Was ein Babyphone wirklich sicher macht

Jedes Babyphone im Handel nennt sich sicher. Das Wort steht auf Kartons von Kameras mit fest eingebautem Admin-Passwort und auf Apps, die einen ganzen Monat Aufnahmen aus dem Kinderzimmer in irgendeinem Speicher liegen haben. Prüfen lässt sich diese Behauptung nicht, deshalb ersetzt man sie besser durch etwas Prüfbares.

Vier Fragen entscheiden es: Was verlässt das Zimmer, was wird gespeichert und wie lange, wer darf sich auf die Übertragung schalten, und was fände ein Angreifer beim Anbieter? Verschlüsselung gehört allein zur ersten Frage. Ein Babyphone, das auf dem Transportweg alles verschlüsselt und danach einen Monat Aufnahmen auf einem Server ablegt, hat weiterhin einen Monat Ihrer Aufnahmen auf einem Server.

Gehen Sie die vier Fragen bei jedem Babyphone der Reihe nach durch, auch bei diesem.

1. Was das Zimmer verlässt

Irgendetwas verlässt das Zimmer immer. Die Frage ist, was.

Am einen Ende schickt eine Kamera durchgehend Video an die Server des Herstellers, damit es ausgewertet, sortiert und später abgespielt werden kann. Am anderen Ende schickt eine Kamera einen Livestream an genau ein gekoppeltes Telefon und behält alles Übrige bei sich. Die meisten Produkte liegen irgendwo dazwischen, und der Unterschied steht selten auf der Packung.

Die Auswertung wird dabei gern übersehen. Wenn ein Babyphone Schlafauswertungen, Schreierkennung oder Atemüberwachung verspricht, fragen Sie, wo gerechnet wird. Ein Modell in der Cloud braucht den Ton oder das Bild auf einem Server. Ein Modell auf dem Gerät braucht beides nicht. MonitorUltra erkennt Weinen auf der Babyeinheit selbst, mit Apples SoundAnalysis-Framework. Der Ton wird dort ausgewertet, wo er aufgenommen wurde, und nur das Ergebnis geht über das Netz. Die ausführliche Begründung steht in KI auf dem Gerät statt in der Cloud.

Auch der Inhalt von Mitteilungen zählt. Eine Push-Nachricht mit einem Standbild aus dem Kinderzimmer hat dieses Bild gerade durch die Zustellinfrastruktur von Apple oder Google geschickt und auf einen Sperrbildschirm gelegt, den jeder in der Nähe sehen kann. Die Hinweise von MonitorUltra enthalten die Art des Ereignisses und einen Zeitstempel.

2. Was gespeichert wird, und wie lange

Die Speicherdauer ist das Nützlichste, was Sie prüfen können, und sie steht meistens in der Datenschutzerklärung statt in der Funktionsliste.

Fragen Sie drei Dinge konkret. Zeichnet das Produkt von sich aus auf? Lässt sich die Aufzeichnung vollständig abschalten oder nur begrenzen? Wie lange bleiben Aufnahmen erhalten, nachdem Sie Ihr Konto gelöscht haben?

Alles Gespeicherte kann beschlagnahmt, bei einer Übernahme mitverkauft, über einen falsch konfigurierten Speicher offengelegt oder von Mitarbeitenden mit einem Support-Werkzeug angesehen werden. Nichts davon ist ein exotisches Szenario. Alles davon ist bei Kameraherstellern schon passiert.

MonitorUltra zeichnet nicht auf. Es gibt keinen Clip-Verlauf, keine Zeitleiste zum Zurückspulen und zu keinem Zeitpunkt Video oder Ton auf einem Server. Das ist ein echter Verzicht, und ich rede ihn nicht schön: Wer nachsehen will, was vor vierzig Minuten passiert ist, liegt hier falsch. Der Fall für ein Babyphone, das nichts speichert, geht darauf ein, was Sie dabei verlieren und was Sie zurückbekommen.

3. Wer sich auf die Übertragung schalten darf

Die meisten Einbrüche bei Verbraucherkameras passieren hier, auf der Ebene der Zugangsdaten, und Kryptografie spielt in keinem dieser Fälle eine Rolle.

Das Muster ist bekannt. Eine Kamera hat ein Web-Portal, das Portal hat eine Anmeldung mit E-Mail und Passwort, das Passwort stammt aus einem Dienst, der 2019 geleakt wurde, und jemand mit einer Liste probiert es bei jedem Kameraanbieter durch. Dabei wird keine Verschlüsselung gebrochen. Da meldet sich einfach jemand an.

Die Fragen sind also praktischer Natur. Gibt es überhaupt ein Web-Portal, und lässt es sich abschalten? Wie fügen Sie einen zweiten Zuschauer hinzu, indem Sie etwas im Zimmer scannen oder indem Sie einen Link an eine E-Mail-Adresse schicken? Gibt es eine Zwei-Faktor-Authentifizierung? Was passiert mit dem Zugriff, wenn ein Familienmitglied entfernt wird?

MonitorUltra koppelt über einen QR-Code. Die Babyeinheit erzeugt auf dem Gerät ein zufälliges Geheimnis und zeigt es als Code an. Die Elterneinheit scannt ihn, im Zimmer, und beide Geräte legen das Geheimnis im iOS-Schlüsselbund ab. Der Server bekommt das Geheimnis selbst nie zu sehen. Es gibt keinen Web-Zugang zum Anmelden und keine öffentliche Adresse, unter der eine Übertragung erreichbar wäre. Für eine laufende Sitzung braucht es ein Zugangstoken, das der Server nur an eine geprüfte Kopie der App und nur für einen bestimmten gekoppelten Raum ausstellt, und dieses Token läuft ab.

Die Zugangstoken sind außerdem bewusst ungleich verteilt. Was ein Elterngerät bekommt, erlaubt ihm den Empfang der Übertragung und nicht das Senden. Ein Elterngerät kann kein Bild und keinen Ton ins Kinderzimmer schicken, selbst wenn jemand die App dafür umbauen würde.

4. Was ein Einbruch beim Anbieter offenlegen würde

Nehmen Sie an, die Firma wird gehackt, denn das passiert vielen. Fragen Sie dann, womit der Angreifer davongeht.

Bei einem Babyphone, das in die Cloud aufzeichnet, sind es Aufnahmen aus Ihrer Wohnung. Bei einem, das live überträgt und nichts behält, sind es Kontodaten. Auch das ist nicht egal, liegt aber in einer anderen Größenordnung von Schaden.

Wäre das Backend von MonitorUltra vollständig kompromittiert, fände ein Angreifer gehashte Raumkennungen, Push-Token und, bei Leuten mit einem freiwillig angelegten Konto, eine E-Mail-Adresse und den Abostatus. Es gibt kein Video, keinen Ton, keine Einzelbilder, keine Vorschaubilder und keine Mitschriften, weil nichts davon je geschrieben wird.

Warum „verschlüsselt“ weniger beantwortet, als Sie denken

Verschlüsselung auf dem Transportweg schützt Daten, während sie durch Netze laufen. Über das, was an den beiden Enden dieser Reise passiert, sagt sie nichts. Video kann auf der Leitung verschlüsselt sein, beim Server entschlüsselt, ausgewertet und im Klartext abgelegt werden. Dieses Produkt darf sich trotzdem verschlüsselt nennen.

Schwerer wiegen die Formulierungen, mit denen Anbieter behaupten, außer den beiden Geräten könne niemand mitlesen. Fragen Sie in dem Fall nach: Wo liegen die Schlüssel, und hat der Anbieter eine Kopie? Wenn Ihnen ein Anbieter Ihre eigenen Aufnahmen im Browser zeigen kann, kann er sie auch entschlüsseln.

Bei MonitorUltra sind Video und Ton in der Übertragung verschlüsselt und werden über LiveKit an die Elterneinheit weitergeleitet. Das ist die zutreffende Beschreibung, und ich verwende sie bewusst anstelle einer stärkeren.

Was ich nicht behaupten werde

Über App-Babyphone wird einiges gesagt, was auf dieses hier nicht zutrifft.

Die Verbindung läuft nicht direkt von Gerät zu Gerät. Die Übertragung wird über eine Infrastruktur weitergeleitet. Genau das lässt sie funktionieren, wenn die Elterneinheit im Zug sitzt und die Babyeinheit im heimischen WLAN hängt.

Sie ist nicht auf ein einzelnes Netz beschränkt. Ein Babyphone, das an einem Netz klebt, erreicht Sie nicht im Garten und erst recht nicht beim Nachbarn. Die Weiterleitung ist der Preis für diese Reichweite, und etwas anderes zu behaupten würde der Datenschutzerklärung der App widersprechen.

Atmung und andere Körperwerte werden nicht überwacht, und kein Kamerahinweis ersetzt Aufsicht.

Die Familienfreigabe bringt einen Kompromiss mit sich. Wenn Sie ein zweites Elternteil über ein Konto hinzufügen, statt ihm das Telefon zum Scannen des QR-Codes zu reichen, liegen die Angaben für den Beitritt im Datensatz Ihrer Familie, lesbar nur für deren Mitglieder. Wer den Code im Zimmer scannt, umgeht das vollständig. Beide Wege stehen im Text über eine Babyeinheit auf mehreren Telefonen.

Eine Checkliste für jedes Babyphone

Sieben Punkte, die geklärt sein sollten, bevor eine Kamera ins Kinderzimmer kommt.

1. Zeichnet es von sich aus auf einem Server auf, und lässt sich das vollständig abschalten?
2. Gibt es ein Web-Portal? Wenn ja, ist diese Anmeldung der wahrscheinlichste Weg hinein.
3. Wie wird ein zweiter Zuschauer hinzugefügt, und wie wird ein Zugriff wieder entzogen?
4. Wo läuft eine etwaige KI-Auswertung?
5. Was sagt die Datenschutzerklärung über die Aufbewahrung nach einer Kontolöschung?
6. Bekommt das Gerät noch Sicherheitsupdates, und wie lange?
7. Kommt es mit einem Standardpasswort, das Sie behalten dürfen?

Wenn bei Ihnen schon ein Babyphone läuft und Ihnen etwas daran komisch vorkommt, gibt es dazu einen eigenen Text: woran Sie merken, dass jemand mitschaut.

Häufige Fragen

Kann jemand meine Kamera ohne mein Telefon sehen? Für den Beitritt zu einer Sitzung braucht es ein Token, das der Server an eine geprüfte Kopie der App ausstellt und das an den Raum gebunden ist, den Ihre beiden Geräte beim Koppeln erzeugt haben. Es gibt keine öffentliche Adresse für eine Übertragung und keinen Zugang über den Browser, also nichts zum Erraten oder Anmelden.

Ist die Übertragung verschlüsselt? Video und Ton sind in der Übertragung verschlüsselt und werden an die Elterneinheit weitergeleitet. Bei einer weitergeleiteten Übertragung hängt die ehrliche Antwort davon ab, wo die Schlüssel liegen, deshalb beschreibe ich es genau so und nicht stärker. Seien Sie skeptisch bei jedem Babyphone, das große Worte verwendet, ohne diese Frage zu beantworten.

Brauche ich ein Konto? Nein. Die Kopplung per QR-Code funktioniert ohne. Ein Konto brauchen Sie nur für die Familienfreigabe und für die Verwaltung eines im Web gekauften Abos.

Was passiert mit meinen Daten, wenn ich die App nicht mehr nutze? Es gibt keine Aufnahmen zu löschen, weil keine aufbewahrt wurden. Beim Löschen des Kontos verschwindet der Kontodatensatz. Beim Deinstallieren verschwindet das Kopplungsgeheimnis zusammen mit dem Schlüsselbund-Eintrag der App.

Hängt das alles davon ab, dass mein Router sicher ist? Weniger als bei einer WLAN-Kamera, weil beide Geräte die Verbindung nach außen aufbauen und keine Ports weitergeleitet werden müssen. Ein kompromittiertes Heimnetz sollten Sie trotzdem in Ordnung bringen. MonitorUltra braucht zwei iPhones oder iPads mit iOS 17 oder neuer und funktioniert über WLAN und Mobilfunk.