Gerichtsverfahren unter Datenhändlern: Data Broker außer Kontrolle

Der Datenbroker X-Mode schießt sich mit einem Verfahren gegen einen anderen Datenhändler offenbar selbst ins Knie. Durch das Verfahren kommt heraus, wie leichtfertig die Daten-Industrie mit sensiblen Standortdaten handelt und wie wenig Einfluss die Broker darauf haben, was mit den Daten letztlich passiert und in welche Hände sie gelangen. 

X-Mode war in die Kritik geraten, weil es im großen Stil Standortdaten aus vermeintlich harmlosen Apps sammelt, diese verknüpft und dann weiterverkauft. So sind unter anderem Informationen über die Nutzer:innen muslimischer Gebets-Apps und schwuler Dating-Apps bei US-Militärunternehmen gelandet. In der Klage, über die The Markup berichtet, geht das mittlerweile in Outlogic umbenannte Unternehmen gegen einen anderen Databroker, NybSys vor.

Laut Klage soll NybSys die sensiblen Location-Daten ohne Genehmigung an einen weiteren Datenhändler, LocalBlox, weiterverkauft haben. Letzteres ist ein Unternehmen, dem X-Mode den Kauf seiner Daten eigentlich untersagt hatte. Doch solche Verbote lassen sich, wie aus der Klage hervorgeht, offenbar kaum durchsetzen und verhindern nicht, dass die Daten unkontrolliert weiter kursieren.

48 Millionen Profile ungeschützt im Netz

Wie Forscher:innen und Journalist:innen immer wieder zeigen, sind Standortdaten – entgegen den Beteuerungen der Werbe- und Datenindustrie – nicht anonym. Im Gegenteil. Es gibt zahlreiche Beispiele, wie Standortdaten genutzt wurden, um Personen zu de-anonymisieren. So führten die verkauften Standortdaten der Dating-Plattform Grindr zum Karriere-Ende eines Priesters in der US-Bischofskonferenz. Und der norwegische Journalist Martin Gundersen konnte anhand von Location-Daten eines Datenbrokers nachvollziehen, wo er selbst im Sommer wanderte und auf welcher Holzbank er wie lange eine Pause machte. Darüber hinaus konnte er in der gemeinsamen Recherche mit Motherboard belegen, dass Standort-Daten bei US-Sicherheitsbehörden landeten.

The MarkUp beschreibt anhand der Klageschrift das undurchsichtige Geflecht der Databroker:

Einer der mutmaßlichen Kunden der weiterverkauften Daten war LocalBlox, ein Datenunternehmen, das anhand von öffentlich zugänglichen Informationen wie Social-Media-Profilen Profile von Personen für verschiedene Zwecke, einschließlich gezielter Werbung, erstellt. Im Jahr 2018 fanden Sicherheitsforscher heraus, dass LocalBlox 48 Millionen Profile auf einem ungeschützten Server online gestellt hatte. X-Mode gab in seiner Klage an, dass es früher Standortdaten an LocalBlox verkaufte, das Unternehmen aber im April 2020 als Kunde ausschloss, weil es angeblich seine Standortdaten ohne Erlaubnis weiterverkaufte. NybSys bestreitet die Vorwürfe von X-Mode gegen LocalBlox.

Standortdaten werden weiter gesammelt

Heute kann X-Mode laut dem Bericht nicht einmal mehr nachvollziehen, wohin die verkauften Daten schlussendlich gelangten. „Dies zeigt, in welchem Ausmaß die Daten nicht nur verkauft werden, sondern auch weiterverkauft werden und im Umlauf sind“, sagt Bennett Cyphers von der Electronic Frontier Foundation gegenüber The Markup. „Sobald die Standortdaten Ihr Telefon verlassen und in den Händen von jemandem landen, der sie zu Geld machen will, werden diese Daten im gesamten Ökosystem verbreitet und landen in den Händen von Datenhändlern, weil diese sie alle untereinander kaufen und verkaufen.“

An der Praxis der Standortdatensammlung auch bei sensiblen Apps hat sich bislang wenig geändert. Zuletzt hatte die Verbraucherschutzplattform Mobilsicher.de 13 muslimische Gebets-Apps getestet. In neun von ihnen fließen Standortdaten ab. Das ist technisch nicht notwendig für den Betrieb der Apps und kann dazu führen, dass solche sensiblen Daten unkontrolliert weitergereicht werden.