Belauschen Apps unbemerkt Smartphone-Nutzer, um Infos für zielgerichtete Werbung zu sammeln? Eine Reportage zeigt, dass das technisch durchaus möglich ist, wahrscheinlich basieren die gespenstisch passenden Anzeigen aber auf ganz anderen Methoden.

Seit Jahren hört man immer wieder Berichte von Nutzern, die auf Facebook und Instagram oder anderswo im Internet exakt zu jenen Themen Werbung sehen, über die sie erst kürzlich mit Freunden geplaudert hatten. Die Smartphones lagen dabei auf dem Tisch. Der Verdacht liegt also nahe, dass die Geräte beziehungsweise Apps heimlich mitgehört haben.

Dass das technisch möglich ist, hat erst kürzlich eine Reportage des BR gezeigt. Aber nicht alles, was machbar ist, wird auch gemacht. Google, Facebook & Co. haben ganz andere Mittel, mit denen sie die nötigen Informationen viel effizienter und völlig legal erhalten.

Spionage mit Berechtigung

Am einfachsten haben es neugierige Anwendungen, wenn man ihnen die Berechtigung erteilt hat, das Mikrofon des Smartphones zu nutzen. Auf iPhones könnten sie sich aber durch einen orangefarbenen Punkt in der Statusleiste verraten. Auch im aktuellen Android 12 wird der Zugriff auf das Mikrofon angezeigt (grüner Punkt), auf den meisten Smartphones laufen allerdings ältere Versionen des Betriebssystems. Doch auch dann riskieren Schnüffler aufzufliegen, wenn auch nur ein Nutzer die Berechtigungen überprüft und die App meldet.

Klar, vielen Apps wie Instagram, Facebook oder TikTok erteilt man ganz bewusst die Berechtigungen, um unter anderem Videos posten zu können. Ein Experte zeigte der BR-Reporterin Rebecca Ciesielski außerdem, dass Apps auch erkennen können, wenn sie beobachtet werden und entsprechend vorsichtig agieren. Doch die Anwendungen der Internet-Giganten wurden und werden immer wieder untersucht, selbst wenn der Aufwand groß ist.

Sie zu erwischen, wäre für jeden Sicherheitsexperten der Jackpot. Und wenn das passiert, kann das den Ruin des Unternehmens bedeuten. Man darf sich also wohl darauf verlassen, dass sie nicht so dumm sind, ihre eigenen Apps zur (illegalen) Spionage einzusetzen.

Was macht Facebook mit Bewegungssensoren?

Der Experte demonstrierte aber auch, dass es theoretisch möglich ist, über Bewegungssensoren und Lautsprecher-Vibrationen Gespräche viel raffinierter mitzuschneiden. Im vergangenen Jahr fanden Sicherheitsforscher heraus, dass alle Facebook-iOS-Apps eben diese Daten sammeln können.

Und um nicht dadurch aufzufallen, große Audio-Dateien an die Server der Auftraggeber zu schicken, könnten Angreifer laut Ciesielski versuchen, die Sprache noch auf dem Smartphone in Text umzuwandeln, wie es beispielsweise Google mit seiner Rekorder-App macht.

Man kann also nicht ausschließen, dass Facebook & Co. Nutzer heimlich belauschen. Es bleibt aber die Frage, warum sie zu illegalen und ziemlich ineffizienten Mitteln greifen sollten, wenn sie es viel einfacher haben, Nutzerinformationen völlig legal, detailliert und in Massen abzugreifen?

Sie haben es einfach nicht nötig

Wenn man sich durchs Internet bewegt, hinterlässt man ständig Spuren, die für sich alleine gesehen keine große Aussagekraft haben, aber zusammengeführt im Laufe der Zeit ein ziemlich genaues Bild eines Nutzers zeichnen. Bei solchen, die Konten bei den Internet-Giganten haben, ihnen weitgehende Zugriffsrechte einräumen und sich vielleicht auch noch mit diesen Konten bei anderen Diensten anmelden, ist es besonders einfach.

Hinzu kommen betrachtete Inhalte in den sozialen Netzen, abonnierte Kanäle, Personen, Unternehmen oder Organisationen, denen man folgt und viele Details mehr. Gibt man dann auch noch einem digitalen Assistenten Zugriff auf Aktivitäten, Bildschirminhalte, Kalendereinträge und andere Informationen, die dieser braucht, um zu assistieren, führt man quasi ein gläsernes Leben.

Um eine Idee zu bekommen, wie schnell wie viel gesammelt wird, kann man einfach mal nachschauen, was alleine Google in den vergangenen 24 Stunden oder Tagen erfahren hat. Das Unternehmen macht daraus kein Geheimnis, ein Klick auf Meine Google-Aktivitäten genügt.

Voodoo-Puppen statt Lauschangriffe

Der ehemalige Mitarbeiter des Konzerns, Tristan Harris, sagte 2019 auf einer Podiumsdiskussion, Facebook oder Google könnten mit all den gesammelten Informationen praktisch Avatare erzeugen und mithilfe maschinellen Lernens das Verhalten beziehungsweise die Wünsche der Nutzer nachvollziehen. "Alles, was ich tun muss, ist zu simulieren, welches Gespräch diese Voodoo-Puppe führt, und ich kenne das Gespräch, das Sie gerade geführt haben, ohne das Mikrofon abhören zu müssen."

Wenn man dem Link zur Podiumsdiskussion folgt, landet man bei Youtube und Google hat eine weitere Information. Es ist kaum möglich, keine eindeutigen Spuren im Internet zu hinterlassen. Bis zu einem gewissen Grad ist es machbar, aber je mehr man es versucht, desto mühsamer, unbequemer und umständlicher ist die Sache.

Verräterische Freunde

Selbst relativ vorsichtige Nutzer sind für Facebook oder Google kein unbeschriebenes Blatt, Metadaten machen es möglich. In gewisser Weise sind sie wertvoller als reale Gespräche, Texteingaben oder Klicks. Denn ohne großen Daten-Aufwand liefern sie viele Informationen und helfen vor allem, diese zusammenzuführen.

Bei Metadaten geht es darum, wer wann mit wem wo Kontakt hatte. Wenn ein Nutzer mit Personen befreundet ist, die Pizza, Techno und Italien mögen, können die Modelle der Unternehmen davon ausgehen, dass dies auch auf diesen Nutzer zutrifft.

Haben dessen Freunde vor einem persönlichen Treffen nach italienischem Olivenöl gesucht und sich vielleicht auch noch in einem sozialen Netzwerk darüber ausgetauscht, sieht der Nutzer aus gutem Grund eine Werbung für ein entsprechendes Produkt. Möglicherweise kurz nachdem seine Freunde mit ihm über Olivenöl gesprochen haben und wie er jetzt total überrascht sind.

Grob gezielte Zufallstreffer

Eine wichtige Rolle bei der Nutzeranalyse spielen auch Cookies, die vorübergehend oder dauerhaft Informationen einer besuchten Webseite auf einem Gerät speichern. Drittanbieter-Cookies lassen Werbetreibende Nutzer wiedererkennen, Tracking-Cookies verfolgen sie sogar über viele Webseiten, oft über einen längeren Zeitpunkt hinweg.

Letztendlich spielt auch der Zufall eine große Rolle. Gerade wenn man personalisierte Anzeigen in Diensten und Browsern eine Absage erteilt, sieht man sehr viel Werbung, die einen absolut nicht interessiert. Ist sie nicht völlig absurd, nimmt man sie gar nicht wahr - oder vielleicht nur unterbewusst.

Aufschlussreiches Experiment

Hat man zuvor über etwas gesprochen und sieht es dann kurz später auf Instagram, fällt es auf und es sieht so aus, als könne man dies nur durch einen Lauschangriff erklären. Dabei genügen den sozialen Netzwerken schon Kontoangaben wie Geschlecht, Alter und Wohnort, um Anzeigen deutlich einzugrenzen. Die Wahrscheinlichkeit auf solche Zufallstreffer ist also gar nicht so klein.

Sehr aufschlussreich kann ein kleines Experiment sein. Dazu trifft man sich mit Freunden und spricht mit seinem Smartphone auf dem Tisch über ein Produkt, das keinen der Gruppe jemals interessiert hat, zu keinem in der Runde passt und auch nicht so alltäglich ist, dass man ständig Werbung dazu sieht. Wichtig ist, dass man das Thema erst vor Ort persönlich abspricht. Danach schaut man nach, ob es in Instagram & Co. passende Anzeigen dazu gibt.