschlüsselung. Daten können auf den Servern verschlüsselt liegen. Auch das schützt, etwa gegen bestimmte technische Angriffe. Verwaltet der Anbieter die Schlüssel, kann er die Daten unter bestimmten Bedingungen dennoch selbst entschlüsseln – beispielsweise für Funktionen, Support, Analyse oder rechtliche Vorgänge, soweit die jeweiligen Regeln dies zulassen.

Drittens: Ende-zu-Ende-Verschlüsselung. Bei echter Ende-zu-Ende-Verschlüsselung hält der Anbieter für die betroffenen Daten keinen Klartextschlüssel. Sie sind grundsätzlich nur auf den Geräten oder in Kontoumgebungen lesbar, die über den Schlüssel verfügen. Dieser Schutz hat Grenzen: Aktiv geteilte Daten, Drittanbieter-Apps, Backups oder weitere Dienste können eigenen Regeln folgen. Trotzdem verschiebt sich damit die technische Kontrolle deutlich.

Die EFF hebt in ihrem Vergleich hervor, dass Ende-zu-Ende-Verschlüsselung für die dort betrachteten Daten in Apple Health unter den genannten Kontobedingungen eine besondere Rolle spielt. Daraus folgt weder, dass nur ein Anbieter sichere Wearables baut, noch dass sämtliche Daten in jeder Nutzungssituation automatisch geschützt sind. Zu prüfen bleibt, welche Daten umfasst sind, welche Kontoeinstellungen gelten und welche weiteren Dienste Zugriff erhalten.

Was es im Alltag verändert: Kaufentscheidung statt Datenschutz-Abstraktion

Der Unterschied klingt technisch, wird aber beim Kauf einer neuen Uhr oder bei der Weiternutzung eines bestehenden Kontos sehr konkret.

Cloud-Synchronisierung bietet Komfort: Der Wechsel auf ein neues Gerät wird leichter, Auswertungen reichen über längere Zeiträume, Backups stehen bereit und manche App-Funktionen werden erst dadurch möglich. Wer weniger synchronisiert oder Daten stärker lokal hält, verzichtet womöglich auf einen Teil dieser Bequemlichkeit, reduziert aber die Menge der Informationen, die dauerhaft beim Anbieter liegen.

Keine dieser Entscheidungen ist pauschal richtig oder falsch. Manche Menschen möchten Langzeitdaten behalten, um Training, Erholung oder Belastungen im Alltag einzuordnen. Andere benötigen nur aktuelle Werte und löschen ältere Daten. Wieder andere nutzen Wearables ohne sportlichen Ehrgeiz, erfassen damit aber dennoch private Routinen: Arbeitswege, Pflegezeiten, Ruhephasen, unregelmäßige Nächte oder Zeiten von Krankheit und Stress.

„Verschlüsselt“ sollte deshalb nicht das Ende der Prüfung sein, sondern ihr Ausgangspunkt: Kann der Anbieter die synchronisierten Daten selbst lesen – und wenn ja, unter welchen klar beschriebenen Bedingungen?

Der Haken: Transparenz ist kein Beweis für alles

Ein Transparenzbericht ist kein Schutzschild. Er verhindert keine Anfrage und ersetzt keine technische Verschlüsselung. Er kann jedoch offenlegen, wie viele staatliche Datenanfragen ein Unternehmen erhält, aus welchen Rechtsräumen sie kommen und wie häufig Daten herausgegeben oder Anfragen abgelehnt werden.

Im von der EFF untersuchten Set von zehn Unternehmen fanden sich nach ihrer Darstellung nur bei zwei Anbietern solche Berichte. Daraus lässt sich weder ableiten, dass die übrigen Unternehmen unsicher handeln, noch dass sie häufig Daten weitergeben. Für Kundinnen und Kunden bleibt aber weniger nachvollziehbar, wie diese Anbieter mit entsprechenden Situationen umgehen.

Ähnlich wichtig ist die Benachrichtigung. Ein seriöser Anbieter kann nicht zusagen, Betroffene in jedem Fall zu informieren, weil rechtliche Gründe dem entgegenstehen können. Aussagekräftiger ist eine verständliche Regel: Werden Nutzerinnen und Nutzer benachrichtigt, wenn dies rechtlich erlaubt ist? Sind Ausnahmen beschrieben? Ist die Regel leicht zu finden und konkret formuliert?

Für Deutschland und Europa gilt eine klare Grenze: Aus US-Begriffen oder US-Verfahren lässt sich keine deutsche Behördenpraxis ableiten. Auch hier gelten Verfahren, Zuständigkeiten und rechtliche Voraussetzungen. Für Verbraucherinnen und Verbraucher geht es daher nicht um die Behauptung eines grenzenlosen Zugriffs, sondern um die sachliche Frage, was ein Anbieter über seinen Umgang mit Anfragen öffentlich erklärt.

Für wen es passt: Nicht nur für Sportfans

Die Prüfung lohnt sich vor dem Kauf einer Smartwatch, eines Fitnessbands oder eines smarten Rings, besonders wenn das zugehörige Konto über Jahre genutzt werden soll. Sie ist ebenso sinnvoll, wenn ein bestehendes Konto bereits eine längere Datenhistorie enthält und geklärt werden soll, welche älteren Angaben gespeichert bleiben.

Das Thema betrifft nicht nur Menschen, die intensiv trainieren. Wearables begleiten sehr unterschiedliche Lebenssituationen: Schichtarbeit, Kinderbetreuung, Pflege, Rehabilitation, chronische Belastung, Spaziergänge, Pendelwege, Sport, Schlaf oder einfach den Wunsch, den eigenen Alltag besser zu verstehen. Datenschutz sollte dabei weder nach Leistungskontrolle noch nach Optimierungsdruck klingen. Es geht um Selbstbestimmung: Welche Spuren dürfen entstehen, wo liegen sie, wer kann sie lesen und wie leicht lassen sie sich übertragen oder löschen?

Wer Cloud-Komfort schätzt und die damit verbundenen Bedingungen akzeptiert, kann sich bewusst dafür entscheiden. Wer körpernahe Daten sensibler behandelt, kann lokale Nutzung, reduzierte Synchronisierung oder strengere Kontoeinstellungen prüfen. Beides ist vertretbar, sofern die Informationen eine echte Wahl ermöglichen.

Was du jetzt tun kannst: Drei Nachweise vor Kauf oder Kontoprüfung

Eine brauchbare Prüfroutine muss nicht lang sein. Vor dem Kauf oder beim nächsten Blick in ein bestehendes Konto reichen drei Fragen.

1. Speicherweg: Wo liegen die Daten – und wer hält den Schlüssel?

Das Wort „verschlüsselt“ allein genügt nicht. Konkreter sind Angaben dazu, ob Daten nur während der Übertragung geschützt werden, serverseitig verschlüsselt liegen oder für Gesundheits-, Fitness- beziehungsweise Aktivitätsdaten eine Ende-zu-Ende-Verschlüsselung besteht. Ebenso wichtig ist die Abgrenzung: Welche Daten sind einbezogen, welche nicht?

Wenn ein Anbieter erklärt, dass er Daten für bestimmte Cloud-Funktionen verarbeitet, ist das nicht automatisch problematisch. Es zeigt aber, dass Komfortfunktionen und technische Schutzarchitektur zusammenhängen. Je genauer die Beschreibung, desto fundierter lässt sich abwägen.

2. Transparenz: Gibt es Berichte und Benachrichtigungsregeln?

Ein Transparenzbericht zu staatlichen Datenanfragen sollte aktuell und leicht auffindbar sein. Aussagekräftig wird er, wenn er nicht nur Gesamtzahlen nennt, sondern auch Kategorien und den Umgang mit Anfragen erklärt.

Zusätzlich lohnt ein Blick in die Seiten zu Datenschutz oder Rechtsanfragen: Wird beschrieben, ob Nutzerinnen und Nutzer informiert werden, sofern dies rechtlich zulässig ist? Sind Fälle erläutert, in denen eine Benachrichtigung unterbleiben muss? Konkrete Regeln schaffen eine bessere Grundlage als Vertrauen allein.

3. Kontrolle: Lassen sich Daten abrufen, übertragen und löschen?

Hier greifen europäische Datenrechte, die jedoch nicht mit Verschlüsselung verwechselt werden dürfen. Der Data Act gilt seit dem 12. September 2025 und soll unter anderem den Zugang zu Daten aus vernetzten Produkten und verbundenen Diensten erleichtern. Die Europäische Kommission beschreibt ihn als Rahmen für einen faireren Datenzugang. Die Verbraucherzentrale ordnet praktisch ein, wie Nutzende mehr Kontrolle über Gerätedaten erhalten sollen.

Daneben bleibt die DSGVO für Auskunft, Löschung und weitere Datenschutzrechte maßgeblich. Die BfDI weist in ihrer Stellungnahme zum Data-Act-Durchführungsgesetz auf die notwendige Abgrenzung und das Zusammenspiel von Datenzugang und Datenschutz hin. Im Alltag heißt das: Datenrechte helfen beim Abrufen, Übertragen oder Löschen. Sie ersetzen weder Ende-zu-Ende-Verschlüsselung noch einen Transparenzbericht.

In der App oder im Webkonto sollte daher erkennbar sein: Gibt es einen Datenexport? Lassen sich einzelne Kategorien löschen oder nur das gesamte Konto? Nennt der Anbieter eine Speicherdauer sowie Empfänger oder verbundene Dienste? Können Verbindungen zu Drittanbietern getrennt werden?

TechZeitGeist-Fazit: „Verschlüsselt“ ist erst der Anfang

Bei Wearables ist Datenschutz kein abstrakter Zusatz. Die Daten entstehen nah am Körper und bilden Teile des Alltags ab. Ein einzelnes Sicherheitswort auf der Produktseite reicht dafür nicht aus.

Aussagekräftig wird „verschlüsselt“ erst, wenn klar ist, wer die Schlüssel hält. Kann ein Anbieter synchronisierte Daten selbst entschlüsseln, ist das ein anderer Schutz als bei Ende-zu-Ende-verschlüsselten Daten. Transparenzberichte und Benachrichtigungsregeln beantworten eine weitere, davon getrennte Frage: Wie offen legt das Unternehmen seinen Umgang mit staatlichen Anfragen dar?

Vor dem nächsten Kauf braucht es deshalb weder den pauschalen Verzicht auf die Cloud noch blindes Vertrauen in eine Marke. Sinnvoller ist es, den Speicherweg zu prüfen, nachvollziehbare Transparenz zu verlangen und die Kontrolle über die eigenen Daten ernst zu nehmen. Wo diese drei Nachweise vorliegen, lässt sich bewusster entscheiden. Wo sie fehlen, bleibt wenigstens die Lücke sichtbar.

Quellen und weiterführende Informationen

• Electronic Frontier Foundation: Most Smart Watches, Rings, and Bands Lack Basic Transparency Reports and Key Privacy Features (15.07.2026)
• Europäische Kommission: Data Act (Stand: 02.07.2026)
• BfDI: Stellungnahme zum Entwurf eines Gesetzes zur Durchführung des Data Act (26.01.2026)
• Verbraucherzentrale: Data Act – mehr Kontrolle über Gerätedaten und fairer Datenzugang (08.12.2025)

Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-07-22