Datenschutz & Sicherheit
39C3: Schwachstellen in Xplora-Smartwatches gefährdeten Millionen Kinder
Nils Rollshausen von der TU Darmstadt hat auf dem 39. Chaos Communication Congress (39C3) in Hamburg gravierende Schwachstellen in Kinder-Smartwatches des norwegischen Herstellers Xplora präsentiert. Der Vortrag „Watch Your Kids: Inside a Children’s Smartwatch“ basierte weitgehend auf den Arbeiten eines Masterstudenten, der die Sicherheitsarchitektur systematisch analysierte. Die Uhren werden nicht nur in Norwegen, sondern weltweit verkauft – nach eigenen Angaben über 1,5 Millionen Stück. In Deutschland werden sie unter anderem von der Telekom in Bundle-Deals angeboten.
Weiterlesen nach der Anzeige
„Wir sind eine kinderfressende Hexe“
Rollshausen wählte einen ungewöhnlichen narrativen Rahmen: „Für die Zwecke dieses Talks sind wir eine kinderfressende Hexe, die im Wald lebt.“ Das Problem der Hexe: Früher wanderten Kinder einfach zur Hütte, doch heute tragen alle GPS-Tracker und die Eltern können sie finden. „Wenn wir nicht verhungern wollen, müssen wir wohl etwas Recherche betreiben.“
Der Einstieg gelang über FCC-Zulassungsdokumente, in denen Fotos eines Entwickler-Ladegeräts mit vier statt zwei Pins auftauchten. Die Forscher bastelten einen Adapter – und tatsächlich meldete sich die Uhr als USB-Gerät.
Für den Debug-Modus fragten sie sich: „Was ist die dümmste mögliche Lösung?“ Mehrfaches Tippen auf die Versionsnummer, wie sonst auch bei Android. Es funktionierte. Dann erschien ein PIN-Feld. Während Rollshausen über automatisierte Angriffe nachdachte, ging der Masterstudent nach Hause und tippte zwei Stunden lang jede vierstellige Kombination manuell ein und fand die richtige Kombination.
Statische Schlüssel ermöglichen Vollzugriff
Da sich die Uhr mit aktiviertem Debug-Zugang wie ein normales Android-Gerät verhielt, konnten die Forschenden mit Standardtools als Hersteller-Apps extrahieren. Dabei fanden sie das Kernproblem: Die Authentifizierung basierte auf statischen Geheimnissen in der Firmware.
In Kombination mit öffentlich zugänglichen Daten wie Zeitstempeln und Seriennummern konnten Angreifer gültige API-Schlüssel für beliebige Uhren generieren – und damit alles tun, was die echte Uhr auch kann.
Weiterlesen nach der Anzeige
Kinder virtuell nach Pjöngjang teleportieren
Live demonstrierte Rollshausen die möglichen Folgen – weiterhin aus Hexenperspektive:
- Nachrichten mitlesen: „Sehr nützlich für die Kommunikation“
- Gefälschte Nachrichten senden: „Damit die Kinder wissen, wo sie uns finden, denn sie sind so beschäftigt mit ihren Handys, dass sie den Wald nicht mehr finden“
- Standort manipulieren: Für dies Manipulation braucht es laut Rollshausen immer zwei Versuche. Doch dann klappt die „Teleportation“ – dann stand das Kind plötzlich in Pjöngjang, Nordkorea, oder einem anderen frei wählbaren Ort.
- Uhren aus der Ferne zurücksetzen: „Das sieht auf dem Bildschirm nicht sehr interessant aus“, räumte er ein, bevor die Uhr auf der Bühne herunterfuhr
„Das ist eine For-Schleife davon entfernt, alle Uhren mit diesem Modell zu kompromittieren. Und das sind viele Uhren“, so Rollshausen.
Zähe Kommunikation mit dem Hersteller
Die Offenlegung der Schwachstellen verlief zunächst holprig. Das Vulnerability-Disclosure-Programm auf der Website war falsch verlinkt, E-Mails blieben unbeantwortet – bis etwa eine Woche vor dem 39C3-Talk.
Ein Firmware-Update im August sorgte bei Rollshausen für Nervosität: Würde der Debug-Zugang weiterhin funktionieren? Vorsorglich installierte Rollshausen eine eigene App, die das Debug-Menü direkt aufruft. Diese Maßnahme erwies sich als sinnvoll, denn die bisherige PIN war anschließend ungültig. Die Analyse zeigte, dass die PIN nun sechs statt vier Stellen umfasste und das System nach drei Fehlversuchen gesperrt wurde. An den eigentlichen Schwachstellen hatte sich jedoch nichts geändert. „Sie haben nicht einmal die Zugangsdaten rotiert“, so Rollshausen.
Auch das Firmware-Update im Oktober erforderte lediglich minimale Anpassungen der bestehenden Exploits. Erst kurz vor dem Congress nahm Xplora direkt Kontakt auf. In einem Gespräch am 22. Dezember versicherte das Unternehmen, die Ursachen mit einem Update im Januar 2026 beheben zu wollen. Zudem wurde das Disclosure-Programm überarbeitet, und der beteiligte Masterstudent erhielt eine „ansehnliche“ Bug-Bounty-Vergütung.
Signal auf der Kinderuhr
Als ironische Zwischenlösung zeigte Rollshausen den Signal-Messenger auf einer Xplora-Uhr: „Ich musste alle Größenwerte durch zehn teilen, damit das auf den Bildschirm passt – aber technisch können Sie Signal auf der Smartwatch Ihres Kindes laufen lassen.“
Die Botschaft: „Wir können mit Herstellern zusammenarbeiten, um Dinge sicherer zu machen – aber wir müssen nicht. Wir können auch einfach unser eigenes Ding machen.“
(vza)
Datenschutz & Sicherheit
Die Woche, in der wir zeigten, was Spionage-Apps anrichten
Liebe Leser*innen,
Aiko, die eigentlich anders heißt, wurde von ihrem Ex-Freund gestalkt. Über ein Browser-Interface konnte er sehen, wo sie ist, was sie liest, eintippt und fotografiert. Er hat ihr Handy zur multimedialen Wanze gemacht.
Immer wieder lauert er ihr auf, hält sie fest, redet auf sie ein. Sie traut sich nicht mehr aus dem Haus. Die einst lebensfrohe junge Frau wird depressiv, durchlebt Panikattacken und Albträume.
Es gibt zahlreiche Apps, die es erlauben, die Kontrolle über fremde Telefone zu übernehmen. Die App, die Aikos Ex-Freund nutzte, kennen meine Kollegin Chris und ich schon seit einer Weile. Vor zwei Jahren haben wir uns durch Nachrichten gegraben, die Menschen aus der ganzen Welt mit dem Kundendienst der App austauschten. Sie waren in einem Datenleck öffentlich geworden und sind nun für alle nachzulesen im Internet.
In dem Leak finden sich auch Daten von Aikos Ex-Freund.
Wie brutal der Eingriff in die Privatsphäre ist, den solche Apps ermöglichen, ist mir aber erst richtig klar geworden, als ich Aiko gegenübersaß und sie uns ihre beklemmende Geschichte erzählte.
Fast unmöglich, sich der Überwachung zu entziehen
Es ist etwas anderes, sich mit der technischen Seite von Stalking zu beschäftigen als einer Person zuzuhören, die es erlebt hat. Stalking kann einen Menschen zermürben. Kommt so eine App ins Spiel, wird es für Betroffene fast unmöglich, sich der Kontrolle und Überwachung zu entziehen.
Aiko ist nur eine von vielen. Jede 100. Frau hat in den vergangenen fünf Jahren Stalking mit digitalen Tools erlebt, so eine Studie des Bundeskriminalamtes. Aiko gibt diesen vielen Frauen ein Gesicht.
Sie wollte ihre Geschichte auch deshalb erzählen, damit andere gewarnt sind. Damit andere der Software und einem Täter oder einer Täterin nicht so hilflos ausgeliefert sind wie sie. Denn eigentlich ist es ziemlich einfach, frei zugängliche Spionage-Apps zu erkennen und ihre Tätigkeit zu stoppen. Dazu muss man aber wissen, dass es sie gibt. Aikos Geschichte hilft hoffentlich dabei, dieses Wissen zu verbreiten.
Gerne weitersagen.
Martin
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Datenschutz & Sicherheit
Social-Media-Debatte: Ursachenbekämpfung statt Verbote

„Ich male mir die Welt, so wie sie mir gefällt.“ – Das gelingt den Plattformbetreibern hinter Instagram, Youtube, Snapchat oder TikTok bisher ganz gut. Das in Los Angeles eröffnete Verfahren könnte an diesem Prinzip jedoch rütteln und zeigen, dass es etwas anderes als ein Verbot für Jugendliche braucht, um die negativen Effekte sozialer Medien zu reduzieren.
Die 20-jährige Hauptklägerin will Meta und Google für ihr süchtig machendes Design zur Verantwortung ziehen. Vor Gericht gibt sie an, seit über zehn Jahren von sozialen Medien abhängig zu sein – einem Effekt, dem sich die Unternehmen laut interner Dokumente bewusst waren. Und wenn man ehrlich ist: Es ist ein Effekt, den die kommerziellen Plattformen wollen, damit sich die Aufenthaltszeit auf Plattformen verlängert, sie mehr Werbung an die Nutzer*innen abspielen und so mehr Gewinne einfahren können.
Wenn in den USA eine Person vor Gericht geht, deren Generation bisher am frühesten in der digitalen Welt aufgewachsen ist, führt das unweigerlich zu der Frage, wie für diese und nachfolgende Generationen eine bessere und andere Version von sozialen Medien aussehen könnte. Denn ob mit dem Verfahren letztlich ein Präzedenzfall geschaffen werden kann oder nicht – der Prozess stärkt eine andere Stoßrichtung als das derzeit heiß diskutierte Social-Media-Verbot.
Ein Verbot ist die falsche Antwort
Von einem Verbot sozialer Medien für junge Menschen werden viele negative Effekte erwartet: Für Minderheiten oder vulnerable Gruppen fällt ein Kanal zur Vernetzung und Gemeinschaftsbildung weg, ebenso ein Kanal zur Information, Menschen ohne Papiere könnten ganz ausgeschlossen sein und auf Kinder und Jugendliche entfallen die Folgen je nach Familiensituation und Wohnort ungleich.
Diese Nebeneffekte müssten weniger ins Gewicht fallen, wenn unterm Strich auf den Plattformen und ohne Verbot das ursprüngliche Ziel erreicht werden würde: Schutz von Kindern und Jugendlichen vor digitalem Missbrauch, vor Mobbing sowie übermäßigem Konsum und Sucht.
Ein Blick nach Australien zeigt, dass Verbote einerseits löchrig bleiben und andererseits große Risiken für Privatsphäre und Datenschutz bergen. Wie die australische Regierung erwartet hatte, finden Jugendliche einfach Schlupflöcher, das Verbot zu umgehen. Sie ändern ihren Standort über VPN-Verbindungen, legen sich neue Accounts an, wechseln auf nicht betroffene Apps oder nutzen Accounts von älteren Personen. Mit KI-generierten Bildern, Ausweisen von Älteren oder oder durch einfaches Stirnrunzeln bestehen sie Altersabfragen, die jetzt zur Architektur von Plattformen dazugehören.
Sollte die australische Regierung an diesen Stellen nachschärfen, bleiben Alterskontrollen aus datenschutzrechtlicher Perspektive trotzdem bedenklich. Ein vorab durchgeführtes Gutachten verzeichnet massive Bedenken, wie erhobene Daten gesammelt und an Behörden weitergegeben werden könnten. Das ist der eine Fall. Der andere Fall ist auch datenschutzrechtlich problematisch, wenn personenbezogene Daten aus Alterskontrollen an Drittanbieter weitergegeben werden, wie der Fall von Discord deutlicht.
Plattformen in die Pflicht nehmen statt Probleme in die Zukunft verlagern
Der Medienrechtler Stephan Dreyer erwartet, dass ein EU-Verbot den Jugendschutz auf sozialen Plattformen verschlechtern würde, wie er gegenüber netzpolitik.org darlegte.
Dazu kommt: Soziale Medien sind allgegenwärtiger Teil des Lebens auf der ganzen Welt. Haben Jugendliche die magische Grenze von 16 Jahren überschritten, sind sie zusammen mit den Älteren weiterhin endlosen Feeds, manipulativem Design, personalisierten Empfehlungssystemen und Dopamin-Kicks ausgesetzt. Statt „Cybergrooming“ heißt die Gefahr dann „digitale Gewalt“, wie der Grok-Skandal gerade deutlich vor Augen geführt hat.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Und warum eigentlich nur Jugendliche? Sind nicht auch gestandene Mittvierziger dem suchtmachenden Design der Plattformen verfallen und geraten nicht auch Boomerinnen in den Strudel, der sie in den verschwörungsideologischen Kaninchenbau zieht? Werden nicht uns allen polarisierende Inhalte von intransparenten Algorithmen gezeigt, damit wir möglichst lange mit den Plattformen interagieren und sie uns mit personalisierter Werbung zuballern können.
Bessere Plattformen für alle
Ein Verbot für Jugendliche macht die Plattformen nicht besser. Anstatt Plattformen zur Umsetzung von Alterskontrollen zu zwingen und junge Menschen auszuschließen, müssen die Plattformen zu einer anderen Architektur verpflichtet werden. Fairness by Design und by Default nennt sich der Ansatz, der digitale Plattformen dazu verpflichtet, ihre Webseiten und Apps nutzerfreundlich und manipulationsfrei zu gestalten. Die EU ist gegenüber TikTok einen Schritt gegangen, aber die Liste an manipulativen Techniken ist lang.
Ein Verbot ist letztlich eine platte und hilflose Maßnahme. Es erinnert an überforderte Eltern, die den Kindern das Handy wegnehmen, weil sie nicht weiterwissen. Dabei könnten auch die Verbotsbefürworter*innen beim Ansatz Fairness by Design auf ihre Kosten kommen. Er wäre einer von mehreren Ansätzen, die Plattformen nachhaltig zu verändern. Und es gibt Gesetzgebungen wie das Digitale-Dienste-Gesetz oder wie das geplante Gesetz für digitale Fairness, mit denen man Plattformen verändern kann.
Die Politik muss sich nur trauen – und nicht weiter vor der Lobby der Tech-Riesen einknicken.
Datenschutz & Sicherheit
Palantir will Gegendarstellung von Schweizer Magazin gerichtlich durchsetzen
Palantir Technologies, der US-Anbieter von Analysesoftware, sieht sich unmittelbar betroffen von zwei Berichten des Schweizer Onlinemagazins „Republik“. Nachdem das Unternehmen vergeblich eine Gegendarstellung des Magazins verlangt hat, will es diese nun vor Gericht durchsetzen. Es gehe um eine sachliche Gegenüberstellung, sagt der Softwareanbieter. Die „Republik“-Macher geben sich überrascht.
Weiterlesen nach der Anzeige
Streisand-Effekt
Mit dem Schritt vor Gericht hat Palantir mehr Aufmerksamkeit für die „Republik“-Berichterstattung ausgelöst, als die beanstandeten Artikel selbst hätten verursachen können – 23 Jahre, nachdem Barbra Streisand den nach ihr benannten Effekt auslöste. Und dennoch doch gibt es Gründe, warum Palantir so agiert.
Denn während in Deutschland der Anbieter von Datenverknüpfungs- und Datenanalysesoftware für Behörden mit Überwachungsbefugnissen zumindest bei manchen staatlichen Kunden erfolgreich ist, hatte die Firma in der Schweiz bislang – soweit bekannt – wenig staatliche Kundschaft.
„Republik“ hatte im Dezember umfangreich aus Akten der Schweizer Verwaltung zitiert. Demnach suchte Palantir immer wieder den Kontakt zu Schweizer Behörden – und fand ihn auch. Teils sei das von Palantir ausgegangen, teils wohl auch von öffentlichen Stellen. Es ging um das Militär, Polizei und Gesundheitsbehörden. Zu einem Geschäftsabschluss kam es dabei aber offenbar nicht.
Von der Berichterstattung darüber fühlt sich Palantir unfair behandelt. „Wir können bestätigen, dass in dieser Angelegenheit beim Handelsgericht ein Gesuch um Gegendarstellung gestellt wurde“, teilt die Kommunikationsbeauftragte des Kantons-Obergerichts am Freitag auf Anfrage heise online mit.
Schweizer Gegendarstellungen
Das Schweizer Recht sieht bei Gegendarstellungen vor, dass sobald ein Gegendarstellungswunsch von einem Medium zurückgewisen wurde, ein Zivilgericht die Angelegenheit prüfen kann und dabei beide Seiten anhört. Zuständig ist hier das Handelsgericht Zürich. Zuständig ist hier das Handelsgericht Zürich.
Weiterlesen nach der Anzeige
Palantir sagt, es habe klagen müssen, um seinen Rechstanspruch aufrechtzuerhalten. „Palantir respektiert die Pressefreiheit und die wesentliche Rolle unabhängiger Medien in der öffentlichen Debatte uneingeschränkt“, sagte eine Unternehmenssprecherin. Das Recht auf Gegendarstellung sei ein „Korrekturinstrument, das der Öffentlichkeit ausgewogene Informationen liefern soll“.
Für Palantir kam die „Republik“-Berichterstattung zur Unzeit. Denn in vielen Staaten Europas werden in gleich mehreren Geschäftsfeldern derzeit wichtige Beschaffungsentscheidungen getroffen: Die Modernisierung und Erweiterung von Militär, Nachrichten- und Geheimdiensten aber auch Polizeibehörden wäre für Palantir und seine auch für behördliche Überwachung hilfreiche Software ein vielversprechendes Geschäft.
Im Heimatmarkt USA macht das Unternehmen mit US-Bundesbehörden laut Transparenzdaten etwa eine Viertelmilliarde US-Dollar Geschäft. Zu den Kunden gehören unter anderem das US-Verteidigungsministerium, die Armee und das FBI. Das Unternehmen weist für 2025 knapp 4,5 Milliarden US-Dollar Umsatz aus, etwa ein Zehntel des Jahresumsatzes von SAP. Und doch ist Palantir an der Börse mit etwa 300 Milliarden Euro bewertet, während SAP auf rund 200 Milliarden kommt.
Schwieriges Pflaster Europa
Der europäische Markt bleibt ein schwieriges Pflaster für Palantir. Die Verbindung zur Immigration and Customs Enforcement-Behörde (ICE), die mit brachialen Mitteln und jeder Menge High-Tech illegale Migranten ausfindig machen soll, sorgt in Europa für Stirnrunzeln. Als US-Unternehmen unterliegt Palantir dem Recht der Vereinigten Staaten, die die internationale Zusammenarbeit bei Sicherheit zunehmend in Frage stellen – für Palantir dürfte das kaum verkaufsfördernd wirken.
Dabei hatte sich die Aufregung an anderer Stelle gerade erst gelegt: Palantir stand wegen seines Israel-Engagements in der Kritik. Die Gründer Peter Thiel und Alex Karp hatten im Januar 2024 eine strategische Partnerschaft mit dem israelischen Verteidigungsministerium vereinbart, berichtete Bloomberg damals. Der Bericht dazu ist auf der Palantir-Website öffentlich abrufbar hinterlegt.
Das kleine Medium aus der Schweiz ist mit Branchengrößen wie Bloomberg kaum vergleichbar. Seit 2018 erscheint es werbefrei und ausschließlich online. Es wird vor allem von gut 30.000 Abonnenten getragen, von denen ein Großteil zugleich mitstimmungsberchtigte Genossenschaftsmitglieder sind. Kein Medien-Dickschiff mit großem Verlag im Rücken.
„Grenzwertige Verschwörungstheorien“
Bereits kurz nach Erscheinen der beiden nun vor Gericht verhandelten Artikel hatte Courtney Bowman, Chef von Palantirs Abteilung für „Privatsphäre und Bürgerrechte“, auf Linkedin die Marschroute vorgezeichnet: Die Berichte von „Republik“ seien „voller Verzerrungen, Anspielungen und grenzwertiger Verschwörungstheorien“.
Bowman wirft den Autoren vor, das sie einen Bericht des Schweizer Armeestabes zu unkritisch wiedergegeben hätten – dessen Autoren sich jedoch leider „auf ein begrenztes Set von Suchmaschinentreffer-Quellen“ gestützt hätten. Belege für seine Behauptungen lieferte der Palantir-Vertreter seinerseits nicht mit.
„Ich glaube, dass wir eine hervorragende Recherche gemacht haben und wir das sehr umfassend dokumentiert haben“, sagt Daniel Binswanger, Ko-Chefredaktor von „Republik“ im Gespräch mit heise online. Eine Recherche, die auf Schweizer Regierungsdokumenten beruhe, sei eine der „besten Grundlagen für Berichterstattung”. Er sei sehr zuversichtlich, was den Ausgang des Verfahrens angehe.
Palantir weist Vorwurf der Einschüchterung zurück
Dem Eindruck, dass ein milliardenschweres Unternehmen bei einem kleinen Magazin die Muskeln spielen lässt, tritt Palantir entschieden entgegen: Jeder Vorwurf, es handele sich um einen strategischen Einschüchterungsversuch gegenüber unliebsamer Berichtsterstattung auf dem Klageweg, sei unbegründet, betont die Unternehmenssprecherin mit: „Palantir strebt lediglich die Veröffentlichung einer prägnanten und angemessenen Gegendarstellung an, um wesentliche Ungenauigkeiten zu korrigieren.“
Doch was konkret diese „wesentlichen Ungenauigkeiten“ wären, die Palantir korrigiert sehen will, teilt die Firma nicht mit. Einer Bitte um Übersendung der von der „Republik“ konkret geforderten „Richtigstellungen“ entsprach Palantir bis Freitagnachmittag nicht.
Ob die Firma mit ihrem Vorgehen bei Gericht zumindest Teilerfolge erzielt, ist dabei kaum vorhersagbar. Das Schweizer Gegendarstellungsrecht beinhaltet keinerlei Prüfung durch das Gericht, ob eine Darstellung tatsächlich richtig war. Weshalb es in der Schweizer Medienwelt eine häufig genutzte Form ist, wenn Unternehmen sich ins falsche Licht gerückt sehen.
„Es geht beim Gegendarstellungrecht nicht um die Frage, was wahr oder falsch ist“, erklärt „Republik“-Ko-Chefredakteur Daniel Binswanger. „Es geht um die Frage, ob eine andere Version der Fakten ebenfalls möglich sein könnte.“ Doch das betrifft rein die faktische Darstellung. Wertungen hingegen sind auch in der Schweiz nicht angreifbar.
Für das Schweizer Onlinemagazin ist der Effekt hingegen spürbar und messbar. „Wir sind überwältigt“, sagt Daniel Binswanger im Gespräch mit heise online. Von Spendenangeboten, Solidaritätsbekundigungen, das sei gigantisch, sagt er. „Das haben wir noch nie erlebt, dass eine Geschichte das auslöst.“ Frau Streisand lässt grüßen.
(vbr)
-
Entwicklung & Codevor 3 MonatenKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
Künstliche Intelligenzvor 2 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Apps & Mobile Entwicklungvor 3 MonatenHuawei Mate 80 Pro Max: Tandem-OLED mit 8.000 cd/m² für das Flaggschiff-Smartphone
-
Apps & Mobile Entwicklungvor 3 MonatenFast 5 GB pro mm²: Sandisk und Kioxia kommen mit höchster Bitdichte zum ISSCC
-
Social Mediavor 3 TagenCommunity Management zwischen Reichweite und Verantwortung
-
Entwicklung & Codevor 2 MonatenKommentar: Anthropic verschenkt MCP – mit fragwürdigen Hintertüren
-
Datenschutz & Sicherheitvor 2 MonatenSyncthing‑Fork unter fremder Kontrolle? Community schluckt das nicht
-
Social Mediavor 2 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
