KOMY Phone
So ist das KOMY Phone gebaut.
Für alle, die es genau wissen wollen: welche Zusagen das KOMY Phone macht und womit sie im Programmcode und in der Test-Suite erzwungen werden. Stand: 15. September 2026.
Das Produkt in drei Sätzen
Das KOMY Phone ist ein vorkonfiguriertes, gesperrtes Kindertelefon mit dem Begleiter Komy, plus die Eltern-App KOMY Phone – Eltern auf Google Play. Beide sind eine Codebasis in zwei Varianten; die Eltern-Variante enthält keine Kinder-Inhalte und ist auf die Elternrolle festgelegt. Komy ist ein Freund, der die Hilfe des Kindes braucht – nie ein Tutor und nie eine Antwortmaschine.
Zusagen und wie sie durchgesetzt werden
| Zusage | Mechanismus | Erzwungen durch |
|---|---|---|
| Auf dem Kindertelefon läuft kein Sprachmodell. | Komys Sätze, das Vokabular, 100 Geschichten und rund 1.200 Namensclips liegen als Audio auf dem Telefon. Ein Sprachmodell arbeitet nur in unserer Werkstatt, vor dem Bündeln. | Ein Manifest ohne Audio bricht den Build; Tests prüfen jede Situationsliste. |
| Offline-Hören ist begrenzt. | Die Spracherkennung läuft nur mit fester Wortliste und nur, solange ein Bildschirm aktiv zuhört. Kein Transkript, keine Datei, kein Upload. | Ein Test stellt sicher, dass jede Wortliste mit „unbekannt“ endet und Spiele nur ihre Rundenwörter kennen. |
| Jeder zusammengesetzte Satz ist grammatisch geprüft. | Alle Kombinationen aus Satzanfang und Wort werden exportiert und durch eine Grammatikprüfung geschickt, die einen Stempel schreibt. | Ein veralteter Stempel lässt die Test-Suite fehlschlagen. |
| Komy ist nie eine Antwortmaschine. | Die wenigen Formulierungen, die nachts auf unserem Server entstehen, laufen ausschließlich durch einen Kernprompt mit fünf harten Regeln. | Ein Test prüft, dass jede Aufgabe alle fünf Regeln wörtlich trägt und kein Defizit-Wort das Kind erreicht. |
| Datengrenzen. | Erinnerungsbuch, Zauberhimmel und Lernsignale betreten keinen Sync-Pfad und keinen Elternbildschirm; kein Kindername in der Cloud; Android-Backup und Gerätetransfer tragen nichts. | Ein Test liest den Quelltext beider Sync-Pfade und die Backup-Regeln und schlägt fehl, sobald eine verbotene Verdrahtung auftaucht. |
| Keine Cloud-Kopie der Kinderdaten. | Die einzige Kopie außerhalb des Kindertelefons ist eine verschlüsselte, signierte Sicherung auf dem Elterntelefon (AES-256-GCM, Schlüssel nur auf Elterntelefonen). Kein Server hält sie oder einen Schlüssel dazu. | Tests für Hülle, Inhalt und Übergabe der Sicherung. |
| Die Bild-Codes sind gerätegebunden. | Komy-Code (Eltern) und Kinder-Code sind getrennte Vier-Bilder-Folgen, gespeichert als Prüfsumme im Geräte-Keystore, nie synchronisiert, nie protokolliert. | Ein Test stellt sicher, dass kein Ausgangspfad den Code kennt. |
| Kiosk und gesperrte Geräteschale. | Komys Welt ist der Startbildschirm; erlaubt sind nur die App und der Notrufwähler; Elternmodus mit automatischer Sperre nach 15 Minuten; Werksreset-Sperre. | Test der Erlaubnisliste – der Notruf bleibt immer. |
| Datenbank im Ruhezustand verschlüsselt. | SQLCipher; die Passphrase liegt nur unter einem Schlüssel im Geräte-Keystore. | Tests für Erkennung und Migration. |
| Signierte Fernbefehle, Verloren-Modus, Krypto-Löschung. | Jeder Befehl ist an Familie und genau ein Gerät gebunden, nicht wiederholbar, befristet. Der Verloren-Modus versiegelt den Tresor; die Löschung schreddert zuerst die Schlüssel. | Tests für fremde Familie, fremdes Gerät, Fälschung, Wiederholung, Ablauf. |
| Das Kindertelefon fragt nie nach Berechtigungen. | Alles wird vom Geräteverwalter vorab gewährt; fehlt ein Recht, schaltet sich die Funktion still ab. | Quelltext-Regel für jede Anfrage. |
| Kein Bild verlässt das Kindertelefon. | Bildauswertung gibt es nur in der Eltern-Variante; die Kinder-Variante liefert leer. | Test: der Bild-Schlüssel ist im Kinder-Release leer. |
| Die Daten-SIM ist auf zehn Jahre gerechnet. | 750 MB reichen, weil das Telefon über die SIM nur alle zwei Stunden Kontakt aufnimmt, Live-Position nur zeigt, solange ein Elternteil zuschaut, und schwere Übertragungen nur im WLAN macht. | Test des Datenbudgets. |
Was unser Server sieht
Es gibt genau einen Server, den das Kindertelefon erreicht: den KOMY-Dienst von Sysea, selbst betrieben in Deutschland, abgeschirmt hinter einem Zugangsdienst. Ohne ihn ist Komy still – es gibt keinen Ausweich auf einen fremden Anbieter. Jede Anfrage trägt nur eine zufällige Installations-Kennung.
| Anfrage | Von | Inhalt | Wann |
|---|---|---|---|
| Komys Erinnerungen für morgen formulieren | Kindertelefon | Vorname, Wochentag, Fächer, Termintitel, Übungsthema, eine Vorlese-Erinnerung mit Buchtitel | nachts, nur im WLAN und am Ladekabel |
| Eine Zeile vertonen | beide Telefone | der Text der Zeile; bei seltenem Vornamen einmalig „Name,“ und „Name.“ | nachts, einmalig pro Name |
| Stundenplan auslesen | nur das Elterntelefon | das verkleinerte Foto des Stundenplans | beim Scan |
Die Vertonung neuer Zeilen läuft heute über einen Sprachdienstleister; dorthin geht der Text der Zeile, nichts über das Kind außer einem seltenen Vornamen. Außerhalb unseres Servers erreicht das Kindertelefon nur Google Firebase (EU-Region, für Familie, Termine, sichere Orte, Fernbefehle), die Google-Play-Dienste für den Standort und einen Wetterdienst mit dem Ort, den ihr gewählt habt.
Woran wir noch arbeiten
- Die Wiederherstellung aus der Sicherung ist gebaut, aber noch nicht mit zwei Telefonen im Feld durchgespielt.
- Drei Formulierungen (Nachtplaner, Terminerinnerungen, Elterntext) entstehen noch nachts auf unserem Server; sie sollen durch vorab geprüfte Satzbausteine ersetzt werden. Auf dem Telefon selbst läuft in jedem Fall kein Modell.
- Die Löschfrist für Standort-Einträge in der Cloud legen wir vor dem Start fest.
- Eine Sicherheits-Eskalation für ernste Lagen ist bewusst nicht gebaut: Komy zeigt dann auf einen vertrauten Erwachsenen, er überwacht nicht.
Rund 640 automatische Tests laufen bei jeder Änderung. Viele davon lesen den Quelltext selbst und schlagen fehl, sobald eine Grenze überschritten würde – lange bevor es ein Kind bemerken könnte.