1. Gesundheitsdaten am Finger

Smart Rings sind inzwischen deutlich mehr als ein Nischenprodukt. Vor allem der Oura Ring taucht regelmäßig auf, wenn es um Schlaftracking, Regeneration und die langfristige Beobachtung von Gesundheitswerten geht. Oura gibt an, inzwischen mehr als 5,5 Millionen Ringe verkauft zu haben und weltweit mehr als fünf Millionen Mitglieder zu erreichen. Grund genug, sich so einen Ring einmal etwas genauer anzuschauen – insbesondere aus Datenschutzsicht.

Ich nutze dafür den Oura Ring 5, der seit Mai 2026 die aktuelle Generation ist. Der Ring ist vollständig aus Titan gefertigt und enthält unter anderem optische Sensoren, einen Temperatursensor und einen Beschleunigungssensor.

Erfasst beziehungsweise daraus abgeleitet werden unter anderem Herzfrequenz, Herzfrequenzvariabilität (HRV), Atemfrequenz, Bewegung, Hauttemperatur, Blutsauerstoff und Schlafphasen. Bei den optischen Messungen kommt unter anderem Photoplethysmographie (PPG) zum Einsatz. Daraus entstehen weitere Auswertungen rund um Schlaf, Aktivität, Tagesform, Stress und Erholung. Über Wochen, Monate und Jahre ergibt sich damit eine ziemlich detaillierte Chronik des eigenen Körpers.

Der Beitrag ist kein klassischer Test des Oura Ring 5. Mich interessiert vor allem die Datenschutzseite: Welche Daten fallen an? Was landet bei Oura? Welche Dienste kontaktiert die App? Welche davon sind tatsächlich notwendig? Wie abhängig ist das System von der Hersteller-Cloud? Und könnte ein solcher Ring technisch nicht auch weitgehend lokal betrieben werden?

Bei einem Oura Ring reden wir nicht über Telemetriedaten eines Fernsehers oder darüber, welche Schaltfläche jemand in einer App angeklickt hat. Oura schreibt in seiner Datenschutzerklärung vom 15. Juni 2026 selbst ziemlich deutlich, wie sensibel diese Informationen sind. Verarbeitet werden beim Einsatz des Rings und der dazugehörigen Dienste unter anderem:

Farbenblind-Modus

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonders geschützten Kategorien personenbezogener Daten. Nachfolgend ein Screenshot mit Fake-Daten:

Oura formuliert zum Umgang mit sensiblen personenbezogenen Daten:

“We process your sensitive personal data only with your consent.”

Das ist zunächst einmal richtig und bei solchen Daten auch notwendig. Wichtig ist aber ein anderer Punkt: Gesundheitsdaten werden nicht dadurch harmlos, dass im Konto vielleicht kein Klarname steht. Schlafzeiten, Ruhepuls, Temperaturverläufe, HRV, Aktivitätsmuster und gegebenenfalls Standortdaten ergeben über längere Zeiträume ein sehr individuelles Profil. Man sieht, wann jemand schläft, wann er aufsteht, wie regelmäßig er sich bewegt, wie sich körperliche Belastung und Erholung verändern und möglicherweise sogar, wann etwas gesundheitlich aus dem üblichen Muster läuft.

Wie genau die einzelnen Messwerte und daraus abgeleiteten Auswertungen tatsächlich sind, kann ich selbst nicht fundiert bewerten. Wer sich dafür interessiert, sollte einen Blick auf den YouTube-Kanal The Quantified Scientist werfen. Dort werden Wearables regelmäßig mit Referenzgeräten verglichen und systematisch getestet.

Auch für den Oura Ring 5 gibt es entsprechende Messreihen. In diesen Tests schneiden die nächtliche Herzfrequenz und HRV sehr gut ab. Auch bei der Erkennung der Schlafphasen gehört Oura im Vergleich zu anderen Consumer-Wearables zu den besseren Geräten. Deutlich größere Schwierigkeiten zeigt der Ring dagegen bei der Herzfrequenzmessung während sportlicher Aktivität.

Solche Tests sind keine klinische Validierung und beruhen teilweise auf Messungen an einer einzelnen Person. Sie geben aber einen wesentlich besseren Eindruck von der Messgenauigkeit, als ich ihn mit einem normalen Alltagstest liefern könnte. Mein Schwerpunkt liegt deshalb an anderer Stelle: Welche Daten erfasst das System, wo landen sie anschließend und wofür werden sie verwendet?

Eine wirklich anonyme Nutzung ist mit dem offiziellen Oura-System kaum möglich. Der unmittelbare Bezug zur eigenen bürgerlichen Identität lässt sich aber zumindest deutlich reduzieren. Für das Oura-Konto bietet sich zunächst eine separate E-Mail-Adresse oder ein Alias an. Oura weist selbst darauf hin, dass diese Adresse nicht mit der beim Kauf verwendeten E-Mail-Adresse übereinstimmen muss.

Auch bei der Bezahlung ist eine pseudonyme Nutzung grundsätzlich denkbar. Wichtig ist zunächst: Der kostenlose Probemonat kommt nicht ohne hinterlegte Zahlungsart aus. Für neue Mitglieder gehört die Angabe von Rechnungsadresse und Zahlungsart zum Einrichtungsprozess der Mitgliedschaft. Erst nach Abschluss dieses Schritts ist die Einrichtung von Konto und Mitgliedschaft vollständig – belastet wird die Zahlungsart allerdings erst nach Ablauf des kostenlosen Monats.

Aus der Kreditkartennummer allein erhält Oura nicht automatisch Name und Anschrift des Karteninhabers. Werden ein abweichender Name und andere Adressdaten angegeben und die Kartenzahlung trotzdem akzeptiert, kann der unmittelbare Klarnamen- und Adressbezug bei Oura daher weitgehend entfallen. Eine interne Nutzer-ID oder IP-Adresse verrät Oura für sich genommen ebenfalls nicht den bürgerlichen Namen hinter dem Konto.

Eine Garantie dafür ist das allerdings nicht. Der Zahlungsdienstleister und die kartenausgebende Bank kennen weiterhin den tatsächlichen Karteninhaber. Ein direkter Klarnamenbezug kann außerdem über andere Informationen wieder entstehen – beispielsweise wenn der Ring direkt bei Oura unter echtem Namen bestellt wurde oder später identifizierende Angaben über Support oder zusätzliche Dienste hinzukommen.

Hinzu kommt: Oura verlangt offiziell eine zur Zahlungsart gehörende Rechnungsadresse sowie eine Wohnadresse für die Mehrwertsteuerberechnung und fordert korrekte Konto- und Zahlungsinformationen. Abweichende oder falsche Angaben können daher zu einer abgelehnten Zahlung oder anderen Problemen mit Abrechnung und Konto führen.

Datenschutzrechtlich bleiben die Gesundheits-, Geräte- und Nutzungsdaten personenbezogene Daten, auch wenn Oura den Datensatz möglicherweise nicht unmittelbar einem bürgerlichen Namen zuordnen kann. Das ist ein wichtiger Unterschied: Den Klarnamenbezug zu vermeiden bedeutet nicht, dass die Daten anonym sind.

Technisch ist zunächst wichtig, zwischen Ring und App zu unterscheiden. Der Oura Ring selbst besitzt keine WLAN- oder Mobilfunkverbindung. Die Kommunikation mit dem Smartphone erfolgt über Bluetooth Low Energy (BLE). Vereinfacht sieht der vorgesehene Datenweg so aus:

Oura Ring -> Bluetooth LE -> Oura-App -> Internet -> Oura-Infrastruktur

Die Domains, die später im Netzwerkfilter auftauchen, kontaktiert also nicht der Ring selbst. Die Verbindungen werden von der Oura-App auf dem Smartphone aufgebaut. Der Ring kann Messwerte zunächst auch lokal speichern. Beim Oura Ring 5 sind es laut Oura bis zu drei Tage Daten ohne Synchronisierung. Beim Ring 4 und Gen3 waren es noch bis zu sieben Tage.

Auch im Flugzeugmodus misst der Ring weiter. Dabei wird die Funkübertragung einschließlich Bluetooth abgeschaltet. Der Flugzeugmodus selbst kann maximal sieben Tage aktiviert bleiben. Das sollte man nicht mit der Speicherkapazität verwechseln: Beim Ring 5 können laut Oura trotzdem nur bis zu drei Tage Messdaten ohne Synchronisierung gespeichert werden. Wer länger nicht synchronisiert, riskiert entsprechend Datenverlust.

Die Messung selbst setzt also weder einen permanenten Internetzugang noch eine permanente Bluetooth-Verbindung voraus. Für die von Oura vorgesehene dauerhafte Nutzung und Auswertung spielt die App samt Oura-Infrastruktur anschließend aber eine zentrale Rolle.

Wie schon bei meinem Test der Garmin Venu 4 habe ich mir angesehen, welche Verbindungen die Android-App im normalen Betrieb aufbauen möchte. Mein Setup ist dabei wie folgt:

• Oura Ring 5
• Oura-App unter GrapheneOS
• Netzwerkfilterung mit RethinkDNS
• Beobachtung über zwei Wochen
• Drittanbieter-Verbindungen blockiert
• Stand: 07.09.2026

Im Sieben-Tage-Fenster sieht man neben den eigentlichen Oura-Diensten eine ganze Reihe zusätzlicher Anbieter. Besonders häufig wollte die App Segment, Firebase und Braze kontaktieren. Die Tabelle zeigt dabei nicht den gesamten Datenverkehr der App, sondern die auffälligsten Drittanbieter-Endpunkte aus meinem Mitschnitt.

Die Zahlen sollte man nicht überinterpretieren. Sie zeigen DNS- beziehungsweise Verbindungsversuche, nicht die Menge der übertragenen Daten und schon gar nicht deren Inhalt. Bei blockierten Endpunkten kommt hinzu, dass ein SDK einen fehlgeschlagenen Zugriff immer wieder versuchen kann. 5735 Zugriffsversuche auf Segment bedeuten also nicht, dass 5735 unterschiedliche Datenübertragungen stattgefunden haben.

Aus einem DNS-Log lässt sich ebenfalls nicht ableiten, ob beispielsweise Gesundheitsdaten übertragen werden. Die farbige Spalte ist daher keine Aussage darüber, welche konkreten Daten tatsächlich an einen Anbieter fließen. Sie zeigt vielmehr, wie kritisch ich die jeweilige Verbindung im Kontext einer App einordne, die besonders sensible Gesundheitsdaten verarbeitet. Analyse-, Engagement- und Identifikationsdienste bewerte ich dabei bewusst strenger als reine Konfigurations- oder Diagnoseendpunkte:

Farbenblind-Modus

Farbenblind-Modus

Interessant ist damit vor allem der praktische Befund: Segment, Braze, Sentry, Firebase/Crashlytics und Adobe bleiben in meinem Setup blockiert – und die Kernfunktionen des Oura Ring funktionieren trotzdem. Der Ring synchronisiert, Schlaf- und Gesundheitswerte erscheinen und die App lässt sich normal verwenden. Für den eigentlichen Grundbetrieb sind diese Drittanbieter-Verbindungen in meinem Setup also nicht notwendig.

Interessanter als die vollständige Liste aller angefragten Domains ist deshalb die Frage, was übrig bleibt, wenn man die Oura-App möglichst restriktiv betreibt. In meiner aktuellen RethinkDNS-Konfiguration sind nur wenige Oura-Domains freigegeben. Sie reichen in meinem Setup für den normalen Betrieb aus. Nicht jede davon wird ständig benötigt – einige spielen nur bei bestimmten Funktionen wie Updates oder Medieninhalten eine Rolle.

Wie bei den Drittanbieter-Domains zeigt die farbige Spalte keine pauschale Bewertung des jeweiligen Hosts. Entscheidend ist, ob eine Domain unmittelbar an Konto, Synchronisierung, Gesundheitsdaten oder Auswertungen angebunden ist oder eher Updates beziehungsweise statische Inhalte ausliefert. Die Zuordnung der Domains basiert auf dem beobachteten Verhalten der App, öffentlich verfügbaren Informationen und der jeweiligen Funktion im laufenden Betrieb. Wo sich die Aufgabe eines Endpunkts nicht eindeutig bestimmen lässt, ist das entsprechend gekennzeichnet:

Farbenblind-Modus

Entscheidend ist: Für meinen normalen Betrieb reicht eine vergleichsweise kleine Oura-Whitelist, während die zahlreichen Drittanbieter-Dienste dauerhaft blockiert bleiben können.

Das ist ein ähnliches Bild wie bei Garmin: Es gibt eine relativ kleine Hersteller-Infrastruktur für Konto, Synchronisierung, Auswertungen und bestimmte Gerätefunktionen. Daneben enthält die App weitere Analyse-, Diagnose- und Engagement-Dienste, die für den Grundbetrieb nicht notwendig sind.

Der Netzwerkverkehr zeigt nur, welche Systeme die App kontaktieren möchte. Wie Oura personenbezogene Daten nach eigener Darstellung verarbeitet und wofür sie verwendet werden, ergibt sich aus der Datenschutzerklärung.

Oura verarbeitet personenbezogene Daten zunächst für die eigentlichen Funktionen des Rings und der App: Gesundheitswerte berechnen, personalisierte Auswertungen erstellen, das Konto verwalten und den Dienst technisch bereitstellen. Darüber hinaus nennt die Datenschutzerklärung weitere Zwecke:

• Kundenservice
• Verbesserung der Dienste
• Analyse der Nutzung
• Marketing
• Partnerdienste und Integrationen
• Entwicklung und Verbesserung KI-gestützter Funktionen

Der letzte Punkt ist bei Gesundheitsdaten besonders relevant. Oura erklärt ausdrücklich, personenbezogene Daten zur Entwicklung, zum Testen, zur Verbesserung und Unterstützung eigener KI-, Machine-Learning– und LLM-Funktionen verwenden zu können. Als Schutzmaßnahmen nennt das Unternehmen unter anderem Pseudonymisierung, Aggregation und De-Identifizierung.

Wie wirksam diese Maßnahmen im konkreten Fall sind, lässt sich von außen allerdings kaum beurteilen. Gerade langfristige Gesundheitsprofile sind sehr individuell, und Pseudonymisierung bedeutet nicht automatisch Anonymisierung. Oura erklärt zwar, personenbezogene Daten nicht zum Training von LLMs Dritter zu verkaufen. Für die Entwicklung eigener KI-Funktionen können personenbezogene Daten nach der Datenschutzerklärung aber weiterhin verwendet werden.

Im Trust Center formuliert Oura ziemlich eindeutig:

Wir verkaufen Ihre Daten nicht.

Auch die Datenschutzerklärung sagt, dass personenbezogene Daten nicht verkauft oder vermietet werden. Sensible personenbezogene Daten sollen außerdem nicht für zielgerichtete Werbung verwendet werden. Das ist positiv und unterscheidet Oura von einem Geschäftsmodell, das unmittelbar auf Werbung und Datenhandel basiert.

»Nicht verkaufen« bedeutet allerdings nicht, dass die Daten ausschließlich von Oura selbst verarbeitet werden. Das Unternehmen setzt nach eigener Aussage Dienstleister und Partner unter anderem für die technische Bereitstellung der Plattform, Datenspeicherung, Kundendienst, Marketing und Nutzungsanalyse ein. Das passt zu meinem Netzwerk-Test: In der Oura-App tauchen Drittanbieter wie Segment, Braze, Firebase, Sentry und Adobe auf. Aus den DNS-Verbindungen lässt sich nicht ableiten, welche konkreten Daten an diese Anbieter übertragen werden. Der Test zeigt aber, dass entsprechende externe Dienste technisch eingebunden sind.

Umso interessanter ist der Praxistest: Diese Drittanbieter-Verbindungen bleiben bei mir blockiert, ohne dass Synchronisierung, Schlafauswertung oder die übrigen Kernfunktionen des Rings ausfallen. Für den eigentlichen Grundbetrieb sind sie also offenbar nicht erforderlich.

Oura weist darauf hin, dass personenbezogene Daten auch außerhalb des Landes verarbeitet werden können, in dem der Nutzer lebt. Für Übermittlungen in die USA verweist das Unternehmen unter anderem auf vertragliche Schutzmaßnahmen und das EU-US Data Privacy Framework. Als Beruhigung taugt letzteres aus meiner Sicht allerdings kaum: Es schafft einen rechtlichen Rahmen für Datentransfers, ändert aber nichts daran, dass Daten anschließend dem US-Rechtsraum unterliegen. Dass für europäische Nutzer die finnische Oura Health Oy verantwortlich ist, bedeutet deshalb nicht, dass die Daten ausschließlich in der EU verarbeitet werden.

Auch die Speicherdauer ist relevant: Schlaf-, Tagesform- und Aktivitätsdaten können grundsätzlich so lange gespeichert werden, wie das Oura-Konto aktiv ist. Wer den Ring über Jahre nutzt, baut damit beim Anbieter eine entsprechend lange Gesundheitshistorie auf.

Export und Kontolöschung sind möglich, einzelne Daten können aufgrund gesetzlicher Pflichten länger gespeichert bleiben. Aus Sicht der Datenminimierung bleibt für mich trotzdem die entscheidende Frage: Warum muss eine solche Gesundheitshistorie überhaupt dauerhaft beim Hersteller liegen?

Wie viel sich beim Oura Ring auch ohne Hersteller-Cloud direkt lokal machen lässt, zeigt das Projekt open_oura. Es untersucht das proprietäre Bluetooth-Protokoll der Oura-Ringe und entwickelt unter anderem einen unabhängigen, cloudfreien Client. Das Projekt wurde mit Ring 3 und Ring 5 getestet und ist laut Entwickler aufgrund des gemeinsamen Protokolls grundsätzlich auch für Ring 4 ausgelegt.

open_oura kann nach aktuellem Stand verschiedene Daten direkt per BLE aus dem Ring lesen – ohne Oura-Konto und ohne vorherigen Umweg über die Oura-Cloud. Dazu gehören unter anderem:

• Geräteinformationen und Akkustand
• aktuelle Herzfrequenz
• IBI- und HRV-Daten
• SpO2-Daten
• PPG-Rohdaten
• Temperaturdaten
• Bewegungsdaten
• Schlafphasen
• Aktivitäts- beziehungsweise MET-Daten

Das zeigt bereits, dass der Ring technisch deutlich mehr ist als ein einfacher Sensor, dessen Rohdaten erst in der Oura-Cloud ausgewertet werden.

Noch interessanter ist das Reverse Engineering der offiziellen Oura-App. Nach dem aktuellen Stand von open_oura werden verschiedene bekannte Oura-Werte nicht in der Cloud berechnet, sondern lokal auf dem Smartphone beziehungsweise teilweise bereits auf dem Ring. Für die Berechnungen verwendet Oura unter anderem eine native Komponente namens ecore sowie lokale Modelle.

Das Projekt führt unter anderem lokale beziehungsweise lokal reproduzierbare Berechnungen für Schlaf, HRV, SpO2 und weitere Gesundheitsmetriken auf. Auch die bekannten 0-bis-100-Werte für Schlaf, Aktivität und Tagesform sollen nach aktuellem Reverse-Engineering-Stand nicht erst auf Oura-Servern entstehen. Die Ergebnisse werden anschließend mit der Oura-Infrastruktur synchronisiert und dort gespeichert.

Unterm Strich spricht vieles dafür, dass ein großer Teil der Verarbeitung direkt auf dem Ring und dem Smartphone stattfinden kann. Die starke Bindung an die Oura-Cloud wirkt damit bei vielen Funktionen eher wie eine Entscheidung des Herstellers als wie eine technische Notwendigkeit.

Man sollte daraus allerdings nicht schließen, dass open_oura bereits eine komfortable Alternative zur Oura-App wäre. Das Projekt besteht vor allem aus Rust-Bibliotheken, Kommandozeilenwerkzeugen, Python-Code und umfangreicher Dokumentation des proprietären Protokolls. Für bestimmte Funktionen ist außerdem der 16 Byte lange Authentifizierungsschlüssel des Rings erforderlich. Proprietäre Oura-Modelle werden ausdrücklich nicht mit dem Projekt verteilt.

Von einer Lösung wie Gadgetbridge, die man einfach auf dem Smartphone installiert, den Ring koppelt und anschließend täglich verwendet, sind wir also noch entfernt. Trotzdem zeigt das Projekt ziemlich anschaulich, was technisch möglich wäre.

Genau so etwas würde ich mir von Oura selbst wünschen: Eine dokumentierte lokale Schnittstelle, über die sich die eigenen Messwerte direkt vom Ring abrufen und lokal auf dem Smartphone speichern und auswerten lassen – ganz ohne Cloud-Zwang.

Oura ist mit seiner Cloud-Bindung kein Einzelfall. Bei den meisten bekannten Smart Rings gehören Hersteller-App, Konto und Backend zum vorgesehenen Nutzungskonzept. Wirklich interessant wird es deshalb dort, wo freie Apps oder Reverse-Engineering-Projekte die direkte Bluetooth-Kommunikation mit dem Ring übernehmen und die Daten lokal auf dem Smartphone verarbeiten.

Die derzeit praktischste Lösung unter Android sind verschiedene günstige Smart Rings von COLMI beziehungsweise Yawell. Gadgetbridge unterstützt unter anderem mehrere QRing-kompatible Modelle wie R02, R03, R09 und R10. Je nach Modell lassen sich Herzfrequenz, Schlafphasen, SpO2, Schritte, Stress, Temperatur und HRV direkt lokal synchronisieren und auswerten. Die Hersteller-App ist dafür nicht notwendig. Gadgetbridge besitzt standardmäßig keine Internetberechtigung, sodass die Gesundheitsdaten nicht automatisch an einen Hersteller-Server übertragen werden können. Der Nachteil liegt eher bei der Hardware: Die Ringe sind sehr günstig und bei Sensorik, Verarbeitung und Auswertung nicht mit einem Oura Ring gleichzusetzen. Zudem können sich unter identischen Modellbezeichnungen unterschiedliche Hardwarevarianten verbergen.

Auch der Ultrahuman Ring AIR lässt sich inzwischen direkt mit Gadgetbridge koppeln. Verschiedene Werte wie Herzfrequenz, HRV, SpO2, Temperatur, Schritte, Aktivität und Stress können bereits lokal ausgelesen werden. Die Unterstützung ist allerdings noch experimentell und nicht vollständig. Unter anderem fehlen derzeit einzelne Gerätefunktionen, Echtzeitmessungen und Firmware-Updates. Technisch ist der Ring damit interessant, als vollständig ausgereifte lokale Oura-Alternative würde ich ihn derzeit aber noch nicht betrachten.

Auch für RingConn entstehen freie Clients. OpenCircuit liest Daten kompatibler RingConn-Ringe direkt per Bluetooth aus und verarbeitet sie lokal. Unter iOS können sie anschließend auf Wunsch in Apple Health geschrieben werden. Für Android verfolgt RingLink einen ähnlichen Ansatz und speichert die Daten lokal beziehungsweise über Health Connect. Beide Projekte sind noch jung, zeigen aber in dieselbe Richtung wie open_oura: Die Hardware kann ihre Messwerte direkt an das Smartphone liefern, während die Cloud-Abhängigkeit vor allem durch das vom Hersteller gewählte Softwaremodell entsteht.

Eine wirklich gleichwertige lokale Oura-Alternative sehe ich derzeit noch nicht. Das liegt nicht nur an der Sensorik, sondern vor allem an der Auswertung. Oura ist gerade bei Schlaf, Erholung, HRV und langfristigen Trends ziemlich stark darin, aus vielen einzelnen Messwerten brauchbare Zusammenhänge abzuleiten. Ein Ring kann technisch noch so offen und cloudfrei sein – wenn die Analyse wenig aussagekräftig ist, hilft einem die lokale Datenhaltung im Alltag nur begrenzt.

Wer unter Android möglichst lokal arbeiten möchte, findet bei COLMI beziehungsweise Yawell zusammen mit Gadgetbridge momentan trotzdem die praktischste Lösung. Ultrahuman und RingConn sind ebenfalls interessant, die freien Clients sind dort aber noch nicht so weit – und bei allen Alternativen bleibt die Frage, wie gut die Messwerte nicht nur ausgewertet, sondern dem Nutzer auch verständlich und sinnvoll aufbereitet werden. Denn rohe Daten allein bringen im Alltag wenig, wenn daraus keine nachvollziehbaren Trends, Zusammenhänge und Hinweise entstehen.

Neben der Cloud-Frage sind für den praktischen Einsatz vor allem drei Punkte interessant: Wie bekommt man die eigenen Daten aus dem Oura-System heraus, welche zusätzlichen Berechtigungen sind wirklich nötig und wo liegen die Stärken beziehungsweise Grenzen des Rings im Alltag?

Unter Android kann die Oura-App mit Health Connect verbunden werden. Gesundheitsdaten werden dort lokal auf dem Android-Gerät gespeichert und können kontrolliert zwischen Apps ausgetauscht werden. Oura kann unter anderem Herzfrequenz, HRV, Schlaf, Schritte, Distanz und Aktivitäten übertragen sowie verschiedene Daten aus Health Connect übernehmen. Praktisch ist das durchaus – eine lokale Alternative zur Oura-Cloud ist Health Connect aber nicht. Der Ring wird weiterhin von der Oura-App ausgelesen und die normale Synchronisierung mit der Hersteller-Infrastruktur bleibt bestehen.

Für den Zugriff auf die eigenen Daten bietet Oura zusätzlich einen Export über den Mitgliederbereich sowie die dokumentierte Oura API V2. Über diese Programmierschnittstelle können autorisierte Anwendungen beispielsweise auf Schlaf-, Aktivitäts-, Tagesform-, Herzfrequenz-, HRV-, Workout- und SpO2-Daten zugreifen. Die Authentifizierung erfolgt über OAuth 2.0. Auch hier gilt allerdings: Die API liest die Daten aus der Oura-Cloud und nicht direkt aus dem Ring.

Bei Ring 3 und neueren Generationen gehört die Oura-Mitgliedschaft praktisch zum Produkt. In der EU kostet sie derzeit 5,99 Euro pro Monat oder 69,99 Euro pro Jahr – der erste Monat ist kostenlos. Ohne aktive Mitgliedschaft sind die Auswertungen deutlich eingeschränkt und der API-Zugriff entfällt, während der Datenexport weiterhin möglich bleibt. Das Modell ist durchaus gewöhnungsbedürftig: Man kauft vergleichsweise teure Hardware und bezahlt anschließend dauerhaft für den vollständigen Zugriff auf die daraus erzeugten Auswertungen. Ein transparentes Bezahlmodell ist mir trotzdem lieber als ein vermeintlich kostenloser Gesundheitsdienst, der sich über Werbung oder Profilbildung finanziert – die Cloud-Abhängigkeit löst das Abo allerdings nicht.

Der Oura Ring selbst besitzt kein GPS. Für Routen, Distanz, Geschwindigkeit oder Tempo bei geeigneten Aktivitäten greift die App auf die Standortdaten des Smartphones zurück. Wer solche Aufzeichnungen nicht benötigt, kann die Standortberechtigung weglassen oder entsprechend einschränken – die eigentlichen Ringmessungen funktionieren davon unabhängig.

Das ist nicht nur aus Datenschutzsicht sinnvoll. Häufige oder dauerhafte Standortabfragen können zusätzlich Akku auf dem Smartphone kosten. Wer keine GPS-Routen in Oura braucht, spart sich damit also sowohl eine weitere sensible Datenquelle als auch unnötigen Energieverbrauch.

Die eigentliche Stärke des Oura Ring liegt für mich bei Schlaf, Ruhepuls, HRV, Temperatur, Erholung und langfristigen Trends. Gerade nachts ist ein Ring angenehm unauffällig: kein Display, keine Apps und keine Benachrichtigungen. Interessanter als einzelne Scores sind ohnehin die Entwicklungen über Wochen und Monate – etwa Veränderungen bei Ruhepuls, HRV, Schlafdauer oder Temperatur. Solche Werte können Trends und Auffälligkeiten sichtbar machen, sind aber kein Ersatz für medizinische Diagnostik.

Als Ersatz für eine Sportuhr würde ich den Ring nicht betrachten. Bei der automatischen Aktivitätserkennung gibt es eine klare Untergrenze: Aktivitäten müssen mindestens zehn Minuten dauern, damit Oura sie automatisch als eigene Aktivität erkennt und anschließend zur Bestätigung beziehungsweise Bearbeitung vorschlägt. Eine fünf oder sechs Minuten lange Fahrradfahrt taucht deshalb nicht als separate Trainingseinheit auf. Die Bewegung kann zwar weiterhin in allgemeine Tageswerte einfließen, als eigenes Training wird sie aber nicht erfasst. Für kurze Einheiten, detailliertes Sporttracking, Navigation, GPS-Aufzeichnung oder Live-Metriken sind klassische Sportuhren deshalb deutlich besser geeignet.

Der Oura Ring ist damit weniger Trainingscomputer als langfristiger Gesundheits- und Erholungstracker. Genau in dieser Rolle spielt das Konzept aus meiner Sicht seine Stärken aus.

Aus Datenschutzsicht würde ich von der Nutzung des Oura Ring 5 in der derzeit vorgesehenen Form klar abraten. Dafür sind mir die erhobenen Gesundheitsdaten zu sensibel und die Bindung an Konto, App, Hersteller-Infrastruktur und Cloud zu eng. Dass zusätzlich Analyse-, Engagement- und Diagnose-Dienste eingebunden sind, obwohl sie für den Grundbetrieb nicht notwendig sind, verbessert den Eindruck nicht.

Wer den Ring trotzdem nutzen möchte, sollte die Datenverarbeitung so weit wie möglich begrenzen: das Konto möglichst pseudonym anlegen, keine unnötigen Profilangaben machen, keinen Standortzugriff freigeben, zusätzliche Integrationen vermeiden und nicht benötigte Drittanbieter-Domains der Oura-App blockieren.

Das Reverse-Engineering-Projekt open_oura zeigt zudem, dass technisch deutlich mehr lokale Verarbeitung möglich ist, als Oura derzeit vorsieht. Ein offizieller Modus, bei dem Messwerte direkt vom Ring ausgelesen, auf dem Smartphone gespeichert und wesentliche Auswertungen lokal berechnet werden, wäre aus Datenschutzsicht die deutlich bessere Lösung.

Über den Autor | Kuketz

Als freiberuflicher Pentester und Sicherheitsforscher bei Kuketz IT-Security untersuche ich IT-Systeme, Webanwendungen sowie Android- und iOS-Apps auf Schwachstellen. Darüber hinaus lehre ich IT-Sicherheit an der DHBW Karlsruhe, gebe Workshops und Schulungen und halte Vorträge auf Fachveranstaltungen. Als Autor schreibe ich unter anderem für c’t. Meine Arbeit und der Kuketz-Blog werden regelmäßig in Medien wie heise online, Spiegel Online und der Süddeutschen Zeitung aufgegriffen.

Mehr Erfahren ➡

Unterstützen

Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leser ermöglicht. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.

Folge dem Blog

Neue Beiträge bekommst du per Mastodon, RSS oder E-Mail.