Ein Sicherheitsrisiko kann die Uhr Ihres Kindes sein, ein Beleg für Ausnutzung in der Praxis liegt aber nicht vor. Das BSI hat im ersten Quartal 2026 drei Kinder-Smartwatches geprüft: Bei keiner war eine sichere Standardkonfiguration vollständig umgesetzt, wobei die Befunde nur für die getesteten Firmware- und App-Stände gelten und einige Mängel inzwischen behoben sind. Prüfen Sie in der App zuerst, wer anrufen und schreiben darf, wie stark das Passwort des Kontos ist (wenn möglich mit Zwei-Faktor-Authentisierung) und ob sich Ortung und Kamera einzeln abschalten lassen.
Was das BSI geprüft hat und was nicht
Grundlage ist der BSI-Bericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Kinder-Smartwatches“, veröffentlicht als DVS-Bericht. Untersucht wurden drei Uhren samt Android-Begleit-Apps, je eine aus drei Preissegmenten, zufällig ausgewählt: Connect Neo von One2Track (Niederlande), Garmin Bounce (USA) und Imoo Z3 von Dongguan Imoo Technology (China). Die Modellnamen stehen im Bericht selbst, die Pressemitteilung vom 19. Oktober 2026 nennt keine.
Geprüft wurden die damaligen Firmware- und App-Stände. Quellcode und Cloud-Backends der Hersteller gehörten laut Bericht nicht dazu. Das ist eine Testgrenze: Was dort geschieht, sagt die Untersuchung nicht. Drei Geräte sind zudem eine kleine Stichprobe, sie erlaubt keine Aussage über alle Kinder-Smartwatches auf dem Markt.
Nach der Untersuchung informierte das BSI die Hersteller. Laut Bericht arbeiteten sie an der Behebung. Auch heise online berichtet über die Ergebnisse des Berichts.
Die vier zentralen Ergebnisse
Der Bericht hält vier Punkte fest. Erstens war bei keinem Produkt die sichere Standardkonfiguration vollständig umgesetzt. Zweitens übermittelten zwei der drei Uhren Daten teilweise unverschlüsselt, sensible Informationen sind damit laut Bericht „grundsätzlich einem erhöhten Risiko ausgesetzt“.
Drittens zeigten alle drei Defizite bei der sicheren Außerbetriebnahme, also beim Löschen von Daten und beim Zurücksetzen. Viertens gab nur bei einem Produkt der Hersteller an, wie lange Sicherheitsupdates kommen. Genauer: Garmin nennt auf seiner Webseite mindestens zwei Jahre ab Erstverkauf, Imoo nannte für das Z3 auf Nachfrage den 1. September 2027.
Unverschlüsselte Übertragung: ein Modell offen, eines behoben
Bei der One2Track Connect Neo war die Kommunikation zwischen Begleit-App und Video-Streaming-Backend für Videoanrufe unverschlüsselt. Dieser Befund ist laut Bericht nicht behoben. Der Hersteller bestätigte ihn, prüft die Zahl aktiver Nutzender und erwägt den Austausch des Modells.
Bei der Imoo Z3 gingen Chat-Nachrichten samt Bildern und Videos sowie Informationen zu nahen WLAN-Zugangspunkten im Klartext über die Leitung. Aus den WLAN-Informationen ließ sich der Standort eingrenzen. Dieser Mangel ist laut Bericht behoben. Für die Garmin Bounce traf der Bericht in diesem Punkt keine Feststellungen.
Wer solche Daten mitlesen wollte, bräuchte Zugriff auf den Netzverkehr. Das ist eine Voraussetzung, keine Entwarnung: In fremden oder offenen Netzen ist sie leichter erfüllt, unsichere WLANs sind ohnehin ein eigenes Risiko. Eine tatsächliche Ausnutzung der Schwachstellen belegen weder Bericht noch Pressemitteilung.
Standardkonfiguration: Was Kinder an den Uhren selbst ändern können
Bei der Garmin Bounce kann das Kind die Uhr ohne Zustimmung auf Werkseinstellungen zurücksetzen und so die Kindersicherung aufheben. Eltern werden darüber nicht informiert. Garmin gibt an, dass die Uhr danach keine Nachrichten empfängt und nicht ortbar ist, bis sie wieder mit dem Konto des aktiven LTE-Vertrags verbunden wird. Das ist eine Herstellerangabe.
Bei der Imoo Z3 geht es nicht um das Zurücksetzen. Hier hat das Kind ab Werk weitgehenden Zugriff auf Einstellungen, etwa um sich mit unsicheren WLANs zu verbinden oder beliebige Nummern anzurufen. Für ein Schnellmenü fand das BSI keine Elternkontrolle. Der Hersteller beabsichtigt Maßnahmen. Laut Bericht soll sich eine Kinder-Smartwatch nicht mit ungesicherten oder unbekannten WLANs verbinden.
Bei der Connect Neo war die Anrufsperre für unbekannte Nummern ab Werk aktiv, nach einem Zurücksetzen aber abgeschaltet. Auch das ist laut Bericht behoben.
Was Eltern in der App prüfen sollten
Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptParent sitting on a sofa checking settings in a plain smartphone app next to a child wearing a smartwatch, cozy living room, warm light. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.Die Pressemitteilung des BSI nennt eine Checkliste, deren Punkte sich auf die App übertragen lassen. Zum Konto heißt es: „Im Idealfall steht dafür eine Zwei-Faktor-Authentisierung zur Verfügung. Zwingend ist ein starkes Passwort.“ Der Bericht ergänzt, Passwörter sollten stark und einzigartig sein.
- Festlegen, wer anrufen und schreiben darf; laut Bericht sollen nur ausgewählte Kontakte anrufen dürfen.
- Eine Tastensperre nutzen, damit bei Verlust oder Diebstahl niemand die Inhalte einsehen kann.
- Ortung, Bewegungsmuster und Kamera einzeln abschalten können und sie, so das BSI, „wenn überhaupt, nur bei Bedarf“ aktivieren.
Eine Einschränkung gilt für alle drei Punkte: Sie helfen nur, wenn die Uhr die Funktion überhaupt anbietet. Das BSI empfiehlt deshalb, schon vor dem Kauf auf diese Einstellmöglichkeiten zu achten und die Erfahrungen von Fachleuten, Verbraucherschutzverbänden und unabhängigen Prüfinstituten heranzuziehen.
Der Bericht rät außerdem, Standort- und Kommunikationsfunktionen altersgerecht und bewusst einzusetzen, auch mit Blick auf die Privatsphäre des Kindes. Zum Umgang von Kindern mit digitalen Diensten allgemein gibt es eine politische Debatte um Altersgrenzen, die diese Frage ergänzt.
Lars Bartsch, Referatsleiter Technischer Verbraucherschutz im BSI, sagt in der Pressemitteilung: „Dafür müssen allen voran die Hersteller und dann auch die Eltern bzw. Erziehungsberechtigten an einem Strang ziehen: Nur wer weiß, worauf bei Kauf, Einrichtung und alltäglicher Nutzung einer Kinder-Smartwatch zu achten ist, kann Risiken adäquat einschätzen und reduzieren.“
Updates: Wie lange bleibt eine Uhr sicher?
Die Pressemitteilung ist hier deutlich: „Erhält eine Smartwatch keine Updates mehr, sollte sie nicht länger genutzt werden.“ Die drei Uhren zeigen, wie unterschiedlich die Lage ist.
Die Connect Neo kann laut Bericht keine Sicherheitsupdates empfangen. Der Hersteller bezeichnet sie als End of Life, ein Update wäre nur über den Austausch des Flash-Speichers möglich. Eine Angabe zum Supportzeitraum fand das BSI nicht. Zum Testzeitpunkt war das Modell im Abverkauf, inzwischen ist es laut Bericht nur noch vereinzelt gebraucht erhältlich.
Die Garmin Bounce ist seit November 2022 in Deutschland am Markt. Der von Garmin genannte Mindestzeitraum von zwei Jahren ab Erstverkauf ist damit abgelaufen. Darüber hinaus gibt es laut Garmin Updates „bei Bedarf“. Bei der Imoo Z3 nennt die Webseite mindestens ein Jahr ab Kauf, auf Nachfrage nannte der Hersteller den 1. September 2027.
Die Zeiträume lassen sich nicht sinnvoll gegeneinander aufrechnen, weil sie auf unterschiedlichen Bezugspunkten beruhen (Erstverkauf, Kaufdatum, festes Datum). Der Bericht rät daher, den Updatezeitraum auch nach Verkaufsende zu erfragen. Wie solche Zusagen bei anderen Geräten aussehen, zeigt die Diskussion um Update-Zusagen bei Smartwatches.
Weitergabe und Entsorgung: Daten bleiben teils zurück
Alle drei Uhren hatten Defizite bei der Außerbetriebnahme. Bei der Connect Neo verblieben nach der Kontolöschung Daten auf der Uhr beziehungsweise in der App, das ist behoben.
Bei der Garmin Bounce bleiben laut BSI-Bericht nach dem Löschen des Familienkontos Daten wie der Name des Kindes und Nachrichten auf der Uhr. Ein Reset wird erst beim Koppeln mit einem neuen Konto verlangt, und der Löschdialog zeigt eine Fehlermeldung statt einer Bestätigung. Garmin bestätigte den Befund und prüft zusätzliche Schutzmaßnahmen.
Bei der Imoo Z3 konnten Vorbesitzende unter bestimmten Voraussetzungen nach dem Zurücksetzen Zugriff behalten, Ursache war ein Mangel bei der Kopplung. Das ist teilweise behoben, weitere Korrekturen sind beabsichtigt. Der Bericht rät, vor Weitergabe oder Entsorgung zu prüfen, ob die Daten sicher gelöscht und die Werkseinstellungen hergestellt werden.
dm-Einordnung: Wer eine Uhr weitergibt, sollte das Konto löschen, die Uhr zurücksetzen und beides nicht für erledigt halten, solange die App keine eindeutige Bestätigung zeigt. Das ist keine Aussage des BSI, sondern eine Schlussfolgerung aus den beschriebenen Befunden.
Was sich rechtlich ändern soll
Der Bericht verweist auf den Cyber Resilience Act der EU. Laut Bericht gelten ab dem 11. Dezember 2027 alle seine Anforderungen. Das ist ein Ausblick und keine geltende Pflicht für Hersteller (Stand 20. Oktober 2026). Für Uhren, die Kinder bereits tragen, ändert sich dadurch zunächst nichts.
Der Bericht nennt keine Firmware-Versionen nach den Korrekturen, und er gibt keine Kaufempfehlung. Bei der Connect Neo ist laut Bericht die Videoübertragung nicht behoben, der Hersteller erwägt den Austausch des Modells; zudem ist das Gerät laut Hersteller End of Life. Das BSI schreibt in der Pressemitteilung: „Erhält eine Smartwatch keine Updates mehr, sollte sie nicht länger genutzt werden.“
