Diebische Apps

Der Titel eines Horrorfilms lautet: „Ich weiß, was du letzten Sommer getan hast“. Die Entwickler und Verkäufer von Handy-Apps wissen viel mehr. Sie könnten pausenlos sagen: Ich weiß, wo du gerade bist und jede Stunde seit gestern Abend warst. Ich weiß, wie du geschlafen hast und dass deine letzte SMS gelogen war. Ich weiß sogar, wo deine Freunde wohnen. Die Anwendungsprogramme (Apps) auf unseren Smartphones sammeln wie wild Daten über uns. Schlimmer noch: Sie reichen vieles davon weiter an Dritte.

Zu den weniger heiklen Informationen, die wir per Handy preisgeben, gehört der Ort, an dem wir uns gerade befinden. Diese Geodaten überträgt zum Beispiel das iPhone ohnehin automatisch: Alle zwölf Stunden ruft Apple die Daten von allen Geräten ab, die ins Mobilfunknetz eingeloggt sind. Sämtliche Standortdaten werden anonymisiert und nach Postleitzahlen gespeichert. Das heißt, dass sie am Ende keinem bestimmten Gerät und Nutzer mehr zuzuordnen sind, sondern dass Apple nur weiß, wann an welchem Ort wie viele iPhone-Besitzer einen Anschluss ans Netz hatten, das hilft bei der Planung von Kapazitäten. So weit noch harmlos.

Permanenter Zugriff auf den Aufenthaltsort
Wenn aber nun ein Anwendungsprogramm die Frage stellt: „Darf das Programm Ihren aktuellen Ort verwenden?“ wird es spannend. Für viele Navigations-Apps oder Programme wie den Haltestellenfinder ist das eine Information, ohne die sie nicht arbeiten können. Aber wozu wollen Spiele oder Textverarbeitungsprogramme wissen, wo man gerade ist? Wenn die solche Fragen stellen, sollte man stutzig werden. Tatsächlich sammelt mindestens jede dritte Android- oder iPhone-App genaue Standortdaten ein, haben verschiedene Studien gezählt.

Viele Programme aber - und jeder Smartphonebesitzer hat im Schnitt 22 davon - fragen nicht mal um Erlaubnis, bevor sie Daten verschicken. Mehr als die Hälfte aller Apps gibt ungefragt die 40-stellige Gerätenummer weiter, mit der ein Handy eindeutig identifizierbar ist, entdeckte der Forscher Manuel Egele von der TU Wien. Die Nummer landet beim jeweiligen App-Entwickler oder sogar bei Adressaufkäufern, warnt er: „Vielen Nutzern ist gar nicht bewusst, dass sie Werbefirmen einen permanenten Zugriff auf ihren Aufenthaltsort ermöglichen.“

Das gesamte Adressbuch wird an einen Server übertragen
Es wird noch besser, sagt Kevin Mahaffey, Technikchef der Firma Lookout, der die Programmcodes von 500.000 Apps in ihre Einzelteile zerlegt hat. In ihren genetischen Code sozusagen, deshalb hat er die Studie App Genome Project genannt. Was noch tief im Inneren der Apps steckt, hat ihn selbst überrascht: Jede siebte iPhone-App und jede zwölfte Android-App spioniert sogar die Kontakte des Nutzers aus, saugt also Daten aus dessen Adressbuch. Das soziale Netzwerk Gowalla etwa, bei dem man an Orten eincheckt und dabei Punkte sammelt, überträgt das gesamte Adressbuch an einen internen Server, ohne dass der Nutzer das weiß. Neben den Namen und Adressen von Freunden können dabei auch deren Berufe, Arbeitgeber, Geburtsdaten oder persönliche Notizen zu ihnen ausgelesen werden.

Besonders dreiste Programmcodes fanden die Tester in Piraten-Apps, also in Kostenlosversionen von Appstore- und Android-Anwendungen, die auf Plattformen wie Cydia angeboten werden. In denen wird oft Werbung eingebaut oder sogar Schadprogramme wie Trojaner, die Passwörter ausspionieren, den Inhalt von SMS durchsuchen oder weitergeben, welche Websites ein Nutzer angesehen hat. Harmlos sind aber auch die offiziellen Apps nicht: Fast jede zweite Android-App und jede vierte iPhone-App enthält einen Code, der gesammelte Daten automatisch an Dritte weitergibt.
Der Fluch der kostenlosen Hilfsprogramme

Was machen die Fremden mit all den Daten? „Das weiß letztlich keiner so genau“, sagt Mahaffey. Erst mal speichern sie alles auf ihren Servern ab. Mit einem Teil der Informationen können die Entwickler ihre Apps besser machen. Einen weiteren verkaufen viele. Denn aus Alter und Geschlecht eines Kunden, Hobbys und Aufenthaltsorten lassen sich Nutzerprofile erstellen, für die Werbefirmen Geld zahlen. Die wiederum können dann genau zugeschnittene Werbung versenden. Ein Handybesitzer, der zuletzt über eine App Krimis angesehen hat, sollte sich also nicht wundern, wenn er in einer fremden Stadt die Nachricht bekommt, dass es um die Ecke einen Krimi-Buchladen gibt.

Das ist der Fluch der kostenlosen Hilfsprogramme, sagt Informatikprofessor Norbert Pohlmann: „Der überwiegende Anteil der Apps verdient von sich aus kein Geld und ist darauf angewiesen, Daten zu verkaufen. Was sie auch gnadenlos tun.“ Was die Kunden dagegen machen können? Wenig. „Die Datenweitergabe läuft so komplex, dass Sie das kaum steuern können“, sagt Pohlmann, „selbst als Informatiker.“ Zumal die Entwickler in den Programmbeschreibungen keinen Hinweis darauf geben, was ihre Apps alles sammeln, sagt App-Genome-Studienautor Mahaffey.

Gelegentlich geben wenigstens die Allgemeinen Geschäftsbedingungen einen Hinweis darauf, die allerdings keiner liest. Deshalb ist Pohlmanns Tipp eher pragmatisch: Verzichten. Nicht jede App ist nötig.

Diese Apps greifen Daten ab
Dragon Dictation: Gerade wurde Dragon Dictation zur Anwendung des Jahres 2011 gekürt: Mit dem Spracherkennungsprogramm kann man Botschaften aufzeichnen, die automatisch in Textform umgewandelt werden. Der Nutzer kann sie dann als SMS oder E-Mail verschicken. Was auch bestens funktioniert: DragonDictation speichert nicht nur die Sprachnachrichten, sondern verlangt auch Zugriff aufs persönliche Adressbuch. Damit sollen alle gesprochenen Namen besser von der Software erkannt werden, sagen die Entwickler. Sie speicherten aber nur die Namen der Freunde, keine Mailadressen, heißt es offiziell. Eines steht noch in den Nutzungsbedingungen: Wird die Dragon Dictation Software an andere Entwickler verkauft, wandern die persönlichen Daten natürlich mit.

Facebook: „Privatsphäre ist Oldschool“, so Facebook-Gründer Mark Zuckerberg. Vor einem Jahr kam heraus, dass man Facebooks iPhone-App lieber keinen Zugriff auf das Adressbuch gewähren sollte, denn dann schickt die App alle Namen zurück an Facebook. Dort werden sie gespeichert und zur Werbung neuer Mitglieder genutzt. Auch die Apps, die auf der Facebook-Website zusätzliche Funktionen bringen, sind ein Datenproblem. Das beliebte Spiel „Farmville“ zum Beispiel gab die Benutzernummern der Spieler an Werbefirmen weiter. Daraus konnten die deren Namen ermitteln. Im März verkündete Facebook, dass es künftig Handynummern und Adressen von Nutzern nach deren Zustimmung an die App-Entwickler weitergeben will.

WhatsApp: Sie spart viel Geld für teure Kurzmitteilungen (SMS), deshalb ist die Anwendung WhatsApp so beliebt. Sie ermöglicht und erlaubt es, ungehemmt mit Freunden zu chatten, und zwar für einmalig 79 Cent. Dafür aber überträgt die App auch sämtliche Kontakte, die im Handy oder Smartphone gespeichert sind, auf die Server der Entwickler. Außerdem versendet sie natürlich auch die eigene Handynummer. Zwar fragt WhatsApp zu Beginn der Nutzung höflicherweise nach, ob es auf das Adressbuch zugreifen darf. Lehnt der Nutzer das aber ab, kommt der Hinweis, WhatsApp müsse zur korrekten Information auf alle Kontakte zugreifen können. Will man die nicht hergeben, bleibt nur eins: die App wieder löschen.

Sleep Cycle: Ob die Besitzer dieser App in Zukunft wirklich noch ruhig schlafen, ist unsicher. Der Schlafphasenwecker Sleep Cycle analysiert den Schlaf und verspricht, den Nutzer sanft zu wecken, nämlich nur wenn der gerade im Leichtschlaf ist. Die Idee fanden viele so gut, dass die App wochenlang auf Platz 1 der meistverkauften Anwendungen stand. Wachsame Nutzer stutzten aber kurz nach dem Herunterladen darüber, was die App noch tat, während sie schliefen: Sie verschickte selbständig eine Mail an den App-Entwickler - und zwar vom persönlichen Postfach des Handybesitzers, dessen Daten im iPhone hinterlegt sind. In der automatisch generierten Mail steht: „Hiermit stimme ich zu, dass meine kompletten Schlafdaten diagnostisch ausgewertet werden dürfen.“

Quelle: www.faz.net