Wo befinden sich die Nutzer von Smartphones? Dafür interessieren sich nicht nur Behörden, sondern auch die Werbeindustrie. Unternehmen wollen mit den Standortdaten Anzeigen erstellen, die auf den Aufenthaltsort der Nutzer abgestimmt sind. Wer zum Beispiel gerade an einer Pizzeria vorbeischlendert, könnte auf dem Smartphone Werbung des Restaurants angezeigt bekommen.
Diese Informationen erhält die Werbeindustrie zum Beispiel von Accuweather, einer der meistgenutzten Wetter-Apps für iPhones und Android-Smartphones. Die iOS-Version soll im Hintergrund Standortdaten übermittelt haben - selbst dann, wenn Nutzer der App den Zugriff auf den Aufenthaltsort untersagt haben. Das ergab eine Analyse des Sicherheitsforschers Will Strafach. Ob Android-Nutzer auch betroffen waren, ist unklar.
Nutzer konnten zwar in den Einstellungen verhindern, dass GPS-Daten übertragen werden, doch Accuweather trickste diesen Widerspruch aus, indem stattdessen Wlan-Daten gesendet wurden. Die App leitete den Namen und die ID des Routers an die Firma Reveal Mobile weiter, die Werbetreibenden damit zielgenaues Tracking ermöglichen will.
Strafach beobachtete das Verhalten der App über einen Testzeitraum von 36 Stunden. Dabei wurden insgesamt 16 Mal der Name der Basisstation sowie die sogenannte BSSID übermittelt, die meist der Mac-Adresse des Routers entspricht, die auch BSSID genannt wird. Mit diesen Informationen kann ein Router eindeutig identifiziert und meist exakt lokalisiert werden.
Viele Firmen pflegen Datenbanken mit Router-Positionen
Google und Apple, spezielle Firmen wie Skyhook sowie Open-Source-Projekte haben Datenbanken mit den Positionen von Routern aufgebaut. Als Grundlage dienen Angaben über das Wlan-Netzwerk, Funkzellen und GPS-Verbindungen. Kennt zum Beispiel Google den GPS-Standort eines Android-Nutzers, die Stärke des aktuell verbundenen Wlans und die ID des Routers, kann dessen Standort recht genau ermittelt und gespeichert werden.
Das kann jeder selbst ausprobieren, indem man auf speziellen Webseiten die BSSID angibt. Sie wird mit Einträgen in kostenlosen Datenbanken abgeglichen und zeigt den Standort an. Meist findet man die BSSID aufgedruckt auf dem Gehäuse oder in den Einstellungen des Routers. Angeblich anonymisiert Reveal Mobile die Daten und verzichtet darauf, jedes einzelne Gerät zu tracken. Das Unternehmen kann aber beispielsweise personalisierte Werbung an Smartphone-Nutzer ausspielen, die gerade in der Kaffeekette Starbucks sitzen.
Accuweather reagiert mit halbgarem Dementi
Die Wlan-Ortung kann durchaus nützlich sein: Kommt ein Nutzer ohne GPS-Verbindung an einem Wlan-Netz vorbei, das Google schon kennt, kann etwa der Kartendienst Google Maps die ungefähre Position anzeigen. Auch Wetter-Apps benötigen den Standort des Nutzers: Wer in Leipzig wohnt, interessiert sich eher weniger dafür, ob es in Hamburg mal wieder regnet, und eine Hitzewelle in München lässt den Berliner kalt. Grundsätzlich ist der Zugriff auf Standortdaten also sinnvoll - was Accuweather mit den Daten anstellt, ist dagegen fragwürdig.
Die Entwickler der App haben auf die Vorwürfe reagiert und ein eher halbherziges Dementi formuliert. So betont die Firma beispielsweise, dass sie keine GPS-Daten ohne Erlaubnis des Nutzers verwende oder weitergebe. Allerdings hatte Sicherheitsforscher Stafach das auch gar nicht bemängelt. Bei seiner Analyse ging es um die Wlan-Daten, nicht um GPS-Koordinaten. Angeblich soll die neuste Version von Accuweather überhaupt keine Daten mehr an Reveal Mobile schicken, wenn Nutzer die Übertragung der Standortdaten deaktivieren.
Der Datenschutz von Accuweather ist fragwürdig - genügt dann wenigstens die Wetterprognose höheren Ansprüchen? Das Expertenfazit fällt ernüchternd aus: "Zweitklassig", urteilte Diplom-Meteorologe Thomas Dümmel bei einem Vergleichstest für die Süddeutsche Zeitung. Accuweather nutze nur das amerikanische Wettermodell. "Um eine optimale Vorhersage für die USA zu erzielen, nehmen sie Fehler in Europa und Asien in Kauf. Regionale Effekte werden dort gar nicht berücksichtigt, daher sind europäische Prognosen nicht besonders präzise."
Selbst wenn einem der Datenschutz egal ist, gilt also: Zumindest für deutsche Nutzer gibt es definitiv bessere Alternativen.
