Manche Dating-Apps lassen die Suche nach potenziellen Partner:innen in der näheren Umgebung zu. Das Feature kann schnell zum Bug werden, wie Sicherheitsforscher:innen der belgischen Universität KU Leuven herausgefunden haben: Mindestens sechs Dating-Apps, darunter Bumble und Hinge, sollen ungewollt fast metergenau den Standort von Nutzer:innen preisgegeben haben. Das kann Stalking und sonstiger Belästigung Tür und Tor öffnen, warnt die Forschungsgruppe.

Vorgestellt hat die Gruppe ihre Forschungsergebnisse letzte Woche auf der IT-Sicherheitskonferenz Black Hat. Für das Projekt hat sie insgesamt 15 populäre Dating-Apps wie Tinder, Grindr und OkCupid mit monatlich mehreren hundert Millionen Nutzer:innen untersucht. Mit dem Mitschneiden des sogenannten „API traffics“, also des Datenverkehrs über die Schnittstellen der Apps und ihrer Server-Gegenseite, konnte sie auf öffentlich verfügbares Material zurückgreifen, um die Schwachstellen aufzuspüren.

Daten in Dating-Apps besonders sensibel

Sicherheitslücken und versehentliche Datenabflüsse bei Dating-Apps haben in der Vergangenheit immer wieder für Probleme gesorgt. Entfleuchte sensible Daten haben schon Karrieren beendet oder sonstwie das Leben der Betroffenen auf den Kopf gestellt. Nicht von ungefähr hat etwa der queere Dating-Dienst Grindr während der gestern zu Ende gegangenen Olympischen Spiele bestimmte Funktionen punktuell deaktiviert: In manchen Ländern kann eine nicht-heterosexuelle Orientierung Lebensgefahr bedeuten.

Einige Dienste, unter anderem Grindr, haben aus vergangenen Fehlern gelernt. Bestimmte Einfallstore sind heute nicht mehr zugänglich, darunter die nun ausgenutzte „Oracle Trilateration“-Technik. Dabei werden zunächst grobe Anhaltspunkte durch schrittweise Filterung für eine immer genauere Standortbestimmung genutzt. Gegenüber Techcrunch haben die betroffenen Anbieter angegeben, die Lücken geschlossen zu haben, nachdem sie vom Forschungsteam darauf aufmerksam gemacht worden sind.

Abgesehen von den zu genauen Ortsangaben entblößen die untersuchten Dating-Apps aber auch „routinemäßig persönliche Daten“, schreiben die Forscher:innen. Alle Anbieter verlangen Informationen von ihren Nutzer:innen, von verifizierten Telefonnummern bis hin zu Gesichts-Scans, mit denen die eigene Identität bestätigt werden soll. Anschließend landen viele der Informationen in den Dating-Profilen, die je nach Einstellung für andere Nutzer:innen sichtbar sind.

Informationen trotz Deaktivierung sichtbar

Nicht alle Nutzer:innen sind sich dabei bewusst, welche Daten sie eigentlich öffentlich machen. Mit Ausnahme von Grindr lässt es etwa keine der untersuchten Apps zu, die Anzeige des Alters zu unterbinden. Über das Mitschneiden der API-Daten können Angreifer:innen bei den meisten Apps das Geschlecht herausfinden, selbst wenn dies nicht aktiviert ist. Der Anbieter Tagged rückt damit sogar das genaue Geburtsdatum heraus. Vier Apps können die sexuelle Orientierung verraten, obwohl die jeweiligen Nutzer:innen, womöglich in repressiven Staaten, das in den Einstellungen ausgeschaltet haben.

„Während sich Nutzer:innen möglicherweise gezwungen fühlen, solche Daten freizugeben, besteht ein besonderes Risiko, wenn APIs in der Bedienoberfläche versteckte Daten sowie genaue Standorte preisgeben“, resümieren die Forscher:innen – auch, weil sich Nutzer:innen nicht darüber im Klaren sind, dass sie diese Daten freigeben, was zu zusätzlichem Schaden führen könne. „Darüber hinaus informieren die Datenschutzrichtlinien der Apps die Nutzer:innen im Allgemeinen nicht über diese Datenschutzrisiken und überlassen es ihnen, persönliche (sensible) Daten selbst zu schützen.“