Voreingestellte Datenlecks: Wie Werbe-SDKs Entwickler zum Tracking verleiten

Die verborgene Gefahr hinter der Standortfreigabe

Wenn Nutzer einer App die Erlaubnis erteilen, auf ihren Standort zuzugreifen, geschieht dies meist in der Erwartung, dass diese Daten ausschließlich für den unmittelbaren Nutzen der Anwendung verwendet werden – etwa für eine Wettervorhersage oder eine Navigationshilfe. Doch die Realität hinter den Kulissen mobiler Anwendungen sieht oft anders aus. Eine Untersuchung der US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) belegt, dass zahlreiche Software-Entwicklungskits (SDKs) von Drittanbietern diese Berechtigungen nutzen, um Bewegungsprofile automatisch an Werbenetzwerke zu übermitteln.

Die Rolle des Real-Time Biddings

Der zentrale Mechanismus für diesen Datenabfluss ist das sogenannte Real-Time Bidding (RTB). Bei diesem automatisierten Auktionsverfahren für Online-Werbung werden Datenpakete in Echtzeit an tausende potenzielle Werbetreibende gesendet. Sobald eine App auf Betriebssystemebene die Berechtigung zur Standortabfrage erhält, können integrierte Werbe-SDKs auf diese Informationen zugreifen und sie in den Bieterprozess einspeisen. Datenbroker nutzen diese Auktionen gezielt, um Bewegungsdaten abzugreifen und daraus detaillierte Überwachungsprofile zu erstellen. Das Ausmaß dieser Praxis wurde unter anderem durch ein Datenleck bei Gravy Analytics deutlich, bei dem sich herausstellte, dass viele App-Entwickler gar nicht wussten, dass ihre Software als Lieferant für solche Datenströme fungierte.

Standardeinstellungen als Einfallstor

Ein wesentlicher Treiber für diese Entwicklung ist die Gestaltung der SDKs selbst. Viele Anbieter setzen bei ihren Entwicklungskits auf Standardeinstellungen, die eine Datenerfassung bereits vorsehen. Entwickler übernehmen diese Konfigurationen häufig ungeprüft.

Die EFF identifizierte mehrere prominente Anbieter, deren SDKs Standortdaten standardmäßig erfassen, sobald die App-Berechtigung vorliegt:

* **InMobi:** Hier ist die Weiterleitung ab Werk voreingestellt. Der Anbieter empfiehlt Entwicklern sogar explizit die Freigabe präziser GPS- und WLAN-Daten, um die Werbeeinnahmen zu maximieren.

* **BidMachine:** Nach Hinweisen der EFF musste das Unternehmen seine Dokumentation korrigieren. Zuvor wurde dort behauptet, keine präzisen Daten zu erheben, was technischen Analysen von Apps wie „GPS Speedometer“ widersprach.

* **Verve (HyBid):** Der Anbieter betonte zwar, nur ungefähre Standorte zu verarbeiten, doch auch diese erlauben bei kontinuierlicher Erfassung präzise Rückschlüsse auf Bewegungsmuster.

* **Petal Ads (Huawei):** Hier wird die Monetarisierung betont, während die Deaktivierungsoptionen tief in komplexen Compliance-Dokumenten verborgen sind.

Weitreichende Folgen der Datensammlung

Die Konsequenzen dieser Praxis gehen weit über die personalisierte Werbung hinaus. Die gesammelten Datensätze sind in der Vergangenheit bereits für behördliche Ermittlungen, globale Spionageaktivitäten sowie zur Überwachung von Gewerkschaftsmitgliedern oder Militärangehörigen genutzt worden. Die EFF betont, dass eine allgemeine Standortfreigabe auf Betriebssystemebene keinesfalls als informierte Einwilligung zur Weitergabe an Drittanbieter gewertet werden kann.

Forderungen an die Branche und Politik

Um dieses Problem zu adressieren, ist ein Umdenken auf mehreren Ebenen erforderlich. Die EFF fordert Entwickler dazu auf, eingesetzte Werbe-SDKs einer kritischen Prüfung zu unterziehen und unnötige Datensammlungen konsequent zu deaktivieren. Gleichzeitig stehen die Regulierungsbehörden in der Pflicht: Sie sollten nicht nur die App-Entwickler in die Verantwortung nehmen, sondern auch die Ersteller der SDKs, die den Datenschutz durch ihre Voreinstellungen systematisch untergraben. Langfristig plädieren die Aktivisten für strengere gesetzliche Rahmenbedingungen und ein Verbot verhaltensbasierter Online-Werbung, um den finanziellen Anreiz für den Handel mit Bewegungsprofilen zu entziehen.