Zum Beispiel Wetter Online, eine der beliebtesten Wetter-Apps in der Schweiz: Wer der App Zugriff auf den eigenen Standort gewährt, bekommt lokale Wetterentwicklungen angezeigt und wird vor nahenden Gewittern gewarnt. Doch nun bekommt die App selbst Gegenwind.
Eine internationale Recherche von SRF, dem Bayerischen Rundfunk, Netzpolitik.org und weiteren Medien zeigt: Die metergenauen Standorte werden nicht nur für exakte Wetterprognosen genutzt, sie fliessen auch an unzählige Firmen – und stehen im Internet zum Verkauf. Wetter Online ist kein Einzelfall. Tausende von Apps verraten die Bewegungen ihrer Nutzerinnen und Nutzer, darunter viele der beliebtesten Apps der Schweiz.
Daten wohl aus Werbenetzwerk
Gratis-Apps sind allgegenwärtig. Mit Spielen überbrücken wir Wartezeiten, andere Apps unterstützen die Partnersuche, zeigen die Resultate der Lieblingsmannschaft oder ob das Wetter fürs Wochenende hält. Wer ein Smartphone besitzt, nutzt meist solche Gratis-Apps. Da die Betreiberinnen keine Einnahmen durch den Verkauf erzielen, finanzieren sie sich oft durch Werbeflächen in ihren Apps. Diese werden über Werbenetzwerke versteigert. Bei jeder Nutzung teilt die App Nutzerdaten, Vorlieben und Standorte mit Werbefirmen – damit diese möglichst personalisierte Werbung schalten können. Doch die Daten werden nicht nur für Werbung genutzt: Datenhändler aus aller Welt greifen diese Daten ab und verkaufen sie beinahe jedem, der dafür bezahlt.
SRF und den Medienpartnern liegt ein Datensatz vor, der erstmals das Ausmass des Datenhandels durch Handyapps zeigt und der tief ins Innere des obskuren Geschäfts mit Nutzerdaten blicken lässt. Er stammt von der US-amerikanischen Datenhändlerin Datastream Group, die inzwischen Datasys heisst, und wurde wohl über internationale Werbenetzwerke gesammelt.
Es handelt sich um eine Liste mit fast 40'000 Apps weltweit – und Standortdaten von Millionen ihrer Nutzerinnen und Nutzer. Die Daten enthalten über 380 Millionen Standorte von über 47 Millionen Geräten aus 137 Ländern. Für einzelne Personen finden sich Hunderte von Datenpunkten über einen Tag hinweg. Damit lassen sich präzise Bewegungsprofile erstellen. Sie verraten, wo die Person schlief, mit wem sie sich traf, wo sie arbeitet. Und auch der Besuch von zwielichtigen Etablissements lässt sich nicht mehr geheim halten. Private oder intime Informationen, zu deren Verkauf wohl die Wenigsten zustimmen würden. SRF und seine Kooperationspartner konnte Dutzende von Nutzerinnen und Nutzern der Apps anhand ihrer Bewegungsprofile identifizieren und die Echtheit der Daten verifizieren.
Frühere SRF-Recherchen zeigten bereits das riesige Missbrauchspotenzial solcher Informationen auf und wie einfach sie zugänglich sind. Solche Daten können eine Goldmine für Erpresser, Hacker und Geheimdienste sein. Der IT-Sicherheitsexperte Ivano Somaini sagt, solche Daten könnten auch Stalker, Betrüger oder Leute, die Kinder missbrauchen wollen, mit heiklen Informationen versorgen.
Im SRF-Podcast «Die Cookiefalle» räumt ein Branchenvertreter der Werbeindustrie ein, man sei mit diesem System der Werbedaten «überbordet». Welche Ausmasse der Datenhandel angenommen hat, zeigt der vorliegende Datensatz.
SRF-Podcastserie: «Die Cookiefalle»
Aus der Liste von 40’000 Apps sticht eine Reihe von Namen heraus, die gemäss unserer Analyse besonders oft und besonders genaue Standortdaten weitergeben – und die in der Schweiz beliebt sind. So etwa mehrere kommerzielle Wetterapps wie Wetter Online, die Kommunikationsapp Kik, die Shoppingapps Kleinanzeigen (ehemals Ebay Kleinanzeigen) und Le Bon Coin, Newsapps mit viel Werbung wie Focus Online, die Datingapp Hornet, eine LGBTQ+ Dating-App mit Fokus auf männliche Nutzer; oder Tools wie Flightradar24.
Ein Teil von ihnen gibt in ihren Datenschutzerklärungen sogar zu, dass sie solche Daten erheben und an Werbepartner weitergeben. Doch dass diese auch für andere Zwecke an alle Interessierten verkauft werden könnten, steht nirgends.
Tinder, Grindr, Block Blast!, GMX teilen ungefähren Standort
Ein Grossteil der Apps im Datensatz geben nicht den genauen Standort weiter. Stattdessen handelt es sich um sogenannte «ungenaue Standortdaten», meist basierend auf der IP-Adresse. Doch auch diese Information kann viel über eine Person verraten, beispielsweise wenn sie mit anderen Angaben verknüpft wird.
Eine dieser Apps, die gemäss Datensatz sehr oft die «ungefähren» Standorte ihrer User teilt, ist Grindr. Die App ist vor allem bei queeren Männern sehr beliebt. Werbetreibende – und alle anderen Käufer dieser Daten – können durch die Herkunft der Daten aus der Grindr-App Rückschlüsse auf die Sexualität einzelner Menschen ziehen. Ausserdem erlaubt es die mitgesendete Werbe-ID, durch die Kombination mit anderen Apps, Personen eindeutig zu identifizieren. Eine Anfrage liess Grindr unbeantwortet.
In dieser Kategorie befinden sich auch die Dating-Apps Tinder, Lovoo, Jaumo, die E-Mail-App GMX und die beliebten Games Block Blast! und Candy Crush Saga, die Shopping-App Vinted sowie Zehntausende weitere Apps. Sie teilen zwar nicht den genauen Standort, verraten aber trotzdem teils heikle Informationen ihrer Nutzenden an Werbetreibende – und an Datenhändler.
Ein Abgleich mit den aktuellen Top-50-Listen der beliebtesten Gratis-Apps der Schweiz zeigt: Von den Top 50 beliebtesten Apps ist jede Fünfte betroffen. Besonders stechen Apps der Kategorien Spiele/Games, Unterhaltung, Social-Networking, Musik, Sport (Fussballresultate) und Wetter hervor. Mehr als die Hälfte der beliebtesten Games auf Schweizer Handys verraten die Standorte ihrer Nutzenden – sowohl auf Apple-Geräten (iPhone/iPad) als auch auf Geräten mit Android-Betriebssystemen (fast alle anderen).
SRF hat alle genannten Apphersteller konfrontiert. Viele geben an, keine direkten Geschäftsbeziehungen mit dem Datenhändler Datastream Group zu haben, aber Daten an Werbetreibende weiterzugeben. Teilweise geben sie an, keine genauen Standortdaten weiterzugeben und nicht zu wissen, dass und wie die Standortdaten ihrer Nutzenden zum Datenhändler gelangen konnten.
Ist es legal, was diese Apps mit den Daten von Schweizer Nutzenden anstellen? Florent Thouvenin, Professor für Informations- und Kommunikationsrecht an der Universität Zürich, sagt, man müsse grundsätzlich die Apps einzeln überprüfen. Das Schweizer Datenschutzrecht würde relativ viel zulassen – solange die Nutzerinnen und Nutzer transparent informiert worden seien. «Das scheint hier nicht unbedingt der Fall zu sein», sagt Thouvenin. «Da in diesem Fall sehr viele Menschen betroffen sind, könnte es sinnvoll sein, dass der EDÖB, der eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte des Bundes, ein Verfahren einleitet.»
Für Thouvenin ist aber auch die Gesellschaft gefragt: «Vielleicht ist es an der Zeit, sich als Gesellschaft zu fragen, welche Daten wir Firmen wirklich zur Verfügung stellen wollen – und wo es zu weit geht.»
Hack von Datenhändler bestätigt Echtheit der Daten
Wie unkontrollierbar das Ökosystem mit Werbedaten ist, zeigte letzte Woche ein Hack der US-amerikanischen Datenhändlerin Gravy Analytics, die zum norwegisch-amerikanischen Unternehmen Unacast gehört. Unacast bestätigte den Hack gegenüber den norwegischen Behörden. Offenbar wurden bis zu 17 Terabyte an Standortdaten entwendet. Die Hacker wollen die Firma offensichtlich zu einer Lösegeldzahlung bringen, allenfalls – so die Drohung – würden sie die Daten im Netz publizieren.
SRF konnte einen Teil der Daten einsehen. Es handelt sich grösstenteils um dieselben Apps wie im oben erwähnten Datensatz der Datastream Group. Auch ein Teil der Geräte liess sich übereinstimmend verifizieren. In den Daten befinden sich auch Tausende von Standorten von Schweizer Geräten, darunter auch von Geräten innerhalb von Armeestützpunkten.
Für den Cybersicherheitsexperten Ivano Somaini ist klar: Sollten diese Daten publik werden, könnten damit potenziell die Bewegungsprofile von Millionen Schweizer Geräten frei zugänglich werden. «Das würde bedeuten, dass Hacker, Stalker oder Kriminelle eine riesige Datenquelle hätten, um perfide Angriffe zu planen und gegen uns zu benutzen. Wir müssen erwarten, dass solche Angriffe auch stattfinden werden und uns in Zukunft besser schützen.»