Saarbrücker Jura-Student: Internetfähige Puppe könnte in Deutschland gesetzlich verbotene Sendeanlage sein

Mit einem Rechtsgutachten hat Stefan Hessel aus dem Team des Rechtsinformatikers Christoph Sorge von der Universität des Saarlandes darauf hingewiesen, dass die internetfähige Puppe „My friend Cayla“ eine nach § 90 Telekommunikationsgesetz (TKG) verbotene Sendeanlage sein könnte. Damit wären Besitz, Herstellung, Vertrieb und Einführung der Puppe per Gesetz in Deutschland verboten. Die zuständige Bundesnetzagentur, die der Jura-Student über sein Ergebnis informierte, teilt diese Auffassung im Wesentlichen. Stefan Hessel, der sich an der Saar-Uni bereits im Studium auf IT-Recht und Rechtsinformatik spezialisiert hat, veröffentlichte sein Rechtsgutachten in der Fachzeitschrift „JurPC“: DOI 10.7328/jurpcb201732113
http://www.jurpc.de/jurpc/show?id=20170013

„Fantastisch, was sie alles weiß“ – Damit wirbt die Internetseite von „My friend Cayla“ für die gleichnamige vernetzte Puppe. Über ein mit Bluetooth gekoppeltes Smartphone, auf dem eine zugehörige App läuft, ist „Cayla“ mit dem weltweiten Netz verbunden. Gesprächspartner können ihr Fragen stellen und mit ihr reden. Dank bluetoothfähigem Mikrofon und Lautsprecher antwortet die Puppe mit Informationen aus dem Internet. Der Bundesverband des Spielwaren-Einzelhandes zeichnete sie 2014 als „Top 10 Spielzeug des Jahres“ aus. Bei Verbraucherschützern ist „My friend Cayla“ wegen Sicherheitslücken und Datenschutzfragen schon seit längerem umstritten, so machte etwa der norwegische Verbraucherrat kürzlich auf die Puppe aufmerksam.

Nach Ansicht von Stefan Hessel, studentischer Mitarbeiter des IT- Sicherheitsexperten Professor Christoph Sorge, handelt es sich bei dem Spielzeug um eine getarnte Sendeanlage, die auch zum heimlichen Abhören von Gesprächen geeignet ist. Der Jura-Student, der an der Saar-Uni einen Schwerpunkt in IT-Recht und Rechtsinformatik gesetzt hat, kommt in einem Rechtsgutachten zum Ergebnis, dass die Puppe in Deutschland unter das Verbot des §90 Telekommunikationsgesetz fällt und verweist dabei insbesondere auch auf den Schutz der Privatsphäre des Bürgers und das erhebliche Missbrauchspotenzial der Puppe.

„Es sprechen entscheidende Gründe dafür, dass die Puppe eine verbotene Sendeanlage im Sinne des § 90 Telekommunikationsgesetz ist. Jedes bluetoothfähige Gerät in Reichweite von etwa zehn Metern kann eine Verbindung zu ihr aufbauen und Lautsprecher und Mikrofon nutzen. In einem Versuch hatte ich auch über mehrere Wände hindurch auf die Puppe Zugriff. Es fehlt an eingebauten Sicherungen“, erklärt Stefan Hessel. Also könne die Puppe auch gezielt eingesetzt werden, um jemanden auszuspionieren oder sich mithilfe des Mikrofons selbst aktiv ins Gespräch einzuschalten. Nach § 90 Telekommunikationsgesetz ist es in Deutschland verboten, Sendeanlagen zu besitzen, herzustellen, zu vertreiben oder einzuführen, „die ihrer Form nach einen anderen Gegenstand vortäuschen oder die mit Gegenständen des täglichen Gebrauchs verkleidet sind und auf Grund dieser Umstände oder auf Grund ihrer Funktionsweise in besonderer Weise geeignet und dazu bestimmt sind, das nicht öffentlich gesprochene Wort eines anderen von diesem unbemerkt abzuhören oder das Bild eines anderen von diesem unbemerkt aufzunehmen“.

Die Technik verbirgt die Puppe in ihrem Innern, Kleider verdecken den Lautsprecher. „Die Puppe vermittelt für sich genommen den Eindruck, dass es sich um ein gewöhnliches Kinderspielzeug ohne technische Funktion handelt“, sagt Hessel, der sich schon im Studium mit technischen und juristischen Aspekten der IT-Sicherheit und des Datenschutzes befasst. Zwar soll die Halskette der Puppe leuchten, wenn das Mikrofon eingeschaltet ist. „Zum einen funktioniert dieses Signal nach Herstellerangabe bei einigen Android-Geräten nicht, so dass die Halskette trotz eingeschaltetem Mikrofon nicht leuchtet. Zum anderen kann das Leuchten mittels der App ausgeschaltet werden. Aus technischer Sicht ist es also möglich, auf das Mikrofon zuzugreifen, ohne dass dies angezeigt wird. Außerdem hat das Leuchten nur für eingeweihte Personen eine Warnfunktion. Nur weil eine Kette an einer Puppe leuchtet, rechnet man nicht mit einem eingeschalteten Mikrofon“, sagt Stefan Hessel.

Mit seinem Gutachten wandte sich Hessel an die zuständige Bundesnetzagentur. „Von dort bekam ich Rückmeldung, dass man meine Auffassung teilt, und die Puppe verboten ist.“
Stefan Hessel studiert an der Saar-Uni Jura. Er spezialisierte sich schon früh im Studienschwerpunkt „IT-Recht und Rechtsinformatik“ und absolvierte auf diesem Gebiet bereits einen Teil des juristischen Staatsexamens. Als studentischer Mitarbeiter arbeitet er an der juris-Stiftungsprofessur für Rechtsinformatik von Professor Christoph Sorge am Kompetenzzentrum für IT-Sicherheit CISPA sowie am Institut für Rechtsinformatik.

Hintergrund:

Schon Jura-Studenten können sich an der Saar-Uni früh auf IT-Recht spezialisieren
Der Studienschwerpunkt „IT-Recht und Rechtsinformatik“ bietet eine der deutschlandweit seltenen fundierten Ausbildungen auf diesem Gebiet an. Jura-Studentinnen und -Studenten, die sich für IT, Internet und Technik interessieren, können sich an der Universität des Saarlandes früh hierauf spezialisieren. Das Schwerpunkt-Angebot kann im Rahmen des Jura-Studiums in zwei Semestern absolviert werden. Das Komplett-Angebot der Rechtswissenschaft und des Instituts für Rechtsinformatik der Saar-Universität zum IT-Recht reicht vom ersten Semester bis hin zur Promotion und sogar bis zum Berufseinstieg.
Mehr zum Studienschwerpunkt IT-Recht und Rechtsinformatik:
https://idw-online.de/de/news635993

Neues Zertifikats-Studium: In zwei Semestern fit in IT-Recht und Rechtsinformatik
An der Universität des Saarlandes gibt es seit 2016 außerdem ein Zertifikats-Studium „IT-Recht und Rechtsinformatik“. Es ist auf zwei Semester angelegt, modular aufgebaut, und wendet sich an Studenten, Referendare und Absolventen der Rechtswissenschaften, aber auch anderer Fachrichtungen. Darüber hinaus richtet sich das Angebot als berufs- und ausbildungsbegleitende Fortbildung und Spezialisierung an die Praxis: etwa an Anwälte, die sich auch mit ausgewählten Veranstaltungen weiterbilden können, an Datenschutz- oder IT-Sicherheitsbeauftragte und Unternehmensjuristen.
Mehr zum Zertifikat IT-Recht und Rechtsinformatik:
https://idw-online.de/de/news658259

Kontakt:
Stefan Hessel: Tel.: 0681 302-5128, E-Mail: stefan.hessel(at)uni-saarland.de
Webseite: https://www.uni-saarland.de/lehrstuhl/sorge/personen/ehemalige-mitarbeiter/dipl-jur-stefan-hessel.html

Professor Christoph Sorge: Telefon: 0681 302 5122 (Sekretariat: -5120),
E-Mail: christoph.sorge(at)uni-saarland.de
Webseite: http://www.uni-saarland.de/lehrstuhl/sorge

Pressefotos zum kostenlosen Gebrauch unter: http://www.uni-saarland.de/aktuelles/presse/pressefotos.html

Hinweis für Hörfunk-Journalisten: Sie können Telefoninterviews in Studioqualität mit Wissenschaftlern der Universität des Saarlandes führen, über Rundfunk-Codec (IP-Verbindung mit Direktanwahl oder über ARD-Sternpunkt 106813020001). Interviewwünsche bitte an die Pressestelle (0681 302-2601) richten.