Voreingestellte Datenlecks: Wie Werbe-SDKs Entwickler zum Tracking verleiten

Smartphone-Nutzer gehen oft davon aus, dass die Gewährung von Standortzugriff auf eine App nur der Kernfunktion dieser Anwendung dient. Wenn ein Navigationsdienst, eine Wetter-App oder ein QR-Code-Scanner Zugriff auf GPS-Daten erlaubt, erwarten Benutzer normalerweise, dass ihre Position ausschließlich für den beabsichtigten Zweck verwendet wird.

Die Studie von EFF-Forscherinnen Lena Cohen und Bill Budington hebt die zentrale Rolle von Echtzeit-Bieten (RTB) in diesem Datenfluss hervor. Sobald eine App Standortberechtigungen auf Betriebssystemebene erhält, können auch SDKs von Drittanbietern auf diese Daten zugreifen. Während RTB-Auktionen senden Werbenetzwerke Datenpakete an Tausende potenzieller Werbetreibende. Gemäß der Untersuchung nutzen Datenbroker diese Auktionen häufig, um Bewegungsdaten in Gebotsanfragen abzufangen. Das Ausmaß dieses Problems wurde durch den Datenschutzverstoß unter Beteiligung des Brokers Gravy Analytics gezeigt, der ergab, dass viele betroffene Entwickler nicht wussten, dass ihre Apps als Datenanbieter verwendet wurden.

Standard-Einstellungen wirken als Datenfallen. Das Problem verschärft sich aufgrund der Art und Weise, wie Werbe-SDKs entworfen sind. Entwickler neigen dazu, Standard-Einstellungen ohne Prüfung zu übernehmen. Die EFF identifizierte vier weit verbreitete Entwicklungs-Kits, die automatisch Standortdaten sammeln und weiterleiten, sobald die App-Erlaubnis erteilt wurde. InMobi hat beispielsweise die Weiterleitung standardmäßig aktiviert und empfiehlt ausdrücklich, genaue GPS- und Wi-Fi-Informationen zur Erhöhung der Werbeeinnahmen zu erteilen.

Technische Analysen von Apps wie RQR Scanner und GPS Speedometer zeigten etwas anderes. Ebenso nutzen das SDK HyBid von Verve und Petal Ads des chinesischen Herstellers Huawei voreingestellte Standortberechtigungen und betonen finanzielle Vorteile für Entwickler.

Wenn Standortdaten über den Werbemarkt zirkulieren, entstehen Risiken, die über gezielte Anzeigen hinausgehen. In der Vergangenheit wurden solche Datensätze bereits für Strafverfolgungsuntersuchungen, globale Spionage-Tools, die Verfolgung von Gewerkschaftsorganisatoren und Militärpersonal und die Enthüllung von Personen verwendet. Die Gewährung von Standortzugriff auf Betriebssystemebene stellt keine wirksame Zustimmung zur Weitergabe an Dritte dar. Daher fordert die EFF einen Denkwechsel auf allen Ebenen: Entwickler müssen Werbe-SDKs kritisch prüfen und die Datenerfassung deaktivieren. Regulierungsbehörden sollten nicht nur Programmierer, sondern auch Ersteller von SDKs, die den Datenschutz untergraben, zur Rechenschaft ziehen.

Aktivisten plädieren für strengere Gesetze und ein Verbot von verhaltensbasierter Online-Werbung, um den finanziellen Anreiz für den Handel mit Bewegungsprofilen zu beseitigen.