Das Smartphone piept oder vibriert – eine neue Nachricht. Solche Benachrichtigungen funktionieren über Push-Dienste.
Apps wollen jederzeit Benachrichtigungen über neue Aktivitäten erhalten und anzeigen können. Gleichzeitig müssen Smartphones sparsam mit Strom und Daten umgehen. Deshalb läuft nicht jede App immer und wartet aktiv auf Neuigkeiten. Sondern die großen Smartphone-Anbieter betreiben zentrale Push-Dienste für alle Apps und Nutzer:innen.
Alle iPhones verbinden sich mit Apple-Servern, fast alle Android-Geräte mit den Servern von Google oder Huawei. Diese Dienste weisen jedem Gerät eine ID zu, über die sie erreichbar sind. Will eine App ihre Nutzer:innen benachrichtigen, schickt die App diese Information an die großen Tech-Firmen – und diese leiten sie an das Endgerät.
Nutzen auch verschlüsselte Messenger
Das tun fast alle Apps, nicht nur Spiele und soziale Medien, sondern auch verschlüsselte Messenger. Ob Signal, Threema oder Wire: Auf iPhones verschicken alle Messenger-Apps Benachrichtigungen über den Push-Dienst von Apple. Die meisten Android-Geräte haben Google-Dienste, dann erfolgen die Benachrichtigungen über den Push-Dienst von Google, auch bei Signal, Threema und Wire. Threema bietet Android-Geräten von Huawei an, Benachrichtigungen über den Push-Dienst von Huawei zu schicken.
Ist ein Android-Gerät nicht bei Google oder Huawei eingeloggt, verschicken diese Messenger die Benachrichtigungen auch selbst an die Endgeräte. Android ohne Google nutzen aber nur sehr wenige Menschen: Es ist kompliziert einzurichten und schränkt viele Features ein.
Wir haben Signal, Threema und Wire gefragt, wie viele Nutzer-Accounts sie haben und wie viele davon die Push-Dienste von Apple, Google, Huawei verwenden. Threema und Wire wollen keine Zahlen zu Accounts oder Push-Diensten herausgeben, auch keine relativen Angaben. Signal hat auf unsere wiederholte Presseanfrage nicht geantwortet.
Die drei sicheren Messenger verweigern Auskunft darüber, wie oft sie Push-IDs an Behörden herausgegeben haben. Auch in ihren Transparenzberichten machen sie dazu keine Angaben.
Von Messenger-ID zu Google/Apple-Account
Vor einem Jahr haben wir die Messenger-Anbieter schon einmal danach gefragt. Damals sagte ein großer Anbieter, dass er über Push-Dienste nicht öffentlich reden möchte. Es sei nicht in ihrem Interesse, „das Thema an die große Glocke zu hängen oder ins Detail zu gehen, da die Sorge besteht, es den Behörden damit nur leichter zu machen“. Doch Polizei und Geheimdienste wissen von den Push-Diensten.
Viele Messenger werben damit, keine Kommunikationsinhalte sowie nur wenige Meta- und Bestandsdaten ihrer Nutzer:innen zu kennen. Doch die Messenger-Anbieter haben zu fast jedem Nutzer-Account einen „Push-Token“. Und die Push-Anbieter verknüpfen diese Push-IDs mit einem Nutzerkonto bei ihnen. So wird aus einer pseudonymen Messenger-ID ein Google- oder Apple-Account. Und die beinhalten jede Menge personenbezogene Daten.
Behörden fragen Push-Dienste
Der Technologe Raphael Robert hat das Verschlüsselungsprotokoll Messaging Layer Security mitentwickelt. Davor war er bei Wire für die Sicherheit verantwortlich. Robert hat erlebt, dass Ermittlungsbehörden bei Messenger-Anbietern explizit nach Push-Tokens fragen. Er bezeichnet sie als „langlebige Nutzer-IDs“. Mit dieser Information können sie dann zu Apple und Google, um weitere Nutzerdaten zu erhalten.
Gegenüber netzpolitik.org kommentiert Robert: „Technologien zum Schutz der Privatsphäre finden immer mehr Verbreitung. Aber ihre Wirkung wird durch die Art und Weise, wie Google und Apple Push-Benachrichtigungen umsetzen, stark eingeschränkt. Wir brauchen hier dringend mehr Transparenz und, wo diese möglich sind, auch technische Änderungen.“
Transparenz dringend notwendig
Wir haben uns erkundigt, wie oft Google und Apple solche Anfragen erhalten und dazu Daten herausgeben. Bisher leider erfolglos.
Also haben wir uns an das Büro des US-Abgeordneten Ron Wyden gewandt. Apple und Google mauern aber auch gegenüber dem US-Parlament. Deshalb wendet sich Wyden heute per Brief an den US-Justizminister. Wir veröffentlichen eine Übersetzung des Briefs. Das Ministerium soll Apple und Google erlauben, diese Daten transparent zu machen.
Apple hat bereits reagiert. Gegenüber Reuters äußerte sich das Unternehmen schriftlich: „Nun, da diese Methode öffentlich ist, aktualisieren wir unsere Transparenzberichte, um diese Art von Anfragen detailliert darzustellen.“ Hoffen wir, dass die anderen Anbieter sich ein Beispiel nehmen und ihr Schweigen ebenfalls brechen.
Hier der Brief aus dem PDF befreit und maschinell übersetzt:
- Datum: 6. Dezember 2023
- Von: Ron Wyden, Senator, USA
- An: Merrick B. Garland, Generalstaatsanwalt, Justizministerium, USA
Sehr geehrter Generalstaatsanwalt Garland:
Ich schreibe, um das Justizministerium zu bitten, Apple und Google zu erlauben, ihre Kunden und die Öffentlichkeit über Forderungen nach Smartphone-App-Benachrichtigungsdaten zu informieren.
Im Frühjahr 2022 erhielt mein Büro einen Hinweis, dass Regierungsbehörden im Ausland von Google und Apple Aufzeichnungen über Smartphone-„Push“-Benachrichtigungen verlangen. Meine Mitarbeiter sind diesem Hinweis im vergangenen Jahr nachgegangen und haben sich unter anderem an Apple und Google gewandt. Als Antwort auf diese Anfrage teilten die Unternehmen meinen Mitarbeitern mit, dass Informationen über diese Praxis von der Regierung nicht veröffentlicht werden dürfen.
Bei Push-Benachrichtigungen handelt es sich um Sofortbenachrichtigungen, die von Apps an Smartphone-Benutzer gesendet werden, z. B. eine Benachrichtigung über eine neue Textnachricht oder ein Nachrichten-Update. Sie werden nicht direkt vom App-Anbieter an die Smartphones der Nutzer gesendet. Stattdessen laufen sie über eine Art digitales Postamt, das vom Anbieter des Betriebssystems des Telefons betrieben wird. Bei iPhones wird dieser Dienst von Apples Push Notification Service bereitgestellt, bei Android-Telefonen ist es Googles Firebase Cloud Messaging. Diese Dienste sorgen für eine rechtzeitige und effiziente Zustellung von Benachrichtigungen, aber das bedeutet auch, dass Apple und Google als Vermittler im Übertragungsprozess fungieren.
Wie bei allen anderen Informationen, die diese Unternehmen für oder über ihre Nutzer speichern, können Apple und Google, da sie Push-Benachrichtigungsdaten liefern, insgeheim von Regierungen gezwungen werden, diese Informationen herauszugeben. Wichtig ist, dass App-Entwickler nicht viele Möglichkeiten haben. Wenn sie wollen, dass ihre Apps auf diesen Plattformen zuverlässig Push-Benachrichtigungen liefern, müssen sie den von Apple bzw. Google angebotenen Dienst nutzen. Folglich befinden sich Apple und Google in einer einzigartigen Position, um die staatliche Überwachung der Nutzung bestimmter Apps zu erleichtern. Zu den Daten, die diese beiden Unternehmen erhalten, gehören Metadaten, aus denen hervorgeht, welche App wann eine Benachrichtigung erhalten hat, sowie das Telefon und das zugehörige Apple- oder Google-Konto, an das die Benachrichtigung zugestellt werden sollte. In bestimmten Fällen können sie auch unverschlüsselte Inhalte erhalten, die von Backend-Richtlinien für die App bis hin zum tatsächlichen Text reichen können, der einem Nutzer in einer App-Benachrichtigung angezeigt wird.
Apple und Google sollten die Möglichkeit haben, die gesetzlichen Anforderungen, die sie erhalten, insbesondere von ausländischen Regierungen, transparent zu machen, so wie die Unternehmen ihre Nutzer regelmäßig über andere Arten von staatlichen Datenanforderungen informieren. Diese Unternehmen sollten die Erlaubnis haben, generell offenzulegen, ob sie gezwungen wurden, diese Überwachungspraxis zu unterstützen, Gesamtstatistiken über die Anzahl der bei ihnen eingehenden Anfragen zu veröffentlichen und, sofern sie nicht vorübergehend von einem Gericht geknebelt werden, bestimmte Kunden über Anfragen nach ihren Daten zu informieren. Ich möchte das DOJ bitten, alle Maßnahmen aufzuheben oder zu ändern, die diese Transparenz behindern.
Ich danke Ihnen für Ihre Aufmerksamkeit in dieser dringenden Angelegenheit. Wenn Sie Fragen haben oder eine Klärung wünschen, wenden Sie sich bitte an Chris Soghoian in meinem Büro.
Mit freundlichen Grüßen,
Ron Wyden, Senator der Vereinigten Staaten
