Dating-Apps, Zyklus-Tracker oder harmlos scheinende Tastatur-Apps: Norwegische Datenschützer:innen haben sich zehn beliebte Smartphone-Apps näher angesehen, darunter Tinder, My Days oder Wave Keyboard. Alle der untersuchten Apps gaben personenbezogene und in aller Regel intime Daten an Werbenetzwerke oder ähnliche Dritt-Anbieter weiter, die daraus individualisierte Profile der Nutzer:innen erstellen – eine Praxis, die in Europa in dieser Form illegal ist.
„Diese Praktiken sind außer Kontrolle geraten und verstoßen gegen die EU-Datenschutzgrundverordnung (DSGVO)“, sagt Finn Myrstad, der sich im norwegischen Verbraucherrat Forbrukerrådet um Digitalpolitik kümmert. Das Ausmaß dieses Trackings mache es für Nutzer:innen unmöglich, bewusst und frei zu entscheiden, wie persönliche Daten gesammelt, geteilt und eingesetzt werden, so Myrstad.
Systematische Verstöße gegen Datenschutzregeln
„Out of Control“ – Außer Kontrolle – lautet passend der Titel der heute veröffentlichten Untersuchung von Forbrukerrådet. Unterstützung erhielten die Norweger:innen von der Sicherheitsfirma Mnemonic, dem Tracking-Experten Wolfie Christl von Cracked Labs und dem Datenschützer Max Schrems und seiner NGO noyb. Gemeinsam konnten sie nachweisen, dass die Online-Werbeindustrie in großem Umfang personenbezogene Daten illegal sammelt und damit systematisch gegen das europäische Datenschutzrecht verstößt. Dadurch werden Verbraucher:innen besonders anfällig für Manipulation und Ausbeutung, warnen die Forscher:innen.
Bei der Perioden-App MyDays bemängelt der Bericht beispielsweise, dass die mit GPS ermittelten Ortsangaben der Nutzerinnen mit einer ganzen Reihe an Drittparteien geteilt werden, die mit verhaltensbasierter Werbung und Profiling ihr Geld verdienen. Die Dating-App OkCupid wiederum teilt hochpersönliche Daten über Sexualität, Drogenkonsum, politische Ansichten und mehr mit dem Analytikunternehmen Braze.
Die negativen Effekte von Profiling
Viele Akteure in der Online-Werbebranche sammeln Informationen von einer Vielzahl an Quellen, unter anderem beim Surfen im Netz, von angeschlossenen Geräten und genutzten sozialen Medien. Wenn diese Daten kombiniert werden, können daraus viele Informationen über die Nutzenden abgeleitet werden. Allein daraus kann teilweise auf die sexuelle Neigung von Individuen geschlossen werden oder welche politische Meinung sie vertreten, wie bereits 2015 in einer Studie gezeigt wurde.
Diese massive kommerzielle Überwachung steht im Widerspruch zu Grundrechten und kann für eine Vielzahl schädlicher Anwendungen genutzt werden. Ebenfalls hat die weit verbreitete Überwachung das Potenzial, das Vertrauen der Verbraucher:innen in digitale Dienste nachhaltig zu beeinträchtigen, warnt Finn Myrstad.
Eine vergangenes Jahr veröffentlichte Studie von Amnesty International kam zu einem ähnlichen Ergebnis. Die NGO warnte damals, dass datengesteuerte Geschäftsmodelle eine ernsthafte Bedrohung für Menschenrechte wie Meinungs- und Redefreiheit, Gedankenfreiheit sowie das Recht auf Gleichheit und Nichtdiskriminierung darstellen.
Der Norwegische Verbraucherrat hat nun angekündigt, juristisch gegen die Datensammelwut der Industrie vorzugehen. Er will formelle Beschwerden unter anderem gegen Grindr, eine Dating-App für schwule, bi, trans und queere Menschen sowie Unternehmen, die über die App persönliche Daten erhalten haben, bei der norwegische Datenschutzbehörde wegen Verstößen gegen die DSGVO einreichen. Zu diesen Unternehmen zählen etwa Twitters MoPub, AT&Ts AppNexus, OpenX, AdColony und Smaato.
Forderungen an Politik und Unternehmen
Die norwegischen Verbraucherschützer:innen fordern Unternehmen auf, Alternativen zum derzeit dominierenden Online-Werbesystem zu entwickeln. Sie schlagen dafür unter anderem Technologien vor, die nicht auf die Erhebung und Weiterverarbeitung personenbezogener Daten angewiesen sind.
Des Weiteren wenden sie sich an die Politik, da die Konsument:innen ihrer Ansicht nach nur sehr limitierte Möglichkeiten haben, um sich gegen die zügellose Nutzung ihrer Daten zu wehren. Es liege an den Behörden, wirksame Maßnahmen zu ergreifen, um die Verbraucher:innen vor der illegalen Nutzung personenbezogener Daten zu schützen.
Was ich mich frage: Könnte nicht ein Softeware-Programm entwickelt werden, dass willkürlich Unfug in den Datenverkehr einschleust? Damit wären wohl abgesaugte Daten eher wertlos.
Das halte ich für nicht machbar, wenn es massentauglich sein soll und für Standardgeräte gedacht ist. Sowas klappt nur, wenn die Geräte- bzw. Betriebssystemhersteller das von vornherein implementieren. Es müsste ja für die Komponenten, aus denen ausgelesen wird, jeweils ein Dummy geschaffen werden, welches täuschend echte Falschinformationen liefert. Das verbraucht auch Ressourcen und abverlangt von Usern, dass diese akribisch ihre Maschinen konfigurieren. Welche App welche Zugriffe auf die authentischen Daten erhält, muss konfiguriert werden. Sonst kann man die App nicht nutzen.
Es gibt je nach Betriebssystem aber bestimmt die Möglichkeit speziell für einzelne konkrete Apps etwas zu programmieren, was den Upload manipuliert. Z.B. könnte eine Cloud mit Fakedaten genutzt werden, aus denen das passende geschöpft werden kann. Fraglich nur, ob das wirklich anonym umgesetzt werden kann. Sonst bringt das auch wieder keinen Sicherheitsgewinn. Und über kurz oder lang werden die Datensammler das mitbekommen und Gegenmaßnahmen ergreifen. Dann muss die Schutzsoftware gepatcht werden und ein Wettrennen entsteht.
Ich denke es wäre besser, wenn die Gesetzgebung da was macht.
1. Ampel einführen, die ganz oben in den Nutzungsbedingungen (Besser noch direkt über dem Einverstanden-Button) stichwortartig auflistet, wo die Hauptgefahren bestehen und dementsprechend eine Warnfarbe (Grün Gelb Rot) darstellt.
2. Geschäftsfeld Daten-Drittnutzung bzw. Profiling komplett lahmlegen. Ist eh purer Kommerz, der da stattfindet, offiziell + Überwachung, inoffiziell.
An sich wäre das mit dem Unfug ne super Idee, die auch funktioniert, aber wenn es dann später um richtige Strafverfolgung geht, würden Beweise nicht mehr von Unfug unterschieden werden können und damit insgesamt nichtig. Ebenso setzen manche Apps ja auch darauf, dass sich Nachrichten binnen weniger Sekunden nach dem Lesen löschen lassen. Was würde das aber für die Strafverfolgung bei Drohung gegen Dritte bedeuten?
Oder ein anderes Beispiel hinsichtlich der Strafverfolgung z. B. in privaten Chats, wo illegale Bilder getauscht werden oder Absprachen zu Kinderpornografie gehalten werden, würde man die Daten durch Unfug verwässern… Es würde letztlich zu viel Probleme erzeugen.
Ich muss nochmal aufklärerisch nachwirken und hoffe, dass mir das gestattet ist. Warum? Es geht mir darum, dass surreale fiktive Konzepte keine Weiterverbreitung erfahren.
„Ebenso setzen manche Apps ja auch darauf, dass sich Nachrichten binnen weniger Sekunden nach dem Lesen löschen lassen.“
Ich bezweifle, dass es überhaupt eine Kommunikationsapp gibt, die es verhindert, dass der User gespeicherte Kommunikation nicht sofort wieder löschen kann, insbesondere auf dem eigenen Gerät und egal ob Echtzeit oder Brief. Das wäre ein Bruch mit den hohen Prizipien auf die z.B. die DSGVO fußt, namentlich das Recht auf Löschung. Aber ich lasse mich gerne belehren. Bitte um Beispiel.
Das, was Ermittler mit den Handys von dringend Tatverdächtigen machen wollen, ist in erster Linie das Sichten von Dateien (Fotos, Videos, Texte) und ein Abgleich der Personen in Kontaktlisten mit bekannten Tätern. Interessant sind auch Browserhistorien. Alles Dinge die sofort und schwer oder gar nicht wiederherstellbar gelöscht werden können. Vekehrsdaten können beim ISP abgegriffen werden.
Interessant ist insbesondere noch das Mitlesen von Kommunikation in Echtzeit – noch bevor eine Verschlüsselung erfolgt – und daran wird auch fleissig gearbeitet. Im Nachhinein Gespräche zu lesen mag ein Sahnehäubchen sein, ist aber meist nicht relevant für die Strafverfolgung.
„Was würde das aber für die Strafverfolgung bei Drohung gegen Dritte bedeuten?“
„Es würde letztlich zu viel Probleme erzeugen.“
Das würde überhaupt kein Problem sein, da es den Ermittlungsbehörden egal ist, ob da was rauscht, da es gar nicht notwendig ist ein Profil zu bilden. Der theoretische Stream Kochtopf-Deckel-Pfeffer-Kinderporno-Löffel-Tasse-Autobahn-Fußball-Grünkohl ist genauso verfänglich wie Pfeffer-Kinderporno-Löffel. Eine Instanz „Kinderpornobild“ (oder ein Link auf eine bekannte Website) löst Alarm aus, egal wieviel Rauschen da drumherum ist.
Das künstliche Rauschen würde lediglich Internet-Netz-Ressoucen benötigen, allerdings nur geringfügig, da dies vorallem durch Videodateien (sehr viel Werbung und Vlogging) belastet wird und das Rauschen nur Text ist.
Eine noch vor dem Aufkommen eines Verdachtes verordnete Datenschutzkomprimitierung ist keine akzeptable Lösung. Das Recht auf Löschen darf nicht beschnitten werden ehe kein begründeter und richterlich bestätigter Verdacht vorhanden ist. Sonst ist Orwells 1984 nicht mehr nur eine Geschichte.
Hallo Veronika, sieht so aus, als ob Sie auf meine Ergänzung antworten (blauer Streifen links). Bin mir aber nicht so sicher, da ich keinen Bezug zu meinen Punkten erkenne.
Wie auch immer, es geht bei der Sache, die Sie Unfug getauft haben nicht um Strafverfolgung oder Dinge, die strafbewehrt wären. Es geht darum ein Rauschen im eigenen Datenstrom zu erzeugen, welches die tendentiell unverfänglichen persönlichen Daten (das eigentliche Signal) zu tarnen im Stande ist, um die Profilbildung ad absurdum zu führen.
Der Bereich Personalisierte Werbung will maßgeschneiderte Angebote an potentielle Kunden bringen. Das erhöht die Erfolgschancen im Vertrieb. Autofreaks bekommen Autowerbung. Leute mit vielen Gebrechen, bekommen Medikamente- und Therapiegerätewerbung. Freunde der Dichtkunst bekommen die passenden Bücher vorgeschlagen. Durch das beschriebene Rauschen funktioniert das so dann nicht mehr, da die Vorliebe z.B. für Pflanzen im Rauschen nicht mehr erkennbar ist und folglich keine personalisierte Werbung mehr erfolgen kann.
Bei Überwachungsmaßnahmen verhält es sich ähnlich bis equivalent.
Am besten einfach mal hier nachlesen: https://netzpolitik.org/2020/warum-wir-geschlechtergerechte-sprache-verwenden/