Jedes Jahr im Februar ist es wieder so weit: Blumenhändler, Juweliere und exquisite Restaurants reiben sich die Hände. Verzweifelte Männer balgen sich am Abend des 14. um die verwelkenden Reste der letzten Tankstellen-Blumenbouquets und die übriggebliebenen Pralinenkästen aus den hinteren Reihen. Und wer diese Probleme nicht hat, wird zumindest ständig und stetig daran erinnert, dass er sie eigentlich haben sollte. Es ist Valentinstag.
Nicht nur an diesem besonderen Tag, aber natürlich besonders im Vorfeld von diesem, erfreuen sich Dating-Apps großer Beliebtheit und kaum eine andere App-Kategorie kann mit dermaßen gigantischen Download- und Userzahlen aufwarten. Wir nehmen den diesjährigen Valentinstag als Anlass, einmal die größten und beliebtesten Android-Applikationen aus dieser Rubrik unserem Android App Privacy Test zu unterziehen und die Frage zu klären, wie groß Privatsphäre bei Dating-Apps geschrieben wird. Kleiner Antiklimax direkt zu Beginn: So richtig überraschen dürfte das Ergebnis nicht.
App-Auswahl
Bei der Auswahl der zu betrachtenden Applikationen haben wir uns schlicht die nach ihren Downloadzahlen im Google Play Store hierzulande meist verbreiteten Applikationen herausgepickt. Alle Apps (bis auf eine) liegen hier bei 50 – über 100 Millionen weltweiter Downloads und damit einer wirklich beträchtlichen Verbreitung. Zum Vergleich, und weil sie hierzulande sehr beliebt ist, haben wir außerdem noch die Applikation zu Parship (über 1 Mio. Downloads) mit in den Test genommen.
Berechtigungen
Wie immer bei einem solchen Test, schauen wir uns zuallererst die Berechtigungen an, die jede Applikation einfordert. Bereits in diesem Schritt kann man gute Hinweise darauf finden, wie sich eine Applikation im Betrieb verhalten wird und welche Daten grundsätzlich dabei erfasst werden könnten. Wenn man sich nun im Vorfeld überlegt, welche Funktionalität die betrachteten Apps umsetzen möchten und welche Berechtigungen dafür vonnöten wären, fällt die Liste relativ kurz aus: Natürlich bräuchten die Apps Zugang zum Internet (über WiFi oder mobiles WAN) – Ohne diesen funktioniert die ganze Idee sicher nur sehr mäßig. Außerdem ist es sicher auch sinnvoll, dass die Applikation Zugriff auf den groben Standort des Nutzers hat. Die meisten Leute bevorzugen hier sicher Kontakte, die zumindest in derselben Zeitzone ansässig sind. Darüber hinaus, und abhängig von den bereitgestellten Features, brauchen die Apps womöglich noch Zugang zur Kamera und/oder zum Fotoarchiv (keine Dating-App ohne ein umfangreiches Portfolio an Selfies und gestellten Urlaubs-/Abenteuer-Pics) und zu Audio und Micro, falls das Ganze auch Sprachnachrichten und/oder Anrufe unterstützt. Es gibt keine angeschlossene Peripherie mit der kommuniziert werden muss, keine Aktivität zu tracken, keine Kontakte zu verwalten (wer den Kontakt schon in der Liste hat, brauch die App nicht mehr) oder sonst eine weitere höhere Funktion zu erfüllen. Die Liste der Berechtigungen der betrachteten Apps sollte also eigentlich(!!) ziemlich überschaubar sein. Spoiler: Ist sie nicht (immer).
Tatsächlich schwanken die Werte hier recht stark zwischen den verschiedenen Applikationen. Die Badoo App beispielsweise, fordert eine Liste von ganzen 51 Berechtigungen an – etwa die knappe Hälfte davon ließe sich mit Wohlwollen mit der zur Verfügung gestellten Funktionalität erklären. Darüber hinaus wird hier aber zum Beispiel auch die Berechtigung ACTIVITY_
Alle anderen Apps bewegen sich in der Zahl von angeforderten Berechtigungen zwischen den 51 von Badoo und 21 von Lovoo (siehe Tabelle). Auffällig ist hierbei, dass wie gesagt ausnahmslos alle die Google AD-ID abfragen und alle bis auf eine den PHONE_STATE benötigen. Bei der App von Jaumo fällt außerdem auf, dass hier ein ganzer Satz Custom Berechtigungen für die Ausführung auf Geräten der chinesischen, quasi-staatsgeführten Unternehmen Honor und Huawei auftaucht. Welches Software-Modul hier diese Zusatzberechtigungen benötigt ist nicht ganz klar.
Tracker
Zugegebenermaßen sind die interessantesten Nutzerdaten, die sich speziell über eine Dating-App sammeln lassen, natürlich diejenigen, welche die Nutzer selbst und freiwillig zur Verfügung stellen. Abgesehen von vielleicht noch Social Media Apps, die den Dating-Apps in Funktion und Features naturgemäß sowieso sehr ähnlich sind, gibt es wohl kaum eine andere App-Kategorie in der die Nutzer so bereitwillig und ausführlich teils äußerst persönliche Daten preisgeben. Kann man diese Daten nun noch weiter mit zusätzlichen Metadaten zur Handy- und App-Nutzung, Nutzeraktivität, Hardware und so weiter assoziieren und weiter verfeinern, sind die Möglichkeiten der Nutzung zu Werbezwecken natürlich kaum zu übertreffen. Genau an dieser Stelle setzen nun die Tracker an. Und völlig überraschend (nicht…) haben die von uns untersuchten Apps davon jede Menge integriert.
Wenn wir normalerweise unsere Sicherheitsanalysen im Bereich IoT durchführen und die dazugehörigen Apps untersuchen, sehen wir im Schnitt etwa 2-3, manchmal auch 4 oder 5 integrierte Tracker. Dabei handelt es sich meist um die typischen Google Analytics und Firebase Tracker. Diese sammeln natürlich auch schon einiges an Metadaten, für App-Betreiber stehen hier aber meist tatsächlich die Analysedaten zur Verbesserung ihres Produktes im Vordergrund und nicht unbedingt die Datensammlung. Bei den untersuchten Apps verhält es sich nun so, dass keine einzige weniger als 6 klar identifizierbare Tracker enthält. Der Spitzenwert (bei Lovoo) liegt gar bei 17(!!) – Übrigens auch absoluter Rekord unter all den tausenden Apps, die wir jemals untersucht haben.
Immer vertreten sind dabei die schon angesprochenen Google Tracker. Wie bereits erwähnt sind natürlich auch diese schon in der Lage, einiges an Daten zu erfassen, da aber quasi keine App heutzutage ohne diese daherkommt, kann man darüber schon fast hinwegsehen. Interessant ist schon eher, dass keine einzige App im Test auf das Facebook-SDK verzichten kann. Natürlich kann man hier von Betreiberseite mit der Registrierungsmöglichkeit über sein Facebook-Profile argumentieren, aber das dafür zuständige Modul Facebook Login ist nur eins von den 3, die wir in jeder einzelnen App finden konnten. Facebook Ads und Facebook Analytics sind die anderen beiden. Weiterhin oft zu finden sind die Tracker von Adjust und AppsFlyer – diese sind ebenfalls in fast jeder App enthalten. Außerdem ebenfalls häufig enthalten sind allerlei Werbungstracker von beispielsweise Amazon oder Verizon.
In der Tabelle haben wir einmal aufgelistet, welche Tracker in welchen Apps eindeutig identifiziert werden konnten. Außerdem ist aufgeführt, bei wie vielen dieser Tracker durch die dynamische Analyse eine konkrete Aktivität, d.h. beobachtbare Kommunikation, nachgewiesen werden konnte.
Kommunikation
Immerhin: Die Kommunikation der Applikationen sieht sicherheitstechnisch soweit in Ordnung aus. Wir haben weder auffällige, unverschlüsselte Kommunikation gesehen, noch Anzeichen für etwaige kritische Sicherheitsprobleme. Natürlich kann man ausnahmslos bei allen Apps massive Datenströme gerade der integrierten Tracking-Module beobachten, zumindest scheinen diese Daten aber nicht auch noch von „unbefugten“ Dritten leicht einsehbar zu sein. Wir haben hier aber, wie gesagt, nicht explizit eine Sicherheitsanalyse durchgeführt, so dass es sich eher um eine oberflächliche Einschätzung handelt. Vielleicht heben wir uns die Sicherheitsanalyse aber für einen späteren Zeitpunkt auf.
Die Datenströme, die wir beobachten konnten, sehen im Prinzip immer ähnlich aus: Jede Menge Metadaten zur Gerätehardware, zum System und zum Nutzer, zusammen mit einigen IDs, die man dem Nutzer und/oder seinem Gerät verpasst hat sowie meist auch ein größerer Abschnitt mit Binärdaten, bei dem man ohne weiteres tiefergreifendes Reverse-Engineering des entsprechenden Trackers wenig Konkretes über den Inhalt sagen kann. Ansonsten unterscheidet sich auch die Kommunikation derselben Tracker in unterschiedlichen Apps nicht wirklich. Die Version etwa des Facebook-SDKs variiert leicht von App zu App, wirklich auffällige Unterschiede gibt es aber insgesamt nicht zu bemerken.
Datenschutzerklärungen
Natürlich haben wir uns außerdem auch die Datenschutzerklärungen aller Apps angesehen, was schon impliziert, dass es tatsächlich auch zu jeder App eine solche gibt – In der IoT-Welt ist das tatsächlich auch heutzutage noch nicht 100prozentig selbstverständlich. Wir haben die Datenschutzerklärungen aller Apps nur automatisierten Analysen unterzogen, aber das Ergebnis war auch hier schon recht zufriedenstellend: Alle Datenschutzerklärungen sind recht ausführlich, informieren explizit über die essentiellsten Themen der Datensammlung, -verarbeitung und -weitergabe und sind direkt unkompliziert und ohne Umwege über den Play Store einsehbar. Soweit so gut. Ein paar auffällige Punkte gibt es aber trotzdem.
So wird es in keiner einzigen der betrachteten Datenschutzerklärungen für nötig gehalten, die enthaltenen Tracker zu benennen. Hier und da werden zumindest die Google Tracker mal erwähnt, das immer enthaltene Facebook-SDK aber beispielsweise wird nirgends auch nur einer Erwähnung gewürdigt. Bei Applikationen, die teilweise weit über 10 Tracker integrieren, kann man das sicher zumindest suspekt finden.
Auch was die Lesbarkeit der Datenschutzerklärungen angeht, haben wir hier schon definitiv Besseres gesehen. Die Lesbarkeit eines Fließtexts lässt sich programmatisch beispielsweise über den Flesch-Kincaid Test bestimmen. Das Ergebnis dabei ist ein Wert zwischen 0 und 100 der angibt, wie leicht verständlich das untersuchte Geschriebene ist. 90 – 100 bescheinigt dabei eine gute Verständlichkeit selbst für Schulkinder. Ab 30 ist man dann auf der anderen Seite der Skala bei mindestens einem Universitätsabschluss, um den vorliegenden Text verstehen zu können. Die Datenschutzerklärungen aller untersuchten Apps liegen hier alle ähnlich mit Werten zwischen 10 und 20. Das Ganze also noch unverständlicher zu formulieren, wäre tatsächlich schon recht schwierig.
Urteil
Im Prinzip kam bei der Analyse exakt das heraus, was wir im Vornherein dabei auch angenommen hatten. Es wäre eine wirkliche Überraschung gewesen, wenn Dating-Apps nicht zu den größeren Datenkraken gehören würden. Die Informationen, die man hier über Nutzer erhalten kann, sind einfach so detailliert, so persönlich und so weitreichend, dass sie für die entsprechenden erfassenden Unternehmen in Gold kaum aufzuwiegen sind. Hier bieten wohl nur Social Media und Health Apps einen ähnlich detailreichen Einblick in spezielle Bereiche eines Nutzerlebens. Vielleicht betrachten wir als nächstes ja zum Vergleich einfach mal Vertreter dieser Kategorien. Wobei das Ergebnis wohl ähnlich überraschend ausfallen dürfte…
Previous article 
