Wohin die Stimme deines Kindes geht
Wir haben die Software geschrieben, die die Anrufe deines Kindes überträgt, und wir betreiben sie auf unserer eigenen Vermittlungsstelle in Helsinki. Hier steht genau, was wir wissen, was nicht – und auch die Punkte, die kein schönes Bild abgeben.
Von Greg Chrystall
Eltern stellen uns zwei Fragen zum Thema Daten, meistens in einem Atemzug: Was wisst ihr über mein Kind, und wohin geht ein Gespräch eigentlich? Hier sind beide Antworten, ausführlicher als du wahrscheinlich wolltest – auch die Teile, die uns nicht schmeicheln.
Was wir über dein Kind nicht wissen
Wir erheben keine Informationen über Kinder. Kein Geburtsdatum, keine Adresse, keine Schule, kein Profil, keine Gerätekennung, die an eine Person gebunden ist. Es gibt genau ein Feld in unseren Systemen, das überhaupt etwas über dein Kind enthalten kann, und das ist der Name des Anschlusses – den es nur gibt, weil ein Elternteil ihn eingetippt hat, damit das Telefon im Flur etwas Nützlicheres anzeigt als eine Nummer. Nenn den Anschluss „das Kind“, und wir wissen überhaupt nichts.
Das ist keine Zurückhaltung unsererseits. Wir haben die Felder nie gebaut.
Wohin ein Gespräch wirklich geht
Barnluren ist ein geschlossenes Netz. Das Telefon in deinem Flur ist nicht an das öffentliche Telefonnetz angeschlossen, es kann also nicht von einer fremden Person, einem Betrüger oder einem automatischen Werbeanruf angerufen werden. Es gibt keinen Weg hinein.
Stattdessen gibt es unsere eigene Telefonvermittlung, die auf Maschinen läuft, die wir in Helsinki mieten. Ein Anruf vom Flurtelefon zur App der Oma geht Gerät → Helsinki → App. Das ist der gesamte Weg. Keine fremde Sprachplattform, keine amerikanische Telekom-API, keine Reseller-Vereinbarung, bei der fremde Infrastruktur vorn unser Logo trägt. Wenn alle Beteiligten in Europa sind, bleibt das Gespräch in Europa. Wenn Oma aus Bangkok abnimmt, geht ihre Hälfte des Gesprächs nach Bangkok – das ist Physik, keine Richtlinie.
Was wir gebaut haben und was wir eingekauft haben
Die Firmware auf dem Adapter, die iOS-App, die Android-App, die Server, die Gesprächsvermittlung: alles von uns geschrieben, auf Open-Source-Fundamenten – Linux, OpenWrt, Asterisk, PostgreSQL. Im Gesprächsweg steckt keine proprietäre Blackbox, deren Quellcode wir nicht lesen können.
Das ist der praktische Grund, diese Schicht selbst zu besitzen. Wenn ein Elternteil fragt, wer dieses Gespräch mithören kann, können wir aus dem Code heraus antworten statt von der Marketingseite eines Anbieters.
Zwei Dinge haben wir nicht selbst gebaut. Clerk übernimmt die Anmeldung und Stripe die Zahlungen – die beiden Bereiche, in denen Eigenbau der Weg ist, auf dem ein kleines Unternehmen in einer Datenleck-Schlagzeile landet. Beide sind DSGVO-konform, mit Auftragsverarbeitungsverträgen, und beide verarbeiten einen Teil der Daten außerhalb der EU auf Basis der üblichen Rechtsgrundlagen. Was sie sehen, sind die Eltern: eine E-Mail-Adresse, eine Karte. Keiner von beiden berührt ein Gespräch. Keiner von beiden weiß, dass ein Kind existiert.
Uns ist lieber, sie zu benennen, als pauschal zu behaupten „nichts verlässt jemals die EU“ und still zu hoffen, dass niemand nachprüft.
Verschlüsselt – und wo die Naht sitzt
Beide Hälften jedes Gesprächs sind auf dem Transportweg verschlüsselt: SIP über TLS und SRTP vom Adapter, DTLS-SRTP von den Apps.
Es ist keine Ende-zu-Ende-Verschlüsselung, und wir werden auch nicht so tun, als wäre es eine. Das Gespräch wird auf unserem Server in Helsinki entschlüsselt, damit es zur Gegenseite vermittelt werden kann, und auf dem Weg hinaus wieder verschlüsselt. Diese Naht gibt es in jedem System, das ein physisches Telefon mit einer App verbindet. Entscheidend ist, wo sie sitzt: auf Hardware, die wir kontrollieren, innerhalb der EU, an einer Stelle, an der wir bewusst nichts gebaut haben, das mithört.
Wir zeichnen keine Gespräche auf
Keine Aufnahmen. Keine Transkripte. Keine „Qualitätssicherung“. Keine Trainingsdaten. Nicht kurz gespeichert und dann gelöscht – gar nicht erst erzeugt.
Die einzige Ausnahme ist eine rechtmäßige Anordnung von Strafverfolgungsbehörden, der wir Folge leisten würden, weil das Gesetz es so vorsieht. Es lohnt sich, genau zu sein, was das in der Praxis bedeutet: Es gibt kein Archiv, das wir aus der Zeit vor einer solchen Anordnung herausgeben könnten. Und niemand bezahlt uns für Gesprächsdaten, weil es sie nicht gibt und sie nicht zum Verkauf stehen.
Echte Telefonnummern ändern eine Sache
Wir bauen gerade einen Tarif namens Barnluren Everyone, der dem Anschluss des Kindes eine echte Telefonnummer gibt, damit Menschen ohne Barnluren es erreichen können – Großeltern, die zurück zum einfachen Handy gewechselt sind, eine Freundin, deren Familie ein Festnetztelefon hat. Eltern geben nach wie vor jeden Kontakt frei, in beide Richtungen. Das Ganze ist in geschlossener Beta.
Innerhalb von Barnluren ändert sich an der Vermittlung nichts. Gespräche von Barnluren zu Barnluren laufen immer über unser eigenes Netz, auch auf einem Anschluss, an dem eine öffentliche Nummer hängt. Die Nummer kommt nur an der Grenze ins Spiel: bei einem Anruf von außen oder bei einem Anruf hinaus an eine Nummer, die nicht unsere ist.
Wenn ein Gespräch diese Grenze überschreitet, wird es ein ganz gewöhnlicher Telefonanruf, mit allen gewöhnlichen Eigenschaften. Es läuft über das övffentliche Telefonnetz. Dort draußen ist es nicht verschlüsselt, und wir können daran nichts ändern. Unser Netzbetreiber für diese Nummern ist schwedisch, der Weg bleibt also nordisch – aber sobald das Gespräch übergeben ist, gelten die Regeln des Telefonnetzes, nicht unsere.
Dieser Netzbetreiber führt eigene Verbindungsdaten, weil jedes Telefonunternehmen dazu verpflichtet ist. Das ist Regulierung, keine Entscheidung von Barnluren. Weiterhin keine Aufnahmen: Ein Anruf an eine echte Nummer wird für die Abrechnung protokolliert, nicht abgehört.
Zwei Konsequenzen sagen wir lieber selbst, als dass du sie entdeckst. Ein Anschluss mit öffentlicher Nummer ist auf eine Weise erreichbar, wie es ein geschlossenes Netz nicht ist – die von Eltern freigegebene Kontaktliste ist das, was das sicher hält, und sie gilt in beide Richtungen. Und unser Versprechen „dieses Telefon kann keine 112 wählen“ ist eine Aussage über das interne Netz. Notrufe gehören nicht zu dem, was Barnluren anbietet, und eine echte Nummer ändert daran nichts. Das Telefon eines Kindes ersetzt keinen Weg zum Notruf.
Die ehrliche Version von „alles bleibt in der EU“
Drei Schichten, drei verschiedene Antworten.
Das Gespräch selbst: unsere Software, unsere Vermittlung, Helsinki. Es verlässt die EU nur, wenn jemand am Gespräch außerhalb der EU ist.
Ein Anruf an eine echte Telefonnummer: an der Grenze an einen schwedischen Netzbetreiber übergeben, und ab da ist es das öffentliche Telefonnetz mit dessen normalen Regeln.
Das Konto dahinter: Clerk und Stripe, DSGVO-konform, ein Teil der Verarbeitung außerhalb der EU auf Basis der üblichen Rechtsgrundlagen. Keiner von beiden berührt ein Gespräch.
Der größte Teil dieses Stacks gehört uns. Die Schicht, die die Stimme deines Kindes trägt, ist die, die uns ganz allein gehört, und das ist kein Zufall – es ist der Grund, warum die Antworten oben so konkret sein können.