News Android: 18.000 Apps verfolgen unerlaubt Nutzeraktivitäten

[Christock]

Können sie, das ist nichts aussergewöhnliches. (Unter Android können Apps dein WLAN oder Datenverbindung auch selbstständig einschalten.)

Danke für die Antwort. Und ich nehme an, dass es keine Möglichkeit gibt, das für bestimmte Apps generell zu unterbinden, ohne sein Smartphone zu rooten, richtig?

 

[michimii]

Offiziell wirds natürlich nicht gern gesehen, vor allem in Dtl.
Hinter verschlossenen Türen heißts wohl eher:"Wie ihr wollt ne App ohne Tracking und Datensammeln im Android anbieten? Nicht mit uns, ihr Datenschützer!"

 

[Rexus]

Wenn ich eine App immer nur dann verwende, wenn keine Datenverbindung besteht, kann sie dann auch keine Daten weiterschicken? Oder ist es möglich, dass eine App die Daten offline sammelt und an die eigenen Server rausleitet, sobald eine Datenverbindung besteht, obwohl sie gar nicht geöffnet ist?

Ich vermute, das hängt davon ab, wie die App programmiert worden ist. Grundsätzlich würde ich behaupten: Es ist durchaus möglich, dass eine App (unerkannt) im Hintergrund läuft, und versucht, in regelmäßigen Abständen eine Internetverbindung aufzubauen.
Sowas kann man unter Android vermeiden, indem man sich Root-Rechte zu seinem Gerät verschafft und eine Firewall installiert, die Apps den Internetzugang versperrt.

 

[BlueLightning]

Danke für die Antwort. Und ich nehme an, dass es keine Möglichkeit gibt, das für bestimmte Apps generell zu unterbinden, ohne sein Smartphone zu rooten, richtig?

NetGuard wäre da eine Option.
https://play.google.com/store/apps/details?id=eu.faircode.netguard

 

[ChrisM]

Lässt sich mit Bastelarbeit wie z.B. einem xposed Framework eventuell den Apps eine zufällige IMEI vortäuschen, so dass die nicht alles einfach so auslesen können?

 

[DeusoftheWired]

Wenn ich eine App immer nur dann verwende, wenn keine Datenverbindung besteht, kann sie dann auch keine Daten weiterschicken?

Sie hebt sie sich auf.

Oder ist es möglich, dass eine App die Daten offline sammelt und an die eigenen Server rausleitet, sobald eine Datenverbindung besteht, obwohl sie gar nicht geöffnet ist?

Ja.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[G00fY]

@DeusoftheWired Du führst hier ernsthaft irgendwelche YT Videos als Quelle auf? Und natürlich loggt Google selbst auch Daten solange du kein Netz hast. Das hat auch nichts mit dem Airplane Mode sondern den Location Diensten zu tun die man über einen anderen Weg ausschalten muss... Das Video ist total daneben.

Nichtsdesto trotz ist es auch für anderen Apps möglich Daten offline zu sammeln und später zu Senden. Es gibt einige Möglichkeit als Entwickler Background Tasks zu bestimmten Zeitpunkten auszuführen zu denen du vermutlich online bist.

 

[Christock]

@Rexus, @DeusoftheWired

Danke für die Bestätigung des bislang Vermuteten.

@BlueLightning

Das sieht äußerst interessant aus, danke dir vielmals!

 

[testwurst200]

Wie die Werbeindustrie tatsächlich denkt es gibt Werbung die mich interessieren könnte
Ich klicke maximal ausversehen auf einen Werbebanner und habe dann aber direkt ein schlechtes gewissen.( Die haben einen klick bekommen)
Bei der unverschämten zwangswerbung von zb sky go gucke ich sogar an die decke...

 

[kryzs]

Und unter iOS wird es ähnliche Methoden wohl auch geben.

Ja mithilfe von Entwickleraccounts und gekauften Unternehmenszertifikaten, wie zum Beispiel bei Facebook und Google.

 

[DeusoftheWired]

@G00fY Das „Ja“ verlinkt zum Heise-Artikel über das gleiche Problem. Das Video ist nur die Veranschaulichung.

Daß Standortdaten auch dann übertragen werden, wenn man WLAN und Mobilnetz deaktiviert, ist eben nicht natürlich, und Google hat dieses Unwissen des Großteils der Androidnutzer gern verwendet.

https://www.heise.de/newsticker/mel...nkretisiert-Datenschutz-Optionen-4140899.html

 

[Cpt.Yesterday]

Ich sehe schon das ist wieder zum Klassiker der Foren-Kriege. Apple-Jünger steigen aus der Senke und verbreiten Ihr Halbwissen ...

Dazu hat u.a. Heise bereits ausführlich geschrieben, wie Apple im Laufe der Jahre sein System immer weiter abgedichtet hat. Wobei auf iOS schon von Beginn an weitaus mehr Möglichkeiten auch auf Nutzerseite vorhanden waren, das Tracking und den Diebstahl persönlicher Informationen zu unterbinden.

Da gab es letztens ein Bericht, dass selbst Bildschirminhalte durch diverse freie Apps aufgezeichnet werden bei iOS. Das ist immer noch aktuell und nicht geändert.

https://www.heise.de/mac-and-i/meld...n-heimlich-iPhone-Bildschirm-auf-4301541.html

Mit anderen Worten: iOS ist kein Deut besser, in manchen Dingen sogar weit schlechter. Inwiefern da Apple wirklich aktiv gegen die Sache vorgeht und ob es nicht längst einen "Workaround" für die App-Betreiber gibt, ist offen.

Kannst ja mal "googlen", "bingen", "yandexen" oder was auch immer zum Thema Sicherheitslücken bei iOS in den letzten Jahren. Apple zahlt scheinbar ganz gut, dass diese erst dann öffentlich werden, wenn diese schon behoben wurden ... ausgenutzt werden diese dennoch, mindestens von Behörden und Nachrichtendiensten.

Ich möchte meine Daten nicht bei Google haben. Ich möchte Anbieter, die wie Apple ihr Geld "ehrlich" mit Hardware bzw. einmaligen oder monatlichen Kosten verdienen.
Apple und andere Anbieter, welche so arbeiten, arbeiten daran diese Daten gar nicht erst zu sammeln - sieht man auch bei Gerichtsbeschlüssen "Die Daten koennen wir euch nicht geben, die haben wir gar nicht".

Übrigens werden iCloud-Inhalte bei Behördenanfrage unverschlüsselt bereitgestellt. Das war damals der "Deal" als US-Behörden kurz davor waren einen große Welle gegen Apple los zu trampeln ab der Einführung der "serienmäßigen" Verschlüsselung. Das einzig sichere Iphone ist eines ohne Zusatz-Apps und ohne iCloud-Sicherung. Da soll die Verschlüsselung tatsächlich was bringen.

Nur zum Verständnis: Es gibt keine "kostenlosen" Apps. Wenn diese kostenfrei bereitgestellt werden, dann bist DU das Produkt. "Kostenlose" Cloud gibt es es auch nicht! Die Rechenzentren mit mind. 3-fachem Backup betreibt keiner aus reiner nächstenliebe

Auch Apple nutzt die Daten seiner Kunden zur Gewinnoptimierung (sowohl für sich als auch für Dritte). Es gibt heute zu Tage kein Unternehmen, dass so dumm wäre und Millionen Einzel-Kundendaten nicht weiter verarbeitet.

Ist nicht mehr ganz aktuell, aber man kann auch davon ausgehen, dass selbst wenn Apple die Lücke geschlossen hat, wird es was neues geben:

https://www.iphone-ticker.de/fuer-b...ware-extrahiert-icloud-schluesselbund-115814/

... etwas aktueller:

https://www.heise.de/mac-and-i/meld...-speichert-auch-Schluessel-lokal-3978159.html

usw.

Die EU braucht doch Geld. Wie wäre es mit 20% Jahresumsatz als Strafe...

Leider nur bis 4% und auf 20 Millionen gedeckelt.

 

[Fermion]

@Kokuswolf
Du, ich will mich ja auch nicht über den Sinn und Unsinn von Werbung streiten. Ich sehe auch, dass die eindeutige Identifizierung einzelner Nutzer aus Sicht der Werbeindustrie und Betreiber werbefinanzierter Angebote nützlich sein kann, insbesondere, wenn es darum geht, Missbrauch zu vermeiden, wie du es anhand des “Erhalte gratis Coins, wenn du dies und das tust”-Beispiel gezeigt hast. Genauso verstehe ich auch, dass sich viele Dienste in ihrer jeweiligen Form nur durch Werbefinanzierung halten können. Nachhaltige Alternativkonzepte, die idealerweise kostenlos und werbefrei sind - so, wie es die meisten gerne hätten - gibt es eben leider noch nicht.

Meine Frage war aber eher, was wir als Nutzer denn effektiv von dieser “Dynamik”, der eindeutigen Identifizierbarkeit, der Webseiten- und Dienstübergreifenden Verfolgung haben? Den großen Nutzen sehe ich hauptsächlich bei den Werbetreibenden, die möglichst maßgeschneiderte, weil effektivere Werbung schalten wollen.

Gratis Coins kann ich dem Nutzer meines Spiels auch gewähren, indem ich ihn bitte, einen einzigartigen Code einzugeben, den er erhält, nachdem er sich erfolgreich bei dem beworbenen Dienst angemeldet hat (wie ein Gutscheincode). Ich bekomme vom Nutzer den eindeutigen Nachweis, dass er das Angebot wahrgenommen hat, der Werbende ist glücklich über seinen neuen Datensatz, weshalb er mich bezahlen kann und der Nutzer kann mit seinen gratis Coins spielen. Ist ein bisschen mehr Aufwand für den Nutzer, aber sei’s drum - dafür muss ihn der Werbedienstleister nicht permanent, unwiderruflich und ohne sein Einverständnis über seine Hardware-IDs tracken. Mal ganz unabhängig davon, was für einen Schabernack man potentiell noch so treiben könnte, wenn man frei nach Laune Daten abgreift, teils ohne sich an Regeln zu halten. (Dass die Datenerhebung u.A. durch die DSGVO theoretisch reguliert ist, heißt nicht, dass ich auch jeder brav dran hält.)

Grundsätzlich finde ich Werbung auch gar nicht so schlimm (zumindest solange bspw. die Lesbarkeit einer Webseite nicht darunter leidet), sondern den ganzen Rattenschwanz an Trackingmechanismen, der da dran hängt. Was ist - erneut, aus Sicht eines Nutzers - so verkehrt daran, Werbung auszuliefern, die thematisch zum aktuell besuchten Dienst passt? Werbung für Webhosting, Router und RGB-Tastaturen auf ComputerBase, Felgenreiniger, Fahrzeugvermietung und Tuning-Artikel in einem Motorsportportal, Barttrimmer und Anti-Schuppen-Schampoo beim Kicker. Wenn ich eine bestimmte Webseite nutze, ist die Wahrscheinlichkeit doch groß, dass ich an thematisch relevanten Produkten Interesse habe. Das hat doch früher auch funktioniert. Im Druck und den linearen Medien wird auch heute noch “einfaches” Zielgruppenmarketing angewendet.
Ja, die Werbeeinnahmen dürften dann sinken, weil die Werbung weniger effektiv ist. Auf der anderen Seite kann es dazu führen, dass die Nutzer ihre Schutzschilde wieder runterfahren und Werbung zulassen. Aber wahrscheinlich ist meine Betrachtung da einfach zu naiv.

Es ist meiner Meinung nach auch ein Unding, wenn man uns dynamisch die Preise diverser Produkte “personalisiert”, je nach dem was das jeweilige Analysetool aus unserem Profil heraus liest oder gar von unserem verwendeten Gerät abhängig macht. (Oh, du surfst auf einem iPad? Du darfst mehr zahlen als dein Nachbar!)

Natürlich ist völlig klar, dass beispielsweise Spotify in einem gewissen Umfang ein Profil über mich anlegen muss, wenn eines der zentralen Features darin besteht, mir individuelle Playlisten zu generieren. Solange das Profil allein in Spotifys Händen bleibt und zweckgebunden ist, ist das auch absolut in Ordnung.

Aber du siehst - Romane kannst nicht nur du schreiben. Deswegen habe ich gehadert, ob ich überhaupt antworten soll. Irgendwann artet es einfach aus.

Ich sehe schon das ist wieder zum Klassiker der Foren-Kriege. Apple-Jünger steigen aus der Senke und verbreiten Ihr Halbwissen ...


Da gab es letztens ein Bericht, dass selbst Bildschirminhalte durch diverse freie Apps aufgezeichnet werden bei iOS. Das ist immer noch aktuell und nicht geändert.

https://www.heise.de/mac-and-i/meld...n-heimlich-iPhone-Bildschirm-auf-4301541.html

Ach, wie schön, dass du auch gleich die ersten Schüsse in deinem heraufbeschworenen Foren-Krieg abfeuerst und dich mit deinem einseitigen Halbwissen selbst zur Zielscheibe machst.

Wie auch ComputerBase berichtete, erwähnt sogar die von dir selbst verlinkte Quelle, dass Apple umgehend darauf reagiert hat und mit Rausschmiss aus dem AppStore droht, sollten die Betroffenen nicht binnen 24 Stunden eine saubere Version der App einreichen, die entweder die Session Replay Frameworks entfernen oder die Nutzer eindeutig darauf hinweisen.

Und nur falls du tatsächlich dachtest, das gäbe es bei Android nicht: Forscher: Android-Apps schicken Screenshots und Videos an Drittfirmen, Juli 2018.

Android-Apps dürfen ihren eigenen Bildschirm abfilmen, ohne nach Berechtigungen zu fragen. Damit können Entwickler das Verhalten ihrer Nutzer tracken.

Der Trog, aus dem die Schweine fressen, ist immer der gleiche. Es sind nur die Schweine, die wechseln.

 

[kryzs]

Ich sehe schon das ist wieder zum Klassiker der Foren-Kriege. Apple-Jünger steigen aus der Senke und verbreiten Ihr Halbwissen ...

Genauso wenn droid‘s bei Apple Themen posten 👍

 

[burglar225]

Nur zum Verständnis: Es gibt keine "kostenlosen" Apps. Wenn diese kostenfrei bereitgestellt werden, dann bist DU das Produkt. "Kostenlose" Cloud gibt es es auch nicht! Die Rechenzentren mit mind. 3-fachem Backup betreibt keiner aus reiner nächstenliebe

Es gibt einen ganzen App-Store für kostenlose Apps. Nennt sich F-Droid.

E: Für Android natürlich.

 

[teufelernie]

. Aber ein zusammhangloses Internet verliert enorm viel Dynamik, die wir heute gewöhnt sind.

Und da haben wir auch schon die Wurzel des Übels.
Ich möchte das bitte selbst entscheiden können.

 

[Cpt.Yesterday]

Es gibt einen ganzen App-Store für kostenlose Apps. Nennt sich F-Droid.

E: Für Android natürlich.

Und wer zahlt die Server? Werbefinanziert und ohne oder nur mit minimaler Sicherheitsprüfung der Apps?

 

[DeusoftheWired]

Und wer zahlt die Server?

Spendenbasiert.

Werbefinanziert und ohne oder nur mit minimaler Sicherheitsprüfung der Apps?

Begging the question. https://www.kuketz-blog.de/android-kann-man-f-droid-vertrauen-bzw-ist-der-app-store-sicher/

 

[Zegermann]

Lässt sich mit Bastelarbeit wie z.B. einem xposed Framework eventuell den Apps eine zufällige IMEI vortäuschen, so dass die nicht alles einfach so auslesen können?

XPrivacyLua macht das und noch mehr.

 

[Bolko]

Facebook-Spionage-Module in Android-Apps.

In dem Artikel wird leider kein mal Facebook erwähnt, dabei sind viele User ohne es zu wissen bei Facebook und werden von Facebook getrackt.

In vielen Android-Apps sind Module von Facebook reinkompiliert, die Angaben zum User an Facebook schicken. Der User wird nicht darauf hingewiesen und es gibt auch kein Opt-out.

Zu den Apps gehören Navigations-Apps wie Maps me, Here Maps, Osmand, aber auch PDF-Reader oder Dateimanager etc.
Das Modul heißt "Facebook Share". Man muss dazu nicht bei Facebook angemeldet sein. Nichtmal einen Account braucht man. Facebook sammelt trotzdem massenhaft persönliche Daten.
Übertragen werden Werbe-ID, Android-ID, email-Adresse, Standort, Bewegungsprofile etc etc.
Das sollte auch per Gesetz verboten werden, schließlich ist das ein Verstoß gegen die DSGVO.

Android-Apps auf Tracker untersuchen:
"Exodus Privacy"
https://play.google.com/store/apps/details?id=org.eu.exodus_privacy.exodusprivacy
"Exodus Privacy" scheint nur Apps aufzulisten und untersuchen zu können, die über den Googla-Play-Store installiert worden sind, aber nicht solche Apps, die über FDroid oder Aptoide installiert worden sind.

Apps offline untersuchen:
https://reports.exodus-privacy.eu.org/en/analysis/submit/
https://appcensus.mobi/
Diese Offline-Suche zeigt manchmal etwas anderes an als der Online Scanner "Exodus Privacy" (App).
Im Zweifelsfall ist "Exodus Privacy" zuverlässiger, denn die Online-Suche zeigt manchmal nicht alle Tracker an.

Artikel
https://motherboard.vice.com/de/art...acebook-account-tracking-kayak-shazam-spotify

https://mobilsicher.de/ratgeber/schnueffel-module-in-apps-das-koennen-sie-tun

Zusätzlich zu diesen versteckten Facebook-Spionen in den Apps bauen die Smartphone-Hersteller auch solche Facebook-Module in die Firmware ein.

Was noch viel schlimmer ist:
Facebook an sich ist ein Geheimdienst-Projekt des US-Verteidigungsministeriums und der CIA/NSA namens "Lifelog Project".
Der Wired-Artikel über das (angeblich eingestellte Projekt) "Lifelog Project" erschien am selben Tag an dem Facebook gegründet wurde. Das war ein Wink mit dem Zaunpfahl von Wired.
https://www.wired.com/2004/02/pentagon-kills-lifelog-project/