Woran denken Sie, wenn Sie das Wort Abhöranlage hören? Vermutlich an Satellitenschüsseln und Richtmikrofone, an Serverräume und Spione, die mit Kopfhörern in dunklen Räumen sitzen, um Nachrichten abzufangen. Woran Sie wahrscheinlich nicht denken ist eine blonde, blauäugige Puppe namens Cayla, die inzwischen in zahlreichen Kinderzimmern zu finden ist.

Doch genau diese Puppe könnte eine "versteckte, sendefähige Anlage" sein, sagt die Bundesnetzagentur. In den vergangenen Wochen hat die Behörde deshalb verschiedene Verkaufsstellen aufgefordert, Cayla aus dem Angebot zu nehmen. Wer sie bereits besitzt, soll sie vernichten oder professionell entsorgen. Weil der Besitz einer solchen Anlage strafbar ist, soll idealerweise der entsprechende "Vernichtungsnachweis" einer "Abfallwirtschaftsstation" an die Bundesnetzagentur geschickt werden. So können die Käufer nachweisen, dass sie nicht mehr im Besitz des Produkts sind.

My Friend Cayla ist ein Produkt des britischen Spielzeugherstellers Genesis und wird von der Firma Vivid vertrieben. Es ist ein Smart Toy, also ein Spielzeug, das sich mit dem Internet verbinden kann. Die Puppe verfügt über ein Mikrofon und einen Lautsprecher und kommuniziert über Bluetooth mit einer Smartphone-App. Leuchtet ihre Halskette, ist die Puppe online und Kinder können Fragen stellen, die Cayla anschließend versucht zu beantworten.

Die Wanze im Kinderzimmer

Bereits im Dezember warnten europäische Verbraucherschützer vor Cayla und ähnlichen Produkten. "Die mit dem Internet verbundenen Spielzeuge My Friend Cayla und i-Que [ein weiteres Produkt des Herstellers, Anm. d. Red.] scheitern grundsätzlich in Sachen Sicherheit und Datenschutz", schrieb die Verbraucherschutzorganisation Beuc. So würden die aufgenommenen Spracheingaben nicht nur auf externen Servern gespeichert und zu Werbezwecken genutzt. Es sei denkbar, dass sich Unbefugte Zugriff auf die Mikrofone der Spielzeuge verschaffen.

Das fand unter anderem eine Untersuchung der norwegischen Verbraucherschutzbehörde Forbrukerrådet heraus. In der Regel benötigt das erstmalige Verknüpfen zweier Bluetooth-Geräte (also etwa das Smartphone mit der Puppe) die Eingabe eines Sicherheitscodes. Im Fall von Cayla gibt es diese Überprüfung nicht. Jeder, der im Empfangsbereich der Puppe ist, kann sich somit über die App mit der Puppe verbinden. Anschließend sei es mit einem einfachen Trick möglich, das Mikrofon zu aktivieren – die Puppe würde somit zu einer Wanze werden, schrieben die Tester.

Zu einem ähnlichen Ergebnis kam der Jura-Student Stefan Hessel von der Universität Saarbrücken in einem Rechtsgutachten, wie die Saarbrücker Zeitung am Donnerstag berichtete. "Die Puppe vermittelt für sich genommen den Eindruck, dass es sich um ein gewöhnliches Kinderspielzeug ohne technische Funktion handelt", sagt Hessel. Tatsächlich sei es aber möglich, auf das Mikrofon zuzugreifen, ohne dass die Puppe dies mit ihrem leuchtenden Schmuck anzeigt.

Eine verbotene Sendeanlage?

Hessel wollte wissen, ob es sich bei Cayla um eine nach § 90 Telekommunikationsgesetz (TKG) verbotene Sendeanlage handelt. Diese würde "ihrer Form nach einen anderen Gegenstand vortäuschen" oder als ein "Gegenstand des täglichen Gebrauchs" getarnt sein. Die Einführung, der Besitz und die Verbreitung einer solchen Sendeanlage ist in Deutschland verboten.

Laut Hessels Gutachten erfüllt Cayla die Voraussetzungen. Weil die Übertragung per Funk stattfindet, sei sie eine Sendeanlage. Weil es für Dritte nicht ohne Weiteres erkenntlich ist, dass in ihrem Inneren ein Mikrofon steckt, liege eine Tarnung vor. Zudem sei sie zum heimlichen Abhören geeignet, auch wenn Hessel darauf hinweist, dass die Frage nach der Zweckbestimmtheit einen gewissen Interpretationsspielraum lässt.

Hessel legte seine Ergebnisse der Bundesnetzagentur vor. "Von dort bekam ich Rückmeldung, dass man meine Auffassung teilt, und die Puppe verboten ist", sagt der Student. Bereits am 24. Januar sagte Jochen Homann, Präsident der Bundesnetzagentur: "Wer die sprechende Puppe Cayla kennt, weiß, dass diese Form der Alltagsspionage schon in die Kinderzimmer vorgedrungen ist." Man wolle Cayla deshalb "aus dem Verkehr ziehen". Oder eben die Besitzer bitten, die Puppe zu zerstören.

Der Hersteller wehrt sich

Der Hersteller Vivid widerspricht der Auffassung in einer Stellungnahme gegenüber dem IT-Portal golem.de: "My Friend Cayla verstößt in keiner Weise gegen Paragraph 90 TKG. Der verlangt, wie auch die Gesetzesbegründung klarstellt, für einen Verstoß neben anderen Voraussetzungen ausdrücklich, dass das betreffende Gerät in besonderer Weise dazu bestimmt ist, das nichtöffentlich gesprochene Wort unbemerkt abzuhören". Dies sei im Fall der Puppe nicht gegeben, die Auffassung der Bundesnetzagentur sei somit nicht haltbar. Es gebe keinen Grund, die Puppe zu zerstören weil es sich nicht um ein "Spionagegerät" handelt. Vivid will die Fragestellung zudem noch einmal "gerichtlich prüfen lassen".