Datenschutz-Alarm: Wie Alltags-Apps Standortdaten an Behörden liefern
(Bild: Garun .Prdt / Shutterstock.com)
Spiele-, Wetter- und Dating-Apps sammeln Standortdaten, die Behörden kaufen können. Ein Fall aus den USA zeigt das Ausmaß.
Millionen Menschen nutzen täglich Wetter-Apps, Handyspiele oder Dating-Dienste – und in vielen Fällen werden die Standortdaten mit übertragen. Und die Nutzer ahnen nicht, wohin sie fließen.
Dass solche Informationen nicht nur Werbefirmen interessieren, sondern auch staatliche Stellen, zeigt ein aktueller Fall aus den USA besonders drastisch. Dort kaufte die Zoll- und Grenzschutzbehörde CBP gezielt Standortdaten aus dem Werbesystem, um die Wege einzelner Personen nachzuzeichnen – ganz ohne richterliche Genehmigung.
Was in den USA bereits Realität ist, offenbart ein grundlegendes Problem: Die Datenströme hinter mobiler Werbung schaffen weltweit eine Infrastruktur, die sich für Überwachung missbrauchen lässt.
Unsichtbare Auktionen im Hintergrund
Hinter jeder Werbeanzeige in einer App steckt ein komplexer Vorgang, den Fachleute als Real-Time-Bidding bezeichnen.
Einfach erklärt: Öffnet jemand eine App, starten im Bruchteil einer Sekunde automatische Versteigerungen um den freien Werbeplatz. Dutzende Firmen bieten gleichzeitig mit – und erhalten dabei Zugriff auf Gerätedaten, darunter den aktuellen Aufenthaltsort.
Das Bindeglied zwischen App und Werbemarkt bildet die sogenannte Advertising-ID, kurz AdID. Dieser alphanumerische Code steckt in jedem Smartphone und dient eigentlich dazu, Werbung zielgenauer auszuspielen.
Doch genau dieser Code macht das Gerät auch über verschiedene Apps hinweg verfolgbar.
Darauf haben sich spezialisierte Datenhändler eingestellt. Firmen wie Venntel oder Babel Street bündeln die Standortinformationen aus zehntausenden Apps und bieten zahlenden Kunden Zugriff darauf an – darunter auch Behörden.
Laut einem internen Regierungsdokument erprobte die CBP zwischen 2019 und 2021 mehrere solcher Plattformen, um Bewegungsdaten für Grenzschutzermittlungen auszuwerten.
Warum "anonymisiert" kaum etwas schützt
Die CBP betont in ihren Unterlagen, dass Werbe-IDs keine persönlichen Angaben wie Namen oder Telefonnummern enthalten. Die US-Bürgerrechtsorganisation ACLU lässt dieses Argument nicht gelten. In einer ausführlichen Analyse schreibt sie, das Versprechen der Anonymität sei "illusorisch".
Tatsächlich genügen bereits alltägliche Routinen, um ein Gerät einer konkreten Person zuzuordnen. Wer morgens stets denselben Weg zur Arbeit nimmt und abends an dieselbe Adresse zurückkehrt, erzeugt ein Muster, das so individuell wie ein Fingerabdruck ist.
In Werbematerialien des Datenhändlers Gravy Analytics heißt es laut ACLU dazu wörtlich: "Was Sie tun und wo Sie es tun, definiert, wer Sie sind".
Behörden können solche Bewegungsprofile zusätzlich mit anderen Datenquellen abgleichen und so die Identität hinter einer anonymen Kennung aufdecken.
Verfassungsrechtliche Schranken und ihre Umgehung
Eigentlich verlangt der vierte Zusatzartikel der US-Verfassung, dass Ermittler für den Zugriff auf private Daten eine richterliche Anordnung einholen. Der Oberste Gerichtshof bekräftigte diesen Grundsatz 2018 ausdrücklich für Mobilfunk-Standortdaten.
Die betroffenen Behörden wählen jedoch einen anderen Weg: Sie erwerben die Informationen auf dem freien Markt bei Datenhändlern und argumentieren, dass dafür kein Durchsuchungsbeschluss nötig sei.
Wie weitreichend die Nutzung ausfällt, dokumentieren von der ACLU veröffentlichten Unterlagen. Demnach setzte die CBP sogenannte Geofence-Abfragen ein, um alle Geräte innerhalb eines bestimmten Gebiets zu erfassen und deren Wege über Monate zurückzuverfolgen.
Die Einwanderungsbehörde ICE beschaffte Werkzeuge, mit denen sich komplette Straßenzüge auf aktive Mobilgeräte durchleuchten ließen. In einem dokumentierten Fall nutzte ein Mitarbeiter des Heimatschutzministeriums die Ortungsdaten sogar dazu, Kollegen ohne dienstlichen Anlass zu lokalisieren.
Gesetzgeber drängen auf Konsequenzen
Inzwischen fordern rund 70 Abgeordnete den Generalinspekteur des Heimatschutzministeriums auf, den Datenkauf der ICE erneut zu prüfen.
Eine frühere Untersuchung hatte gravierende Mängel offengelegt: geteilte Passwörter für Ortungsdatenbanken, fehlende Zugriffskontrollen und den erwähnten Missbrauch durch einen Mitarbeiter.
Das Ministerium setzte die Praxis 2023 vorübergehend aus, nahm sie Berichten zufolge aber mittlerweile wieder auf.
Mit dem parteiübergreifenden "Fourth Amendment Is Not For Sale Act" liegt ein Gesetzentwurf vor, der Behörden künftig zwingen würde, vor jedem Zugriff auf kommerziell gehandelte Standortdaten eine richterliche Genehmigung einzuholen. Das Repräsentantenhaus stimmte dem Entwurf 2024 mehrheitlich zu.
Für Smartphone-Nutzer überall auf der Welt gilt jedoch schon jetzt: Jede App mit Standortzugriff und Werbeanzeigen kann Daten in ein System einspeisen, dessen Reichweite weit über personalisierte Reklame hinausgeht.