Problem-GeschäftsmodelleGoogle verheddert sich im eigenen Überwachungsapparat

Arizonas oberster Jurist meint es ernst und will Googles Geschäftsmodell bei standortbasierter Werbung an den Kragen: Es sei ein Gesetzesverstoß, wie der Datenkonzern beim Sammeln von Bewegungsdaten Nutzer in die Irre führt. Aussagen von Angestellten sowie Papiere aus Google-Krisensitzungen belegen die Vorwürfe und zeigen, wie selbst Google-Leute die Bewegungsverfolgung nicht abstellen können.

Auf fast achtzig Prozent aller weltweiten Smartphones läuft Android. CC-BY-NC 2.0 Thomas Hawk

Dass Google auf allen erdenklichen Wegen versucht, Informationen über die geographische Position, die Aufenthalte und die Bewegungen seiner Nutzer abzugreifen, wird niemanden überraschen: Das Geschäftsmodell heißt Werbung, und die verkauft sich eben besser, wenn der Werbende weiß, wo sich sein Werbeopfer gerade befindet. Aber viele Nutzer sind der Ansicht, man könne das immerhin abschalten, um nicht auf Schritt und Tritt beobachtet zu werden. Dass dies ein bloßes Wunschdenken ist, lässt sich in jüngst freigegebenen Akten einer Klage gegen Google im US-Staat Arizona nachlesen.

Die Information, wo sich Nutzer befinden, ist für Google bares Geld wert. Durch die mobile Netznutzung ist es möglich, Werbung an präzisere geographische Daten zu binden. Dass Google solche Bewegungsdaten zu Geld macht, bestreitet der Konzern nicht. Das ist schließlich auch nicht per se illegal und oft die Standardvoreinstellung, etwa bei Googles Android-Betriebssystem für Smartphones. Allerdings bietet der Werbekonzern den Nutzern an, die Sammlung der Bewegungsdaten zu deaktivieren, wenn sie sich gegen dieses „location tracking“ entscheiden wollen.

Aus teilweise geschwärzten internen Akten des Konzerns geht jedoch hervor, dass selbst Googles eigene Leute der Ansicht sind, die Abwahl der Sammlung von Bewegungsdaten sei derart verschleiert und verkompliziert, dass es in der Praxis nahezu unmöglich ist, diesem Tracking zu entgehen. Die Google-Mitarbeiter haben es im Selbstversuch auch nicht hinbekommen, die Sammlung der Bewegungsdaten vollständig zu deaktivieren. In unternehmensinternen Meetings sprachen sie untereinander darüber, wie unübersichtlich und irreführend die Einstellungen in der Software ihres Arbeitgebers seien.

Das Verfahren gegen Google geht auf eine lesenswerte Recherche und Veröffentlichung von Associated Press (AP) zurück, in der die Journalisten detailliert dargelegt hatten, welche Bewegungsdaten Android-Smartphones, aber auch iPhones der Firma Apple über ihre Besitzer sammelten, obwohl in den Einstellungen das „location tracking“ deaktiviert war. Die Recherche zeigte: Wer die „Location History“ auf seinem Mobilgerät stoppt, beendet dennoch nicht, dass Google die Bewegungsdaten speichert.

Diese trügerische Geschäftspraxis von Google sei nicht rechtens, stellt die nun öffentliche erweiterte Beschwerdeschrift (pdf) nüchtern fest.

Nutzer gesetzwidrig in die Irre geführt

Praktisch bedeutet das: Es mögen viele Nutzer zwar meinen, sie hätten das Tracken der Bewegungen deaktiviert und sich damit gegen das Aufzeichnen ihrer Aufenthaltsorte geschützt, weil es in den Einstellungen der Software so wirkt, aber faktisch werden diese Daten weiterhin gespeichert und zu Google übertragen. In der ursprünglichen Beschwerdeschrift vom Mai 2020 (pdf) hatte der Attorney General von Arizona und damit der Oberste Justizbeamte des Bundesstaates daher mehrere Vorwürfe des Verstoßes gegen Verbraucherrechte gegen Google erhoben. Insbesondere weil auch Aufenthaltsdaten gesammelt und verarbeitet werden, die von den Nutzer gerade nicht freigegeben und durch aktive Maßnahmen als geschützt markiert wurden, sieht dies der Republikaner als klaren Gesetzesverstoß.

Tatsächlich braucht man wohl keine allzu große Phantasie, um zu dem Schluss zu kommen, dass es sich hier um Absicht handelt: Der Vorwurf lautet, dass Google seine Nutzer gesetzwidrig in die Irre führt. Die Methoden, mit denen Google die Bewegungsdaten überwache, seien teilweise „willfully deceptive“ (vorsätzlich trügerisch). Sie seien ein Verstoß gegen den Arizona Consumer Fraud Act, ein Gesetz zum Verbraucherschutz in dem Bundesstaat.

Googles „weitreichender Überwachungsapparat“

Es laufen allein in den Vereinigten Staaten mehr als vierzig kartellrechtliche Verfahren gegen Google, in verschiedenen europäischen Staaten wurde die Datenschutzgrundverordnung in mehreren Beschwerden gegen die Standortdatenspeicherung in Stellung gebracht. Die New York Times berichtete letzte Woche, dass wohl schon Ende September ein umfängliches Kartell-Verfahren gegen das Google-Mutterunternehmen Alphabet eröffnet werde. Sowohl die Suchmaschine als auch die Werbevermarktung würden nach Ansicht des US-Justizministers den Maßgaben der Kartellgesetze nicht genügen.

Der Werbekonzern ist also rechtlichen Ärger gewöhnt. Der Arizona-Fall fußt allerdings auf Verbraucherrechten und ist grundsätzlicher Natur in dem Sinne, dass explizit der Kern des Geschäftsmodells als Teil der Beschwerdeschrift angegriffen wird. Dabei werden die Google-Nutzer in aller Deutlichkeit als „targets of a sweeping surveillance apparatus“ (Ziele eines weitreichenden Überwachungsapparates) bezeichnet.

AP visualisierte seine Recherchen mit konkreten Beispielen. - Alle Rechte vorbehalten Screenshot AP

Besonders macht den Fall außerdem, dass unternehmensinterne Unterlagen zum „location tracking“ nun aktenkundig und teilweise auch öffentlich sind. Die präzisen individuellen Bewegungsprofile fußen besonders aus den Daten der Smartphones, die das Betriebssystem Android installiert haben. Obwohl der Datenkonzern in Reaktion auf die AP-Recherche zurückgewiesen hatte, die Nutzer-Bewegungsdaten trotz ihres ausdrücklichen Nicht-Wollens weiterhin zu sammeln, sprechen diese Unterlagen eine andere Sprache: „Testimony from Google employees and Google’s internal documents confirm the conclusion of the AP story“. (Aussagen von Google-Angestellten und Google-interne Dokumente bestätigen die Ergebnisse der AP-Geschichte.)

Mit den Aussagen konnte auch die Behauptung des Konzerns widerlegt werden, dass Nutzer, die das sogenannte „GAP“ (Google ads personalization) deaktivieren, zugleich der Standortdatenverwendung entgehen würden. Dem ist nämlich nicht so: Wer diese geobasierte Werbe-Personalisierung abschaltet, erhält dennoch Werbung, die auf dem eigenen Standort basiert.

Allzu leicht waren die Untersuchungen gegen Google für den Attorney General von Arizona, Mark Brnovich, dabei nicht: In der Beschwerdeschrift wird auf „Google’s uncooperative conduct, delay tactics“ (unkooperatives Gebaren, Verzögerungstaktiken) verwiesen. Dass die Dokumente nun teilweise öffentlich einsehbar sind, dagegen hat Google auch lange gekämpft.

Die Aussagen aus den internen Informationen sind umso deutlicher. Ein Google-Angestellter äußert zum „location tracking“ und der Art, wie die Einstellungen vorgenommen werden müssten, um tatsächlich die Sammlung der Bewegungsdaten zu verhindern, folgende Beobachtung: Es fühle sich an, als wäre die Benutzungsgestaltung so entworfen worden, dass die Verhinderung der Bewegungsdatenspeicherung zwar möglich sei, aber so schwierig, dass die Leute es nicht rausfinden könnten („feels like it is designed to make things possible, yet difficult enough that people won’t figure it out“).

Brnovich kommt in einer Pressemitteilung zu seiner Beschwerde zu dem selben Schluss wie der Google-Angestellte: „It’s nearly impossible to stop Google from tracking your movements without your knowledge or consent.“ (Es ist nahezu unmöglich, Google daran zu hindern, Deine Bewegungsdaten ohne Dein Wissen oder Deine Zustimmung zu verfolgen.)

Das Hauptquartier von Google, der „Googleplex“, in Mountain View, Kalifornien. - CC-BY 2.0 US Department of State

Google-Krisensitzungen

Aus den Papieren gehen noch weitere Informationen hervor, die man nur selten lesen kann: wie Google intern darauf reagiert, wenn wie in diesem Fall durch die AP-Veröffentlichung breit über die Irreführung der Nutzer mit dem Ziel der Werbemonetarisierung berichtet wird. In den Akten wird dazu ausgeführt:

The day the AP story was published, Google turned into crisis mode and held a self-styled ‚Oh Shit‘ meeting in reaction to the story.
(An dem Tag, als die AP-Geschichte veröffentlicht wurde, schaltete Google in den Krisenmodus und hielt ein selbst so benanntes ‚Oh Scheiße‘-Treffen als Reaktion auf die Geschichte ab.)

In diesem Treffen unter dem selbstgewählten Motto Oh Shit werden auch Medienanalysen besprochen, die ein gewisses Geschmäckle haben. Denn durch die Tatsache, dass Google mit seiner Suchmaschine und dem Service Google News eine sehr genaue Einsicht darin hat, wie sich eine Nachrichtengeschichte auch über die Kontinente hinweg verbreitet und wie sie referenziert wird, entsteht eine potentielle Manipulationsmacht.

Ein wenig pikiert wird vermerkt, dass insgesamt nicht einmal fünfzig Presseanfragen an Google gerichtet worden seien. Das ist tatsächlich nicht viel, gemessen an der Reichweite der AP-Recherche: In der Spitze erzeugte die AP-Veröffentlichung an den Tagen danach immerhin 4.600 Erwähnungen pro Stunde, heißt es in der von ars technica veröffentlichten Medienanalyse von Google (pdf). Sie werden ganz überwiegend als „negative pieces“ klassifiziert, sind also Google-kritische Artikel. Ein eigener Social-Media-Bericht ergänzt diese Informationen in den Google-Krisensitzungen.

Nach vier Tagen war der Spuk allerdings auch wieder vorbei und Google konnte aufatmen. Vielleicht war es aber auch nur eine längere Verschnaufpause, denn der Generalanwalt von Arizona meint es offenbar ernst und kann seine Rechtsauffassung mit den Aussagen der Google-Leute hinreichend gut belegen. Der Fall lohnt sich also weiter zu beobachten.

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

13 Ergänzungen

  1. „Denn durch die Tatsache, dass Google mit seiner Suchmaschine und dem Service Google News eine sehr genaue Einsicht darin hat, wie sich eine Nachrichtengeschichte auch über die Kontinente hinweg verbreitet und wie sie referenziert wird, entsteht eine potentielle Manipulationsmacht.“

    Ein Schelm wer böses dabei denkt…

  2. Eine Erklärung bezüglich, welche Eintellungen man nun wie wo treffen muss fände ich als Ergänzung noch nett.

    1. Meine Maßnahmen auf einem gängigen, ungerooteten Android-Telefon mit Google-Diensten:
      * Kein Google Konto (als App-Stores nutze ich F-Droid und Aurora Store), somit kann ich nur dann Apps kaufen, wenn diese einen Webshop haben und sich als APK herunterladen lassen, wie z.B Threema
      * Deaktivierung aller Google-Apps, soweit möglich
      * Rechteeinschränkung aller anderen Google-Apps, soweit möglich (wenn Google Play z.B. keinen Zugriff mehr bekommt auf SMS, kommen in Signal und Silence ebenfalls keine SMS mehr an; Standortberechtigung lässt sich nicht entziehen(!))
      * Werbe-ID ist deaktiviert (Vorsicht, hier muss man den Regler aktivieren, um die Werbe-ID zu deaktivieren)
      * WLAN- und Bluetooth-Suche ist deaktiviert
      * „Google Standortfreigabe“ lässt sich nicht ohne Google-Konto konfigurieren, ist möglicherweise an
      * „Google Standortgenauigkeit“ ist aus
      * „Google Standortverlauf“ lässt sich ohne Google-Konto nicht konfigurieren
      * Ich habe einen Werbefilter, der auch Verbindungen zu Google unterbindet, für Benachrichtigungen sind jedoch mtalk.google.com und für viele Apps diverse Google-Apis zugelassen

      Bei allen Konfigurationen will Google eindeutig in die Irre führen. Bei Entzug jeder einzelnen Berechtigung wird man darauf hingewiesen, dass dann eventuell bestimmte Funktionen eingeschränkt werden. Bei anderen ist die Deaktivierung gar nicht möglich. Besonders schlimm finde ich, dass System-Apps der Zugriff auf den Standort nicht entzogen werden kann.

      Selbst technisch versierte Nutzer können da kaum etwas ausrichten, außer ein alternatives Betriebssystem zu nutzen. Gerade das bekannteste, LineageOS, ist jedoch auch abhängig von Google-Diensten. So oder so kommt man nicht mehr an Google oder Apple vorbei, die ihre Marktmacht fleißig ausnutzen.

      Wird Zeit, dass dem jemand einen Riegel vorschiebt.

  3. Seit heute nachmittag werden DNS-Abfragen für
    http://www.azag.gov (Arizona Attorney General)
    von 8.8.8.8 mit
    ‚Timeout while contacting DNS servers‘ oder
    ‚Could not contact DNS servers‘
    beantwortet.

  4. Ich finde es eigentlich verwunderlich, dass Google sich so viel Mühe macht den Benutzer in die Irre zu führen und sogar solche Klagen in Kauf nimmt.
    Ich VERMUTE nämlich, dass die allermeisten Benutzer das ohnehin nicht deaktiveren würden, insbesondere, wenn man es an irgendwelche Komfort-Funktionen koppelt. Aber auch ohne dies würden sie vermutlich relativ wenig Daten (bzw. Werbeopfer) verlieren.

  5. Ich habe eine Frage, die nicht ganz so direkt zum Artikel passt, aber doch auch ein bisschen. Es geht nämlich auch um das Sammeln der Daten, aber bei den Konsequenzen der Sammelwut ist mir nicht klar, ob das immer einzelne Personen betrifft, oder auch Firmen betreffen kann.

    Ich meine das so: Wenn Franz oder Monika eine Firma leiten und Google sammelt Daten über Franz oder Monika: Dass Google deren persönliches Leben wahrscheinlich beeinflußt, ist der eine (der bekannte) Teil. Aber kann Googles Aktivitäten dann auch auf deren Firma Einfluss nehmen? Wahrscheinlich nicht über Werbung. Aber über andere Datenkanäle. Wäre es z. B. möglich, dass das Verhalten von Franz im Web sich auf den Schufa-Score seiner Firma auswirkt, oder auf den Preis seiner Unternehmenshaftpflichtversicherung?

    Oder wenn die Angestellten der Firma am Diensthandy immer bestimmte Sachen machen (z. B. riskant Autofahren, was ja über das im Artikel angesprochene Bewegungstracking ersichtlich wird.) . Kann das Auswirkungen auf die KFZ-Versicherungspolizzen der Firma haben? Das ist ein Thema von dem man nie etwas hört. Aber denkbar wäre es doch, oder?

    Es wäre super, wenn mir hier jemand antworten könnte. Ev. auch nur mit Links zu weiterführenden Themen. Alles was ich gefunden habe, ist immer nur die Datenspeicherungen/ Überwachungen von Individuen, aber nicht die von Firmen.

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.