Ein privates Babyphone, das nichts aufzeichnet

Jedes Babyphone im Handel nennt sich privat. Das Wort trägt nichts mehr, weil es für mindestens vier verschiedene Dinge herhalten muss: eine verschlüsselte Verbindung, ein Passwort auf einem Konto, eine DSGVO-Haltung und Aufnahmen auf einem Server, auf die der Anbieter gut aufzupassen verspricht.

Nur eines davon sagt Ihnen, was mit dem Video aus dem Zimmer Ihres Kindes geschieht. Die lohnende Frage ist enger als „ist das privat“. Sie lautet: wo landet das Video, und wie lange bleibt es dort.

Die kurze Antwort

MonitorUltra zeichnet nichts auf. Bild und Ton der Babyeinheit sind auf dem Transportweg verschlüsselt und werden über LiveKit live an die Elterneinheit weitergereicht, dann im Vorbeigehen verworfen. Es gibt keinen Clip-Verlauf, keine Wiedergabe und keine Datei auf einem Server. Der Stream existiert nur, solange die beiden Geräte verbunden sind, und danach überlebt keine Kopie.

Was „privat“ auf der Verpackung meist heißt

Fünf Formulierungen, die Ihnen begegnen, und was jede davon tatsächlich abdeckt.

• „Verschlüsselte Verbindung.“ Beschreibt die Leitung und sagt nichts darüber, was an ihrem Ende steht. Eine Kamera kann auf dem Transportweg verschlüsselt sein und trotzdem jedes Einzelbild in einen Speicher schreiben.
• „Passwortgeschützt.“ Beschreibt die Zugangskontrolle. Über die Speicherdauer sagt es nichts, und es ist die Aussage, die am häufigsten daran scheitert, dass jemand ein Passwort wiederverwendet.
• „Lokale Speicherung auf SD-Karte.“ Wirklich nützlich. In den meisten Produkten bleibt die Kamera zusätzlich mit der Cloud verbunden, damit Sie von unterwegs zusehen können. Die Karte legt also eine zweite Kopie an, und die Kopie auf dem Server bleibt bestehen.
• „Cloud-Speicher mit 30 Tagen Aufbewahrung.“ Ehrlich, und es heißt, dass die Aufnahmen existieren. Eine Aufbewahrungsfrist ist ein Versprechen über das Löschen, und sie setzt voraus, dass es etwas zu löschen gibt.
• „DSGVO-konform.“ Eine Aussage über den rechtmäßigen Umgang mit personenbezogenen Daten. Sie unterstellt, dass Daten vorgehalten werden.

Keine dieser Angaben ist unehrlich. Sie beantworten nur eine andere Frage als die, die Eltern eigentlich stellen.

Die Architektur, genau

Es wird nichts aufgezeichnet

Es gibt keinen Aufnahmeknopf, keine Clip-Liste und keine Möglichkeit, sich die letzte Nacht noch einmal anzusehen. Das ist eine Produktentscheidung, die eine gewünschte Funktion streicht, und sie trägt alles andere auf dieser Seite. Ein Speicher, den es nicht gibt, lässt sich nicht durchsuchen, nicht beschlagnahmen, nicht weiterverkaufen, nicht falsch konfigurieren und nicht abziehen.

Verschlüsselt auf dem Transportweg

Ton und Bild sind verschlüsselt, während sie zwischen den Geräten und dem Relay unterwegs sind. Das ist die genaue Beschreibung dessen, was passiert, und ich dehne sie hier zu nichts Größerem. Wenn Sie Babyphones an genau diesem Punkt vergleichen wollen, suchen Sie auf der Herstellerseite nach dem, was mit ruhenden Daten geschieht. Auf dem Transportweg verschlüsselt inzwischen praktisch jeder.

Weitergereicht über LiveKit

Zwischen Babyeinheit und Elterneinheit sitzt ein Medienserver, der den Stream weiterleitet. MonitorUltra nutzt dafür LiveKit.

Dieses Relay ist der Grund, warum der Rest des Produkts überhaupt funktioniert. Weil ein Server in der Mitte die Verbindung übernimmt, müssen die beiden Geräte nicht im selben WLAN hängen, Sie müssen keine Ports am Router öffnen, und die Elterneinheit arbeitet über Mobilfunk von überall dort, wo Sie Empfang haben. Ein Babyphone, das auf einem gemeinsamen Heimnetz besteht, spart sich das Relay und bezahlt dafür mit Brauchbarkeit.

Das Relay leitet Pakete zwischen zwei verbundenen Teilnehmern weiter. Es schreibt sie nicht auf eine Festplatte, und es gibt keinen Speicher, in dem sich die Nächte der letzten Woche sammeln.

Die Schreierkennung läuft auf der Babyeinheit

Der Ton wird auf dem Telefon im Kinderzimmer klassifiziert, mit Apples Framework SoundAnalysis. Nichts wird hochgeladen, damit ein Modell auf einem Server mithört und etikettiert. Das ist unabhängig von der Streaming-Frage wichtig, denn ein Babyphone kann auf gespeichertes Video verzichten und trotzdem jede Sekunde aus dem Kinderzimmer an einen Klassifikator in der Cloud schicken. Warum die Schreierkennung auf dem Telefon bleiben sollte erklärt, wie das funktioniert und warum es technisch die schwierigere Wahl ist.

Was ich nicht behaupte

Dieser Abschnitt existiert, weil Datenschutzaussagen überprüfbar sind. Eine Aussage, die geprüft wird und dann fällt, richtet mehr Schaden an, als sie je genützt hat.

• Es läuft nicht direkt zwischen den beiden Geräten. Ein Relay übernimmt die Medien. Die Geräte bauen keine direkte Verbindung zueinander auf.
• Es bleibt nicht im Heimnetz. Der Verkehr verlässt Ihr Netzwerk. Genau dadurch funktioniert die Elterneinheit auch vom Büro aus.
• Es kommt nicht ohne Server aus. Ein Relay ist ein Server. Er reicht Live-Medien weiter und behält nichts davon.
• Es ist keine Ende-zu-Ende-Verschlüsselung in dem Sinn, den ein Messenger meint. Verschlüsselt auf dem Transportweg ist die ehrliche Formulierung, und es ist die, die ich verwende.

Wer alle vier Punkte gleichzeitig für ein Babyphone behauptet, das auch über Mobilfunk läuft, beschreibt etwas, das es nicht geben kann.

Warum die Aufzeichnung der Teil ist, der abfließt

Die bekannt gewordenen Vorfälle mit Babyphones haben zwei Formen.

Die erste ist jemand, der sich Zugang zu einem Konto verschafft und in eine laufende Kamera sieht, meist über ein wiederverwendetes Passwort oder ein schwaches Werkspasswort. Das ist ein Versagen der Zugangskontrolle, und Sie selbst können es mit eigenen Passwörtern und einem zweiten Faktor abfedern. Wenn Sie herausfinden wollen, ob es Sie getroffen hat, ist woran Sie ein gehacktes Babyphone erkennen eine praktische Anleitung.

Die zweite ist die Offenlegung gespeicherter Aufnahmen beim Anbieter. Ein falsch konfigurierter Speicher, eine kompromittierte Datenbank, ein internes Werkzeug mit zu weiten Rechten. Dagegen können Sie nichts tun. Sie verlassen sich vollständig auf ein Unternehmen, in das Sie keinerlei Einblick haben, ein Videoarchiv aus dem Zimmer Ihres Kindes dauerhaft sicher zu verwahren, auch nach einer Übernahme, einem Kurswechsel oder einer Abwicklung.

Nicht aufzuzeichnen streicht die zweite Kategorie vollständig. Es ist die einzige Datenschutzeigenschaft in dieser ganzen Produktkategorie, die Sie niemandem glauben müssen, weil Sie sie an der Funktionsliste ablesen können: Es gibt keinen Wiedergabebildschirm, also gibt es nichts wiederzugeben.

Der Zugang ist die andere Hälfte der Frage

Gespeichertes fließt in großem Stil ab. Der Zugang geht in einzelnen Haushalten schief und verdient eine eigene Antwort.

MonitorUltra koppelt über einen QR-Code, der auf der Babyeinheit erscheint und mit der Elterneinheit gescannt wird. Das hat eine nützliche körperliche Eigenschaft: Wer einen weiteren Zuschauer hinzufügen will, muss im Moment der Einrichtung im Zimmer stehen und das Gerät in der Hand halten. Es gibt keinen Benutzernamen zu raten, kein ab Werk mitgeliefertes Passwort und keine Kamera, die im offenen Internet auf den nächsten Portscan wartet.

Mehrere Elterngeräte können dieselbe Babyeinheit sehen, und jedes bekommt eigene Meldungen. Ein zweiter Elternteil oder eine Großmutter, die über Nacht bleibt, muss also nicht Ihr Telefon bekommen. Die Liste der Geräte, die sich verbinden dürfen, haben Sie von Hand aufgebaut, einen Scan nach dem anderen. Das ist überschaubarer und leichter zu prüfen als ein Konto mit Freigabelinks.

Worauf Sie verzichten

Das ist ein echter Tausch, und alles andere zu behaupten würde den Rest dieser Seite entwerten.

• Keine Wiedergabe. Sie können Ihrem Partner nicht zeigen, was um drei Uhr nachts passiert ist, und keinen Ausschnitt an die Großeltern schicken.
• Keine Schlafhistorie. Kein Zeitraffer, kein nächtlicher Bericht, keine Kurve der Aufwachzeiten für die Kinderärztin oder eine Schlafberatung.
• Keine Belege. Manche Eltern wollen Aufnahmen aus dem Kinderzimmer oder von einer Betreuungsperson. Das liefert die App nicht.

Wenn Ihnen einer dieser Punkte wichtig ist, kaufen Sie ein Babyphone, das aufzeichnet. Es gibt gute, und die richtige Wahl hängt davon ab, welches Risiko Sie lieber tragen.

Fünf Fragen an jedes Babyphone

Stellen Sie diese Fragen an alles, was Sie in Betracht ziehen, auch an diese App. Die Antworten stehen meist in der Datenschutzerklärung und nicht auf der Produktseite.

1. Werden Bild oder Ton irgendwo außerhalb meiner eigenen Geräte gespeichert, und wie lange?
2. Kann jemand im Unternehmen einen laufenden Stream oder gespeichertes Material sehen, und nach welchem Verfahren?
3. Wenn ich mein Konto lösche, was geschieht mit bereits gespeichertem Material, und wann?
4. Wo wird der Ton für die Schreierkennung ausgewertet, auf dem Gerät oder auf einem Server?
5. Wenn ich aufhöre zu zahlen, bleibt bereits Gespeichertes bestehen?

Ein Babyphone, das die erste Frage mit „es wird nichts gespeichert“ beantwortet, macht die Fragen zwei, drei und fünf deutlich uninteressanter. Was ein Babyphone wirklich sicher macht behandelt den Rest der Liste, auch die Punkte, die in Ihrer Verantwortung liegen und nicht in der des Anbieters.

Wo das hingehört

Alles oben Beschriebene ist eine einzelne Eigenschaft eines Babyphones aus zwei iPhones. Die Einrichtung, die Funktionen und der ehrliche Vergleich mit eigener Hardware stehen im kompletten Leitfaden zu iPhone-Babyphone-Apps, und die Audio-Stufe von MonitorUltra können Sie ausprobieren, ohne etwas zu bezahlen.

Häufige Fragen

Ist die Übertragung Ende-zu-Ende-verschlüsselt? Sie ist auf dem Transportweg verschlüsselt. Ein Relay übernimmt die Medien zwischen den beiden Geräten, deshalb wäre Ende-zu-Ende im Sinne eines Messengers die falsche Beschreibung.

Wird etwas auf einem Server gespeichert? Nein. Es gibt keine Aufzeichnung, keinen Clip-Verlauf und kein Material, das nach dem Ende einer Sitzung irgendwo liegen bleibt.

Braucht die Babyeinheit ein Konto? Nein. Gekoppelt wird über einen QR-Code, den die Babyeinheit anzeigt und die Elterneinheit scannt. Auf dem Gerät im Kinderzimmer gibt es nichts zu registrieren.

Müssen beide Telefone in meinem WLAN sein, damit das privat bleibt? Nein, und für die Speicherfrage macht das Netz keinen Unterschied. Die Elterneinheit arbeitet über Mobilfunk, und aufgezeichnet wird in beiden Fällen nichts.

Wo findet die Schreierkennung statt? Auf der Babyeinheit, mit Apples Framework SoundAnalysis. Der Ton wird für die Auswertung nicht hochgeladen.