Dating-App Lovoo: Standort der Nutzer kann über API ermittelt werden

Die beliebte Dating-App Lovoo bietet wie viele andere derartige Apps eine Radarfunktion, über die Nutzer sich den ungefähren Standort anderer Nutzer anzeigen lassen können, um mit Personen aus der näheren Umgebung Kontakt aufzunehmen. Die Funktion ist allerdings so genau, dass sich leicht der genaue Standort ermitteln lässt.

Lovoo gibt den Standort eines Nutzers auf 100 Meter genau an. Ist diese Angabe in einer Großstadt in zentraler Lage noch nicht eindeutig, reicht schon dies in ländlicheren Regionen häufig für eine eindeutige Lokalisierung einzelner Nutzer. Doch Lovoo bietet darüber hinaus eine API an, über die die Informationen anderer Nutzer abgegriffen werden können. Setzt man nun mehrere Standorte und die API-Abfrage ein, lassen sich über ein einfaches geometrisches Ortungsverfahren Bewegungsprofile einzelner Nutzer erstellen und deren genauer Standort ermitteln, wie Datenjournalisten des Bayerischen Rundfunks in einer Recherche herausgefunden haben. Die Ortung eines einzelnen Nutzers ist so auf bis zu 30 Meter genau. Die Informationen zum Standort können auch mit den anderen vom Nutzer bereitgestellten Daten wie der sexuellen Orientierung oder Bildern verknüpft werden.

Keine Sicherheitslücke, sondern schlechter Datenschutz

Für ihre Recherche haben die Datenjournalisten über mehrere Tage die Daten zahlreicher Nutzer in einem Zeitabstand von 15 Minuten über die API im Stadtgebiet von München abgegriffen. Sie hatten zuvor einen Tipp erhalten, dass die Standortabfrage über eine API möglich sei. Anhand der Bewegungsprofile lässt sich auch der Wohn- und Arbeitsort ermitteln, wenn man einen ausreichend großen Radius mit Geräten zur Standortabfrage einsetzt. Auch wenn im Test nur Daten von Männern zwischen 25 Jahren bis 27 Jahren mit Interesse an Frauen abgerufen wurden, erhielt der BR nach fünf Tagen einen Datensatz mit mehreren Hundert Nutzern in München, die regelmäßig die Lovoo-App öffneten. Aus Sicht des Bayerischen Rundfunks hat Lovoo die Daten der Nutzer durch den API-Zugriff nicht ausreichend geschützt. Um eine Sicherheitslücke, wie zahlreiche Medien berichten, handelt es sich im Grunde aber nicht, denn die API-Funktionen und die Lokalisierung sind absichtlich so implementiert.

Radarfunktion in der App deaktivieren

In den Einstellungen der Lovoo-App können Nutzer die Preisgabe ihres Standorts in der Radarfunktion unterbinden, was es aufdringlichen Zeitgenossen erschwert, ihren Standort ausfindig zu machen.

Andere Datings-Apps teilen Standort ungenauer

Auch Konkurrenten wie Tinder erfassen den Standort ihrer Nutzer und geben diesen anderen preis. Allerdings nicht auf 100 Meter genau, sondern auf nur 1.000 Meter genau, was eine Ortung schwieriger und ungenauer macht. Die auf homosexuelle Nutzer ausgelegte App Grindr wurde von der ägyptischen Polizei 2014 eingesetzt, um diese zu lokalisieren und zu verhaften. Grindr hat die Funktion daraufhin in Ägypten und anderen Ländern deaktiviert.

Lovoo bereits für Fake-Profile in der Kritik

Lovoo geriet bereits früher in die Kritik, als bekannt wurde, dass das Unternehmen Fake-Profile einsetzt, um Nutzer zum Geldausgeben zu bewegen. Das Verfahren gegen Lovoo wurde nach Zahlung von 1,2 Millionen Euro eingestellt. Inzwischen wurde die App an ein US-amerikanisches Unternehmen verkauft.