Sind KI-Spielzeuge sicher für Kinder? Was Eltern zuerst prüfen sollten

Die ehrliche Antwort: Es kommt auf das Spielzeug an, und die meisten verdienen einen genauen Blick. Ein KI-Spielzeug ist vor allem ein Mikrofon im Kinderzimmer. Es erfasst die Stimme des Kindes. Es sendet sie in die Cloud. Ein KI-Modell eines Drittanbieters formuliert die Antwort. Die Worte Ihres Kindes verlassen also das Haus. Im Jahr 2025 hat der U.S. PIRG Education Fund eine Handvoll dieser Spielzeuge getestet und schwerwiegende Mängel gemeldet. Und COPPA, das US-Gesetz zum Schutz der Privatsphäre von Kindern, ist eindeutig: Die Stimme eines Kindes ist eine personenbezogene Information. Bevor Sie kaufen, stellen Sie drei einfache Fragen. Was wird aufgezeichnet? Wohin geht die Aufzeichnung? Wie lange wird sie aufbewahrt?

Ein KI-Spielzeug ist ein Mikrofon, das mit einem Modell verbunden ist

Der Name ist niedlich. Die Architektur ist es nicht. Ein vernetzter Teddybär enthält ein Mikrofon, manchmal eine Kamera und eine Internetverbindung. Das Kind spricht. Das Spielzeug erfasst den Ton. Dieser Ton, oder seine Abschrift, wandert zum Server des Herstellers. Von dort geht er an ein großes Sprachmodell, meist eines, das von einem Drittanbieter betrieben wird. Die Antwort kommt über den Lautsprecher zurück.

Drei Parteien sehen also die Worte eines Sechsjährigen. Das Spielzeug. Der Spielzeughersteller. Der KI-Anbieter. Und ein Kind filtert nichts. Es nennt seinen Vornamen, seinen Nachnamen, seine Schule, die Adresse zu Hause.

• Das Mikrofon: Es erfasst die Stimme des Kindes und oft auch alles, was in der Nähe gesprochen wird.
• Die Cloud des Herstellers: Sie empfängt den Ton oder seine Abschrift und kann ihn speichern.
• Das KI-Modell des Drittanbieters: Es empfängt das Gespräch, um eine Antwort zu erzeugen.
• Der Verlauf: Manche Spielzeuge bewahren frühere Gespräche auf, um die Figur zu „personalisieren“.

Was die PIRG-Tests 2025 zeigten

Der U.S. PIRG Education Fund ist eine amerikanische Verbraucherschutzorganisation. Jedes Jahr veröffentlicht sie ihren Bericht „Trouble in Toyland“. Im Jahr 2025 testete sie eine Handvoll chatbot-gesteuerter Spielzeuge. Darunter: der Teddybär „Kumma“ von FoloToy, verkauft für rund 99 Dollar, der Grok von Curio, der Robot MINI von Little Learners und der Miko 3.

Der aufschlussreichste Befund betrifft die Länge des Gesprächs. Die Schutzmechanismen halten bei einem kurzen Austausch. Sie lassen nach, je länger das Gespräch dauert. PIRG berichtet, dass Kumma schließlich in sexuell explizite Inhalte abglitt. Und dass jedes getestete Spielzeug bereit war, einem Kind zu sagen, wo im Haushalt gefährliche Gegenstände zu finden sind — Streichhölzer, Messer.

Was folgte, wie CNN am 19. November 2025 berichtete: FoloToy setzte den Verkauf von Kumma und seiner anderen KI-Spielzeuge aus. OpenAI, dessen Modell GPT-4o den Bären über seine API antrieb, teilte PIRG mit, den Entwickler gesperrt zu haben. Der genannte Grund: ein Verstoß gegen seine Nutzungsrichtlinien, die es verbieten, Minderjährige unter 18 Jahren auszubeuten, zu gefährden oder zu sexualisieren. Spätere Berichte besagen, dass der Bär nach einem internen Sicherheitsaudit des Herstellers wieder in den Verkauf kam.

CloudPets: die Lektion von 2017 über Speicherung

Das Speicherproblem brach lange vor der generativen KI aus. Im Jahr 2017 dokumentierte der Sicherheitsforscher Troy Hunt, der Schöpfer von Have I Been Pwned, das CloudPets-Leck. Das Backend der Marke ließ eine MongoDB-Datenbank ganz ohne Authentifizierung offen im Internet stehen. Rund 800.000 Kundenkonten waren erreichbar. Die von Kindern und ihren Angehörigen aufgezeichneten Sprachnachrichten lagen in einem Cloud-Speicher, der keine Zugangsdaten benötigte.

Dritte gelangten an diese Datenbanken und erpressten Lösegeld dafür. Millionen von Sprachnachrichten von Kindern wurden offengelegt, gemäß dem, was damals dokumentiert wurde. Das Unternehmen hinter den Spielzeugen existiert nicht mehr. Doch behalten Sie den Mechanismus im Kopf, denn er ist nicht gealtert. Die Stimme eines Kindes, schlecht gespeichert, landet draußen. Und ein heutiges KI-Spielzeug zeichnet weit mehr auf als eine Nachricht von zehn Sekunden.

COPPA: die Stimme eines Kindes ist eine personenbezogene Information

COPPA ist das US-amerikanische Children's Online Privacy Protection Act. Seine Regel lässt sich leicht merken. Eine Audioaufnahme, die die Stimme eines Kindes enthält, ist eine personenbezogene Information. Ein Onlinedienst oder ein vernetztes Spielzeug, das sich an unter 13-Jährige richtet, benötigt daher in der Regel eine überprüfbare Einwilligung der Eltern, bevor es sie erhebt.

Im Jahr 2017 gab die FTC (Federal Trade Commission, die US-Aufsichtsbehörde) eine Grundsatzerklärung zur Rechtsdurchsetzung heraus. Sie eröffnet eine enge Ausnahme. Die FTC verfolgt keinen Betreiber, der die Stimme eines Kindes rein als Ersatz für die Tastatureingabe erfasst: eine Suchanfrage, einen gesprochenen Befehl. Drei Bedingungen gelten. Der Ton wird nur kurz aufbewahrt. Er wird nur zu diesem Zweck verwendet. Dann wird er gelöscht. Die Ausnahme entfällt, wenn das Kind aufgefordert wird, seinen Namen oder andere persönliche Angaben zu nennen. Und die Pflicht, die Praxis in der Datenschutzerklärung offenzulegen, bleibt bestehen.

Diese Nuance trifft genau auf KI-Spielzeuge zu. Ein Begleiter, der den Gesprächsverlauf aufbewahrt, fällt aus der Ausnahme heraus. Ebenso ein Spielzeug, das Aufnahmen nutzt, um eine Figur zu personalisieren. Ebenso eines, das das Kind nach seinem Vornamen fragt. Das gibt Ihnen eine konkrete Frage an den Hersteller. Wird der Ton sofort gelöscht oder aufbewahrt? Wenn er aufbewahrt wird, wie lange, und kann ich ihn löschen?

Die Checkliste für Eltern

Nichts davon erfordert einen Ingenieurabschluss. Eine Viertelstunde und die Datenschutzerklärung genügen.

1. 1Lesen Sie die Datenschutzerklärung des Spielzeugs. Suchen Sie darin nach den Wörtern „Audio“, „Aufzeichnung“, „Aufbewahrung“.
2. 2Prüfen Sie, ob eine Aufbewahrungsfrist schwarz auf weiß festgehalten ist und ob eine Löschfunktion existiert.
3. 3Suchen Sie nach COPPA und einem Mechanismus für eine überprüfbare Einwilligung der Eltern. In Europa suchen Sie nach der DSGVO-Rechtsgrundlage für die Daten eines Minderjährigen.
4. 4Ermitteln Sie den KI-Anbieter hinter dem Spielzeug. Wird er nirgends genannt, ist das bereits eine Antwort.
5. 5Halten Sie Spielzeuge mit Mikrofon oder Kamera aus Schlafzimmern und anderen privaten Räumen fern.
6. 6Für die Kleinsten bevorzugen Sie ein Offline-Spielzeug ohne Cloud. Ein Plüschbär braucht keine API.
7. 7Bringen Sie dem Kind bei, dass ein Spielzeug kein Freund ist. Man gibt ihm weder seinen Nachnamen noch seine Schule noch seine Adresse.

Das Prinzip ist dasselbe wie für einen Erwachsenen vor einem Chatbot. Sicherheit entsteht nicht durch Schweigen. Sie entsteht dadurch, das zurückzuhalten, was eine Person identifiziert. Einen Namen. Eine Schule. Eine Adresse. Ein vernetzter Bär braucht keines der drei, um eine Geschichte zu erzählen.

Genau das leistet ONYRI Sanitize auf der Erwachsenenseite. Die Engine erkennt sensible Daten — Namen, Adressen, Nummern, Kennungen — und ersetzt sie durch umkehrbare Token, bevor irgendetwas das Modell erreicht. Die Erkennung und die Zuordnung bleiben in Ihrem Browser. Nur anonymisierter Text erreicht die KI. Ein Spielzeug gibt Ihnen keine solche Kontrolle. Genau deshalb verdient das, was es aufzeichnet und was es damit tut, eine schriftliche Antwort.