Projekt Ghostbusters: Facebook soll viele Snapchat-Nutzer belauscht haben

Facebook soll über mehrere Jahre hinweg den Datenverkehr vieler Snapchat-Nutzer belauscht haben. Das geht aus nun veröffentlichten und zu einer Sammelklage gehörenden Gerichtsdokumenten hervor. Ziel der Abhöraktion war es, besser mit dem Instant-Messaging-Dienst konkurrieren zu können. Snapchat war dabei nicht das einzige Ziel.

2016 startete Facebook das Projekt „Ghostbusters“, was nicht auf die bekannte Filmreihe, sondern auf das Snapchat-Logo anspielte. Laut den nun von einem Bundesgericht in Kalifornien veröffentlichten und aus einer im Rahmen des 2018 aufgedeckten Cambridge-Analytica-Skandals eingereichten Sammelklage zwischen Verbrauchern und Meta, der Muttergesellschaft von Facebook, stammenden Dokumenten (PDF) war das Projekt Teil des In-App Action Panel (IAPP)-Programms, mit dem das Unternehmen unter Einsatz einer Technik zum „Abfangen und Entschlüsseln“ den verschlüsselten Datenverkehr von Nutzern von Snapchat zu den eigenen Servern und anders herum abhören konnte. Darüber berichtet das IT-Portal TechCrunch.

Snapchat im Fokus

Brisant sind in diesem Zusammenhang vor allem die in den Dokumenten enthaltenen E-Mails von Mark Zuckerberg. Aufgrund des schnellen Wachstums des Dienstes war es für den Meta-Chef wichtig, einen Weg zu finden, um zuverlässige Analysen über Snapchat zu erhalten. Aus diesem Grund wies dieser seine Entwickler an, einen Weg zu finden, dieses bewerkstelligen zu können. Nach außen sollte jedoch nichts von dem Vorhaben dringen: „Wann immer jemand eine Frage zu Snapchat stellt, lautet die Antwort in der Regel, dass wir keine Analysen über Snapchat haben, da der Datenverkehr verschlüsselt ist“, ließ Zuckerberg seine Entwickler am 9. Juni 2016 wissen.

Onavo als Schlüssel vor dem Schlüssel

Die Lösung der Facebook-Ingenieure bestand in der Nutzung von Onavo, das das Netzwerk erst im Jahr 2013 übernommen hatte. Das Leben des VPN-ähnlichen Dienstes währte jedoch nicht lange: 2019 deckte eine Recherche von TechCrunch auf, dass Facebook Jugendliche heimlich für die Nutzung von Onavo bezahlt hatte, damit das Unternehmen Zugriff auf alle ihre Webaktivitäten erhalten konnte. So ging die Entwicklung an das Onavo-Team, das dem Meta-CEO einen Monat später in einer weiteren E-Mail eine Lösung präsentierte: Mittels eines Man-in-the-Middle-Ansatzes sollten auf iOS und Android installierte „Kits“ den Datenverkehr für bestimmte Subdomains abfangen, um die App-eigenen Aktivitäten verfolgen zu können.

Für die eigenen Analysen wären die damit abgefangenen Daten den Dokumenten zufolge jedoch nicht ausreichend gewesen. Aus diesem Grund schlugen die Facebook-Ingenieure die Verwendung von Onavo vor, das bei Aktivierung den gesamten Netzwerkverkehr des Geräts mitlesen kann, bevor er verschlüsselt und über das Internet gesendet wird. Den zitierten E-Mails zufolge war Facebook damit in der Lage, zumindest die Snapchat-Kommunikation der angelockten Onavo-Nutzer mitlesen zu können. „Wir sind jetzt in der Lage, detaillierte In-App-Aktivitäten zu messen“, heißt es in den Dokumenten unter anderem. Später, so diese weiter, soll Facebook das Programm auch auf Amazon und YouTube ausgeweitet haben.

Innerhalb des Netzwerkes nicht unumstritten

Innerhalb von Facebook gab es jedoch auch kritische Stimmen. Einige Mitarbeiter, darunter Jay Parikh, der damalige Leiter der Infrastrukturentwicklung bei Facebook, sowie Pedro Canahuati, der damalige Leiter der Sicherheitstechnik, äußerten Bedenken darüber, ob das Ghostbusters-Projekt eine gute Idee sein soll. „Mir fällt kein gutes Argument ein, warum das in Ordnung ist. Kein Sicherheitspersonal ist damit einverstanden, ganz gleich, welche Zustimmung wir von der Öffentlichkeit erhalten“, schrieb Canahuati in einer weiteren E-Mail und fügte an, dass die Öffentlichkeit einfach nicht wisse, „wie diese Dinge funktionieren“.

Eher zufällig herausgekommen

Die Sammelklage, aus der die nun veröffentlichten Dokumente stammen, wurde im Dezember 2020 im Zuge des 2018 bekannt gewordenen Cambridge-Analytica-Skandals eingereicht. In dieser wurde dem Konzern unter anderem wettbewerbswidriges Verhalten und die Ausbeutung von Nutzerdaten durch betrügerische Praktiken vorgeworfen. Ebenso wurde Facebook in der Klage vorgeworfen, über seine Datenerfassungspraktiken gelogen zu haben.

Ob Facebook beziehungsweise dem Mutterkonzern Meta durch die nun veröffentlichten Inhalte neues Ungemach droht, bleibt abzuwarten. Ein Sprecher von Amazon lehnte eine dahingehende Stellungnahme ab; Google, Meta und Snapchat haben laut TechCrunch bisher nicht auf die gestellten Anfragen reagiert.