Von Wetter Online bis Kleinanzeigen: Standortdaten von Tausenden Apps stehen zum Verkauf
Millionen von Standortdaten aus tausenden Apps – darunter populäre wie Wetter Online, Focus Online und Kleinanzeigen – landeten in Datensätzen, die Datenhändler verkaufen. Mit diesen Informationen ist es sogar möglich, einzelne Nutzer zu identifizieren, berichtet Netzpolitik.org und der Bayerische Rundfunk (BR).
Beide Medien haben den Datensatz gemeinsam mit internationalen Partnern ausgewertet. Angeboten wurde dieser von einem amerikanischen Datenhändler, der mit einer Gratis-Vorschau ein Monatsabo mit tagesaktuellen Daten verkaufen wollte. So kam Netzpolitik.org an einen Datensatz vom 24. Juli 2024, der insgesamt 380 Millionen Standortdaten aus 137 Ländern umfasst. In Deutschland sollen rund 800.000 Menschen betroffen sein.
Standortdaten aus tausenden von Apps
Die Daten stammen aus 40.000 Apps. Dazu zählen in Deutschland prominente Apps wie Wetter Online, Kleinanzeigen, Focus Online sowie Daten-Apps wie Tinder und Grindr. Wie präzise die Standortdaten sind, hängt von der jeweiligen App ab. Laut dem BR-Bericht erfassen Wetter Online, Kleinanzeigen, Flightradar24 und Focus Online genaue Standortdaten, die Rückschlüsse auf sensible Informationen wie Wohnort oder Arbeitsplatz zulassen. Nicht so genaue Standortdaten, die offenbar aus IP-Adressen abgeleitet worden sind, stammen aus Apps wie Candy Crush sowie den Dating-Apps Tinder, Grindr und Lovoo sowie den E-Mail-Apps von Web.de und GMX.
Wie die Datenhändler an die jeweiligen Standortdaten gelangt sind, lässt sich nicht abschließend klären. Lovoo, Tinder sowie Web.de und GMX erklärten auf Anfrage des BR, keine Geschäftsbeziehungen zu den jeweiligen Datenhändlern zu unterhalten.
Wetter Online wollte sich auf mehrmalige Anfrage von Netzpolitik.org nicht äußern. Laut dem Eintrag im Google Play Store hat der App-Betreiber das Recht, genaue Standortdaten für Werbung- und Marketingzwecke zu teilen. Auf der Webseite nennt man Werbepartner, die Liste ist lang. Insgesamt zählte Netzpolitik.org am 10. Januar 833 Einträge, dazu zählen prominente Namen wie Microsoft oder eBay.
Grundsätzlich könnten also Millionen Nutzer von Wetter Online betroffen sein. Wie viele es sind, lässt sich auch in diesem Fall nicht klären. Der Weg der Standortdaten zu den Datenhändlern ist laut Netzpolitik.org nicht nachvollziehbar.
Forderung nach strikteren Regelungen
Die für Wetter Online zuständige Landesdatenschutzbehörde in Nordrhein-Westfalen will sich nicht direkt zu dem Fall äußern. Generell warnen die Datenschützer aber davor, in den Handel mit Standortdaten einzuwilligen. Nutzer könnten „gar nicht ermessen (…), wer diese Daten wann und für welche Zwecke nutzt und welche Konsequenzen das für sie haben kann“, so ein Sprecher zu Netzpolitik.org.
Für das Bundesverbraucherschutzministerium sind nun die Aufsichtsbehörden der Länder in der Pflicht, um die Vorgänge aufzuklären. Zusätzlich gebe es Handlungsbedarf auf EU-Ebene. „Wir brauchen einen effektiven EU-weiten Schutz vor personalisierter Werbung, um zu verhindern, dass App-Anbietende Anreize haben, mehr Daten zu erheben als zum Angebot einer App nötig sind“, so das Verbrauchschutzministerium laut dem BR-Bericht.
Daten lassen Rückschlüsse auf einzelne Personen zu
Da der Datensatz neben den Standortdaten auch eine Mobile Advertising ID beinhaltet, ist es möglich einzelne Nutzer zu identifizieren. Netzpolitik.org ist das etwa bei einer Frau in Bayern gelungen – die Standortdaten lassen sowohl Rückschlüsse auf den Wohnort als auch den Arbeitsplatz zu.
Generell hinterlassen Standortdaten viele Rückschlüsse auf Personen. Neben Angaben zu Wohnort und Arbeitsplatz zählen dazu auch sensible Informationen wie Arztbesuche. Werden Datensätze mit Millionen von Standortdaten veröffentlicht, hat das zusätzlich noch Auswirkungen auf sicherheitspolitische Bereiche. Mit solchen Informationen lassen sich etwa Geheimdienstmitarbeiter identifizieren. Das gilt sowohl für Standortdaten, die zum Verkauf stehen, als auch für Informationen aus Datenlecks, wie es etwa bei den Volkswagen-Apps der Fall war.
Netzpolitik.org berichtet seit Monaten über Datenhändler. Erkenntnisse aus den Recherchen hat man bei einem Vortrag auf dem Hacker-Kongress 38C3 im Dezember präsentiert.