Nachdem die Bundesnetzagentur erst vorletzte Woche die sprechende Spielzeugpuppe Cayla vom deutschen Markt genommen hat, demonstriert nun ein neuer Fall in den USA erneut die Gefahren von vernetztem Kinderspielzeug. Der Anbieter der sogenannten Cloudpets hat einem Bericht des Onlinemagazins "Motherboard" zufolge  seine Kundendatenbank mit mehr als 800.000 Accounts praktisch ungeschützt ins Netz gestellt. Hacker hätten sich darüber auch Zugriff auf Sprachnachrichten verschaffen können.

Die Cloudpets sind vernetzte Kuscheltiere, Kinder können über sie mit Familienangehörigen oder Freunden Nachrichten austauschen. Dafür sprechen sie ihre Botschaften direkt in das im Stofftier integrierte Mikrofon. Eltern, Verwandte oder Freunde können mithilfe der zugehörigen App den Kindern Nachrichten schicken. Diese werden per Bluetooth von einem Smartphone oder Tablet an das Spielzeug weitergeleitet. Die entsprechenden Sounddateien sind auf einem Webserver abgelegt.

Cloudpets-Werbevideo:

Auf einem anderen Server, der öffentlich zugänglich war, haben offenbar die Kundendaten des Herstellers gelegen. Sie waren laut "Motherboard" mindestens von Weihnachten 2016 bis in die erste Januarwoche 2017 hinein einsehbar. Neben Benutzernamen und E-Mail-Adressen soll die Datenbank auch verschlüsselte Passwörter enthalten haben.

Einen Hinweis auf die offene Datenbank hatte der Sicherheitsexperte Troy Hunt bekommen, der Ende 2015 auch schon das Sicherheitsleck beim Spielzeughersteller VTech analysiert hatte. Das System sei ohne Authentifizierung zugänglich gewesen, berichtet Hunt in seinem Blog . Demnach sei die Datenbank von einer Suchmaschine indiziert worden und somit praktisch für jedermann auffindbar gewesen.

Mangelhafte Passwortpolitik

Hunt zufolge waren die Passwörter der Nutzer mit einem modernen Verfahren geschützt, doch die Passwortpolitik von Cloudpets ließ offenbar zu wünschen übrig. So soll es möglich gewesen sein, ein Passwort zu vergeben, das nur ein Zeichen lang ist. In einem Demovideo des Cloudpets-Herstellers etwa wurde das Passwort "qwe" vergeben.

Hunt machte sich daher auf die Suche und probierte einige der gebräuchlichsten Passwörter wie "123456", "password" und "abc123" aus. Damit und mit "qwe" und "cloudpets" landete Hunt in sehr kurzer Zeit einige Treffer. Mithilfe der Passwörter konnte Hunt schließlich auch auf die Textnachrichten zugreifen, die auf einem Amazon-Server lagen.

Laut Hunt und "Motherboard" hat sich der Cloudpets-Hersteller auch nach mehrmaligen Kontaktversuchen nicht zu dem Fall geäußert. Auch Versuche, die Muttergesellschaft Spiral Toys zu erreichen, seien demnach erfolglos geblieben. "Motherboard" war eigenen Angaben zufolge noch von einer weiteren Seite auf die Sicherheitslücke aufmerksam gemacht worden.

Troy Hunt berichtet noch, dass der Spielzeughersteller abgesehen von der gravierenden Sicherheitslücke ein weiteres Problem habe: Demnach soll die ganze Datenbank Anfang Januar von Kriminellen verschlüsselt worden sein. Anschließend hätten sie Lösegeld von den Betreibern gefordert.