Wir erkennen an, dass sich einige bestehende Wyze-Kundinnen und -Kunden durchaus damit wohlfühlen könnten, ihre Wyze-Geräte weiter zu nutzen. Wir sind der Ansicht, dass es unsere Verantwortung ist, bei der Empfehlung eines Produkts, das potenziell die Privatsphäre oder die Sicherheit des Eigentümers gefährden könnte, lieber auf der sicheren Seite zu bleiben.
Unsere Entscheidung folgt darauf, dass Tausende von Wyze-Gerätebesitzerinnen und -besitzern am 16. Februar 2024 ihre Apps öffneten und feststellten, Bilder aus Sicherheitskameras anderer Kundinnen und Kunden zu sehen, in einigen Fällen sogar Zugriff auf Videos hatten. Dieser Vorfall war von einem weiteren Privatsphärenverstoß bei Wyze fünf Monate zuvor begleitet worden, als eine kleine Gruppe von Wyze-Kunden über das Wyze-Webportal Videos anderer Gerätebesitzer abrufen konnte. Und davor, im März 2022, zeigte eine Bitdefender-Studie (PDF), dass Wyze fast drei Jahre brauchte, um spezifische Sicherheitslücken, die alle drei zu jener Zeit vorhandenen Wyze Cam-Modelle betrafen, vollständig zu beheben. (Wyze hat zwei dieser Modelle gepatcht; das Unternehmen stellte daraufhin seine erste Generation der Kamera ein und riet den Kunden, sie nicht mehr zu verwenden.)
Als Reaktion auf die Kamera-Probleme im September 2023 – insbesondere Wyzes unzureichende Reaktion und den Kundendienst – beschlossen wir, unsere Empfehlung aller Wyze-Sicherheitskameras zu pausieren und skizzierten die Schritte, die das Unternehmen unternehmen müsste, damit wir eine erneute Berücksichtigung seiner Produkte in Erwägung ziehen. Zu jener Zeit erklärte ein Wyze-Vertreter gegenüber The Verge: „Wir untersuchen dieses Problem weiterhin und werden Anstrengungen unternehmen, damit es nicht erneut auftritt.“
Dieses jüngste Ereignis ereignete sich nur wenige Monate später und ist im Umfang deutlich schwerwiegender: Das Unternehmen gibt an, dass rund 13.000 Wyze-Kundinnen und -Kunden fälschlicherweise Miniaturansichten aus Kameras anderer Kunden erhielten, und 1.504 von ihnen diese Bilder tatsächlich angesehen haben und – in einigen Fällen – auch Videos ansehen konnten. Diese Episode ist auch prinzipiell deutlich besorgniserregender. Im Gegensatz zu früheren Vorfällen, bei denen Wyze-Geräte eine Verwundbarkeit mit Missbrauchspotenzial aufwiesen, hat Wyze hier gewissermaßen sich selbst gehackt, indem private Daten einer Kundengruppe an Tausende anderer Kunden gesendet wurden. Die unausweichliche Folgerung ist, dass Wyze kein Problem mit seinen Sicherheitskameras hat – es liegt ein systematisches Problem in der Art und Weise vor, wie das Unternehmen Privatsphäre und Sicherheit der Nutzer behandelt.
Und obwohl Wyze eine Massen-E-Mail an die Kundschaft verschickte, erreichte diese Nachricht fast 48 Stunden zu spät, nachdem Kunden Probleme im Wyze-Support-Forum gemeldet hatten – abgesehen von Beiträgen in sozialen Medien und im Support-Forum, kontaktierte sich das Unternehmen die Kundinnen und Kunden erst lange, nachdem das Problem als behoben galt.
Unsere Hauptsorge gilt nicht den Einzelheiten dieses Sicherheitsproblems – praktisch jedes Unternehmen oder jede Organisation weltweit muss irgendwann mit irgendeiner Art von Sicherheitsproblem umgehen, wie wir es bei großen Banken, dem US-Militär, Las-Vegas-Casinos, Schulen und sogar Chick-fil-A gesehen haben. Wir sind zu dem Schluss gekommen, dass die Häufigkeit von Vorfällen, die zunehmende Schwere und Wyzes langsame Reaktion des Kundendienstes ein Bild eines Unternehmens zeichnen, dem die strengen Richtlinien und Verfahren fehlen, die erforderlich sind, um seine Kundinnen und Kunden so zu schützen, wie sie es verdienen.
In einer E-Mail bestätigte Dave Crosby, Mitgründer von Wyze, dass das Unternehmen besser werden müsse und zu diesem Zweck plane, mehr Ingenieurinnen und Ingenieure einzustellen. „Wir hatten bereits mehrere Penetrationstests durchlaufen und mehrere Prozessverbesserungen, um die Sicherheit zu erhöhen und unsere Kunden zu schützen“, sagte Crosby. „Es ist klar, dass wir noch stärker investieren müssen. Das wird unsere oberste Priorität sein.“
Crosby verteidigte auch Wyzes Verzögerung bei der Reaktion. „Wir wollten sehr gründlich vor und nach den Berichten prüfen, um sicherzustellen, dass wir jeden betroffenen Kunden erfasst hatten, damit wir ihn ordnungsgemäß benachrichtigen können“, schrieb er. „Auf diese Weise können wir, wenn wir eine Kundenmitteilung senden, klar sagen, ob sie betroffen sind und warum es passiert ist.“ Wir glauben fest, dass das Gegenteil besser wäre. In jeder Situation, in der Sicherheit und Privatsphäre eine Rolle spielen, ist es die Verantwortung eines Unternehmens, seine Kundinnen und Kunden so schnell wie möglich zu informieren, ihnen Ratschläge zu geben und später mit vollständigen Details nachzulegen.
Ein Blick auf die Beiträge verärgerter Kundinnen und Kunden im Wyze-eigenen Kundenforum untermauert diese Sicht. Und das wird auch von Gleichgesinnten und Experten unterstützt, mit denen wir gesprochen haben, wie Ari Lightman, Professor für digitale Medien und Marketing an der Carnegie Mellon University; Jen Caltrider, Programmleiterin bei Mozillas Privacy Not Included; und Max Eddy, Senior Staff Writer für Sicherheit, Privatsphäre und Software-Plattformen bei Wirecutter. Als wir sie erstmals im September 2023 kontaktierten, stimmten alle darin überein, dass das zentrale Problem darin bestand, dass Wyze nicht proaktiv alle Kundinnen und Kunden erreicht hatte und nicht ausreichend für seine Versäumnisse zur Rechenschaft gezogen wurde. „Wenn so etwas passiert, muss das Unternehmen sehr offen und transparent mit der Community darüber sprechen, warum es versagt hat“, erklärte Lightman. „Dann muss das Unternehmen sagen: ‚Hier ist ganz genau, was wir tun werden, um potenzielle zukünftige Situationen zu beheben.‘“ Es ist erst wenige Monate her, seitdem gab es einen weiteren Vorfall, und das Unternehmen hat immer noch nicht verbessert, wie es reagiert.
Die grundlegende Beziehung zwischen Anbietern von Smart-Home-Lösungen und ihren Kundinnen und Kunden basiert auf Vertrauen. Kein Unternehmen kann Sicherheit zu 100 % garantieren, aber die Kundschaft muss darauf vertrauen können, dass die Hersteller und Verkäufer dieser Produkte, insbesondere Sicherheitsgeräte, ihres Vertrauens würdig sind. Wyze hat nun eine Bilanz vorzuweisen, die ihre Kundschaft gefährdet, was auch einen Schatten auf die Smart-Home-Branche als Ganzes wirft.
Damit wir das Testen und Bewerten von Wyze-Smart-Home-Produkten fortsetzen können, muss das Unternehmen zeigen, dass es konkrete Verbesserungen seiner Sicherheitsprozesse und Reaktionsweisen vorgenommen hat. Das Unternehmen muss proaktiv, verantwortungsbewusst und gegenüber seinen Kundinnen und Kunden transparent sein, in mehreren Punkten:
- Wyze sollte so schnell wie möglich Kontakt zu den Kundinnen und Kunden aufnehmen. Wenn sich ein Problem abzeichnet, sollte das Unternehmen allen Kundinnen und Kunden eine E-Mail senden sowie Push-Benachrichtigungen in der App. Das Unternehmen sollte die Kunden anweisen, Informationen im Wyze-Community-Online-Forum zu finden.
- Das Unternehmen sollte die Kundinnen und Kunden frühzeitig und regelmäßig informieren und gegebenenfalls Ratschläge geben, wie sie sich vorübergehend schützen können, z. B. indem sie Kameras ausschalten oder Geräte vom Netz trennen.
- Sobald das Unternehmen die Angelegenheit untersucht und gelöst hat, sollte es das Problem detailliert schildern und so bald wie möglich genau angeben, wer betroffen war und wer nicht.
- Das Unternehmen sollte konkret erläutern, welche Schritte es unternimmt, um betroffene Kundinnen und Kunden zu unterstützen, und welche, falls vorhanden, eigenständigen Maßnahmen Kundinnen und Kunden ergreifen müssen.
- Das Unternehmen sollte die Kundinnen und Kunden erneut kontaktieren, um mitzuteilen, dass das Problem behoben ist.
Dies ist nicht das erste Mal, dass Wirecutter eine Empfehlung für ein Smart-Home-Gerät aufgrund von Bedenken hinsichtlich der Verantwortlichkeit zurückzieht. Im Jahr 2019, als Reaktion auf einen Datenverstoß bei Ring, zogen wir unsere Empfehlung für alle Kameras dieses Unternehmens zurück. Nachdem das Unternehmen eine Reihe erheblicher Verbesserungen an seinen Programmen und Richtlinien vorgenommen hatte, nahmen wir die Ring-Produkte wieder in unsere Tests auf, und seither haben wir viele von ihnen empfohlen.
Sollte Wyze seinen Kurs ändern und substantiellere Praktiken übernehmen, wie sie oben umrissen wurden, würden wir gerne wieder damit beginnen, seine Produkte zu testen und sie für eine Empfehlung in Betracht zu ziehen.
Quellen
1. Jen Caltrider, Programmleiterin, Mozillas Privacy Not Included, E-Mail-Interview, 12. September 2023
2. Ari Lightman, Professor für digitale Medien und Marketing, Carnegie Mellon University, Telefon-Interview, 12. September 2023
