- Das US-Berufungsgericht des 4. Bezirks entschied in United States v. Chatrie mit 2 zu 1, dass für freiwillig mit Google geteilte Standortverläufe nach dem 4. Verfassungszusatz keine berechtigte Erwartung auf Privatsphäre besteht
- Diese Einschätzung stützt sich auf die Struktur, dass der Location History standardmäßig deaktiviert ist und die Speicherung erst beginnt, wenn Nutzer Standortfreigabe, Account-Opt-in, Location Reporting, Anmeldung usw. durchlaufen
- Google speichert den Location History in Sensorvault; Geofence-Durchsuchungsbeschlüsse verlangen anonyme Gerätenummern und Koordinaten, Zeitstempel, Konfidenzintervalle, Datenquellen usw. für einen bestimmten Zeitraum und ein bestimmtes Gebiet
- Anfragen der Strafverfolgungsbehörden nach geofence warrants haben seit 2016 stark zugenommen, und Google betreibt seit 2018 ein dreistufiges Verfahren, um den Umfang solcher Anfragen schrittweise einzugrenzen
- Das Urteil verschärft den Konflikt darüber, ob standortbasierte Massenabfragen nach dem 4. Verfassungszusatz eine Durchsuchung darstellen, und zeigt erneut die Grenze zwischen mobilen Standortdaten und Ermittlungen der Strafverfolgung
Das Urteil des 4. Bezirks und die Voraussetzungen von Location History
- In United States v. Chatrie entschied das Berufungsgericht des 4. Bezirks, dass für Google-Standortdaten keine berechtigte Erwartung auf Privatsphäre besteht
- Das Urteil fiel am 9. Juli 2024 mit 2 zu 1
- Die zentrale Prämisse ist, dass Nutzer diese Daten freiwillig mit Google teilen
- Location History ist standardmäßig deaktiviert, und damit Googles Nachverfolgung und Speicherung beginnen, müssen Nutzer mehrere Einstellungen durchlaufen
- die Standortfreigabe auf dem Mobilgerät aktivieren
- über den Internetbrowser, die Google-App, die Android-Geräteeinstellungen usw. dem Location History des Google-Kontos zustimmen
- Google zeigt vor der Aktivierung Hinweise an, die den grundlegenden Inhalt des Dienstes erklären
- die Funktion „Location Reporting“ auf dem Mobilgerät aktivieren
- sich auf diesem Gerät in das Google-Konto einloggen
- Auch nach dem Opt-in behalten Nutzer eine gewisse Kontrolle über die gespeicherten Standortdaten
- sie können bereits erfasste Informationen prüfen, bearbeiten und löschen
- sie können nur Daten bestimmter Tage behalten und den Rest löschen oder alles löschen
- sie können die künftige Erfassung durch Location History pausieren
- Google erklärt, diese Entscheidungen der Nutzer zu befolgen
- Wenn Location History aktiviert ist, überwacht Google den Standort weiterhin per GPS, auch wenn Nutzer ihr Telefon nicht verwenden
- Unter Android werden bei aktivierter „Google Location Accuracy“ zusätzlich zu GPS auch Eingaben wie Wi‑Fi-Access-Points und Mobilfunknetze genutzt
- Location History kann präziser sein als andere Verfahren der Standortverfolgung wie Zellstandortdaten
- Allerdings sind Googles Standortaufzeichnungen Schätzwerte für den Standort des Geräts, und jede Standortkoordinate enthält ein „confidence interval“ in Metern
- Google gibt für einen bestimmten Standortpunkt an, dass die Wahrscheinlichkeit 68 % beträgt, dass sich der Nutzer innerhalb dieses Konfidenzintervalls befindet
Sensorvault und das Verfahren bei Geofence-Durchsuchungsbeschlüssen
- Google speichert alle Daten aus dem Location History in einem Speicher namens Sensorvault
- Sensorvault weist jedem Gerät eine eindeutige Kennnummer zu
- es bewahrt die mit dem Gerät verbundenen Location-History-Daten auf
- Google nutzt diese Daten zum Aufbau aggregierter Modelle zur Unterstützung von Anwendungen wie Google Maps
- Strafverfolgungsbehörden begannen 2016 damit, Google geofence warrants zu schicken
- Ein Geofence-Durchsuchungsbeschluss verlangt die Herausgabe von Location-History-Daten aller Nutzer, die sich während eines bestimmten Zeitraums in einem bestimmten geografischen Gebiet aufgehalten haben
- Google erklärte, dass Geofence-Anfragen von 2017 auf 2018 um 1.500 % und von 2018 auf 2019 um 500 % zunahmen
- Aus Sorge um Gefahren für die Privatsphäre der Nutzer entwickelte Google 2018 nach Gesprächen mit der internen Rechtsabteilung und Strafverfolgungsbehörden ein dreistufiges Verfahren
- Googles dreistufiges Verfahren ist so ausgelegt, den Umfang von Anfragen einzugrenzen, bevor von anonymen Daten zu kontobezogenen Identitätsangaben übergegangen wird
- Stufe 1: Google durchsucht den gesamten Location-History-Speicher, um Nutzer zu finden, die sich innerhalb der angegebenen Zeit und Geofence befanden, und liefert anonyme Gerätenummern, Breiten- und Längengrade, Zeitstempel, Konfidenzintervalle sowie Datenquellen wie GPS oder Wi‑Fi
- Google prüft Anfragen vor der Offenlegung und widerspricht, wenn es sie für übermäßig weit gefasst hält
- Stufe 2: Wenn Strafverfolgungsbehörden zusätzliche Informationen benötigen, können sie für einen Teil der in Stufe 1 identifizierten Nutzer einen längeren Zeitraum sowie Bewegungskoordinaten innerhalb und außerhalb des Geofence anfordern
- Stufe 3: Nachdem Strafverfolgungsbehörden Personen bestimmt haben, die für die Ermittlungen relevant sind, verlangen sie von Google kontobezogene Identitätsangaben wie Namen und E‑Mail-Adressen
- Google verlangt in der Regel, dass der Kreis der Betroffenen gegenüber der vorherigen Stufe eingegrenzt wird, sodass nicht einfach die Identität aller in Stufe 2 identifizierten Nutzer verlangt werden kann
- Bloombergs Artikel Geofence Warrant Decision Exposes Hole in Fourth Amendment Law argumentiert, dass diese gespaltene Entscheidung des Berufungsgerichts den staatlichen Zugriff auf Google-Standortdaten mobiler Geräte der verfassungsrechtlichen Prüfung entzieht
- Der Artikel fasst zusammen, dass das Berufungsgericht des 4. Bezirks trotz einer abweichenden Meinung zu dem Schluss kam, dass der Einsatz von Geofencing keine Durchsuchung im Sinne des 4. Verfassungszusatzes darstellt
- Auch Techdirt ist mit einem Update verlinkt: Fourth Circuit Finds In Favor Of Geofence Dragnet Deployed To Catch Robbery Suspect
1 Kommentare
Hacker-News-Kommentare
Google verlagert Standortdaten auf die Geräte und löscht sie von den Servern. Wie im folgenden Zitat beschrieben, wird Google durch diese Änderung nicht mehr auf Geofence-Durchsuchungsbeschlüsse reagieren, die Informationen zu allen Geräten in der Umgebung eines bestimmten Vorfalls verlangen.
https://news.ycombinator.com/item?id=40869536
Google bietet weiterhin die Möglichkeit, ein verschlüsseltes Backup der Datenbank auf Google-Servern zu speichern, aber standardmäßig ist sie deaktiviert. Es erscheint auch kein modales Pop-up, das einen dazu drängt, das Backup einfach zu aktivieren; Nutzer müssen selbst in der UI auf einen Button klicken, um ein Modal mit einem Hinweisblatt und einem Button zum Aktivieren des Backups zu öffnen.
Für diese Änderung sollte die Öffentlichkeit der Regierung dankbar sein. Hätte die Regierung Google nicht mit Durchsuchungsbeschlüssen überhäuft, hätte Google diese Daten weiter gesammelt und gespeichert.
Die Datenerfassung und -speicherung führten zu den Durchsuchungsbeschlüssen, und die Durchsuchungsbeschlüsse führten zur Entscheidung, die Daten zu löschen. Sogenannte Tech-Unternehmen sammeln und speichern Daten, die der Privatsphäre der Öffentlichkeit schaden, selbst wenn ihr wirtschaftlicher Wert unklar ist.
Tatsächlich befindet es sich in einem anderen Einstellungs-Tab, was überhaupt nicht offensichtlich ist.
Das gilt keineswegs für alle, die schon lange ein Google-Konto nutzen. Früher wurden Standortdaten nämlich nach dem Prinzip standardmäßig erfassen, mit Opt-out gesammelt.
Man hat dem nie aktiv zugestimmt, und Google hat das Tracking für frühere implizite Zustimmungen auch nicht abgeschaltet, um sie auf ein Modell mit ausdrücklicher Zustimmung umzustellen. Wahrscheinlich hat sich die Kultur irgendwann Anfang der 2010er von Opt-out zu Opt-in verschoben.
Der Standortverlauf ist im Grunde eher eine Einstellung, die fragt, ob man seine eigenen Standortdaten sehen möchte.
Vom E911-System über Google Play Services bis hin zu Maps werden Standortdaten weiterhin gesammelt und zwischen mehreren Unternehmen verkauft und zusammengeführt.
Bei modernen Mobiltelefonen ist es unmöglich, Standortberichte an irgendeinen Anbieter im Stack vollständig abzuschalten.
Ich nutze GrapheneOS auf meinem Smartphone und habe allen Apps außer den Offline-Karten von Organic Maps die Standortberechtigung verweigert.
Außerdem habe ich die Gewohnheit, immer den Flugmodus eingeschaltet zu lassen, außer in den sehr seltenen Fällen, in denen ich außerhalb des Hauses einen Anruf tätigen muss. Angesichts der jüngsten Tatsache, dass AT&T die per Triangulation ermittelten Standortdaten aller Kunden offengelegt hat, kommt mir das nicht übertrieben vor.
Privatsphäre ist wichtig, aber dass Leute mich anrufen können, ist enorm praktisch, und darauf möchte ich nicht verzichten. Wir brauchen eine bessere Lösung.
Ich hatte auch Sorge, dass der Flugmodus die Funkmodule vielleicht gar nicht wirklich abschaltet, aber zumindest ein beliebiges Google-Suchergebnis von Reddit sagt, dass er es tut. Das war keine offizielle Antwort von GrapheneOS.
Gibt es eine privacy-freundliche Alternative zum Google-Standortverlauf? Ich mag die Funktion, auf Reisen festzuhalten, wo ich gewesen bin.
Ich weiß nicht, ob es nur mir so geht, aber manchmal, wenn Nostalgie aufkommt, gehe ich gern meine Spuren noch einmal durch und finde vergessene Erinnerungen oder Orte wieder.
Die Verlaufsdaten werden jetzt auf dem Smartphone gespeichert. Cloud-Backups sind optional und standardmäßig deaktiviert; selbst wenn man sie aktiviert, sind sie immer Ende-zu-Ende-verschlüsselt, sodass die Standortverlaufsdatenbank auf Google-Servern nicht zugänglich ist. Google hat diese Änderung als Reaktion auf solche Probleme vorgenommen.
Es fehlt die Realität, dass die moderne Gesellschaft die Nutzung solcher Anwendungen zunehmend verlangt. Eine Wahl anzubieten, bei der man praktisch zustimmen muss, ist bedeutungslos.
Außerdem besteht ein großer Unterschied zwischen der Erlaubnis, meine Daten für den Dienst zu verwenden, den die App meiner Ansicht nach bereitstellt, und der Nutzung dieser Daten für alle anderen Zwecke.
Etwa ein Drittel der aktiven Google-Nutzer soll den Standortverlauf aktiviert haben. Hier geht es nicht um irgendeine verpflichtende Standortmeldung nach Opt-out-Prinzip auf Android-Smartphones, sondern konkret um einen auf ausdrücklicher Zustimmung basierenden Standortverlaufsdienst.
Man akzeptiert die Annahme, dass alle online sind, alle ein Mobiltelefon besitzen und alle Nachrichten und Popkultur verfolgen, sodass sie sich gemeinsam auf vorübergehende Themen wie eine Sonnenfinsternis oder die Filme Barbie und Oppenheimer konzentrieren.
Jeder kann sich entscheiden, jeden beliebigen Teil der modernen Welt zu meiden. Wir sind Teil dieser Welt, nicht ihre Opfer.
Welche vernünftige Erwartung haben wir daran, dass Unternehmen mit Produkten Gewinne erzielen, die wir als unverzichtbar betrachten? Wer würde ein Produkt entwickeln und unterstützen, mit dem sich kein Gewinn erzielen lässt?
Die EU verlangte von Facebook, eine Version ohne Tracking anzubieten, und Meta führte eine kostenpflichtige Stufe ein. Daraufhin wurde erneut verlangt, für die trackingfreie Version keine Gebühren zu erheben. Warum sollte Facebook dann in der EU bleiben, wenn es mit dem Angebot des Dienstes keinen Gewinn erzielen kann?
Um Metas Geschäft wird niemand Tränen vergießen, aber Facebook ist ein riesiges Mittel, über das Menschen miteinander verbunden sind. Google Maps könnte theoretisch dasselbe Schicksal erleiden, und kostenloser Zugang zu Karten wirkt wie ein öffentliches Gut. Auch YouTube kann wegen Bildungsinhalten im öffentlichen Interesse liegen.
Inzwischen ist die Liste der Produkte, die dank effektiver Online-Werbung „kostenlos“ und zugleich gesellschaftlich nützlich sein können, enorm gewachsen. Es geht nicht darum, uns um die Gewinnmargen milliardenschwerer Unternehmen zu sorgen, sondern darum, dass wir von ihnen abhängig geworden sind und dass sie nicht aus Altruismus hinnehmen werden, wenn ihre Gewinne per Gesetz verschwinden.
Die Antwort ist offensichtlich „nein“. Denn man gibt die Informationen an ein Unternehmen mit Hunderttausenden von Mitarbeitern weiter. Ob man meint, dass es gute Gründe gibt, dafür seine Privatsphäre aufzugeben, ist eine andere Frage.
Glaubt wirklich jemand, dass Google keine Standortdaten verfolgt, nur weil diese Einstellung nicht aktiviert ist? Wer könnte das wissen, wenn nicht ein Whistleblower?
Der Standortverlauf wirkt lediglich wie die Daten, die Google Nutzer selbst sammeln und einsehen lässt; er ist nicht die Gesamtheit der Standortdaten, die Google erfasst. Dazu gehören auch Daten aus WLAN-Netzen in der Nähe, Mobiltelefonen in der Umgebung und anderen Bluetooth-Geräten
Die Aussage, dass Nutzer nach ihrer Zustimmung die bereits von Google erhaltenen Informationen überprüfen, ändern und löschen können, ist ziemlich irreführend. Man kann zwar die Standortinformationen sehen, die das eigene Gerät an Google gesendet hat, aber nicht die abgeleiteten Informationen, die Google auf Basis dieser Daten über einen erstellt hat, ansehen oder löschen
Worüber sich Menschen Sorgen machen, ist nicht die Liste von GPS-Koordinaten an sich, die zeigt, wohin man jeden Samstagabend häufig geht. Das größere Problem ist, dass diese Koordinaten zum Beispiel zeigen, dass man mehrere Stunden in einer Schwulenbar verbracht hat
Selbst wenn man die Liste der GPS-Koordinaten im Google-Konto löscht, kann man ein Flag wie „Dieser Nutzer ist schwul und geht samstags häufig in Schwulenbars“, das Google vermutlich in dem Moment gesetzt hat, in dem es die Daten erhalten hat, nicht löschen
Was dieser Person passiert ist (https://www.nbcnews.com/news/us-news/google-tracked-his-bike...), halte ich für ein gutes Warnsignal dafür, dass das gesamte System und die Art, wie die Polizei es nutzt, fehlerhaft und gefährlich sind
Noch schlimmer ist, dass Google nur die Spitze des Eisbergs ist. Uns verfolgen nicht nur Mobiltelefone, sondern auch Netzbetreiber, beliebige Kameras, an denen man vorbeikommt, Lesegeräte für Kennzeichen und Maut-Transponder, „smarte“ Autos usw. Es gibt viel zu viel Tracking, über das normale US-Amerikaner keinerlei Kontrolle haben, und Polizei oder andere Akteure können darauf zugreifen. Wir brauchen wirklich stärkere Schutzmechanismen
Gibt es Belege dafür, dass Google tatsächlich Flags wie „Dieser Nutzer geht samstags häufig in Schwulenbars“ setzt? Der verlinkte Fall mit dem Fahrraddiebstahl lässt sich einfacher damit erklären, dass die Polizei einen Geofence-Durchsuchungsbeschluss verwendet hat, als mit einem Machine-Learning-System, das „Diese Person fährt zwischen 16 und 18 Uhr Fahrrad“ protokolliert
Aber ich glaube nicht, dass Google andere mit der Identität verknüpfte Standortdaten besitzt. Denn wenn die Polizei solche Daten angefordert hätte, gäbe es dazu entsprechende Artikel
Weitere Informationen:
Is This the End of Geofence Warrants?
https://www.eff.org/deeplinks/2023/12/end-geofence-warrants
Ganz vorbei ist es vielleicht nicht. Andere Standortdaten könnten irgendwo gespeichert sein. Trotzdem ist es wichtig, Erfolge zu feiern, wenn solche Änderungen passieren
Das war gleichzeitig lustig und ärgerlich. Meine Mutter hat Google nie gebeten, ihren Standort zu verfolgen
Ob ich Großkonzernen vertraue? Nein. Aber ich vertraue ihnen genug, dass sie angesichts massiver rechtlicher Folgen nicht offen lügen würden
Google ist ein riesiger Konzern mit vielen Anwälten und ist bereits dafür bekannt, viele Daten zu tracken. Die Entscheidung von Nutzern zu ignorieren wäre ein massiver Verstoß und ein großes Reputationsrisiko. Die rechtlichen Strafen wären wohl hoch genug, dass das Unternehmen das Gefühl hätte, ehrlich sein zu müssen
Wenn man eine Datenexport-Anfrage stellt, findet man sogar all die nutzlosen Dinge, die gespeichert wurden. Wie wahrscheinlich ist es, dass teamsübergreifend heimlich etwas gebaut wurde, das gegen Gesetze und Nutzungsbedingungen verstößt, und sogar die Rechtsabteilung komplett weggeschaut hat?
Überall, wo ich gearbeitet habe, brauchte es bereits Privacy- und Rechtsprüfungen, sobald man Daten anfasste, die Standortdaten sein könnten. Ganz zu schweigen davon, sie mit Nutzern zu verknüpfen, zu speichern oder zu verwenden. Dass es keine Whistleblower oder Leaks gibt, sollte als starkes Signal gelten, dass so etwas nicht passiert. Google ist auch keine Firma, die Leaks besonders gut verhindert, und nach den Entlassungen sind viele Mitarbeitende ziemlich zynisch geworden
Zu Beispielen wie „Schwulenbar“ scheint es in einigen Rechtsordnungen schwache Schutzregeln für abgeleitete Daten zu geben, aber wahrscheinlich ist das eine Gesetzeslücke. Es könnte auch sein, dass sie als abgeleitete Standortdaten gelten und zusammen mitgelöscht werden
Dem Punkt zum Missbrauch durch die Polizei stimme ich vollkommen zu
Man kann einfach ein iPhone nutzen. Wenn Android und iOS gleichwertig sind, dann gilt: Apples Umsatz basiert überwiegend auf Hardware und Services, Googles Umsatz überwiegend auf Werbung und Tracking
SensorVault-Durchsuchungsbeschlüsse, die Jahrzehnte zurückreichen, wurden bereits 2019 in einem NYT-Artikel beschrieben, und hier greift man genau das auf
https://www.nytimes.com/interactive/2019/04/13/us/google-loc...
Damit lassen sich sogar Cold Cases lösen
Neu ist, dass Nutzer Standort-Tracking ablehnen können. SensorVault, also die Standortberichtsdaten, wird dadurch aber nicht gelöscht
Wie ist das Aktivieren einer Funktion dasselbe wie das Weitergeben der von dieser Funktion gesammelten Daten an Google und andere? Bedeutet das Einschalten eines Computer-Backups, dass die Bundesregierung alles davon lesen darf?