Candy Crush, Tinder, MyFitnessPal: Apps, die für Standort-Tracking missbraucht wurden

• Wie Tausende von Apps Standortdaten sammeln

• Erfassung von Standortdaten: Durch den Hack des Standortdatenunternehmens Gravy Analytics wurde bekannt, dass beliebte Apps wie Candy Crush, Tinder und MyFitnessPal zum Sammeln von Standortinformationen von Nutzern verwendet werden. Diese Daten werden über das Werbeökosystem erfasst und wahrscheinlich ohne Wissen der App-Entwickler oder der Nutzer.

• Echtzeit-Bietsystem: Die Erfassung von Standortdaten erfolgt über das Real-Time-Bidding-(RTB)-System. Im Wettbewerb um die Platzierung von Werbung in Apps können Datenbroker diese Informationen sammeln. Das stellt eine erhebliche Bedrohung für den Datenschutz dar.

• Gehackte Daten: Die gehackten Gravy-Daten enthalten die Koordinaten von zig Millionen mobilen Geräten in den USA, Russland und Europa sowie Standortdaten, die mit bestimmten Apps verknüpft sind. Unklar ist, ob Gravy diese Daten direkt gesammelt oder von anderen Unternehmen erhalten hat.

• App-Liste: In der Liste sind verschiedene Apps enthalten, darunter Tinder, Grindr, Candy Crush, Temple Run, Subway Surfers, MyFitnessPal, Tumblr und Microsoft 365. Diese Apps könnten über Werbung Standortdaten sammeln.

• Reaktion der Entwickler: Die meisten App-Entwickler bestreiten eine Beziehung zu Gravy, räumen jedoch ein, dass Standortdaten über Werbenetzwerke gesammelt werden könnten. So bestritten etwa Tinder und Muslim Pro eine Beziehung zu Gravy, während Grindr das Teilen von Daten mit Datenbrokern bestritt.

• Art der Datenerfassung: Die Daten werden hauptsächlich gesammelt, indem der Standort über IP-Adressen geschätzt wird. Das bedeutet, dass eine Standortverfolgung auch ohne GNSS-/GPS-Daten möglich ist.

• Regulatorische Maßnahmen: Die US-amerikanische Federal Trade Commission (FTC) hat einem anderen Standortdatenunternehmen namens Mobilewalla verboten, im RTB-Prozess Daten zu sammeln. Auch Gravy und Venntel wurde vorgeworfen, Daten ohne Zustimmung der Nutzer gesammelt zu haben.

• Sicherheitsforschung: 404 Media hat die gehackten Gravy-Daten auf verschiedene Weise verifiziert. Einige Dateien enthielten Zugangsdaten für Snowflake, das Data-Warehousing-Tool von Gravy.