Interview zu Standort-Trackern: Google und Apple kooperieren lieber, als ein Verbot zu riskieren

Mallory Knodel ist Technikvorstand der NGO „Center for Democracy & Technology“ und Ko-Vorsitzende der Human Rights Protocol Considerations Research Group der Internet Research Task Force. Sie ist an der Entwicklung eines Standards für Standort-Tracker beteiligt, der kürzlich von Google und Apple angekündigt wurde.

Der Standard soll ermöglichen, Tracker wie etwa Apples AirTags mit Geräten auch jeweils anderer Unternehmen zu erkennen. Wir haben mit Knodel darüber gesprochen, welche unterschiedlichen Interessen es rund um das Thema Standort-Tracker gibt und ob der neue Standard Stalking-Betroffenen tatsächlich nützt.

netzpolitik.org: Vor etwa einem Jahr haben Google und Apple eine Initiative angekündigt, die einen Industriestandard für Standort-Tracker wie etwa AirTags schaffen soll. Kürzlich gaben sie bekannt, dass dieser Standard jetzt umgesetzt wird. Wessen Idee war es, diesen neuen Standard zu schaffen?

Mallory Knodel: Google und Apple hatten vereinbart, gemeinsam an einem geräteunabhängigen Ansatz zu arbeiten. Sie haben zwar ihre jeweils eigenen Produkte und Betriebssysteme, aber es ging darum, all diese Bluetooth-Geräte darüber hinaus nutzbar zu machen. Sie arbeiteten also zusammen und hatten bereits mit der Ausarbeitung einer Spezifizierung begonnen. Vergleichbar mit der Situation während der Covid-19-Pandemie, als sie sich zusammengetan haben, um das Tracking via Bluetooth zu erarbeiten.

Und sie waren offen für Input, insbesondere von Stalking-Opfern oder den am stärksten betroffenen Gruppen. Google und Apple hatten eingeladen und hörten sich das Feedback verschiedener Interessenverbände und Organisationen an.

Der Grund dafür, dies bei der IETF zu tun, war, dass ein Normungsgremium die Konsensbildung in der gesamten Branche ermöglicht, nicht nur bei diesen beiden Unternehmen. Und der zweite Grund ist, dass die IETF völlig offen ist. Alle ihre Mailinglisten werden online veröffentlicht. Alle Sitzungen werden aufgezeichnet. Ihre Protokolle sind öffentlich. Die Teilnahme an diesen Sitzungen wird verfolgt.

Das ist beabsichtigt, denn es gibt Anforderungen für die Offenlegung von geistigem Eigentum. Diese Transparenz würde es ermöglichen, dass ein Teil der Interessenvertretung, die die am stärksten betroffenen Mitglieder der Gruppe ausüben, auch dokumentiert würde.

„Ein Standard ist keine ausgemachte Sache“

netzpolitik.org: Und es gab dann eine spezielle Arbeitsgruppe dafür?

Mallory Knodel: Ja, sie heißt Detecting Unwanted Location Trackers Working Group – unerwünschte Standort-Tracker erkennen also. Und das ist eine IETF-Arbeitsgruppe.

netzpolitik.org: Was war Deine Rolle in dieser Arbeitsgruppe und wie kam es dazu?

Mallory Knodel: Ich nehme an den Sitzungen teil und verfolge das Thema für CDT. CDT hatte sich in die Bemühungen eingemischt, bevor Apple und Google das Thema in die IETF brachten. CDT hat wegen der beiden von mir erwähnten Gründe sehr darauf gedrängt, dass das innerhalb der IETF stattfindet.

Dennoch ist ein Standard keine ausgemachte Sache. Man kann nicht einfach etwas bei der IETF einreichen und erwarten, dass es dann einen Standard gibt. Es ist ein ganzer Prozess. Daher schlugen Nick Doty und ich vor, dass Apple und Google ihr White Paper bei der IETF einreichen, um herauszufinden, ob die Arbeit, die sie bereits in die Spezifizierung gesteckt hatten, für die IETF-Mitglieder von Interesse sein könnte. Die IETF-Leute schlugen ein Treffen vor, um darüber zu sprechen, ob daraus ein Standardisierungsdokument der IETF werden sollte. Solche Treffen werden als BoF-Sitzungen bezeichnet. Das steht für „Birds of a Feather“.

Ziel ist es, festzulegen, ob eine Arbeitsgruppe gegründet werden und wie die Charta der Arbeitsgruppe aussehen soll: ihre Aufgaben und was standardisiert werden soll. Die Charta wird vom zuständigen Bereichsleiter genehmigt, in diesem Fall von dem für den Sicherheitsbereich. Der Leiter des Sicherheitsbereichs, der die Charta genehmigt hat, ist jetzt übrigens der Vorsitzende der IETF und damit bekam diese Angelegenheit dann viel Aufmerksamkeit.

Sobald die Charta genehmigt ist, kann die Arbeit an dem Dokument selbst und möglicherweise auch an anderen Dokumenten beginnen. Ausgehend von der Charta gab es einen gewissen Spielraum, dass es neben diesem sehr spezifischen Dokument zum Apple/Google-Schema zur Erkennung von Standort-Trackern auch um andere Dinge gehen könnte.

„Es ging darum, dass die Bedürfnisse der Opfer berücksichtigt werden sollten“

netzpolitik.org: Worum ging es da? Die Fragen, die sich in Bezug auf die Tracker eher mit Blick auf Menschenrechte oder gesellschaftliche Auswirkungen befassten?

Mallory Knodel: Das hatte mit dem eigentlichen Protokoll zu tun. Das Papier, das Google und Apple erstellen wollten, war speziell und ausschließlich auf die Erkennung ihrer eigenen Tracker ausgerichtet.

Deswegen sagten einige Leute, die sich mit Sicherheitsfragen beschäftigen: Wir können uns nicht nur um diese sehr fokussierte Frage der Erkennung von unerwünschten Trackern kümmern. Wir müssen vielleicht sogar einige Spezifizierungen für die Art und Weise festlegen, wie diese Tracker überhaupt funktionieren. Apple und Google haben dem nicht vollständig zugestimmt, aber sie haben die Tür ein kleines bisschen geöffnet, um diese Art von Spezifikation zu ermöglichen.

Die Menschenrechtsthemen waren eigentlich schon auf dem Tisch, weil Gruppen wie CDT, das National Network to End Domestic Violence (NNEDV) und die Electronic Frontier Foundation ihre Ansichten über die Spezifikation schon deutlich geäußert hatten. Es ging darum, dass die Bedürfnisse der Opfer berücksichtigt und Gefahren abgemildert werden sollten.

netzpolitik.org: Wie sind sie diese Themen dann einbezogen worden?

Mallory Knodel: In den Medien gab es viele Berichte über Menschen, die Tracker zum Stalken verwenden. Das ist schrecklich. Es ist also klar, dass Apple und Google etwas tun müssen. Nach all diesen Berichten haben viele Leute gesagt: Verkauft diese Tracker nicht, lasst das einfach sein. Die Belastung bezüglich der Menschenrechte ist zu groß für solche Produkte.

Zu diesem Zeitpunkt gab es dafür gar keine Regulierung. Das Ziel besteht für die Unternehmen also darin, dem zuvor zu kommen und eine eigene Lösung zu finden. Diese Tracker sind inzwischen überall und es gibt viele Unternehmen, die sie verkaufen. Die technische Lösung besteht darin, das Netzwerk von Bluetooth-Geräten zu nutzen, um andere Bluetooth-Geräte zu identifizieren und Signale an Bluetooth-Geräte mit einem Bildschirm zu senden. Und dieser Bildschirm kann den Benutzer*innen dann sagen: Es gibt ein Gerät, das sich seit einiger Zeit in deiner Nähe befindet.

„Du könntest dich sofort anmelden und mitarbeiten“

netzpolitik.org: Warum haben Apple und Google zusammengearbeitet?

Mallory Knodel: Aus technischen Gründen. Sie tun es auch aus PR-Gründen. Weil sie als Unternehmen hoffen, dass es kein Verbot gibt.

Und so schlagen sie diese Idee der IETF vor. Und die Organisationen, die die Interessen der Endnutzer*innen vertreten, gehen zusammen mit ihnen zur IETF. Die IETF hat praktisch keine Erfahrung im Umgang mit solchen Gruppen. Wir haben zwar die Human Rights Protocol Considerations Research Group (HRPC), aber die wird normalerweise wie ein Nebenschauplatz behandelt. Dieser Fall zeigt beispielhaft, wie wichtig es ist, dass Expert*innen innerhalb der Community nicht nur die Technologie, sondern auch die Menschenrechtsaspekte verstehen.

Es gab auch noch einen dritten Aspekt: Dass wir als Menschenrechtszuständige in der IETF darüber sprechen konnten, warum dies für Geldgeber, andere Branchenakteure und insbesondere für NGOs wichtig ist. Die kennen die IETF, aber sie wissen nicht, was sie dort tun könnten, wenn sie sich im Rahmen der Gestaltung von Standards engagieren würden. Das war für uns der Moment, mehr Organisationen zur Teilnahme an der IETF zu bewegen, denn es gibt jetzt Themen, die ihre Aufmerksamkeit brauchen.

netzpolitik.org: Wer möchte, kann sich einer solchen Arbeitsgruppe anschließen?

Mallory Knodel: Genau. Die Mailinglisten sind völlig offen. Du könntest dich sofort anmelden und effektiv in der Arbeitsgruppe mitarbeiten.

netzpolitik.org: Ist Repräsentanz unterschiedlicher gesellschaftlicher Gruppen dann ein Thema?

Mallory Knodel: Die IETF beobachtet die Beteiligung zu einem gewissen Grad, aber nur ein wenig, ohne dabei Privacy-Grenzen zu überschreiten. Für meine Arbeit in der IETF ist das seit langem ständig Thema: eine diversere Beteiligung in der IETF zu erreichen. Ich schätze, dass die IETF so weiß, männlich und nordamerikanisch ist, wie sie ist, weil sie sich oft nicht mit Themen befasst, die für irgendwen sonst auf der Welt von Interesse sind.

Und so dreht sich das im Kreis: In der Vergangenheit haben sich Menschen aus Indien oder Subsahara-Afrika beteiligt, aber dann sind sie oft wieder gegangen, weil ihre Arbeit nicht aufgenommen wurde.

„Die gesamte Diskussion hat sich in der IETF wiederholt“

netzpolitik.org: Um noch einmal auf den Tracker-Standard zurückzukommen: Gab es Kontroversen innerhalb der Arbeitsgruppe?

Mallory Knodel: Ein großer Teil der Debatte in den BoF-Sessions konzentrierte sich darauf, ob die Arbeit an so einem Standard stattfinden sollte oder nicht. Ich fand es interessant, dass wir hauptsächlich Ingenieur*innen hatten, die sich normalerweise nur um das Netzwerk kümmern, und jetzt diskutierten sie darüber, ob die Use Cases dieser Tracker gut oder schlecht sind.

Es war dieselbe Debatte, die auch in den Mainstream-Medien geführt wird: Die Tracker sind gut geeignet, den eigenen Besitz zu tracken. Aber sie sind schlecht, weil sie benutzt werden, um Menschen zu verfolgen, und wir sollten uns darauf konzentrieren, statt auf den Anwendungsfall beim Eigentum.

Es gab Leute, die sagten: „Okay, reden wir über Menschen. Was ist mit Menschen mit Demenz? Oder Kindern, die von ihren Eltern getrackt werden müssen?“ Die gesamte Diskussion, die im Mainstream stattfindet, hat sich in der IETF wiederholt.

netzpolitik.org: Was war das Ergebnis?

Mallory Knodel: Das Ergebnis ist Schadensbegrenzung. Die Leute haben verstanden, dass wir das Problem nicht lösen können, dass diese Ortungsgeräte überall verkauft werden. Aber die IETF hat die Möglichkeit, sie weniger schädlich zu machen.

netzpolitik.org: Hältst du das für ein gutes Ergebnis?

Mallory Knodel: Ja. Ich gehöre zu denen, die sagen, dass diese Geräte verboten werden sollten. Aber das ist ein Problem, das ich nicht lösen kann. Es ist wunderbar, dass die IETF erkannt hat, dass sie bei dieser Art von Schadensbegrenzung eine Aufgabe hat. Ich denke, sie sollte stolz darauf sein, dass sie ihr Mandat ein bisschen erweitert hat. In den Bereich eines technisch-gesellschaftlichen Problems einzutauchen, ist meiner Meinung nach wirklich gut für die Community.

„Es funktioniert. Es ist nützlich.“

netzpolitik.org: Glaubst Du, dass der Standard und seine Implementierung Stalking tatsächlich verhindern wird? Nehmen wir an, jemand, den ich kenne, steckt mir heimlich etwas in die Tasche, ohne es mir zu sagen – eine durchaus typische Situation in einer Beziehung, in der es Gewalt gibt. Würde mein Telefon mich darüber informieren?

Mallory Knodel: Ich denke, dass Apple dies schon implementiert hat, Google hat eine Version davon eingeführt. Was sie jetzt erreichen wollen ist, dass alle anderen das auch machen müssen. Und es funktioniert. Es ist nützlich.

Ich stieg zum Beispiel beim IETF-Treffen in Prag im letzten November in einen Aufzug und bekam sofort eine Nachricht, dass die Bluetooth-Kopfhörer von jemand anderem mit mir im Aufzug waren. Es funktioniert also. Das ist es, was die Betroffenen gefordert haben. Das NNDEV hatte das gefordert, und sie haben dem entsprochen.

Das ist für ihre Produkte möglicherweise ein Wettbewerbsnachteil. Das Problem war, dass andere Produkthersteller gesagt haben: „Wir werden nicht die Diebe warnen, die dir gerade etwas geklaut haben. Wir werden die Version dieses Produkts sein, die besser für Leute geeignet ist, die ihr Eigentum tracken wollen.“

Ich glaube, Apple und Google hoffen auf eine Regulierung, die alle Unternehmen dazu zwingt.

netzpolitik.org: Um noch einmal auf die Perspektive der potenziellen Betroffenen zurückzukommen und auf eine Situation, in der ich mich über einen längeren Zeitraum in der Nähe eines bestimmten Trackers aufhalte: Wenn ich einen Tracker absichtlich am Schlüsselbund habe, möchte ich nicht ständig alarmiert werden. Andererseits, wenn mein gewalttätiger Partner mir einen Tracker in die Tasche steckt und ich ohnehin ständig in seiner Nähe bin: Würde ich dann trotzdem alarmiert werden?

Mallory Knodel: Es gibt eine Möglichkeit, die Benachrichtigungen zu deaktivieren. Du würdest also nicht für Dinge alarmiert werden, die dir gehören. Andererseits könnte ich meine Kopfhörer benutzen, um dich zu verfolgen. Ich muss nur etwas benutzen, das diese Tracking-Funktion hat. Wie bei den Familien-Accounts des Betriebssystems, mit denen ich sehen kann, wo die Geräte meiner Familie sind, weil wir diese Funktion aktiviert haben. Und in einer Situation häuslicher Gewalt gibt es viel mehr Möglichkeiten, diese Einstellungen zu manipulieren. Ich könnte meine Kopfhörer mit deinem Telefon koppeln, weil ich Zugang zu deinem Telefon habe und meine Kopfhörer die ganze Zeit im Haus sind. Und wenn ich dann wissen will, wohin du gehst, könnte ich meine Kopfhörer in deine Tasche stecken.

Mit diesem Standard werden nur Geräte erfasst, die Dein Bildschirmgerät – also das Gerät, das Dir mitteilt, dass es ein Problem gibt – nicht schon kennt. Es weiß nur, dass da draußen etwas ist, das es mit Bluetooth anpingt. Und dann sagt es Dir, dass es da seit einer Weile dieses unbekannte Gerät gibt.

„Die IETF-Standards sind alle freiwillig“

netzpolitik.org: Werden alle, die diese Bluetooth-Geräte herstellen, verpflichtet sein, den Standard zu verwenden, oder ist das freiwillig?

Mallory Knodel: Die IETF-Standards sind alle freiwillig. Niemand wird gezwungen, sie zu verwenden. Eine Hoffnung ist, dass es wegen des Verbraucherschutzes entsprechende Regulierung geben könnte.

netzpolitik.org: Wenn ein Wettbewerber also einen Tracker speziell zum Stalken herstellen wollte: Das wäre auch möglich?

Mallory Knodel: Auf jeden Fall.

netzpolitik.org: Wird die Tracker-Erkennung auch für andere Betriebssysteme als die von Google oder Apple funktionieren?

Mallory Knodel: Hoffentlich. Es gibt sogar Vorschläge, Produkte zu entwickeln, die nur zum Aufspüren von Trackern dienen und gar kein Telefon sind. Stell Dir vor, Du betrittst ein Frauenhaus und bekommst ein Gerät ausgehändigt, das kein Telefon ist. Und wenn Du dieses Gerät eine Weile bei dir hast und dann ist da irgendwo ein Tracker, dann würde es dich informieren, dass du den irgendwo hast. Auch das wird mit diesem Standard möglich sein.

netzpolitik.org: Wie ist es mit möglichen Auswirkungen auf die Privatsphäre?

Mallory Knodel: Es gibt die Befürchtung, dass ich neben der Anwesenheit eines Trackers auch Dinge über diese Tracker erkennen kann, die die Privatsphäre verletzen könnten. Als ich in Prag in den Aufzug stieg, wurde mir angezeigt: „Marks AirPods sind in der Nähe“, und so weiß ich jetzt, dass diese Person sich Mark nennt und eine bestimmte Marke von teuren Kopfhörern bei sich hat. Das zeigt schon, wo das auch schief gehen kann: Da sind auch Maßnahmen zum Schutz solcher Daten nötig.

Die Art und Weise, wie das Protokoll konzipiert ist, soll dem Erfassungsgerät nur aggregierte Daten und keine spezifischen Daten liefern. In Zukunft könnte sich also ändern, was ich im Aufzug erlebt habe. Vielleicht heißt es nur: „Die Kopfhörer von jemand anderem sind in der Nähe“. Und das ist immer noch nützlich.

In einem anderen Fall willst du vielleicht, dass das Netz den Leuten Deinen Namen oder Deine Telefonnummer mitteilt, weil du etwas Verlorenes wieder kriegen willst. Da muss ein Ausgleich gefunden werden. Bei der Entwicklung dieser Spezifikation müssen wir all diese verschiedenen Anwendungsfälle und all diese verschiedenen negativen Ergebnisse abwägen, weil wir verschiedene Ziele erreichen wollen.