Wer seinem Kind eine Smartwatch statt eines Handys kauft, erwartet vor allem eines: mehr Sicherheit. Eine neue Untersuchung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigt, dass genau das nicht automatisch gegeben ist. Am 19. Oktober 2026 hat die Bonner Behörde ihren Bericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Kinder-Smartwatches“ vorgelegt. Das Ergebnis: Bei keinem der drei geprüften Modelle war die Werkseinstellung rundum sicher.
Untersucht wurden die Connect Neo von One2Track, die Garmin Bounce und die Imoo Z3, jeweils zusammen mit der passenden Android-App für Eltern. Die Auswahl stammt aus einer Marktanalyse von Anfang 2026, in der das BSI 40 in Deutschland erhältliche Kinder-Smartwatches erfasst hat. Aus drei Preisklassen wurde je ein Gerät per Zufall gezogen.
Was hat das BSI bei den einzelnen Uhren gefunden?
Die Befunde unterscheiden sich je nach Modell deutlich:
- Connect Neo (One2Track, Niederlande): Die Verbindung zwischen Eltern-App und dem Server für Videoanrufe lief unverschlüsselt. Nach einem Zurücksetzen war die Sperre für unbekannte Rufnummern abgeschaltet, sodass beliebige Nummern das Kind anrufen konnten. Zudem ließen sich gespeicherte Daten über ein modifiziertes USB-Kabel auslesen. Das Modell wird nicht mehr verkauft und kann laut Bericht keine Firmware-Updates empfangen.
- Garmin Bounce (Garmin, USA): Bei der Verschlüsselung fand das BSI keine Mängel, und als einziges Modell bot sie eine Mehr-Faktor-Anmeldung. Ein Kind kann die Uhr aber ohne Wissen der Eltern auf Werkseinstellungen zurücksetzen und damit die Kindersicherung aushebeln. Nach dem Löschen des Familienkontos blieben unter anderem Name des Kindes und Nachrichten auf der Uhr gespeichert.
- Imoo Z3 (Imoo, China): Hier wog der Datenverkehr am schwersten. Chatnachrichten samt Bildern und Videos gingen im Klartext über HTTP, ebenso Informationen über WLAN-Zugangspunkte in der Nähe. Daraus lässt sich der Aufenthaltsort des Kindes eingrenzen. Außerdem hatte das Kind vollen Zugriff auf die Einstellungen und hätte sich etwa mit einem ungesicherten WLAN verbinden können.
Allen drei Geräten gemeinsam ist eine Schwäche bei der sogenannten Außerbetriebnahme: Wer die Uhr weiterverkauft oder verschenkt, kann nicht sicher sein, dass wirklich alle persönlichen Daten entfernt sind. Bei der Imoo Z3 hätte ein Vorbesitzer unter Umständen sogar wieder Zugriff auf eine neue Familiengruppe erlangen können, weil der feste Kopplungscode auch nach dem Zurücksetzen gleich bleibt.
Wie lange gibt es Sicherheitsupdates?
Einen der deutlichsten Kritikpunkte sieht das BSI bei der Update-Versorgung. Laut Pressemitteilung nannte nur bei einem der drei Produkte der Hersteller, wie lange Sicherheitsupdates kommen. Der Bericht schlüsselt die Lage so auf:
| Modell | Update-Zusage laut BSI-Bericht |
|---|---|
| Connect Neo | Keine Angabe gefunden; Hersteller bezeichnet das Modell als End of Life |
| Garmin Bounce | Mindestens zwei Jahre ab erstem Verkauf; Marktstart in Deutschland November 2022, Zeitraum damit abgelaufen |
| Imoo Z3 | Laut Hersteller Updates bis 1. September 2027 |
Garmin erklärte gegenüber dem BSI, die zwei Jahre seien eine Mindestzusage; bei Bedarf gebe es auch danach Updates. Für Eltern bleibt das trotzdem schwer planbar.
Haben die Hersteller reagiert?
Ja. Das BSI hat allen drei Herstellern ausführliche Prüfberichte geschickt, und laut Bericht haben alle kooperiert. Imoo hat die unverschlüsselte Übertragung inzwischen behoben, One2Track die Lücken bei der Anrufsperre und bei der Kontolöschung. Garmin kündigte an, den USB-Zugriff mit dem nächsten Software-Update abzuschalten, und verweist auf einen zusätzlichen Kommunikationsschutz ab Version 13.02. Andere Punkte prüfen die Hersteller noch. Wichtig: Die Ergebnisse beziehen sich auf die getesteten Software-Stände, spätere Korrekturen hat das BSI nicht erneut geprüft.
„Kinder-Smartwatches werden in der Erwartung gekauft, Kindern eine altersgemäße digitale Teilhabe und Eltern ein Gefühl der Sicherheit zu vermitteln“, sagt Lars Bartsch, Referatsleiter Technischer Verbraucherschutz beim BSI. Gefordert seien vor allem die Hersteller.
Was sollten Eltern jetzt tun?
Aus den Empfehlungen des BSI lässt sich eine kurze Checkliste ableiten:
- Vor dem Kauf nach dem Update-Zeitraum fragen. Bekommt eine Uhr keine Sicherheitsupdates mehr, sollte sie nicht weiter genutzt werden. Vorsicht bei Restposten und Abverkaufsmodellen.
- Konto absichern: ein starkes, einzigartiges Passwort und, wenn vorhanden, Zwei-Faktor-Anmeldung.
- Kontakte begrenzen: nur freigegebene Nummern dürfen anrufen und schreiben (Positivliste).
- Funktionen sparsam einschalten: Ortung, Kamera und Bewegungsprofile nur aktivieren, wenn sie wirklich gebraucht werden. Eine Tastensperre schützt bei Verlust.
- Vor dem Weiterverkauf gründlich löschen: Konto in der App entfernen und die Uhr zusätzlich auf Werkseinstellungen zurücksetzen.
Wie Sie Bildschirmzeit und Jugendschutz auf Smartphone und Tablet einrichten, erklärt unser Ratgeber zur Kindersicherung mit Bildschirmzeit und Family Link. Allgemeine Tipps für sichere Grundeinstellungen finden Sie in unserem Überblick zu den wichtigsten Datenschutz-Schaltern am Smartphone.
Hintergrund: Was ändert der Cyber Resilience Act?
Kinder-Smartwatches sind verbreitet: Das BSI zitiert eine Bitkom-Umfrage, nach der 15 Prozent der 6- bis 9-Jährigen eine Smartwatch besitzen. Die Untersuchung ist Teil einer Reihe, in der das BSI seit 2021 einzelne Produktgruppen unter die Lupe nimmt, darunter Passwortmanager und smarte Heizkörperthermostate.
Rechtlich wird es strenger. Ab dem 11. Dezember 2027 gelten in der EU alle Anforderungen des Cyber Resilience Act (CRA). Hersteller vernetzter Produkte müssen dann Sicherheitslücken über den gesamten Supportzeitraum beheben und diesen Zeitraum offenlegen; in der Regel sind es fünf Jahre. Kinder-Smartwatches gelten dabei laut BSI als „wichtige“ Produkte der Klasse 1. Wie schnell schwache Standardeinstellungen bei vernetzten Geräten zum Problem werden, zeigte zuletzt auch die Sungrow-Lücke bei Solar-Wechselrichtern.
Häufige Fragen
Welche Kinder-Smartwatches hat das BSI untersucht?
Die Connect Neo von One2Track, die Garmin Bounce und die Imoo Z3, jeweils mit der dazugehörigen Android-App. Sie stammen aus drei unterschiedlichen Preissegmenten.
Ist eine der Uhren uneingeschränkt empfehlenswert?
Das BSI spricht keine Kaufempfehlung aus. Bei allen drei Modellen fand die Behörde Mängel, vor allem bei der Standardkonfiguration und beim Löschen der Daten.
Sind die Lücken inzwischen geschlossen?
Teilweise. Imoo hat die unverschlüsselte Übertragung nach Angaben des BSI behoben, One2Track einzelne Punkte ebenfalls. Andere Mängel prüfen die Hersteller noch oder wollen sie mit kommenden Updates beheben.
Wo finde ich den vollständigen Bericht?
Der Bericht steht als PDF auf der Website des BSI. Dort gibt es auch eine Infoseite mit Tipps für Eltern zu Kinder-Smartwatches.
Titelbild: Anna Frodesiak, Wikimedia Commons (CC0). Das abgebildete Modell gehört nicht zu den vom BSI untersuchten Geräten.
