Können Babyphones gehackt werden?

Wurden Babyphones und Heimkameras wirklich gehackt?

Ja. Auffällig ist, wie gewöhnlich die Wege waren: Jemand hat sich angemeldet, oder die Systeme einer Firma haben selbst Fehler gemacht. Die Fälle, geprüft am 14. Oktober 2026:

Jede dieser Firmen hat ihr Problem behoben oder das Produkt eingestellt; daraus folgt nicht, dass ihre heutigen Produkte unsicher sind. Es geht um das Muster: Die Schwachstelle war fast immer das Konto, die Server des Herstellers oder ein Gerät, das offen im Internet stand.

Wie wird ein Babyphone tatsächlich gehackt?

Sechs Türen, ungefähr in der Reihenfolge, wie oft sie benutzt wurden:

• Dein Cloud-Konto. Jemand probiert deine E-Mail-Adresse mit einem Passwort, das bei einem anderen Dienst geleakt wurde. Gleiches Passwort, kein zweiter Faktor: Er ist drin.
• Die Seite des Herstellers. Ein Fehler auf den Servern zeigt deine Kamera jemand anderem (Wyze), oder der Hersteller speichert mehr als angekündigt (Eufy, iBaby). Das kannst du nicht reparieren; du kannst nur entscheiden, wie viel überhaupt bei diesen Servern ankommt.
• Eine Kamera, die offen im Internet steht. Portweiterleitung oder UPnP machen die Anmeldeseite der Kamera von überall erreichbar; dazu ein Werkspasswort, und du hast Mirai.
• Schwaches WLAN. Ein kurzes WLAN-Passwort oder ein Router mit Werks-Login lässt einen Nachbarn in dein Netz, und dort ist eine lokale Kamera nur ein weiteres Gerät.
• Die eigene Cloud der Kamera. Eine WLAN-Kamera spricht weiter mit ihrem Hersteller, auch wenn du sie in einer anderen App ansiehst. TP-Link schreibt, dass Tapo-Kameras das Internet für die Ersteinrichtung, den Fernzugriff, das Teilen und die Uhrzeit brauchen und nach der Einrichtung lokal funktionieren. Wenn du diesen Verkehr nicht willst, sperr der Kamera im Router den Internetzugang.
• Das Handy selbst. Ein Elterntelefon ohne Displaysperre oder ein Handy beim Baby, das noch in deinem E-Mail-Konto angemeldet ist, ist das größte Risiko für jeden, der tatsächlich in die Nähe kommt.

Kann ein Babyphone ohne WLAN gehackt werden?

Viel schwerer, und nicht vom anderen Ende der Welt. Ein Funk-Babyphone (Kamera plus Elterneinheit, ohne WLAN, ohne App) hat kein Konto, bei dem man sich anmelden könnte, und nichts, was im Internet zu finden wäre. Wer mithören will, muss in Funkreichweite sein, also nahe an deinem Haus, und wissen, worauf er hören muss.

• Alte analoge Babyphones senden wie ein Radio. Consumer Reports warnte schon 2009, dass Nachbarn mit einem ähnlichen Babyphone oder Schnurlostelefon mithören können, und riet zu digitalen Geräten. Wenn deins rauscht und knackt, ist es analog.
• Digitale Babyphones (Philips Avent, VTech, Motorola und andere) koppeln Kamera und Elterneinheit und springen zwischen Frequenzen (FHSS) oder nutzen DECT. Die US-amerikanische National Cybersecurity Alliance nennt FHSS-Geräte die sicherste Art, betont aber, dass auch digital „nicht immun“ ist; die Forscher von ESET halten Funk-Babyphones „insgesamt für die sicherere Wahl, wenn auch mit weniger Funktionen“, weil ein Lauscher in Reichweite sein und die Frequenz kennen muss. Einen belegten Fall, in dem ein digitales Funk-Babyphone abgehört wurde, haben wir nicht gefunden.

Der Haken steckt im Namen: ohne WLAN heißt auch ohne Handy, ohne zweiten Elternteil, der mitschaut, und ohne Blick ins Kinderzimmer vom Sofa im Erdgeschoss, wenn die Reichweite nicht reicht. Eine App, die nur im Heimnetz läuft, wie Mamoon, liegt dazwischen: Sie nutzt dein WLAN, aber kein Konto und keinen Server. Die Türen aus dem Internet bleiben zu, und das Handy behältst du.

Was Eltern in Foren wirklich beschäftigt

In Elternforen tauchen immer wieder dieselben Fragen auf. Kurze Antworten:

• „Kann ein Fremder über das Babyphone mit meinem Baby reden?“ In den bekannten Fällen (Nest, Ring) nur über das Cloud-Konto der Besitzer mit einem wiederverwendeten Passwort. Ein eigenes Passwort plus Zwei-Faktor-Anmeldung schließt diese Tür; eine App ohne Konto hat sie gar nicht.
• „Kann der Nachbar unsere Kamera sehen?“ Nur mit deinem WLAN-Passwort oder bei einem alten analogen Funk-Babyphone. Ein langes WLAN-Passwort und WPA2/WPA3 halten eine lokale Kamera in deinem Haushalt.
• „Kann die Firma zuschauen?“ Wenn das Bild über ihre Server läuft, können ihre Systeme und Mitarbeitenden ein Risiko sein: Der Fall bei Ring und die Verwechslungen bei Wyze zeigen, wie. Wenn das Bild dein Zuhause nie verlässt, gibt es auf ihrer Seite nichts zu sehen.
• „Ist eine billige No-Name-WLAN-Kamera sicher?“ Die Marke zählt weniger als Updates, ein geändertes Standardpasswort und keine offenen Ports. Schau vor dem Kauf nach, wie lange der Hersteller Updates verspricht; das rät auch das BSI.

Der Zwei-Minuten-Check

Antworte mit Ja oder Nein, für das Babyphone, das heute Nacht läuft:

• Benutzt du das Passwort des App-Kontos nirgendwo sonst?
• Ist die Zwei-Faktor-Anmeldung für dieses Konto an (oder gibt es gar kein Konto)?
• Hast du die Werkspasswörter von Kamera und Router geändert?
• Sind UPnP und Portweiterleitungen im Router aus?
• Aktualisiert die Kamera ihre Firmware, und bringt der Hersteller noch Updates?
• Läuft das WLAN mit WPA2 oder WPA3 und einem langen Passwort?
• Ist das alte Handy am Bettchen gesperrt, aktuell und aus deinem E-Mail-Konto abgemeldet?
• Könntest du jetzt sofort sagen, wohin dein Bild geht: nur in dein Zuhause oder auf die Server einer Firma?

Zwei oder mehr Neins: Kümmere dich zuerst um diese. Die Checkliste unten zeigt Schritt für Schritt, wie.

Was ändert „nur im Heimnetz, ohne Konto“, und was nicht?

Eine App, die nur lokal arbeitet, schickt das Bild über dein eigenes WLAN von der Kamera aufs Handy, und dort ist Schluss. Ohne Konto gibt es nichts, wo jemand geleakte Passwörter ausprobieren könnte. Ohne Server, die dein Bild halten, kann kein Ausfall einem Fremden dein Kinderzimmer zeigen, und niemand beim Anbieter kann darin stöbern. Damit sind die ersten beiden Türen zu, die hinter den größten Fällen.

Die anderen Türen sind bei dir zu Hause: der Router, die Firmware der Kamera, das Handy, auf dem du zuschaust. „Lokal“ legt sie in deine Hände, und genau darum geht es.

Wie Mamoon das löst

Es gibt kein Mamoon-Konto und keine Mamoon-Cloud. Das Bild geht vom Handy beim Baby oder von der Kamera über dein WLAN zum Elterntelefon und funktioniert auch, wenn das Internet weg ist. Die Weinerkennung läuft auf dem Handy, also verlässt kein Ton das Gerät. Es gibt keine Aufnahmen oder Cloud-Clips, die nach außen gelangen könnten; die Übersicht am Morgen bleibt auf deinem Handy.

Unterwegs nutzt Mamoon Tailscale, ein kostenloses VPN auf Basis von WireGuard. Tailscale dokumentiert, dass der Verkehr zwischen deinen Geräten Ende-zu-Ende-verschlüsselt ist und seine Relay-Server nur bereits verschlüsselte Pakete weiterreichen: Die privaten Schlüssel verlassen deine Handys nie, also kann ein Relay das Bild nicht lesen. Du installierst es auf beiden Handys, oder für eine WLAN-Kamera auf einem Rechner zu Hause.

Mamoon ist nicht die einzige App, die so arbeitet. Dormi (nur Android) wirbt mit verschlüsselter Übertragung ohne Werbung und Tracking. Cloud Baby Monitor nutzt standardmäßig nur dein WLAN und braucht kein Internet, außer du schaltest Unlimited Range ein. Babyphone 3G braucht kein Konto und verschlüsselt die Verbindung; es läuft über WLAN oder Mobilfunk. Bibino sagt offen, dass die Kommunikation über seine Server läuft und Premium-Aufnahmen dort 21 Tage gespeichert werden; dafür hat es Reichweite ohne Einrichtung. Jede zieht die Grenze an einer anderen Stelle.

Ist ein altes Handy als Babyphone sicher?

In einer Hinsicht ist ein altes Handy sicherer als eine WLAN-Kamera: kein Port am Router, keine eigene Hersteller-Cloud. Die Risiken sind die des Handys. Eines, das keine Sicherheitsupdates mehr bekommt, hat bekannte, veröffentlichte Lücken; eines, das noch in deinem E-Mail-Konto und deinen Fotos angemeldet ist, ist eine Fundgrube für jeden, der es in die Hand nimmt. Aktualisiere es so weit wie möglich, entferne Konten, die es nicht braucht, und richte eine Displaysperre ein. Die Einrichtung steht im Ratgeber zum alten Handy.

Die Checkliste

1. Sichere den Router. Stell die WLAN-Verschlüsselung auf WPA2 oder WPA3 und ändere beide Passwörter: das WLAN-Passwort und das Login für die Router-Oberfläche. Das BSI empfiehlt fürs WLAN-Passwort mindestens 20 Zeichen und rät, den Fernzugriff auf den Router abzuschalten, wenn du ihn nicht brauchst.
2. Halte die Firmware der Kamera aktuell. Schalte automatische Updates ein, wenn die Kamera sie anbietet; das raten das BSI und das britische NCSC. Prüf vor dem Kauf, wie lange der Hersteller Updates liefert. Trägt ein Gerät das IT-Sicherheitskennzeichen des BSI, führt dich der QR-Code darauf zu seinen Sicherheitsangaben.
3. Ändere jedes Standardpasswort. Das der Kamera, das des Routers und bei Tapo das Kamerakonto. Das ganze Werkzeug von Mirai war eine Liste von 62 Werks-Logins.
4. Schalte die Zwei-Faktor-Anmeldung ein bei jedem Cloud-Konto, das du behältst: beim Kamerahersteller, beim Apple- oder Google-Konto, bei deiner E-Mail. Wiederverwendete Passwörter haben 55.000 Ring-Konten geöffnet.
5. Schalte UPnP und Portweiterleitungen im Router aus, wenn du nicht genau weißt, wofür du sie brauchst; das sagen das BSI, die US-Behörde CISA und das NCSC. Um eine Kamera von unterwegs zu erreichen, nimm ein VPN wie Tailscale statt eines offenen Ports.
6. Denk nach, bevor du das Gäste-WLAN nimmst. Das BSI rät, smarte Geräte in ein eigenes Netz wie das Gäste-WLAN zu stecken, damit sie von deinen Laptops getrennt sind. Viele Gäste-WLANs trennen aber auch die Geräte untereinander, sodass eine lokale App auf deinem Handy die Kamera nicht findet. Bring beide ins selbe Netz, oder schalte die Trennung der Geräte für dieses Netz aus.
7. Bereite das alte Handy vor. Spiel jedes Update auf, das es noch bekommt, entferne Konten, die es nicht braucht, richte eine PIN oder einen Fingerabdruck ein und lass es am Ladekabel, außer Reichweite des Bettchens. Bevor es jemals das Haus verlässt, setz es zurück.

Wann ein Cloud-Babyphone die bessere Wahl ist

• Du willst vom Büro aus nach dem Baby schauen, ohne ein VPN einzurichten. Genau diese Bequemlichkeit kaufen dir die Server des Herstellers.
• Du willst nie eine Router-Einstellung anfassen. Ein gut geführter Cloud-Dienst mit eingeschalteter Zwei-Faktor-Anmeldung ist eine vertretbare Lösung; du vertraust dann eben auch der Firma, nicht nur deinem eigenen Zuhause.
• Mamoon hat auch Grenzen, die mit Sicherheit nichts zu tun haben: eine Kamera pro Elterntelefon, kein Gegensprechen, keine Schlaflieder, und es ist jetzt bei Google Play, bald im App Store.

Häufige Fragen