KOMY Phone
So ist das KOMY Phone gebaut.
Für alle, die es genau wissen wollen: welche Zusagen das KOMY Phone macht und womit sie im Programmcode und in der Test-Suite erzwungen werden. Stand: 8. Oktober 2026.
Das Produkt in drei Sätzen
Das KOMY Phone ist ein vorkonfiguriertes, gesperrtes Kindertelefon mit dem Begleiter Komy, plus die Eltern-App auf Google Play. Beide sind eine Codebasis in zwei Varianten; die Eltern-Variante enthält keine Kinder-Inhalte und ist auf die Elternrolle festgelegt. Komy ist ein Freund, der die Hilfe des Kindes braucht – nie ein Tutor und nie eine Antwortmaschine.
Zusagen und wie sie durchgesetzt werden
| Zusage | Mechanismus | Erzwungen durch |
|---|---|---|
| Auf dem Kindertelefon läuft kein Sprachmodell. | Komys Sätze, das Vokabular, 100 Geschichten und rund 1.200 Namensclips liegen als Audio auf dem Telefon. Ein Sprachmodell arbeitet nur in unserer Werkstatt, vor dem Bündeln. | Ein Manifest ohne Audio bricht den Build; Tests prüfen jede Situationsliste. |
| Offline-Hören ist begrenzt. | Die Spracherkennung läuft nur mit fester Wortliste und nur, solange ein Bildschirm sichtbar zuhört – in der Routine höchstens 10 Sekunden nach jeder Frage, mit der Anzeige „Komy hört zu …“. Kein Transkript, keine Datei, kein Upload. | Ein Test stellt sicher, dass jede Wortliste mit „unbekannt“ endet und Spiele nur ihre Rundenwörter kennen. |
| Jeder zusammengesetzte Satz ist grammatisch geprüft. | Alle Kombinationen aus Satzanfang und Wort werden exportiert und durch eine Grammatikprüfung geschickt, die einen Stempel schreibt. | Ein veralteter Stempel lässt die Test-Suite fehlschlagen. |
| Komy ist nie eine Antwortmaschine. | Alles, was Komy sagt, ist vorab geschrieben, von einem Menschen geprüft und liegt als Audio auf dem Telefon. Zur Laufzeit formuliert kein Sprachmodell – weder auf dem Telefon noch auf unserem Server. | Ein Test schlägt fehl, sobald etwas außerhalb der benannten Ausnahmen unseren Server erreicht oder ein Sprachmodell aufruft. |
| Datengrenzen. | Erinnerungsbuch, Zauberhimmel und Lernsignale betreten keinen Sync-Pfad; die Eltern-App zeigt daraus nur, an wie vielen Tagen diese Woche vorgelesen wurde – nie den Inhalt. Kein Kindername in der Cloud; Android-Backup und Gerätetransfer tragen nichts. | Ein Test liest den Quelltext beider Sync-Pfade und die Backup-Regeln und schlägt fehl, sobald eine verbotene Verdrahtung auftaucht. |
| Keine Cloud-Kopie der Kinderdaten. | Die einzige Kopie außerhalb des Kindertelefons ist eine verschlüsselte, signierte Sicherung auf dem Elterntelefon (AES-256-GCM, Schlüssel nur auf Elterntelefonen). Kein Server hält sie oder einen Schlüssel dazu. | Tests für Hülle, Inhalt und Übergabe der Sicherung. |
| Die Bild-Codes sind gerätegebunden. | Komy-Code (Eltern) und Kinder-Code sind getrennte Vier-Bilder-Folgen, gespeichert als Prüfsumme im Geräte-Keystore, nie synchronisiert, nie protokolliert. | Ein Test stellt sicher, dass kein Ausgangspfad den Code kennt. |
| Kiosk und gesperrte Geräteschale. | Komys Welt ist der Startbildschirm; Elternmodus mit automatischer Sperre nach 15 Minuten; Zurücksetzen über die Einstellungen gesperrt. | Test der Erlaubnisliste. |
| Datenbank im Ruhezustand verschlüsselt. | SQLCipher; die Passphrase liegt nur unter einem Schlüssel im Geräte-Keystore. | Tests für Erkennung und Migration. |
| Signierte Fernbefehle, Verloren-Modus, Krypto-Löschung. | Jeder Befehl ist an Familie und genau ein Gerät gebunden, nicht wiederholbar, befristet. Der Verloren-Modus zeigt nur einen neutralen Bildschirm; die Löschung schreddert zuerst die Schlüssel. | Tests für fremde Familie, fremdes Gerät, Fälschung, Wiederholung, Ablauf. |
| Das Kindertelefon fragt nie nach Berechtigungen. | Alles wird vom Geräteverwalter vorab gewährt; fehlt ein Recht, schaltet sich die Funktion still ab. | Quelltext-Regel für jede Anfrage. |
| Kein Bild verlässt das Kindertelefon. | Bildauswertung gibt es nur in der Eltern-Variante; die Kinder-Variante liefert leer. | Test: der Bild-Schlüssel ist im Kinder-Release leer. |
Was unser Server sieht
Es gibt genau einen Server, den das Kindertelefon erreicht: den KOMY-Dienst von Sysea, selbst betrieben in Deutschland, abgeschirmt hinter einem Zugangsdienst. Seit dem 28. September formuliert auch unser Server nichts mehr. Ohne ihn spricht Komy trotzdem – es fehlen dann nur Updates und ein seltener Name. Einen Ausweich auf einen fremden Anbieter gibt es nicht. Jede Anfrage trägt eine zufällige Installations-Kennung und einen Gerätenachweis – nichts über das Kind.
| Anfrage | Von | Inhalt | Wann |
|---|---|---|---|
| Ein seltenes Schulfach vertonen | Kindertelefon | nur das Wort, z. B. „Chemie“ | einmalig, im WLAN |
| Einen seltenen Namen vertonen | Kindertelefon | nur der Name allein, etwa der Vorname des Kindes oder einer Bezugsperson | einmalig, sobald das Telefon online ist |
| Nach Updates sehen und laden | Kindertelefon | die installierte Version | nachts, nur im WLAN und am Ladekabel |
| Stundenplan oder Elternbrief auslesen | nur das Elterntelefon | das verkleinerte Foto; unser Server reicht es zur Auswertung an Anthropic (Claude) weiter | beim Scan |
Was das Telefon noch vertonen lässt – ein seltener Name oder ein seltenes Schulfach –, geht als einzelnes Wort an einen Sprachdienstleister, nie als Satz über das Kind. Außerhalb unseres Servers erreicht das Kindertelefon nur Google Firebase (EU-Region, für Familie, Termine, sichere Orte, Fernbefehle), die Google-Play-Dienste für den Standort und einen Wetterdienst mit dem Ort, den ihr gewählt habt.
Woran wir noch arbeiten
- Die Sicherung auf dem Elterntelefon ist gebaut; das Zurückspielen auf ein neues KOMY Phone bauen wir noch.
- Einen Standortverlauf speichern wir nicht – es gibt je Telefon nur die letzte Position. Meldungen zu sicheren Orten und SOS löschen wir automatisch nach 30 Tagen, Befehle an das Telefon und ihre Rückmeldungen nach 90 Tagen; „Familie löschen“ entfernt alles sofort. Die Fristen prüft vor dem Verkaufsstart noch ein Anwalt.
- Eine Sicherheits-Eskalation für ernste Lagen ist bewusst nicht gebaut: Komy zeigt dann auf einen vertrauten Erwachsenen, er überwacht nicht.
Über 880 automatische Tests laufen bei jeder Änderung. Viele davon lesen den Quelltext selbst und schlagen fehl, sobald eine Grenze überschritten würde – lange bevor es ein Kind bemerken könnte.