Sensible Nutzerdaten werden weitergegeben

Das Infoportal Mobilsicher hat es sich zur Aufgabe gemacht, Verbraucher über Privatsphäre, Datenschutz und Sicherheit in der Smartphone-Welt zu informieren. Dabei handelt es sich um ein Kooperationsprojekt der gemeinnützigen Vereine iRights e.V. und ITUJ e.V., gefördert wird es vom Bundesministerium für Umwelt, Naturschutz, nukleare Sicherheit und Verbraucherschutz.

Mobilsicher führt aber auch selbst Tests durch und hat sich aktuell die Apps von Arzneimittelversendern und Lieferdiensten vorgeknöpft. Dazu schreibt das Infoportal auf seiner Website: „Migränetabletten, Nikotinpflaster oder Schlafmittel lassen sich in der Apotheke an der Ecke anonym einkaufen. Um Medikamente online zu bestellen, muss man dagegen seinen Namen und die Lieferadresse angeben. Dabei erfahren Dienstleister, wofür man sich interessiert und was man wann bestellt.“

Untersucht wurden die Android-Apps von Shop Apotheke, DocMorris, Medpex, Cure und Mayd. Dazu wurde in jeder Apotheken-App ein Nutzerkonto mit Namen, Anschrift und Telefonnummer oder E-Mail-Adresse angelegt. Anschließend wurden zwei verschiedene Medikamente gesucht; Rezepte wurden nicht hochgeladen.

Der Begriff Werbe-ID wird von Mobilsicher folgendermaßen erklärt: „Bei der Werbe-ID handelt es sich um eine von Google vergebene Kennnummer, die für jedes Android-Gerät eindeutig ist. Analysedienste, die die Werbe-ID erhalten, erfahren den App-Namen und wann die App genutzt wird. Eigentlich dient die Nummer der Anonymisierung der Nutzer*innen: So kann personenbezogene Werbung geschaltet werden, ohne genau zu wissen, wer die App verwendet. In der Praxis lesen App-Anbieter, Marketing- und Analysefirmen die Nummer jedoch oft zusammen mit anderen Daten aus, sodass anschließend doch klar ist, zur welcher Person die Werbe-ID gehört.“

DocMorris gab laut Mobilsicher sämtliche Suchabfragen an Omikron Data Quality GmbH weiter, ein Unternehmen, das Datenverwaltung und Nutzungsanalyse anbietet. Insgesamt erhielten sechs Drittfirmen Daten aus der App, drei davon die Werbe-ID.

Auch der Lieferdienst Mayd zeigt sich großzügig bei der Weitergabe von Daten: Beim Test gab er sämtliche Suchwörter aus der App zusammen mit dem Straßennamen, der Hausnummer und der Postleitzahl an Google weiter. Vor- und Nachnamen, die Postleitzahl sowie die eingegebenen Kontaktdaten (Telefonnummer, E-Mail-Adresse) gingen an den Analysedienst Braze Inc. Das gesamte Datenpaket – Name, Adresse, Kontaktdaten und Suchhistorie – erhielt ein US-amerikanischer Dienst zur Nutzerdatenverwaltung und -analyse, Segment.io. Insgesamt erhielten sechs Drittfirmen Daten von Mayd.

Die Liefer-App Cure gab laut Mobilsicher Daten aus der App an drei andere Unternehmen weiter, allerdings keine Suchbegriffe. Facebook erhielt die Werbe-ID.

Als vorteilhaft bewerteten die Tester, dass der Versender Medpex den Anwendern nach dem ersten Öffnen der App die Möglichkeit gibt, die Nutzungsanalyse komplett abzuwählen. Dazu muss man im ersten Fenster statt auf „Zustimmen“ auf „Einstellungen“ tippen, wodurch die Analysedienste von Google, Facebook und Adjust auf der Nutzeroberfläche deaktiviert werden. „Ärgerlich“ sei, so Mobilsicher, dass die App beim Test auch bei abgewählter Nutzeranalyse Kontakt zu den drei Firmen aufnahm und jeweils die Werbe-ID übermittelte. Auf Nachfrage der Tester teilte Medpex mit, dass dieses Verhalten der App so nicht beabsichtigt sei und dem Hinweis nachgegangen werde.

Auch mit den Datenschutzerklärungen der geprüften Apps ist Mobilsicher nicht zufrieden: Diese seien extrem lang und verwiesen wiederum auf die Datenschutzerklärungen von Drittfirmen. Bei einigen verlinkten Analysefirmen könne man der Datenverarbeitung über deren Webseiten widersprechen. Doch die genannten Drittfirmen entsprächen nur teilweise den Dienstleistern, die in den Tests identifiziert wurden.

Wirklich verbraucherfreundlich wäre jedoch eine Apotheken-App, in der Analysedienste nicht erst abgewählt werden müssen, fordert Mobilsicher. Die Nutzer sollten davon ausgehen dürfen, dass ihr Verhalten beim Einkaufen von Medikamenten nicht verfolgt wird – „genau wie in der analogen Apotheke“.