US-Zoll- und Grenzschutzbehörde (CBP) verfolgt Bewegungsprofile von Menschen mithilfe des Online-Werbeökosystems

• Interne Dokumente des Heimatschutzministeriums (DHS) belegen, dass die CBP Standortdaten aus der Online-Werbebranche gekauft hat, um die Bewegungen einzelner Personen nachzuverfolgen
• Diese Daten stammen aus gewöhnlichen Apps wie Spielen, Dating-Apps und Fitness-Trackern und ermöglichen es, detaillierte Standortveränderungen von Nutzern über lange Zeiträume zu erfassen
• Die Dokumente zeigen das potenzielle Risiko, dass solche Werbedaten als Überwachungsinstrument für Behörden genutzt werden können
• Auch die Einwanderungs- und Zollbehörde (ICE) hat offenbar ähnliche Werkzeuge gekauft, um die Bewegungen von Mobiltelefonen in ganzen Regionen zu überwachen, und prüft zusätzlich die Beschaffung weiterer „Ad Tech“-Daten
• Rund 70 Abgeordnete haben den Generalinspekteur des DHS aufgefordert, den Kauf von Standortdaten durch ICE zu untersuchen, wodurch die Frage nach der Transparenz staatlicher Datennutzung in den Fokus rückt

---

CBPs Nutzung von Werbedaten

• Laut internen DHS-Dokumenten hat die CBP Standortdaten gekauft, die im Online-Werbeökosystem gesammelt wurden, um die Bewegungen von Menschen zu verfolgen
  • Die Daten werden über gängige Apps wie Videospiele, Dating-Dienste und Fitness-Tracker erhoben
  • Dadurch lassen sich präzise Standortänderungen und Bewegungsrouten einzelner Personen zeitlich nachvollziehen
• Die Dokumente zeigen, dass diese Daten ein mächtiges Mittel für Überwachungszwecke staatlicher Stellen sein können
  • Zugleich deuten sie auf das Risiko von Eingriffen in die Privatsphäre hin

Vergleichbare Datenkäufe durch ICE

• Es wurde bestätigt, dass auch ICE (Einwanderungs- und Zollbehörde) ähnliche Werkzeuge gekauft hat, mit denen sich die Bewegungen von Mobiltelefonen in ganzen Regionen überwachen lassen
  • ICE hat zuletzt auch Interesse an der zusätzlichen Beschaffung von Werbetechnologie-Daten (Ad Tech) bekundet
• Nach einem Bericht von 404 Media wurden die entsprechenden Fakten durch öffentlich einsehbare Beschaffungsdokumente bekannt

Reaktion des Kongresses

• Rund 70 Abgeordnete haben dem Generalinspekteur des DHS einen Brief geschickt und darin den Start einer neuen Untersuchung zum Kauf von Standortdaten durch ICE gefordert
  • In dem Schreiben werden die Rechtmäßigkeit des Datenkaufs und die Möglichkeit des Missbrauchs von Überwachung infrage gestellt

Einschätzung von Experten

• Johnny Ryan vom Irish Council for Civil Liberties (ICCL) bezeichnete Werbedaten als eine „Goldgrube, um den Aufenthaltsort und das Konsumverhalten aller Menschen zu verfolgen“
  • Er warnte, dass der Verkauf von Werbedaten eine ernsthafte Bedrohung für den Schutz persönlicher Daten darstellen könne

Hinweis zur eingeschränkten Verfügbarkeit des Artikels

• Der Artikel ist nur für zahlende Mitglieder zugänglich; für die vollständige Lektüre ist ein Abonnement erforderlich
  • Zusätzlich werden Links zur kostenlosen Registrierung oder zum Login angeboten

[GN⁺]

Hacker-News-Kommentare

• Archivlink zum Artikel

• Ich arbeite beruflich oft mit Werbedaten, und es gibt viele Punkte, die Reporter missverstehen
  Standortdaten sind in Wirklichkeit sehr ungenau. Da Betriebssysteme und Browser den Zugriff auf den Standort gut abschirmen, sind die Standortinformationen aus Werbenetzwerken meist nur grobe, IP-basierte Schätzungen
  Werbenetzwerke haben einen Anreiz, die Datenqualität zu übertreiben. Und Tracking auf Benutzerebene ist deutlich schwieriger, als man denkt. Selbst wenn die SDKs einzelner Apps Signale senden, wird alles als separate Daten behandelt, wenn es keinen Schlüssel gibt, um Nutzer appübergreifend zu verknüpfen
  Deshalb werden Anzeigen oft auf Basis des Suchverlaufs anderer Personen mit derselben IP eingeblendet
  Vor allem Bidstream-Daten sind nur bruchstückhafte Informationen aus dem Moment der Echtzeit-Anzeigenausspielung und ungeeignet, um Einzelpersonen zu verfolgen. Daten von Anbietern wie Mobilewalla eignen sich eher für Musteranalysen als für das Tracking einzelner Personen
  Auch Regierungsbehörden nutzen diese Daten in der Praxis nur eingeschränkt — CBP wollte damit zum Beispiel ungewöhnliche Handyaktivitäten in Grenzregionen erkennen, und der IRS hat Venntel-Daten ausprobiert, ist damit aber gescheitert
  Am Ende ist die einzige Lösung aus meiner Sicht der schrittweise Abschied von personalisierter Werbung. Im jetzigen Zustand reichen diese Daten nicht dafür aus, dass der Staat einzelne Personen identifizieren kann

  • Ich habe früher in der Ad-Tech-Branche gearbeitet und sie dann verlassen. Ein Unternehmen namens Factual nutzte Geofences, die viel kleiner waren als in den eigenen Richtlinien erlaubt, und unser Unternehmen hat sie weiter genutzt, obwohl wir das wussten
    Der CEO sagte: „Wir haben das nicht selbst gebaut, also ist es kein Problem“, aber am Ende waren wir nur ein Zwischenhändler in einem System, das Menschen mit hoher Auflösung verfolgt. Die Branche muss sich eingestehen, was sie zerstört hat
  • Wenn man Datenquellen fusioniert, kann man viel mehr tun, als man denkt.
    Dazu gibt es etwa Large-Scale Online Deanonymization with LLMs und Robust De-anonymization of Large Sparse Datasets
  • Weder der Staat noch Werbefirmen müssen meinen Standort kennen. Auch wenn die Daten nur „ungefähr“ sind, ist das ein Eingriff in die Privatsphäre
  • Stimme ich komplett zu

• Schade, dass der Privacy Act für Zwecke der Strafverfolgung Ausnahmen vorsieht. Damals hat man wohl nicht erwartet, dass irgendwann praktisch alles, was der Staat tut, als „law enforcement“ bezeichnet werden würde
  Für den Umgang der US-Regierung mit personenbezogenen Daten gibt es mit den Fair Information Practice Principles einen ethischen Rahmen
  In der Realität lautet der Maßstab des Staates aber eher: „solange es einen legalen Zweck gibt“. Damit bleibt man bei einem rechtlichen Minimum stehen statt beim öffentlichen Interesse

  • Das Problem ist nicht das Gesetz, sondern die Existenz der Daten selbst. Wenn die Daten existieren, werden sie am Ende vom Staat oder von Insidern missbraucht

• Meine Sicht auf Datenschutz verändert sich in letzter Zeit. Es geht nicht mehr nur darum, sich zu verteidigen, sondern es fühlt sich an, als stünde man unter aktivem Angriff
  Menschen verlieren durch Eingriffe in ihre Privatsphäre ihren Lebensunterhalt oder ihren Ruf. Ich kann fast nichts dagegen tun, und Unternehmen wissen sogar, wann ich auf die Toilette gehe
  Sie zeigen es mir als Werbung an, verkaufen die Daten weiter und ermöglichen es korrupten Institutionen, sie legal zu missbrauchen
  Am Ende bleibt nur noch die Wahl, „es einfach hinzunehmen“, und ich weiß nicht, wer uns schützen soll

  • Trotzdem kann es Schritt für Schritt besser werden. Es gibt bereits Datenschutz-Löschdienste, die dabei helfen, sich um bereits verbreitete Daten zu kümmern

• Es ist ironisch, dass man mit Steuergeld Steuerzahler verfolgt und dabei noch die Werbeindustrie stützt

• Ich habe nur 26 Apps auf meinem Handy installiert. Vier davon sind Safari-Erweiterungen, eine ist eine PWA und eine habe ich selbst entwickelt
  Mit NextDNS blockiere ich Tracking so weit wie möglich, und soziale Medien nutze ich nicht. Mehr kann man realistisch kaum tun

  • Das Handy selbst sendet aber fortlaufend Standortdaten an den Mobilfunkanbieter. Der Staat kann diese Daten auch ohne richterlichen Beschluss bekommen. Solche Bemühungen sind am Ende nur „Privacy Theater“
  • Außerdem sendet das Handy rund um die Uhr seinen genauen Standort an Funkmasten

• Es fühlt sich an, als wäre Cory Doctorows Kurzgeschichte „Scroogled (2007)” Realität geworden
  Link zum Original

  • 2007 klang das noch wie eine Verschwörungstheorie, aber das war vor Snowdens Enthüllungen im Jahr 2013. Sieben Jahre später sagte der NSA-Direktor, dass man mit Metadaten Menschen tötet
    Der Eingriff in die Privatsphäre schreitet langsam, aber stetig voran und öffnet am Ende die Tür zu einem „Turnkey Tyrant“ — also einer sofort einsatzbereiten Tyrannei
  • Es ist nicht mehr die Phase der „Nachahmung“, sondern jetzt die der Umsetzung
  • Das war eine gute Geschichte

• Ich war überrascht zu erfahren, dass der gelöschte Kommentar von octoclaw ein LLM war. Unabhängig davon ist das Problem, wie billig und leicht verfügbar diese Daten sind. Nicht nur Regierungen, sondern im Grunde jeder kann darauf zugreifen
  Deshalb sollte man das Handy nur dann bei sich tragen, wenn es wirklich nötig ist

  • Der Kommentar wurde gelöscht, gerade weil er ein LLM war
  • Für normale Verbraucher sind diese Daten allerdings nicht so billig

• Ich frage mich, ob europäische Datenschutzgesetze so etwas verhindern könnten. Angesichts der politischen Lage in den USA ist es aber unwahrscheinlich, dass dort solche Gesetze entstehen

  • Selbst wenn man Gesetze macht, bringt das nichts, wenn die Regierung sie ignoriert
  • Theoretisch würde keine Datenerfassung stattfinden, wenn man in Pop-ups die Einwilligung verweigert und sogar alle versteckten Punkte unter „berechtigtes Interesse“ ablehnt. In der Praxis werden die Daten der meisten Menschen aber wegen Dark Patterns und undurchsichtiger Audit-Strukturen weiterhin erfasst
    Und wenn eine Regierung solche Daten einkauft, wird sie Verstöße von Unternehmen wohl kaum konsequent verfolgen
  • Die Frage „Könnten europäische Gesetze das verhindern?“ ist zu simpel. Das Problem ist nicht nur das Fehlen von Gesetzen, sondern eine Struktur, in der
    1. Apps präzise Standortdaten sammeln,
    2. die Werbeinfrastruktur sie per RTB ausspielt,
    3. Broker sie weiterverkaufen,
    4. Regierungen den direkten Zugriff durch Kauf umgehen und
    5. Regulierungsbehörden das nicht stoppen können
       Die DSGVO ist zwar strenger, aber wegen begrenzter Durchsetzungskraft existiert das Ad-Tech-Ökosystem weiterhin
       Entscheidend ist also nicht einfach ein „europäisches Gesetz“, sondern ein belastbares Regulierungsdesign mit Erhebungsbegrenzung, Verbot des Weiterverkaufs, Verbot staatlicher Käufe und Auditpflichten

• Ich habe einmal eng mit solchen Datensystemen gearbeitet. Intern galt der Grundsatz, US-Bürger nicht zu überwachen, aber in der Realität war das Netzwerk zum Weiterverkauf von Daten einfach zu gierig. Je mehr verkauft wurde, desto mehr Geld floss

  • Aber woran würde man dann die Staatsbürgerschaft erkennen? Ich bin zum Beispiel US-Bürger, habe aber mein Gmail-Konto in Australien erstellt, und beim Zugriff lande ich manchmal auf einer australischen Domain. In so einem Fall könnten meine Daten als die eines Ausländers eingestuft und in die Überwachung einbezogen werden