Das BSI hat Connect Neo (One2Track), Garmin Bounce und Imoo Z3 untersucht. Bei keiner Uhr war eine sichere Standardeinstellung vollständig umgesetzt, zwei übertrugen Daten teilweise unverschlüsselt, und bei allen drei blieben nach dem Löschen Daten zurück. Viele Mängel sind laut BSI inzwischen behoben. Prüfe an deiner Uhr Kontaktsperre, Updates und Löschfunktion.
Welche Uhren hat das BSI untersucht?
Geprüft wurden im ersten Quartal 2026 die Connect Neo von One2Track, die Garmin Bounce und die Imoo Z3. Das BSI hat aus jedem Preissegment ein Modell zufällig ausgewählt. Die Connect Neo war bei der Marktanalyse noch regulär erhältlich, während der Prüfung schon im Abverkauf und ist laut BSI inzwischen nur noch vereinzelt gebraucht zu haben.
Alle drei Hersteller wurden über die Mängel informiert und haben laut BSI mit dem Amt an der Behebung gearbeitet. Die Befunde beziehen sich auf die geprüften Firmware- und App-Stände.
Was das BSI gefunden hat
Unsichere Standardeinstellungen (alle drei): Bei der Garmin Bounce kann ein Kind die Uhr ohne Zustimmung der Eltern auf Werkseinstellungen zurücksetzen und damit die Kindersicherung aufheben, die Eltern erfahren davon nichts. Laut Garmin kann die Uhr danach aber keine Nachrichten mehr senden und nicht mehr geortet werden. Bei der Connect Neo war nach einem Zurücksetzen die Sperre für unbekannte Anrufer aus (laut BSI behoben). Bei der Imoo Z3 konnte ein Kind über das Schnellmenü viele Einstellungen ändern, etwa ein unsicheres WLAN verbinden oder beliebige Nummern anrufen. Imoo will die Standardeinstellungen verbessern.
Unverschlüsselte Übertragung (zwei von drei): Die Imoo Z3 schickte Chat-Nachrichten samt Bildern und Videos teilweise unverschlüsselt. Mit darin enthaltenen Angaben zu WLAN-Netzen in der Nähe ließe sich laut BSI der Standort des Kindes eingrenzen (laut BSI behoben). Bei der Connect Neo lief die Verbindung zum Videoanruf-Dienst unverschlüsselt. Bei der Garmin Bounce fand das BSI hier nichts.
Daten bleiben nach dem Löschen (alle drei): Bei Connect Neo und Garmin Bounce blieben nach dem Löschen des Kontos in der App Daten auf der Uhr, bei Garmin etwa der Name des Kindes und Nachrichten. Bei der Imoo Z3 konnte ein Vorbesitzer unter bestimmten Bedingungen auch nach dem Zurücksetzen wieder Zugriff auf eine weitergegebene Uhr bekommen. Imoo hat das laut BSI teilweise behoben.
Updates: Die Connect Neo kann keine Sicherheitsupdates empfangen. Laut BSI erwägt One2Track, betroffenen Nutzern einen Austausch anzubieten. Garmin sagt auf der Webseite mindestens zwei Jahre ab Marktstart zu, die Bounce kam im November 2022 auf den Markt, weitere Updates gibt es laut Garmin bei Bedarf. Imoo versorgt die Z3 laut Hersteller bis zum 1. September 2027.
Was du an der Uhr deines Kindes prüfen solltest
Die Tipps des BSI gelten für jede Kinder-Smartwatch, nicht nur für die drei geprüften:
Kontakte sperren: Stell ein, dass nur Nummern anrufen dürfen, die du freigegeben hast. Prüfe nach einem Neustart oder Zurücksetzen, ob die Sperre noch aktiv ist.
Updates klären: Frag nach, wie lange der Hersteller Sicherheitsupdates liefert, auch nach dem Verkaufsende. Vorsicht bei Uhren aus dem Abverkauf.
Konto absichern: Nutze ein starkes, eigenes Passwort für die Eltern-App und, wo angeboten, die Zwei-Faktor-Anmeldung.
Vor dem Weitergeben löschen: Lösch das Konto in der App und setz die Uhr selbst auf Werkseinstellungen zurück. Verlass dich nicht darauf, dass die App das mit erledigt.
Funktionen bewusst freigeben: Setz Ortung und Kommunikation passend zum Alter ein und sprich mit deinem Kind darüber. Das BSI erinnert daran, dass Kinder ein Recht auf Privatsphäre haben.
Ob eine Uhr eine Abhörfunktion hat, ist ein eigenes Thema. Was dabei erlaubt ist, erklären wir im Ratgeber Kinder-Smartwatch mit Abhörfunktion. Zum Umgang mit den Standortdaten deines Kindes lies unseren Ratgeber Datenschutz bei GPS-Trackern für Kinder.
Was heißt das für unsere Kaufberatung?
Keines der drei geprüften Modelle steht in unserer Kaufberatung GPS-Tracker für Kinder. Die dort genannten Uhren und Tracker hat das BSI nicht untersucht. Daraus folgt nicht, dass sie sicherer oder unsicherer sind.
Ab dem 11. Dezember 2027 gelten in der EU alle Anforderungen des Cyber Resilience Act. Hersteller vernetzter Produkte müssen dann unter anderem einen Supportzeitraum für Sicherheitsupdates nennen. Laut BSI beträgt er in der Regel fünf Jahre.