Das Verbot der spionierenden Puppe „Cayla“ könnte nicht deutscher laufen

Eltern, die ihren Kindern gerne einmal den sprichwörtlichen Hals umdrehen würden, können ab sofort bei ihren Puppen anfangen. Müssen sie sogar, wenn es sich bei der Puppe um die blonde, blauäugige „My Friend Cayla" handelt. Der Bundesnetzagentur zufolge ist diese nämlich als „versteckte, sendefähige Anlage" einzuordnen, und damit illegal, wie die Behörde am Freitag auf den Tipp eines Jurastudenten hin entschied. Laut der Behörde reicht es nicht, wenn Eltern ihren Kindern die Puppe wegnehmen, oder die Batterien entfernen; das Smart Toy muss eigenhändig vernichtet werden. Ob das durch Hämmern, Zerbrechen oder Hacken geschehen soll, wurde nicht vorgeschrieben. Hauptsache, Cayla ist kaputt, denn verbotene Sendeanlagen dürfen weder hergestellt, verkauft oder gekauft werden. Die Zerstörung soll, wenn möglich, durch Fotos dokumentiert werden, die Käufer mit dem zugehörigen „Vernichtungsnachweis" an die Bundesnetzagentur schicken sollen. „Keinesfalls sollten Käufer aber die Gegenstände an ihren Verkäufer zurücksenden", heißt es auf der Homepage.

Die Mädchenpuppe des Spielzeugherstellers Vivid funktioniert als sprachgesteuerter und mit dem Internet verbundener Assistent ähnlich wie Google Home oder Amazon Echo, nur für Kinder eben: „Was essen Pandabären?"—„Pandas essen meistens Bambus…", antwortet Cayla, nachdem sie sich im Internet informiert hat. Gesteuert wird das Spielzeug über eine Smartphone-App. Wenn das eingebaute Mikrofon aktiv wird, leuchtet Caylas Halsband bunt auf. Das Problem dabei: Das Leuchtsignal lässt sich per Smartphone leicht ausschalten, und neue Nutzer wissen womöglich gar nichts von der Abhörfunktion. Weil das Mikrofon jederzeit aktiv ist, ist die Puppe auch eine perfekt getarnte Wanze, die Kinder oder auch jeden anderen in ihrer Nähe ausspionieren kann.

Doch das ist noch nicht mal das Bedenklichste an Cayla, wie Verbraucherschützer bereits seit einiger Zeit bemängeln. Die norwegische Behörde Forbrukerrådet etwa warnt in ihrem Report #Toyfail, dass jeder Smartphone-Nutzer im Bluetooth-Empfangsbereich von Cayla die Puppe steuern und abhören kann, ohne zusätzliche Sicherheitsprüfung.

Was man noch so alles mit Bluetooth anstellen kann: Ich habe Menschen in Berlin-Mitte mit Sascha Lobo-Einhörnern getrollt

Die Bundesnetzagentur bestätigt diese Einschätzung auf Motherboard-Anfrage. Käufer der Puppe seien demnach verpflichtet, die Mikrofonfunktion von Cayla und vergleichbaren Spielzeugen eigenverantwortlich zu vernichten. Jedoch habe die Agentur bislang lediglich Einzelhändler aufgefordert, den Verkauf zu stoppen. Käufer seien nicht einzeln zur Vernichtung angeschrieben worden, somit ist ein Zerstörungs-Nachweis auch nicht zwingend erforderlich.

Dass Verbraucher ihre Konsumprodukte selbst und ohne Anspruch auf Erstattung zerstören müssen, ist übrigens keine Seltenheit. Gerade bei „Spionagegeräten" komme dies häufiger vor, teilt uns die Bundesnetzagentur mit—Rauchmelder mit versteckter Wifi-Kamera zum Beispiel fallen auch darunter. Wer nicht bar bezahlt hat, dessen Käuferdaten für die Vernichtungsaufforderung kann die Bundesnetzagentur gemäß § 90 des Telekommunikationsgesetzes von den Verkäufern einfordern.

Kritik gibt es auch am Konkurrenzprodukt „Hello Barbie" vom Hersteller Mattel. Dieses scheint jedoch gesetzlich weniger angreifbar zu sein, da die Barbie nur auf Knopfdruck zum Gespräch bereit ist, und nicht potenziell jederzeit aufnimmt. Allerdings spioniert die Hello Barbie auf Wunsch ganz legal für Eltern: Die bekommen nämlich einmal pro Woche eine Audiodatei von Mattel zugeschickt—mit einer Daten-Zusammenfassung von allem, was ihre Kinder der Puppe in den vergangenen Tagen so anvertraut haben.

Neben möglichen Spionageanwendungen stellt sich bei Cayla noch eine zusätzliche Frage: Was will der Anbieter mit den abertausenden Kinderstimmen, die er auf seinen US-Servern speichert? Nuance Technologies liefert dem Puppenhersteller die entsprechende Software für die Stimmerkennung—und speichert nebenbei alles, was Cayla aufnimmt. Schon im Dezember 2016 machten US-Verbraucherschützer darauf aufmerksam.

Der auf der Homepage prominent platzierte Button „Wo kann man Cayla kaufen?" führt mittlerweile ins Leere, Anfragen von Motherboard ließ Vivid bislang unbeantwortet. Dem IT-Blog golem.de schrieb das Unternehmen: „My Friend Cayla verstößt in keiner Weise gegen Paragraph 90 TKG. Der verlangt (…) für einen Verstoß ausdrücklich, dass das betreffende Gerät in besonderer Weise dazu bestimmt ist, das nichtöffentlich gesprochene Wort unbemerkt abzuhören." Vivid widerspricht also der Auffassung der Bundesnetzagentur, ohne konkrete Argumente zu liefern, will die Lage aber trotzdem „gerichtlich prüfen lassen".

Der entsprechende Paragraph 90 im Telekommunikationsgesetzt räumt den Gesetzeshütern also weitreichende Kontrollbefugnisse ein, die bis zum Nachweis der Zerstörung von persönlichem Eigentum gehen. Auch weitere Wifi-Spielzeuge will die Bundesnetzagentur nun überprüfen. Dass maskierte Sonderkommandos in Deutschlands Kinderzimmer einmarschieren und kaputte Puppen checken, ist jedoch vorerst nicht zu erwarten.