Ein neuer Bericht der Electronic Frontier Foundation (EFF) zeigt, dass mehrere weit verbreitete Werbe‑Software‑Development‑Kits (SDKs) Standortdaten von App‑Nutzern ohne ausdrückliche Zustimmung weitergeben, sobald die App die entsprechende Standortberechtigung erhalten hat.
Kernergebnis
Die Untersuchung identifizierte vier SDKs – InMobi, BidMachine, Verve und Huawei – die laut ihrer eigenen Dokumentation Standortdaten standardmäßig an Werbenetzwerke senden. Die Praxis gilt, wenn Entwickler die App‑Berechtigung für den Standort aktivieren, ohne zusätzliche SDK‑spezifische Einstellungen vorzunehmen.
Funktionsweise
Nach Erteilung einer Standortberechtigung erhalten sowohl die App als auch alle eingebetteten SDKs denselben Zugriff. Das bedeutet, dass die SDKs präzise Standortinformationen (innerhalb von etwa 160 Fuß, teilweise bis zu 10 Fuß) automatisch sammeln und in Echtzeit‑Auktionen (Real‑Time Bidding, RTB) an Werbetreibende und Datenbroker weiterleiten. Auch ungefähre Standortdaten (innerhalb von etwa 1,2 Quadratmeilen) können ohne zusätzliche Genehmigung erfasst werden.
Finanzielle Anreize
Die SDK‑Hersteller betonen, dass standortangereicherte Anzeigen höhere Erlöse erzielen. InMobi weist explizit darauf hin, dass „location‑enriched impressions typically yield higher revenue“, und empfiehlt Entwicklern, präzise Standortberechtigungen zu beantragen, um die Werbeeinnahmen zu maximieren.
Betroffene SDKs im Detail
InMobi, das laut AppBrain und Appfigures über 2 Billionen Nutzer in mehr als 150 Ländern erreicht, leitet Standortsignale automatisch weiter und bietet nur eine optional zu deaktivierende Einstellung. BidMachine, das rund 600 Millionen SDK‑Nutzer verzeichnet, sammelt ebenfalls Standortdaten per Voreinstellung und hat nach Rückfrage der EFF seine Dokumentation aktualisiert, ohne jedoch den automatischen Datentransfer zu entfernen. Verve und Huawei geben in ihren Play‑Store‑Hinweisen zwar mehr Hinweis auf Einwilligung, lassen jedoch die Voreinstellung unverändert, sodass Standortdaten bei aktivierter App‑Berechtigung weitergeleitet werden.
Reaktionen der Unternehmen
Von den vier Unternehmen hat ein Vertreter geantwortet und die Dokumentation angepasst, ohne die Standard‑Datenerfassung zu ändern. Die übrigen Unternehmen haben bislang keine Stellungnahme abgegeben.
Auswirkungen und Handlungsempfehlungen
Entwickler, die keine Standortdaten für ihre Kernfunktion benötigen, sollten die Voreinstellungen der integrierten Werbe‑SDKs aktiv prüfen und gegebenenfalls deaktivieren. Regulierer und Gesetzgeber werden aufgefordert, klare Vorgaben für die Standard‑Datenerfassung in Werbe‑SDKs zu formulieren, um die Einhaltung von Datenschutzgesetzen wie GDPR und COPPA zu gewährleisten.
Ausblick
Die EFF‑Analyse verdeutlicht, dass die Standard‑Konfiguration von Werbe‑SDKs ein erhebliches Risiko für die Standortprivatsphäre von Milliarden Nutzern darstellt. Weitere Untersuchungen und mögliche regulatorische Maßnahmen könnten dazu beitragen, die Transparenz und Kontrolle über solche Datenerfassungen zu erhöhen.
Dieser Bericht basiert auf Informationen von Electronic Frontier Foundation, lizenziert unter Creative Commons Attribution 4.0 (CC BY 4.0). Offene journalistische Inhalte.
Ende der Uebertragung