Zum Inhalt springen

Tinder, Candy Crush, Wetterapp Spion in der Hosentasche: Tausende Apps verraten unseren Standort

Die Standorte von Millionen Handys stehen zum Verkauf. Eine Recherche zeigt: Jede fünfte Top-App gibt Daten weiter.

Zum Beispiel Wetter Online, eine der beliebtesten Wetter-Apps in der Schweiz: Wer der App Zugriff auf den eigenen Standort gewährt, bekommt lokale Wetterentwicklungen angezeigt und wird vor nahenden Gewittern gewarnt. Doch nun bekommt die App selbst Gegenwind.

Eine internationale Recherche von SRF, dem Bayerischen Rundfunk, Netzpolitik.org und weiteren Medien zeigt: Die metergenauen Standorte werden nicht nur für exakte Wetterprognosen genutzt, sie fliessen auch an unzählige Firmen – und stehen im Internet zum Verkauf. Wetter Online ist kein Einzelfall. Tausende von Apps verraten die Bewegungen ihrer Nutzerinnen und Nutzer, darunter viele der beliebtesten Apps der Schweiz.

Daten wohl aus Werbenetzwerk

Gratis-Apps sind allgegenwärtig. Mit Spielen überbrücken wir Wartezeiten, andere Apps unterstützen die Partnersuche, zeigen die Resultate der Lieblingsmannschaft oder ob das Wetter fürs Wochenende hält. Wer ein Smartphone besitzt, nutzt meist solche Gratis-Apps. Da die Betreiberinnen keine Einnahmen durch den Verkauf erzielen, finanzieren sie sich oft durch Werbeflächen in ihren Apps. Diese werden über Werbenetzwerke versteigert. Bei jeder Nutzung teilt die App Nutzerdaten, Vorlieben und Standorte mit Werbefirmen – damit diese möglichst personalisierte Werbung schalten können. Doch die Daten werden nicht nur für Werbung genutzt: Datenhändler aus aller Welt greifen diese Daten ab und verkaufen sie beinahe jedem, der dafür bezahlt.

SRF und den Medienpartnern liegt ein Datensatz vor, der erstmals das Ausmass des Datenhandels durch Handyapps zeigt und der tief ins Innere des obskuren Geschäfts mit Nutzerdaten blicken lässt. Er stammt von der US-amerikanischen Datenhändlerin Datastream Group, die inzwischen Datasys heisst, und wurde wohl über internationale Werbenetzwerke gesammelt.

Eine Weltkarte mit vielen roten Punkten, die zeigt, dass die Daten fast weltweit erhoben werden.
Legende: Standortdaten aus dem Datensatz Von den Apps verratene Standorte während einer Stunde am 2. Juli 2024. Punkte aus der Schweiz fehlen weitgehend – doch die Schweiz ist genauso betroffen. Martin Gundersen, NRK

Es handelt sich um eine Liste mit fast 40'000 Apps weltweit – und Standortdaten von Millionen ihrer Nutzerinnen und Nutzer. Die Daten enthalten über 380 Millionen Standorte von über 47 Millionen Geräten aus 137 Ländern. Für einzelne Personen finden sich Hunderte von Datenpunkten über einen Tag hinweg. Damit lassen sich präzise Bewegungsprofile erstellen. Sie verraten, wo die Person schlief, mit wem sie sich traf, wo sie arbeitet. Und auch der Besuch von zwielichtigen Etablissements lässt sich nicht mehr geheim halten. Private oder intime Informationen, zu deren Verkauf wohl die Wenigsten zustimmen würden. SRF und seine Kooperationspartner konnte Dutzende von Nutzerinnen und Nutzern der Apps anhand ihrer Bewegungsprofile identifizieren und die Echtheit der Daten verifizieren.

Zu Recherche und Daten

Box aufklappen Box zuklappen

Der Datensatz der Datastream Group (neu Datasys) wurde dem deutschen Onlinemedium Netzpolitik.org übermittelt, welches die Daten mit einem internationalen Team von Journalistinnen und Journalisten teilte. Darunter: SRF/RTS (Schweiz), WIRED (USA), Le Monde (Frankreich), NRK Beta (Norwegen), BNR Nieuwsradio (Niederlande), Dagens Nyheter (Schweden), Bayerischer Rundfunk/ARD (Deutschland). Für den Datensatz wurde nichts bezahlt.

Während Datastream Group im vorliegenden Datensatz keine Standorte von Geräten aus der Schweiz geliefert hat, zeigen Abgleiche mit Datensätzen von anderen Datenhändlern und Leaks, dass Schweizer Nutzerinnen und Nutzer der genannten Apps in gleichem Masse betroffen sind wie alle anderen.

Die Datastream Group liess mehrere Anfragen unbeantwortet.

Frühere SRF-Recherchen zeigten bereits das riesige Missbrauchspotenzial solcher Informationen auf und wie einfach sie zugänglich sind. Solche Daten können eine Goldmine für Erpresser, Hacker und Geheimdienste sein. Der IT-Sicherheitsexperte Ivano Somaini sagt, solche Daten könnten auch Stalker, Betrüger oder Leute, die Kinder missbrauchen wollen, mit heiklen Informationen versorgen.

Im SRF-Podcast «Die Cookiefalle» räumt ein Branchenvertreter der Werbeindustrie ein, man sei mit diesem System der Werbedaten «überbordet». Welche Ausmasse der Datenhandel angenommen hat, zeigt der vorliegende Datensatz.

SRF-Podcastserie: «Die Cookiefalle»

Aus der Liste von 40’000 Apps sticht eine Reihe von Namen heraus, die gemäss unserer Analyse besonders oft und besonders genaue Standortdaten weitergeben – und die in der Schweiz beliebt sind. So etwa mehrere kommerzielle Wetterapps wie Wetter Online, die Kommunikationsapp Kik, die Shoppingapps Kleinanzeigen (ehemals Ebay Kleinanzeigen) und Le Bon Coin, Newsapps mit viel Werbung wie Focus Online, die Datingapp Hornet, eine LGBTQ+ Dating-App mit Fokus auf männliche Nutzer; oder Tools wie Flightradar24.

Ein Teil von ihnen gibt in ihren Datenschutzerklärungen sogar zu, dass sie solche Daten erheben und an Werbepartner weitergeben. Doch dass diese auch für andere Zwecke an alle Interessierten verkauft werden könnten, steht nirgends.

Tinder, Grindr, Block Blast!, GMX teilen ungefähren Standort

Ein Grossteil der Apps im Datensatz geben nicht den genauen Standort weiter. Stattdessen handelt es sich um sogenannte «ungenaue Standortdaten», meist basierend auf der IP-Adresse. Doch auch diese Information kann viel über eine Person verraten, beispielsweise wenn sie mit anderen Angaben verknüpft wird.

Möchten Sie diesen ergänzenden Inhalt laden?

Hinter diesem Platzhalter verbirgt sich ein externer Inhalt (z.B. ein Social Media Post oder ein Video), den unsere Redaktion empfiehlt.Mehr

Dieser Platzhalter erscheint, weil Sie die Verwendung von «Social Media und externen Drittsystemen» in Ihren Datenschutz-Einstellungen deaktiviert haben. Klicken Sie auf «Inhalt laden», um diesen Inhalt einmalig anzuzeigen. Dabei können Cookies gesetzt und Daten an externe Anbieter übertragen werden. Passen Sie Ihre Datenschutz-Einstellungen an, um solche Inhalte dauerhaft anzeigen zu können.

Eine dieser Apps, die gemäss Datensatz sehr oft die «ungefähren» Standorte ihrer User teilt, ist Grindr. Die App ist vor allem bei queeren Männern sehr beliebt. Werbetreibende – und alle anderen Käufer dieser Daten – können durch die Herkunft der Daten aus der Grindr-App Rückschlüsse auf die Sexualität einzelner Menschen ziehen. Ausserdem erlaubt es die mitgesendete Werbe-ID, durch die Kombination mit anderen Apps, Personen eindeutig zu identifizieren. Eine Anfrage liess Grindr unbeantwortet.

In dieser Kategorie befinden sich auch die Dating-Apps Tinder, Lovoo, Jaumo, die E-Mail-App GMX und die beliebten Games Block Blast! und Candy Crush Saga, die Shopping-App Vinted sowie Zehntausende weitere Apps. Sie teilen zwar nicht den genauen Standort, verraten aber trotzdem teils heikle Informationen ihrer Nutzenden an Werbetreibende – und an Datenhändler.

Ein Abgleich mit den aktuellen Top-50-Listen der beliebtesten Gratis-Apps der Schweiz zeigt: Von den Top 50 beliebtesten Apps ist jede Fünfte betroffen. Besonders stechen Apps der Kategorien Spiele/Games, Unterhaltung, Social-Networking, Musik, Sport (Fussballresultate) und Wetter hervor. Mehr als die Hälfte der beliebtesten Games auf Schweizer Handys verraten die Standorte ihrer Nutzenden – sowohl auf Apple-Geräten (iPhone/iPad) als auch auf Geräten mit Android-Betriebssystemen (fast alle anderen).

SRF hat alle genannten Apphersteller konfrontiert. Viele geben an, keine direkten Geschäftsbeziehungen mit dem Datenhändler Datastream Group zu haben, aber Daten an Werbetreibende weiterzugeben. Teilweise geben sie an, keine genauen Standortdaten weiterzugeben und nicht zu wissen, dass und wie die Standortdaten ihrer Nutzenden zum Datenhändler gelangen konnten.

Statements der genannten Apps

Box aufklappen Box zuklappen

Zusammenfassung der Statements, aus dem Englischen übersetzt:

  • Lovoo: «Wir haben keine Geschäftsbeziehung mit der Datastream Group. Wie in unserer Datenschutzerklärung erwähnt, nutzen und teilen wir bestimmte Informationen mit Dritten für Werbezwecke in Übereinstimmung mit allen relevanten Vorschriften. [...] Daten werden nur geteilt, wenn ein Nutzer seine Einwilligung gegeben hat. Wir verwenden ein Opt-in-System, und die Standardeinstellung ist Opt-out, wodurch unsere Nutzer entscheiden können, welche Informationen sie teilen möchten. [...] Gemäss unserer Richtlinien teilen wir keine Informationen über sexuelle Orientierungen oder nichtbinäre Geschlechtsidentitäten unserer Nutzer mit externen Partnern. Dies ist Teil unserer Bemühungen, sensible Informationen mit besonderer Sorgfalt zu behandeln, um zur Sicherheit unserer queeren Mitglieder beizutragen.»
  • GMX / Web.de: «Es gibt keine Standortdaten aus unseren Apps. Darüber hinaus hatten wir nie eine Zusammenarbeit mit der Datastream Group. Unsere Apps haben keinen Zugriff auf und erheben keine Standortdaten der Nutzer. Die Erfassung präziser Standortdaten erfordert eine native mobile Betriebssystem-Berechtigung vom Nutzer. Weder die GMX- noch die Web.de-App fordert oder nutzt präzise Standortdaten. Alle Nutzerdaten werden streng nach der Europäischen Datenschutz-Grundverordnung (DSGVO) gespeichert und verarbeitet.»
  • Hornet: «Hornet hat keine Beziehung zu Datastream Group oder Gravy Analytics und wir haben keine Beweise dafür, dass unsere Nutzerdaten direkt mit ihnen geteilt wurden. Wir können die Möglichkeit nicht vollständig ausschliessen, dass Werbenetzwerke von Drittanbietern Daten ohne unser Wissen oder unsere Zustimmung geteilt haben. Nach unserer Einschätzung stammen die Hornet-Daten in diesen Datensätzen jedoch wahrscheinlich aus IP-Adress-Geolokalisierung, nicht aus präzisen GPS-Daten. Dadurch ist es nicht möglich, den genauen Standort eines Nutzers zu bestimmen oder detaillierte Bewegungsmuster zu erstellen. Hornet teilt keine Echtzeit-GPS-Daten. Die Standortinformationen, die wir mit Werbetreibenden teilen, werden aus IP-Adressen abgeleitet, die nur eine grobe Standortbestimmung, aber keine spezifischen Bewegungsmuster ermöglichen. Diese sind nicht genau genug, um Personen zu identifizieren oder sie zu ihrem Zuhause oder Arbeitsplatz zu verfolgen. [...] Wir ermutigen Nutzer, unsere erschwinglichen Abo-Dienste zu wählen, die ohne die Datenschutzrisiken der werbeunterstützten kostenlosen Version kommen. [...] Basierend auf unserer Risikoanalyse stellen die mit Werbepartnern geteilten Daten (hauptsächlich IP-Adress-Geolokalisierung) keine signifikante Bedrohung dar, da keine persönlich identifizierbaren Informationen damit verbunden sind. Wir wurden nicht über Vorfälle informiert, bei denen diese Daten verwendet wurden, um unseren Nutzern zu schaden. Dennoch verbessern wir ständig unsere Systeme, um uns gegen böswillige Akteure, von Betrügern bis hin zu staatlicher Überwachung, zu verteidigen und bleiben wachsam in unserem Engagement für Sicherheit.»
  • Tinder: «Tinder nimmt Sicherheit sehr ernst. Wir haben keine Beziehung zu Gravy Analytics oder der Datastream Group und haben keine Beweise dafür, dass diese Daten aus der Tinder-App stammen.»
  • Vinted: «Vinted hat keine Partnerschaft mit Gravy Analytics. Wir untersuchen jedoch, wie unsere Mitglieder betroffen sein könnten, einschliesslich indirekter Auswirkungen durch Dritte.»
  • Le Bon Coin: «Le Bon Coin respektiert die DSGVO und hat keine vertragliche Beziehung mit Gravy Analytics und Datastream. Der Datenschutz und die Sicherheit der Informationen unserer Nutzer sind Prioritäten für uns.»

Auf Anfrage äusserten sich die Appbetreiber der Apps Grindr, Wetter Online, Flightradar24, Candy Crush Saga, Block Blast!, KiK, Kleinanzeigen, Jaumo und Focus Online nicht.

Ist es legal, was diese Apps mit den Daten von Schweizer Nutzenden anstellen? Florent Thouvenin, Professor für Informations- und Kommunikationsrecht an der Universität Zürich, sagt, man müsse grundsätzlich die Apps einzeln überprüfen. Das Schweizer Datenschutzrecht würde relativ viel zulassen – solange die Nutzerinnen und Nutzer transparent informiert worden seien. «Das scheint hier nicht unbedingt der Fall zu sein», sagt Thouvenin. «Da in diesem Fall sehr viele Menschen betroffen sind, könnte es sinnvoll sein, dass der EDÖB, der eidgenössische Datenschutz- und Öffentlichkeits­beauftragte des Bundes, ein Verfahren einleitet.»

Für Thouvenin ist aber auch die Gesellschaft gefragt: «Vielleicht ist es an der Zeit, sich als Gesellschaft zu fragen, welche Daten wir Firmen wirklich zur Verfügung stellen wollen – und wo es zu weit geht.»

Hack von Datenhändler bestätigt Echtheit der Daten

Wie unkontrollierbar das Ökosystem mit Werbedaten ist, zeigte letzte Woche ein Hack der US-amerikanischen Datenhändlerin Gravy Analytics, die zum norwegisch-amerikanischen Unternehmen Unacast gehört. Unacast bestätigte den Hack gegenüber den norwegischen Behörden. Offenbar wurden bis zu 17 Terabyte an Standortdaten entwendet. Die Hacker wollen die Firma offensichtlich zu einer Lösegeldzahlung bringen, allenfalls – so die Drohung – würden sie die Daten im Netz publizieren.

SRF konnte einen Teil der Daten einsehen. Es handelt sich grösstenteils um dieselben Apps wie im oben erwähnten Datensatz der Datastream Group. Auch ein Teil der Geräte liess sich übereinstimmend verifizieren. In den Daten befinden sich auch Tausende von Standorten von Schweizer Geräten, darunter auch von Geräten innerhalb von Armeestützpunkten.

Für den Cybersicherheitsexperten Ivano Somaini ist klar: Sollten diese Daten publik werden, könnten damit potenziell die Bewegungsprofile von Millionen Schweizer Geräten frei zugänglich werden. «Das würde bedeuten, dass Hacker, Stalker oder Kriminelle eine riesige Datenquelle hätten, um perfide Angriffe zu planen und gegen uns zu benutzen. Wir müssen erwarten, dass solche Angriffe auch stattfinden werden und uns in Zukunft besser schützen.»

Anleitung: Mit drei einfachen Schritten Ihre Handydaten schützen

Box aufklappen Box zuklappen
Illustration mit Handy
Legende: SRF / iStock

In dieser Anleitung mit Grafikenzeigen wir Ihnen, wie Sie sich und Ihre Daten vor Tracking, Profiling und anderem schützen können.

Tagesschau Mittag, 15.01.2025, 12:45 Uhr; sibl

Meistgelesene Artikel