Schlagwort: Android

Schrems reicht Beschwerde gegen Google ein – Werbe-IDs auf Android Smartphones

14. April 2021

Der Wiener Datenschutzaktivist Max Schrems hat bei der französischen Datenschutzbehörde CNIL eine Beschwerde gegen Google eingereicht. Die österreichische Datenschutzorganisation noyb („none of your business“), dessen Vorsitzender Schrems ist, bestätigte den Schritt und führte die Gründe für die Entscheidung auf ihrer eigenen Website auf.

Konkret wendet sich noyb mit seiner Beschwerde gegen Googles AAID (Android Advertising Identifier). Dabei wirft noyb Google vor, ein unrechtmäßiges Tracking auf Android-Smtartphones zu verfolgen, bei dem der semi-permanente Device Identifier AAID es durch eine versteckte, eindeutige Werbe-ID, Google und allen Apps auf dem Smartphone ermöglicht, Informationen über das Online- und Offlineverhalten der Nutzer zu kombinieren. Die Datenschutz-Aktivisten sehen darin eine gezielte Verfolgung der Nutzer, die gem. der DSGVO einer Einwilligung bedürfe. Eine solche holt Google allerdings nicht ein.

Dass Google hier möglicherweise nicht mit offenen Karten spielt, leuchtet ein, denn mithilfe von AAID lassen sich gezielt Konsumpräferenzen hochrechnen und dadurch personalisierte Werbung schalten. Für die Benutzer der Smartphones gibt es keine Option diese Art von Tracking zu umgehen oder gar auszuschalten, das Tracking bleibt beim Benutzen des Smartphones stets aktiv.

Man darf gespannt sein, welche Entscheidung die französische Datenschutzbehörde in Sachen Google treffen wird. Die Tragweite der Entscheidung darf jedenfalls nicht unterschätzt werden. Wir werden Sie in jedem Fall mit dem Datenschutzticker auf dem Laufenden halten.

Apple und Google verbünden sich im Kampf gegen Covid-19

16. April 2020

Die beiden Internetriesen Apple und Google gaben am vergangenen Freitag in einer gemeinsamen Stellungnahme bekannt, dass sie an einer Software zur Bekämpfung von Covid-19 arbeiten. Die jeweiligen Betriebssysteme iOS und Android, betreiben die überwiegende Mehrheit der weltweit verwendeten Smartphones. Vorrangiger Zweck der Zusammenarbeit ist die Entwicklung einer App, um Menschen zu warnen, die kürzlich mit Infizierten in Kontakt gekommen sind.

Zur Erfassung von Abständen werde die App auf die Bluetooth-Funktion der Geräte zurückgreifen. Konkret geplant ist, dass die Betriebssysteme temporär Identifikationsnummern austauschen. Dabei werde mithilfe der Bluetooth-Signale eines Smartphones ermittelt, zu wem der Nutzer kürzlich längeren räumlichen Kontakt hatte, um so ein mögliches Ansteckungsrisiko feststellen zu können.

Aktuell planen Apple und Google bis Mitte Mai einen Software-Baustein zu veröffentlichen. Mithilfe dieser API (Application Programming Interface) könnten auch Apps anderer Hersteller auf derselben Basis ausgeführt werden. Für die Nutzer bedeutet dies, dass sie die App, die sie benutzen möchten, separat herunterladen müssen, diese sodann aber unabhängig vom Hersteller und unter Zuhilfenahme des Software-Bausteins von Apple und Google, miteinander kommunizieren können.

Eine infizierte Person könne dann ihren Status in der jeweiligen App angeben, wodurch wiederum Personen benachrichtigt würden, die in den vorangegangen zwei Wochen mit dieser Person in Kontakt gekommen sind. Dabei würde der tatsächliche Standort des infizierten Benutzers nicht preisgegeben. Die Daten wären dann für Behörden zugänglich, enthielten jedoch keine Informationen, durch die die betroffenen Personen identifiziert werden könnten. Für die Zukunft planen Apple und Google, die Software direkt standardmäßig in die Betriebssysteme einzufügen. Zudem möchten beide Unternehmen die Gesundheitsbehörden bei der Entwicklung der Apps unterstützen.

Allerdings bleiben noch viele Fragen bezüglich der genaueren Umstände der ungewöhnlichen Partnerschaft sowie der Sicherheit der personenbezogenen Daten offen. So stellt sich die Frage, ob Verbraucher den Unternehmen und Behörden weltweit vertrauen können, ein System, das auf sensiblen Gesundheits- und Bewegungsdaten beruht, nicht für anderen Zwecke zu missbrauchen.

“Datenschutz, Transparenz und Einwilligung sind bei diesen Bemühungen von größter Bedeutung. Wir freuen uns darauf, die neuen Funktionen in Absprache mit den Interessengruppen aufzubauen”, verkündeten Apple und Google in der gemeinsamen Erklärung. “Wir werden offen Informationen über unsere Arbeit veröffentlichen, damit andere sie analysieren können.”

Nach ersten Informationen sollen die Kontaktdaten dezentral auf den Geräten der Anwender gespeichert werden und somit nicht auf einem zentralen Server. Die Daten würden erst auf einen Server übertragen, wenn der Betroffene positiv getestet werden würde. Darüber hinaus müsste in diese Übertragung einwilligt werden. Die Apps anderer Nutzer hätten dann wiederum Zugriff auf die Listen der anonymisierten IDs der Erkrankten. Darüber hinaus wolle man die Software-Quellcodes veröffentlichen. So könne jeder nachvollziehen, wie die Daten behandelt werden. Zusätzlich soll so gewährleistet werden, dass keinerlei Daten für Werbezwecke eingesetzt werden.

Der Datenschutzbeauftragte der Europäischen Union äußerte sich positiv auf Twitter: “Wir begrüßen die gemeinsame Initiative zur Beschleunigung des weltweiten Kampfes gegen die Covid19-Pandemie. (…) Die Initiative muss weiter geprüft werden. Auf den ersten Blick scheint sie jedoch die richtigen Kästchen in Bezug auf Benutzerauswahl, Datenschutz durch Design und europaweite Interoperabilität angekreuzt zu haben.” “Die Achtung fundamentaler Rechte sei der Schlüssel und man werde die Entwicklungen in enger Zusammenarbeit auch weiterhin überwachen”, so der Datenschutzbeauftragte Wojciech Wiewiórowski.

Viele Android-Apps spionieren Nutzer unzulässig aus

18. Februar 2019

Trotz eindeutiger Werberichtlinien von Google senden offenbar zehntausende Android-Apps Werbe-Daten nicht nur mit der dafür vorgesehenen Werbe-ID eines Handys, sondern auch mit permanenten Geräte-IDs an Werbekunden. Werbedienstleister können so auch dann personalisierte Anzeigen darstellen, wenn der Nutzer seine Werbe-ID kürzlich zurückgesetzt hat. Das geht aus einer Untersuchung der unabhängigen Forschungseinrichtung Appcensus aus dem kalifornischen Berkeley hervor. Aus einer Datenbank von 24.000 Android-Apps, die die sogenannte Werbe-ID für Smartphones abfragen, griffen der Studie zufolge rund 70 Prozent weitere Identifizierungsmerkmale ab. Mehr als 18.000 unterschiedliche Apps seien betroffen.

Die sogenannte Werbe-ID soll es eigentlich ermöglichen, dass Smartphone-Nutzer personalisierte Werbung erhalten, ohne gleichzeitig kaum oder gar nicht veränderbare Gerätedaten wie die Seriennummer IMEI, Mac-Adressen von Routern oder die Android-ID (SSAID) übertragen zu müssen. Wie bei Browser-Cookies können Nutzer auf Wunsch die Werbe-ID jederzeit zurücksetzen oder deren Übertragung generell deaktivieren. Im Anschluss sollten Dienstleister nicht mehr in der Lage sein, personalisierte Werbung anhand der vorherigen Nutzung auszuspielen.

Die Forscher vom International Computer Science Institute haben Google bereits im vergangenen September über die Funde informiert, allerdings keine Antwort bekommen. Dem US-Computermagazin Cnet sagte ein Google-Sprecher hingegen: “Die Kombination der Werbe-ID mit Gerätekennungen zum Zwecke der Personalisierung von Anzeigen ist strengstens verboten. Wir überprüfen ständig Apps – einschließlich der im Bericht des Forschers genannten – und werden Maßnahmen ergreifen, wenn sie unseren Richtlinien nicht entsprechen.”

Kategorien: Allgemein · Mobile Business · Tracking
Schlagwörter: , , ,

Google sammelt Standortdaten von Android-Nutzern

12. Dezember 2017

Die Nachrichtenseite Quartz berichtet, dass Google seit Monaten Standortdaten von Android-Nutzern weltweit sammelt, selbst dann, wenn Nutzer die Ortungsdienste abgeschaltet haben. Google hat dies auch bestätigt. Die Standortdaten werden dazu genutzt, um die Verteilung von Push-Benachrichtigungen zu verbessern. Eine Speicherung der Daten würde aber nicht stattfinden.

Die Rechtmäßigkeit der heimlichen Ortung stützt Google auf ihre Datenschutzerklärung, welcher Android-Nutzer bei Einrichtung ihres Gerätes zustimmen müssen. Dort heißt es: “Wenn Sie Google-Dienste nutzen, erfassen und verarbeiten wir möglicherweise Informationen über Ihren tatsächlichen Standort.” Dafür kann Google neben “IP-Adressen und GPS” auch “andere Sensoren” verwenden, die Informationen über “WLAN-Zugangspunkte oder Mobilfunkmasten” liefern.

Nutzer haben zudem keine Möglichkeit dieser Datenschutzerklärung zu widersprechen. Ferner geht auch nicht aus der Datenschutzerklärung hervor, auf welche Weise die Standortdaten erfasst werden.

Laut Google wird die Ortung der Android-Nutzer ab Ende November eingestellt.

Kategorien: Allgemein
Schlagwörter: , ,

WhatsApp verhindert unbefugten Zugriff auf Konten durch 2-Faktor-Authentifizierung

10. Februar 2017

Mit seiner Freischaltung der 2-Faktor-Authentifizierung für alle WhatsApp Nutzer unter iOS und Android, möchte WhatsApp den Konten seiner Nutzer einen besseren Schutz vor dem Zugriff Unbefugter gewährleisten.

Grundsätzlich wird der unbefugte Zugang zu einem Online-Konto zunächst mit einem Passwort und einem sogenannten Token, z.B. einem Smartphone, über das Sicherheitscodes empfangen werden, geschützt.

Dies war bisher bei WhatsApp jedoch nicht der Fall: Die WhatsApp Nutzerkonten konnten nicht anhand eines Passwortes geschützt werden. Vielmehr legitimierte sich der Nutzer lediglich über seine Mobilfunknummer und sein Smartphone. Mit der 2-Faktor-Authentifizierung kommt jetzt als zweiter Faktor ein PIN-Code hinzu.

Durchaus ist die Freischaltung der 2-Faktor-Authentifizierung für alle WhatsApp Nutzer aus datenschutzrechtlicher Sicht begrüßenswert. So kann ein unbefugter Dritter die SIM Karte nicht einfach in ein anderes Smartphone stecken und sich Zugriff auf ein fremdes WhatsApp-Konto zu verschaffen.

Eine Pflicht stellt die 2-Faktor-Authentifizierung für die WhatsApp Nutzer jedoch nicht dar.

Der Nutzer legt unter der Rubrik “Einstellungen > Account > Verifizierung in zwei Schritten” einen sechsstelligen Zahlencode fest, welchen WhatsApp abfragt, sobald ein Konto auf einem neuen Smartphone eingerichtet wird. Sollte der WhatsApp Nutzer seinen Zahlencode vergessen haben, kann er zusätzlich eine E-Mail-Adresse hinterlegen, über die er die 2-Faktor-Authentifizierung wieder ausschalten kann.

 

Online Banking mittels TAN-Apps in der Kritik

23. Oktober 2015

Wie Forscher der Uni Erlangen in einem Angriff zeigen konnten, ist die Kombination der Sparkassen-Apps Sparkasse+ und pushTAN für Angreifer ausnutzbar. Bei Nutzung beider Apps auf einem Gerät genügt es Angreifern, einen Trojaner auf das Gerät zu installieren, um Transaktionen durchzuführen. Dieser Versuch entblößt zwar mit der Sparkasse vordergründig nur ein Bankhaus. Die Apps der Sparkasse wurden hier jedoch nur exemplarisch gewählt. Die Forscher weisen ausdrücklich darauf hin, dass die Sicherheitslücke bei allen Banken bestehen dürfte, die auf diese Weise vorgehen.

Der Nachteil eines Systems, welches nur auf ein Gerät abstellt, liegt auf der Hand. Ist dieses Gerät einmal kompromitiert, stehen dem Angreifer die Tore zum Konto des Betroffenen offen. Das in dieser Hinsicht sicherlich vorzugswürdige System mittels ChipTan ist in der Praxis unbeliebt, da es für Transaktionen erfordert, dass man einen TAN-Generator zur Verfügung hat.

Grund sofort das Online-Banking einzustellen und wieder auf den Sparstrumpf zu setzen besteht aber vorerst nicht unbedingt. Wie heise online ausführt ist der vorgeführte Angriff auf das Android-Betriebssystem (mittels Root Exploit) durchaus komplex. Die Forscher hätten allein mehrere Wochen benötigt um die App genau zu analysieren. Die Forscher halten einen Angriff von professionellen Online-Banking-Betrügern auf diese Weise aber für wiederholbar. Ein vollends sicheres System, welches gleichzeitig auch größtmögliche Benutzerfreundlichkeit bietet, ist also noch nicht gefunden.

Fingerabdruckscan von Androidgeräten bedingt Sicherheitsbedenken

13. August 2015

Die von Android angebotene Fingerabdruck-Technologie wird nach einem Bericht von Spiegel-Online von IT-Spezialisten als unsicher eingestuft. So seien die sensiblen biometrischen Daten der Nutzer, etwa auf dem HTC One Max, unverschlüsselt auf dem Gerät gespeichert und somit für alle Apps relativ problemlos auslesbar. Den Fachkräften gelang es mehrere Fingerabdrücke zu kopieren, was als kritscheres Sicherheitsrisiko angesehen wurde, als etwa das Ausspähen eines Passwortes.

Anders verhielt sich das Thema bei Apple-Produkten. Diese seien weitgehend sicher. Die Daten würden hier unmittelbar nach dem Erfassen verschlüsselt und seien so vor unrechtmäßigen Zugriffen oder Nutzungen ausreichend gesichert.

Kategorien: Mobile Business
Schlagwörter: , , ,

Android-Handys: Gelöschte Daten wieder herstellbar

25. Mai 2015

Wie eine Studie der Camebridge University jetzt ergab, können sich Nutzer älterer Android-Handys nicht auf die sog. Factory Reset Funktion verlassen und davon ausgehen, dass sich ihr Gerät nach Durchführen dieser Funktion wieder im ursprünglichen Werkszustand befindet. Den Forschern zufolge wird der Löschvorgang nur unvollständig durchgeführt, persönliche Login-Angaben und andere personenbezogene Daten, inklusive Textnachrichten und Fotos sowie Kontaktdaten für Facebook und WhatsApp, werden nicht vollständig entfernt.

Darüber hinaus konnten auch Tokens von Google-Diensten wieder hergestellt werden, es konnte also eine Art Hauptschlüssel extrahiert werden und so etwa Zugriff auf Gmail und den Google-Kalender der ehemaligen Nutzer genommen werden.

Den Schätzungen der Wissenschaftler zufolge können rund 500 Million Geräte der Versionen Android 4.3 und älter betroffen sein. Eine vollständige Datenverschlüsselung kann helfen, das Problem jedenfalls abzumildern.

Sicherheitslücke im Browser von Android-Handys entdeckt

18. September 2014

Jeder der den standardmäßigen Internetbrowser des Android-Handys verwendet, kann ein potentielles Opfer von Datendiebstahl werden. Betroffen sind alle Smartphones, die den standardmäßigen Internetbrowser des Android-Handys verwenden und nicht mit der aktuellen KitKat-Version ausgestattet sind. Dies veröffentlichte ein pakistanischer Sicherheitsexperte in seinem Blog.

Durch einen Softwarefehler können Passwörter, Benutzernamen, Cookies und alles was mit der Tastatur eingegeben wird, ausgelesen werden. Möglich wird das durch eine Lücke in der Same Origin Policy (SOP). Diese Technik soll eigentlich verhindern, dass über externe Codes eben solche Informationen ausgelesen werden können. Ein externer Code kann zum Beispiel eingebettete Werbung auf einer Webseite sein.

Etwa drei Viertel der Andoried-Nutzer surfen laut Google noch mit dem Browser einer nicht ganz neuen Version, die diese Sicherheitslücke aufweist, durch das Netz.  Wer nicht weiß, welche Android-Version er auf dem Handy hat, kann dies mit einer Internetseite überprüfen. Durch einen Tipp auf den Test-Knopf erfährt man, ob das eigene Smartphone von der Sicherheitslücke betroffen ist. Erscheint ein Pop-Up-Fenster, besteht die Gefahr des Datenklaus.

Auf Anfrage von FAZ teilte Google inzwischen mit, dass für ältere Android-Versionen Patches veröffentlicht wurden, also Updates, die nur die spezielle Sicherheitslücke schließen sollen. Diese wurden an die Hersteller der Geräte übermittelt.

Außerdem kann man sich schützen, indem man einen anderen Browser (wie z. B.  Mozilla Firefox und Google Chrome) herunter lädt, so dass das Handy nicht mehr auf den Standard-Android-Browser zugreifen muss.

 

Kategorien: Allgemein · Mobile Business
Schlagwörter: ,

Gebraucht-Smartphones sind voll mit persönlichen Daten

10. Juli 2014

Insgesamt 20 Android-Smartphones hat ein Team des Virenschutzherstellers Avast untersucht, wie die Firma in ihrem Blog berichtet. Dabei wurden 20 Geräte bei Ebay gekauft, die vorgeblich von Daten bereinigten worden waren. Anschließend versuchte Avast mit marktüblicher Software, eventuell noch vorhandene Inhalte wiederherzustellen.

Dabei stieß das Avast-Team auf allerlei Datenrückstände: Auf den Geräten fanden sich mehr als 40.000 gespeicherte Fotos, darunter 1500 Familienfotos mit Kindern und 750 Fotos, auf denen sich Frauen entkleiden. 250 Bilder waren Selfies nackter Männer. Außerdem waren auf den Geräten über 750 Kurznachrichten und E-Mails sowie über tausend Hinweise auf Google-Sucheingaben. Stalker, Feinde und Identitätsdiebe könnten derartige Daten nutzen, warnt der Blogeintrag, beispielsweise für Erpressungsversuche. Bei vier Geräten waren die Sicherheitsexperten angeblich sogar in der Lage, den Vorbesitzer zu identifizieren.

Avast schreibt, im Zweifel reiche es nicht, die Dateien auf dem Smartphone einfach nur zu löschen. Sie müssten überschrieben werden, um unwiederbringlich verschwunden zu sein. Das Unternehmen verweist in diesem Zusammenhang auf eine eigene App – es gibt jedoch auch Konkurrenzsoftware, die dabei hilft. Tipps zum sicheren Datenlöschen liefert zum Beispiel das Fachmagazin “Chip”.

 

Kategorien: Mobile Business
Schlagwörter: , ,
Pages:  1 2
1 2