Fitness-Tracker sollen ihre Träger_innen motivieren, aktiver und gesünder zu leben – dafür überwachen sie die Herzfrequenz, zählen Schritte, erstellen Schlafanalysen und errechnen den Kalorienverbrauch. Student_innen der Oral Roberts University, einer privaten Hochschule im US-Bundesstaat Oklahoma, sind sogar verpflichtet, die Fitnessarmbänder zu tragen, um ihre Bewegungen aufzuzeichnen. „Früher mussten sie auf einem Zettel festhalten, wie viel Sport sie machen. Mit dem Tracker geht das jetzt viel einfacher“, so die Leiterin Kathaleen Reid-Martinez. Doch welche Daten werden von den Fitnessarmbändern plus dazugehörigen Apps eigentlich gesammelt und wie gehen die Hersteller damit um? Andrew Hilts von der kanadischen Non-Profit-Organisation Open Effect hat in Kooperation mit Christopher Parsons und Jeffrey Knockel vom Citizen Lab der University of Toronto acht beliebte Fitness-Tracker daraufhin untersucht, welche Daten von den Herstellern als „persönliche Daten“ eingestuft und wie diese geschützt werden.
Gestern veröffentlichten Open Effect und das Ciziten Lab erste Ergebnisse ihrer Untersuchung (Every Step You Fake. A Comparative Analysis of Fitness Tracker Privacy and Security, pdf). In den veröffentlichten Teilen 1 und 2 werden einerseits die Forschungsfragen näher erläutert sowie erste technische Resultate vorgestellt. Untersucht wurden acht Fitness-Tracker – sieben von ihnen aufgrund ihrer Popularität (Apple, Basis, Fitbit, Garmin, Jawbone, Withings, Xiaom) sowie zusätzlich ein Tracker der kanadischen Marke Mio.
EU-Datenschutzbeauftragter: Fitness-Daten sind persönliche Daten
Sorgen um die Sicherheit der Daten seien hinsichtlich einer fehlenden Regulation meist legitim, so die Wissenschaftler. Viele der Hersteller behalten sich die Rechte an den Daten ihrer Nutzer_innen vor, sie etwa kommerziell zu nutzen, an staatliche Behörden weiterzugeben, Analysen durchzuführen oder im Falle von Insolvenz oder Fusionen weiterhin darüber zu verfügen. Die Daten können zudem in individueller oder aggregierter Form weitergegeben werden, wobei die Hersteller sie meist anonymisieren – darauf wird im dritten Teil der Untersuchung eingegangen. Während in den USA und in Kanada kaum klare Richtlinien existieren und Daten aus Fitness-Trackern teilweise nicht einmal als Gesundheitsdaten gelten, definierte der Europäische Datenschutzbeauftragte Giovanni Buttarelli im Mai 2015 „Lifestyle“ Daten als persönliche Daten, wenn sie Rückschlüsse über die Gesundheit einer Person zulassen, „vor allem wenn es die Absicht einer Anwendung ist, die Gesundheit oder das Wohlergehen eines Individuums zu überwachen (unabhängig davon ob es sich um einen medizinischen oder anderweitigen Kontext handelt)“ (Mobile Health. Reconciling technological innovation with data protection, pdf, S. 5).
Nur Apple besteht die Sicherheitsüberprüfung
Technisch prüften die Forscher, ob die Fitness-Daten verschlüsselt hochgeladen werden, wie anfällig sie während der Übertragung für Manipulationen sind und ob Bluetooth LE Privacy implementiert ist – diese Funktion wechselt die spezifische MAC Adresse eines Geräts regelmäßig, um eine andauernde Überwachung zu erschweren. Außer dem Tracker von Garmin übertragen alle Fitnessarmbänder ihre Daten verschlüsselt. Bei Garmin und Whithings fanden sich zudem Sicherheitslücken, die es Dritten erlauben, Nutzer-Daten einzusehen, zu erstellen und zu löschen. Bei Jawbone and Withings ist es Nutzer_innen möglich, eigene, falsche Datensätze hochzuladen – dies stelle die Glaubwürdigkeit von Fitness-Tracker-Daten etwa für Gerichtsprozesse oder Versicherungsprogramme infrage, so die Wissenschaftler. Da nur die Apple Watch Bluetooth LE Privacy nutzt, senden die sieben anderen Tracker permanent eindeutige Zuordnungsmerkmale, durch die unter Umständen etwa die Position ihrer Träger_innen überwacht werden kann.
Die Forscher kontaktierten im November die sieben Hersteller, bei denen Sicherheitsmängel gefunden wurden – nur Fitbit, Basis und Mio reagierten darauf und zeigten Dialogbereitschaft. Hilts, Parsons und Knockel fordern in einem ersten Fazit, dass Konsument_innen besser über die Sicherheitsvorkehrungen und den Datenschutz bei Fitness-Trackern in Kenntnis gesetzt werden sollen. Nur so können sie entscheiden, ob sie sich mit der Nutzung ihrer Fitness-Daten wohl fühlen.