Tracking mit Ortungsdiensten - Der Spion in unseren Handys

Es sind Daten, die jeder kaufen kann. Für ein paar Tausend Franken im Monat. Zum Kauf angeboten von einem US-amerikanischen Datenhändler, der diese Daten sammelt. Aus Apps und Webseiten. Angeblich mit der Zustimmung ihrer Nutzer.

Was passiert tatsächlich, wenn man auf Cookie-Bannern oder bei App-Datenschutzerklärungen «Alles Akzeptieren» klickt und ihnen erlaubt, die eigenen Standortdaten zu teilen?

Was eigentlich für die Werbeindustrie gedacht ist und in grossen Stil von ihr genutzt wird birgt auch massive Sicherheitslücken, wie der vorliegende Datensatz zeigt. Erstmals lässt sich damit für die Schweiz aufzeigen, wie gross die Gefahr für einen Missbrauch der Daten ist. Es ist ein Schatz für Kriminelle, Stalker und fremde Geheimdienste.

Über die Daten

SRF hat sich auf dem Berliner Online-Marktplatz datarade.ai von einem US-Datenhändler ein kostenloses Probesample mit angeblich anonymen Daten schicken lassen. Darin befanden sich über 100 Millionen Standorte von 1.3 Millionen Geräten innerhalb der Schweiz während einer Woche im März 2024. Quellen sind angeblich eine Reihe von Firmen, die ihre Daten über in App- und Webseiten-Bausteinen eingebaute Tracker beziehen, etwa zu Werbezwecken.

Der Datenhändler schreibt gegenüber SRF: «Die Firma gibt Daten unter NDA weiter um die Verwendung der Daten auf genehmigte Geschäftszwecke zu beschränken. Anwendungsfälle, die nicht unter legitime Geschäftszwecke fallen, wie z. B. ausländische oder inländische Nachrichtendienste, politische Kampagnen und religiöse Gruppen, sind gemäss unserer Richtlinie nicht zulässig, und wir behalten uns das Recht vor, den Zugriff aus diesen Gründen zu verweigern». Darüber hinaus würde man sich von den Datenlieferanten vertraglich zusichern lassen, dass die Daten datenschutzkonform nur mit der Zustimmung der Nutzer erhoben wurden.

SRF Data konnte innerhalb kurzer Zeit durch Stichproben aus dem Datensatz zahlreiche Fälle identifizieren, die zeigen, wie die Daten die Privatsphäre von Schweizer Bürgerinnen und Bürgern beeinträchtigen – und welche Sicherheitsrisiken sie bergen, selbst für die geheimsten Dienste der Schweiz.

Risiko: Einzelpersonen

Schoried bei Alpnach OW. Ein Freitag im März. Pia Kiefer-Vogel sitzt im Auto und ist auf dem Weg zu ihrer wöchentlichen Einkaufstour.

Pia Kiefer-Vogel wohnt abgeschirmt und nennt sich selbst «auf Datenschutz sensibilisiert». Sie schaue sich jeweils genau an, zu was sie zustimme und verlasse oft auch eine Webseite, weil der Cookie-Banner zu viele Partner aufliste. Ihren Standort teilt sie nur mit vertrauenswürdigen Apps. 20 Minuten. Google Maps. Die Bezahl-Wetter-App Weather Pro. Search.ch. Facebook. Diesen gewährt sie dann aber immer Zugriff auf ihren Standort. Die Apps greifen auch Standortdaten ab, wenn Kiefer-Vogel nicht am Handy ist. Gut möglich, dass eine dieser Apps die Daten speichert und weiterverkauft.

Sie führt kein Doppelleben und hat auch sonst nichts zu verbergen. Und doch will Pia Kiefer-Vogel nicht, «dass jeder sich einfach meine Bewegungsdaten besorgen kann». Das sei ein Eingriff in ihre Privatsphäre. Was mit diesen Daten möglich sei, grenze «an eine Überwachung zu DDR-Zeiten». Ihr sei klar, dass Daten für personalisierte Werbung eingesetzt würden, «aber dass auch Dritte an solche heiklen Daten gelangen können, das ist kriminell». Dazu habe sie nie zugestimmt. Für sie ist klar: «Wenn es mich trifft, dann trifft es auch Millionen anderer Menschen.»

Befragte Datenschutz-Experten sind sich einig: Solche Bewegungsprofile könnten für kriminelle Akteure hochinteressant sein, etwa für Erpressung, Stalking oder Phishing.

Risiko: Kritische Infrastruktur

Für Nico Ebert, Experte für Datenschutz und Cybersicherheit und Professor an der Zürcher Hochschule für Angewandte Wissenschaft ZHAW, bieten solche Daten Angriffsflächen für sogenanntes Social Engineering, also Spionageangriffe durch die Manipulation von Einzelpersonen. «Während es für ausländische Geheimdienste ziemlich schwierig ist, über Telekomanbieter an Bewegungsdaten von Schweizerinnen und Schweizern zu kommen, sind vergleichbare Daten für jedermann im Internet kaufbar.»

Das Kernkraftwerk Gösgen schreibt in einer Stellungnahme, man kenne die Gefahr, die aus solchen Daten entstehen könne: «Im Umgang mit Social Engineering und insbesondere mit Phishing-Mails sind Mitarbeitende sowohl das erste mögliche Einfallstor, aber sie sind auch die erste von mehreren Sicherheitsbarrieren. Dafür sensibilisieren wir unsere Mitarbeitenden mit regelmässigen Schulungen und Tests.»

Risiko: Nationale Sicherheit

Auf Anfrage antwortet das VBS, dass man sich bewusst sei, dass sich die Identifizierung von Mitarbeitenden mit solchen Daten nie ganz verhindern lasse. Das VBS unterziehe Mitarbeitende aber erweiterten Personen­sicherheits­prüfungen, um eine allfällige Erpressbarkeit auszuschliessen. Ausserdem hätten Mitarbeitende in besonders sensiblen Funktionen die Vorgabe, Handys an bestimmte, klassifizierte Standorte gar nicht mitzunehmen. Man würde sie diesbezüglich regelmässig sensibilisieren und kontrollieren.

Dabei gäbe es beim Bund Anleitungen, um sich vor dem Abfluss solcher Daten zu schützen. Das Nationale Zentrum für Cybersicherheit NCSC empfiehlt in einem Merkblatt, die Mitarbeitenden des Bundes sollten Ortungsdienste wenn immer möglich ausschalten und sich auch sonst datensparsam verhalten. Für Armin Stähli, Oberassistent an der Universität Zürich mit Schwerpunkt Sicherheitsrecht, sind die gesetzlichen Grundlagen für eine Einschränkung der Ortungsdienste auf Mobilgeräten des Bundes gegeben. Für ihn sei es «vor allem eine Frage der Führung, eine Frage des Risikomanagements, von der Governance, von der gelebten Sicherheitskultur». Nun gehe es darum, die Leute zu sensibilisieren und sie dazu zu bringen, die Empfehlungen konsequent umzusetzen.

Stellungnahmen in vollem Wortlaut

Die Armee schreibt:

«Unsere Fachleute haben diese Informationen geprüft und Abklärungen getroffen. Dabei haben sie keine Verstösse gegen Regelungen festgestellt. Insbesondere gibt es keine Hinweise, dass der Mitarbeiter, den Sie namentlich erwähnen, gegen Vorgaben verstossen hätte.

Es gibt bundesweite Vorgaben für die dienstliche Nutzung von Handys in der Bundesverwaltung. Diese Vorgaben gelten auch für das VBS. Gemäss dieser Einsatzrichtlinie müssen alle entsprechenden Geräte in das sogenannte Mobile Device Management (MDM) eingebunden sein. Die Einsatzrichtlinie macht aber keine Vorgaben zu Ortungsdiensten. 

Die Departemente und Bundesämter können jedoch eigene, ergänzende Vorschriften erlassen. Für VBS-Mitarbeitende in besonders sensiblen Funktionen, insbesondere beim NDB, sowie für gewisse Standorte gibt es entsprechend zusätzliche Sicherheitsvorkehrungen. Dazu gehört beispielsweise, dass Handys an bestimmten Standorten oder in bestimmten Zonen von Standorten gänzlich verboten sind. Die Mitarbeitenden werden regelmässig für diese Sicherheitsvorkehrungen sensibilisiert und die Einhaltung wird kontrolliert.

Wir sind uns bewusst, dass sich die Identifizierung von Mitarbeitenden mit den von Ihnen erwähnten Mitteln nie ganz verhindern lässt. Unsere Mitarbeitenden bewegen sich in ihrer Freizeit im normalen Alltag. Die von ihnen genannten Standorte sind jedoch öffentlich bekannt und nicht klassifiziert. Allein die Information zu den Standorten der genannten Gebäude sowie der Mitarbeiterinnen und Mitarbeitern stellen noch kein Risiko dar. Die Mitarbeitenden unterliegen beispielsweise auch erweiterten Personensicherheitsprüfungen, um eine allfällige Erpressbarkeit auszuschliessen».

Das KKW Gösgen schreibt:

«Diese Signale sagen aus: Person xy hält sich an Standort z im Kernkraftwerk Gösgen auf. Unser Arbeitsort ist nicht geheim, denn allein von dieser Kenntnis geht keine Gefahr aus. Die Genauigkeit von GPS-Systemen, die häufig zur Erfassung von Standortdaten verwendet werden, ist im Freien wesentlich höher als in Gebäuden. Bereiche, die der nuklearen Sicherheit dienen, sind nicht durch GPS-Signale abgedeckt. 

Die Existenz von Bewegungsdatensammlungen, sowohl aus Datenlecks als auch aus rechtmässig erworbenen Quellen, ist uns bekannt. Das KKG kennt die Gefahren, die aus der Kombination von Bewegungsprofilen und Informationen aus frei verfügbaren Quellen wie Social Media entstehen und für Social Engineering verwendet werden können.

Das Kernkraftwerk Gösgen (KKG) teilt die Meinung der Experten zu den Risikopotentialen. Diese bestehen jedoch nicht erst seit der Möglichkeit, dank der Digitalisierung persönliche Daten in grossem Stil zu sammeln und auszuwerten. Das Bewusstsein für Risiken und der Umgang damit sind eine ständige Aufgabe für das KKG.

Das Kernkraftwerk Gösgen evaluiert laufend mögliche Bedrohungsszenarien und trifft die entsprechenden Sicherheitsmassnahmen. Diese Massnahmen bauen auf einem mehrschichtigen Sicherheitsansatz auf: So ist zum Beispiel der Personalausweis erst gekoppelt mit biometrischen Daten gültig für den Arealzutritt. Teil des Sicherheitsdispositivs sind Personensicherheitsprüfungen, die darauf abzielen, das Risiko der Informationsgewinnung oder Erpressung von Mitarbeitenden zu minimieren.
Im Umgang mit Social Engineering und insbesondere mit Phishing-Mails sind Mitarbeitende sowohl das erste mögliche Einfallstor, aber sie sind auch die erste von mehreren Sicherheitsbarrieren. Dafür sensibilisieren wir unsere Mitarbeitenden mit regelmässigen Schulungen und Tests. 
Weitere Details zum Sicherheitsdispositiv können wir aus Sicherheitsgründen nicht öffentlich machen.

Eine administrative oder technische Regelung erachten wir zurzeit als nicht notwendig.

Sollten sich diesbezüglich heikle, technische Innovationen mit Einfluss auf die Sicherheit des Kernkraftwerks Gösgen ergeben, werden wir die Situation neu bewerten.

Sicherheit hat im Kernkraftwerk Gösgen oberstes Gebot. Absolute Sicherheit gibt es nicht. Um so sicher wie möglich zu sein, setzen wir im Kernkraftwerk Gösgen alle Aspekte der Sicherheit an erste Stelle».

Die Bundeskanzlei schreibt:

«Es gibt namentlich mit der Einsatzrichtlinie E021 bundesweite Vorgaben für die dienstliche Nutzung von Handys bei der Bundesverwaltung. Alle entsprechenden Geräte müssen in das sogenannte Mobile Device Management (MDM) eingebunden sein. Die Einsatzrichtlinie macht keine Vorgaben zu Ortungsdiensten. Der Bund empfiehlt seinen Mitarbeitenden aber, die Ortungsdienste auszuschalten, wenn sie nicht benötigt werden (siehe Merkblatt zur Nutzung von Apps: Woche 16: Bug oder Feature – der sichere Umgang mit Apps und Social Media (admin.ch); PDF unten unter «Merkblatt zur Nutzung von Apps»). Das Risiko von Standortdaten kann nicht generell bewertet werden: 

Die Bundesverwaltung umfasst zahlreiche Ämter mit sehr unterschiedlichen Aufgaben und Schutzbedürfnissen. Darum ist vorgesehen, dass Departemente und Ämter ergänzende Vorschriften erlassen können.»

Goldmine für Erpresser, Hacker und Geheimdienste

Dass Daten aus dem Schattenmarkt für Spionagezwecke verwendet werden, ist auch in anderen Ländern ein Problem. Eine Studie der Duke Universität betonte kürzlich die Gefahr, dass diese Daten von ausländischen und böswilligen Akteuren genutzt werden, um aktive Militärangehörige sowie deren Familien und Bekannte für Profilerstellung, Erpressung, gezielte Informationskampagnen und mehr ins Visier zu nehmen. Auch ist von mehreren Geheimdiensten, darunter verschiedenen US-Diensten, aber auch von Diensten aus Norwegen, der Niederlande oder Deutschland bekannt, dass sie solche Daten kaufen und auswerten oder gar ganze Tools einkaufen, die auf solchen Standortdaten basieren. Eine Studie der irländischen NGO ICCL betont das Sicherheitsrisiko für europäische Länder durch den Datenaustausch der Werbeindustrie und den Missbrauch dieser Daten. Die Daten seien «eine Goldmine» und würden es erleichtern, kompromittierendes Material über Personen zu finden und diese zu erpressen, zu hacken oder sonst zu beeinflussen – egal ob Politiker, Armeeangehörige oder gewöhnliche Bürgerinnen und Bürger.

Anleitung: Mit drei einfachen Schritten Ihre Handydaten schützen

Collage: SRF, iStock

In dieser Anleitung mit Grafiken zeigen wir Ihnen, wie Sie sich und Ihre Daten vor Tracking, Profiling und anderem schützen können.