Was haben Sicherheitsforscher über Kindersicherungs-Apps herausgefunden?
Auf der Black Hat und der DEF CON 2026 haben Forscher herausgefunden, dass 39 vermeintlich unabhängige Marken von Kindersicherungs-Apps und GPS-Trackern für Kinder ihre Daten alle auf einem einzigen Server in China speichern. Dabei fanden sie 45 verschiedene Schwachstellen und praktisch keine Zugriffskontrolle. Wer die App nutzt, kann auf Standort, Live-Audio, Kamera und Browseraktivitäten eines anderen Kindes zugreifen. Die Tools, die Kinder schützen sollen, geben sie preis.
39 Eltern-Apps. Ein Server. Und eine offene Tür für alle, die es auf die Daten deines Kindes abgesehen haben.
Du lädst die Kindersicherungs-App herunter oder kaufst den GPS-Tracker aus ganz einfachen Gründen: Du willst wissen, dass dein Kind sicher in der Schule angekommen ist. Du willst es erreichen können, wenn etwas nicht stimmt. Du willst dir ein bisschen weniger Sorgen machen. Das ist ein gesunder Elterninstinkt. Doch eine neue Untersuchung hat die Branche der Kindersicherungen jetzt genauer unter die Lupe genommen, einen Markt, der für 2026 auf deutlich über eine Milliarde Dollar geschätzt wird.[3] Das Ergebnis: Einige dieser Tools bewirken genau das Gegenteil von dem, was sich Eltern davon erhoffen.
Auf der diesjährigen Black Hat und der DEF CON[4], zwei der weltweit grössten und renommiertesten Konferenzen für Cybersicherheit, hat eine Untersuchung[1] der Kumio-Forscher Vangelis Stykas und Felipe Solferini ergeben, dass 39 vermeintlich unabhängige Marken von Kindersicherungs-Apps und GPS-Trackern für Kinder[2] ihre Daten alle auf einem einzigen Server in China speichern. Bei ihrer Analyse fanden sie 45 verschiedene Schwachstellen und praktisch keine Zugriffskontrolle. Im Klartext heisst das: Wer die App oder den GPS-Tracker einrichtet, kann auf ein verbundenes Gerät zugreifen und die Daten aller anderen einsehen. Welche Daten das sind? Standort (aktuell und früher), Live-Audio, Kamera, Bildschirminhalte, Apps und Browseraktivitäten sowie personenbezogene Daten. Das sind Daten von Kindern.
Um das zu zeigen, brachte das Team eine Kinder-Smartwatch für 30 Dollar dazu, einen Anruf zu starten und Audio in Echtzeit zu streamen, ohne dass auf der Uhr irgendetwas davon zu sehen war (Hinweis am Rande: Die Forscher haben nur an Geräten gearbeitet, die sie selbst kontrollierten). Ein späterer Bericht[2] beziffert die Verbreitung auf mehrere zehn Millionen Geräte, verteilt auf eine Handvoll gemeinsam genutzter Plattformen.
Für Eltern, deren Kind eine dieser 39 Marken nutzt, ist das schwer auszuhalten.
Wie schützt Allowed Online vor diesen Risiken?
Alle Daten, die ein Sicherheitstool sammelt, können auch nach aussen gelangen. Diesen Kompromiss lehnt Allowed Online bewusst ab: Wir blockieren schädliche Inhalte auf Netzwerkebene, bevor sie das Gerät eines Kindes erreichen, ohne Nachrichten zu lesen und ohne zu verfolgen, wo sich dein Kind aufhält. Am sichersten sind die Daten, die wir gar nicht erst sammeln. Made in Switzerland und Privacy-First von Anfang an.
Die meisten Tools versprechen Sicherheit, indem sie riesige Datenmengen sammeln. Aber was heisst das konkret? Jede Nachricht. Jeder Standort. Jeder Fingertipp. Und alles, was gesammelt wird, kann auch nach aussen gelangen, absichtlich oder aus Versehen. Es geht hier nicht um ein Passwort oder eine E-Mail-Adresse, sondern um den Standort eines Kindes und um ein Mikrofon, das mithört. In den falschen Händen wird das Gerät, das schützen soll, selbst zur Gefahr. Als Leute, die seit Jahren in der Cybersicherheit arbeiten, haben wir uns bewusst für den anderen Weg entschieden. Wir bauen etwas, das eine neue Kategorie definiert: Sicherheit ohne Überwachung.
Genau so etwas haben wir befürchtet. PCMag bringt es auf den Punkt:
«Die Grenze zwischen elterlicher Überwachung und Stalkerware hängt ausschliesslich davon ab, wer Zugriff auf die Daten eines Kindes hat.»
Justyn Newman, Senior Writer, Security at PCMag
Und genau mit diesem Gedanken im Kopf haben wir Allowed Online entwickelt.
Das ist der Kompromiss, den wir bewusst abgelehnt haben. Wir haben Allowed Online so gebaut, dass es schädliche Inhalte auf Netzwerkebene blockiert, bevor sie das Gerät eines Kindes erreichen. Wir lesen die Nachrichten deiner Kinder nicht. Wir verfolgen nicht, wo sie sich aufhalten. Am sichersten sind die Daten, die wir gar nicht erst sammeln. Made in Switzerland und Privacy-First von Anfang an.
Was bei uns hängen bleibt, ist nicht die Zahl der Schwachstellen aus der Black-Hat-Untersuchung. Es sind die 39 scheinbar unterschiedlichen Apps, die letztlich alle die tatsächliche Sicherheit eines Kindes verringern. 39 verschiedene Marken, die als Konkurrenten verkauft werden, laufen auf einem einzigen System. Wer im Laden vier Uhren vergleicht, vergleicht am Ende vielleicht nur vier Etiketten auf ein und demselben Backend.
«Wenn du eines dieser Geräte für dein Kind hast: Verbrenne es. Zerstöre es. Es ist mir egal. Es ist kompromittiert.»
Vangelis Stykas, CTO, Kumio
Wie prüfe ich, ob die Kindersicherungs-App meines Kindes kompromittiert ist?
Sieh dir unter Android den Namen der dazugehörigen App an. Wenn sie SeTracker heisst oder der Paketname com.tgelec lautet, läuft das Gerät auf einer der drei kompromittierten Plattformen, die die Forscher untersucht haben. Das Passwort zu ändern hilft nicht, denn die Sicherheitslücke sitzt auf dem Server des Herstellers. Prüfe, ob der Hersteller ein Sicherheitsupdate veröffentlicht hat.
Wenn du eine dieser Apps oder eines dieser Geräte bereits zu Hause hast, solltest du nicht einfach nur das Passwort ändern. Ein Passwort behebt keine Sicherheitslücke auf dem Server eines anderen. Finde stattdessen heraus, welcher Dienst dahintersteckt. Wir können nicht alle betroffenen Marken auflisten, aber unter Android gibt es einen schnellen Test: Wenn die dazugehörige App SeTracker heisst oder der Paketname com.tgelec lautet, läuft das Gerät auf einer der drei Plattformen, die die Forscher untersucht haben. Das ist kein vollständiger Test. Er bestätigt nur eine der drei Plattformen. Ein Gerät, auf das beides nicht zutrifft, kann also trotzdem auf einer der anderen laufen. Prüfe in jedem Fall, ob der Hersteller ein Sicherheitsupdate veröffentlicht hat. Nach eigenen Angaben haben die Forscher die Hersteller mehr als 30 Mal gewarnt und nie eine Antwort bekommen. Verlass dich also nicht darauf, dass eine Lösung von allein kommt.
Stell dir dann die schwierigere Frage: Wofür ist das Gerät wirklich gedacht? Die naheliegende Antwort: die Sicherheit deiner Familie. Aber wir glauben, dass kein einzelnes Tool ein Kind erziehen kann. Auch unseres nicht. Unsere Aufgabe ist es, die Grenzen unaufdringlich zu halten, damit die Gespräche, die Kinder wirklich schützen, zu Hause stattfinden können, dort, wo sie unserer Überzeugung nach hingehören.
Neugierig, wo deine Familie steht? Unser kostenloses Screen-Time-Quiz dauert nur zwei Minuten und ist ein guter Einstieg.
Erhalte den nächsten wissenschaftlich fundierten Ratgeber direkt in dein Postfach.
Quellen
[1] Newman, J. (edited by Henry, A.). (7 August 2026). 39 Popular Parental Control Apps Are Secretly Feeding Data to One Server. PCMag.
[2] (14 August 2026). Your child’s GPS watch tells everyone where they are. Notebookcheck.
[3] Parental Control Software Market Size. Fortune Business Insights (2026 estimate).
[4] DEF CON 34 Speakers. Research by Kumio researchers Vangelis Stykas (CTO) and Felipe Solferini, presented at Black Hat and DEF CON 34, Las Vegas, August 2026. The “tens of millions” reach is the researchers’ estimate.
