Facebook erhält sensible Nutzerdaten zahlreicher Android-Apps

Laut einer Studie von Mobilsicher.de soll rund ein Drittel aller Android-Apps aus dem Google Play Store ohne das Wissen der Nutzer teils sensible Daten an Facebook übermitteln. Das soziale Netzwerk erhält so Informationen über geheime Daten wie Religion, die politische Einstellung und die Gesundheit ihrer Nutzer, ohne dass diese selbständig dem Unternehmen darauf Zugriff gegeben haben. Facebook nutzt diese Daten dann wiederum dafür, um den Nutzern personalisierte Werbung anzuzeigen.

Entdeckt wurde die Datenübermittlung beispielsweise in der App 'Migraine Buddy', eine App die Kopfschmerzen der Nutzer aufzeichnet und bei deren Nutzung Facebook in Zukunft Werbung für Migräne-Mittel anzeigen kann. Ebenfalls betroffen ist 'Schwangerschaft+', deren Nutzung Facebook verrät, dass eine Frau mit sehr hoher Wahrscheinlichkeit bald ein Baby erwartet und daher mit entsprechenden Produkten beworben werden kann. Die auch betroffene App 'Moodpath' wiederum gibt Facebook Informationen über den Gesundheitszustand der Nutzer und zeigt welche Personen an Depressionen leiden.

Nutzer nicht über Datenweitergabe informiert

Problematisch an den Apps ist vor allem die mangelnden Informationen der Nutzer über die Verbindung zwischen der App und dem sozialen Netzwerk und die fehlende Transparenz darüber welche Daten genau geteilt werden. In der Untersuchung von Mobilsicher.de hat keine der Apps darauf hingewiesen, dass eine Datenweitergabe an Facebook erfolgt. Auch in der Datenschutzerklärung gab es bei rund der Hälfte der Apps keinen Hinweis auf die Nutzung des Facebook-Moduls, obwohl dies aufgrund der Datenschutzgrundversorgung erforderlich ist.

Facebook Software Development Kit (SDK)

Die hohe Anzahl der betroffenen Apps ist aufgrund des Software Development Kit (SDK) von Facebook entstanden, die App-Entwicklern eine Möglichkeit zur Analyse ermöglicht. Betreiber von Apps können so in Kombination mit den Facebook-Daten Informationen darüber erhalten wie sie ihre Apps verbessern können und welche Funktionen bei den Nutzern besonders beliebt sind.

Das SDK übertragt dabei jedoch an Facebook technische Informationen wie das Smartphone-Modell, die IP-Adresse, die verwendete App und die Nutzungszeit. Außerdem wird aber auch die Werbe-ID übermittelt, die eindeutig jedem mit einem Google-Konto verknüpften Android-Smartphone zugeordnet werden kann. Facebook kann wiederum aufgrund ihrer eigenen App aus dieser Werbe-ID die übermittelten Daten einer eindeutigen Person zuordnen und so die Anonymisierung aufheben. Die Werbe-ID kann zwar verändert werden, dies erfolgt in der Praxis allerdings kaum.

Facebook sieht Nutzer in der Pflicht

Als Reaktion auf den Artikel von Mobilsicher.de erklärte Facebook, dass Nutzer selbstständig personalisierte Werbung deaktivieren können. Die Daten erhält das Unternehmen jedoch auch bei einem Opt-out der Nutzer aus personalisierter Werbung trotzdem. Es ist daher wahrscheinlich, dass Facebook selbst bei einem Opt-out die Daten speichert und eventuell in Zukunft nutzt.

Mobilsicher.de

"Das Facebook-Modul sendet die Daten also wie gehabt, nur schickt es eine Art Markierung mit, die anzeigt, dass der Nutzer sich gegen personalisierte Werbung entschieden hat"

Auch in Deutschland sind einige weit verbreitete Apps betroffen, darunter die App der NRW-SPD die inzwischen bereits aus dem Play Store entfernt wurde. Auch die App der CDU war betroffen. Laut der Partei wurde das Facebook SDK "irrtümlich installiert" und soll inzwischen "nicht mehr zum Einsatz kommen". Auch die SPD erklärte, dass ihnen "das mögliche Problem nicht bekannt war".