Erstes Gesetz in den USA zum Verbot des Verkaufs von Mobilfunk-Standortdaten könnte kommen

 (wsj.com)
1 Punkte von GN⁺ 2023-07-11 | 1 Kommentare | Auf WhatsApp teilen
  • Das Parlament des Bundesstaats Massachusetts prüft ein nahezu umfassendes Verbot des Handels mit Standortdaten aus mobilen Geräten von Verbraucherinnen und Verbrauchern; bei Inkrafttreten könnte es der erste Fall in den USA sein
  • Der Location Shield Act ist ein umfassendes Gesetzesvorhaben, das die Praxis der Erhebung und des Verkaufs von Standortdaten aus Mobiltelefonen stark einschränken soll
  • Ausgehend von einer im vergangenen Monat abgehaltenen Anhörung geriet die Art und Weise, wie Standortinformationen von Verbraucherinnen und Verbrauchern im Bundesstaat über Datenbroker gehandelt werden, ins Visier der Regulierung
  • Der Gesetzentwurf würde beim Zugriff von Strafverfolgungsbehörden auf Standortdaten in den meisten Fällen eine Durchsuchungsanordnung verlangen
  • Wenn die Bereitstellung von Standortinformationen ohne gerichtliche Genehmigung blockiert wird, hätte das auch direkte Auswirkungen auf die Standortdatenindustrie im Milliarden-Dollar-Umfang

Der Location Shield Act in Massachusetts

  • Das Parlament von Massachusetts prüft ein nahezu vollständiges Verbot des Kaufs und Verkaufs von Standortdaten aus mobilen Geräten von Verbraucherinnen und Verbrauchern im Bundesstaat
  • Der Location Shield Act zielt darauf ab, die Praxis der Erhebung und des Verkaufs von Standortdaten aus Mobiltelefonen stark einzuschränken
  • Das Parlament des Bundesstaats hielt im vergangenen Monat eine Anhörung zu diesem Gesetzentwurf ab
  • Die Maßnahme könnte der erste Versuch auf Ebene eines US-Bundesstaats sein, die Standortdatenindustrie im Milliarden-Dollar-Bereich zu regulieren

Beschränkung des Zugriffs von Strafverfolgungsbehörden auf Standortdaten

  • Der Location Shield Act führt für den Zugriff von Strafverfolgungsbehörden auf Standortdaten eine Pflicht zur richterlichen Anordnung ein
  • Datenbroker dürfen in den meisten Fällen Standortinformationen von Einwohnerinnen und Einwohnern von Massachusetts nicht ohne gerichtliche Genehmigung bereitstellen
  • Der Gesetzentwurf behandelt sowohl die Einschränkung des Handels mit Standortdaten als auch die Beschränkung des Zugriffs zu Zwecken der Strafverfolgung

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2023-07-11
Hacker-News-Kommentare

  • Ich wurde erstmals auf diese Sache aufmerksam, als ich einen Bug entdeckte, mit dem jeder allein mit einer Handynummer einen Standort verfolgen konnte: https://arstechnica.com/information-technology/2018/05/servi...
    In diesem Fall verkaufte die Website Echtzeit-Standortdaten von Mobilfunkanbietern, daher gab es für Einzelpersonen praktisch keine Möglichkeit, sich selbst zu schützen, außer ein Burner-Phone zu verwenden oder gar kein Handy zu benutzen.
    Es ist erfreulich, dass beim Verkauf von Standortdaten hart durchgegriffen wird, und ich hoffe, dass ein Verbot noch weiter ausgeweitet wird. Schön wäre, wenn das auch in Kanada gelten würde.

    • „Krebs zitierte anschließend einen Vertreter der Electronic Frontier Foundation mit den Worten, Mobilfunkanbieter müssten gesetzlich den ungefähren Standort ihrer Kunden kennen, falls dies für den Notruf 911 erforderlich sei. Weniger klar sei jedoch, ob die Anbieter diese Informationen an Dritte verkaufen oder weitergeben dürfen. In den kommenden Wochen und Monaten dürfte es dazu deutlich mehr Untersuchungen geben.“
      Tatsächlich muss man sich dafür nur MVNOs mit Prepaid-Mobilfunkdiensten ansehen. Einige deaktivieren bestimmte Funktionen, wenn Kunden keine tatsächliche E911-Adresse angeben.
      Ich frage mich, ob man die Nutzung dieser Daten nicht einschränken sollte.
    • Es war wirklich gut, dass das aufgedeckt wurde. Ich frage mich, ob auch kanadische Mobilfunkanbieter solche Informationen an Dritte weitergeben.
      Ich frage mich auch, ob es Anbieter gibt, bei denen man wegen ihrer Geschichte ethischen Handelns oder Verbrauchervertretung eher nicht damit rechnen würde. So etwas wie TekSavvy auf der Carrier-Seite zum Beispiel.
    • Es bringt nichts, kein Handy bei sich zu tragen.
      Es bringt auch nichts, die SIM zu entfernen.
      Wenn man sich umsieht, sind überall Kameras. Nicht nur die offensichtlichen in Supermarktdecken, die einem quasi zurufen „Ich bin eine Kamera“, sondern auch die Handy-Kameras aller Menschen in der Umgebung, die anhand des Gesichts und verschiedener biometrischer Informationen sofort Identität und metergenauen Standort bestimmen können.
      In dem Moment, in dem man spricht, verrät das Stimmmuster unmittelbar die Identität.
      Burner-Phones sind längst ein Ding der Vergangenheit. Sobald man spricht oder von einer Kamera erfasst wird, kann die IMEI des Burner-Phones sehr schnell einer Identität zugeordnet werden.
      Die heute eingesetzten Methoden sind viel ausgefeilter als die Techniken, über die ich gelesen habe.
      Selbst Drohnen in 20.000 Fuß Höhe können in einer Menschenmenge von 2.000 Personen Menschen anhand von Herzgeräuschen, Atmung, Kopfform, Ohren, Nase, Gesicht, Gesichtskonturen, den vom Körper zu bestimmten Zeiten geworfenen Schatten und der Einzigartigkeit des Gangs identifizieren. Mit etwas statistischer Analyse dazu ist es schwer, sich wirklich zu verbergen, selbst wenn man es versucht.
      Wenn du denkst, Dunkelheit würde dich verbergen, dann ist das nicht so.

  • „Abgeordnete in Massachusetts prüfen ein beinahe vollständiges Verbot des Kaufs und Verkaufs von Standortdaten aus mobilen Geräten von Verbrauchern im Bundesstaat; das könnte der erste Versuch in den USA sein, eine Industrie im Wert von mehreren Milliarden Dollar zu regulieren.
    Im vergangenen Monat hielt das Parlament des Bundesstaats eine Anhörung zu einem Gesetzentwurf namens Location Shield Act ab. Dieser umfassende Vorschlag würde die Praxis des Sammelns und Verkaufens von Standortdaten aus Mobiltelefonen in Massachusetts stark einschränken. Außerdem würde er für den Zugriff von Strafverfolgungsbehörden auf Standortdaten einen Durchsuchungsbeschluss verlangen und Datenbrokern in den meisten Fällen verbieten, Standortinformationen von Bewohnern des Bundesstaats ohne gerichtliche Genehmigung bereitzustellen.
    ...
    Es gibt bisher keinen Bundesstaat, der den Verkauf der Standortdaten seiner Bewohner vollständig verboten hat. Der häufigste Ansatz in anderen Bundesstaaten besteht darin, dass digitale Dienste und Datenbroker für die Datenerhebung die ausdrückliche Zustimmung der Verbraucher einholen müssen und dass einige Beschränkungen für Übertragung und Verkauf gelten.“

    • „Ausdrückliche Zustimmung“ bedeutet letztlich kaum mehr, als irgendwo in den Nutzungsbedingungen eine Formulierung zur Zustimmung zu vergraben, die niemand liest.
    • Ich denke, es hat sich gezeigt, dass Zustimmung allein schon ein fehlerhaftes Konstrukt ist. Die berechtigte/erforderliche Verarbeitung der DSGVO weist in die richtige Richtung.
      1. Websites sollten unnötige Einwilligungen zu Berechtigungen nicht als Nutzungsbedingung verlangen dürfen.
      2. Man sollte seine Datenerlaubnis jederzeit widerrufen und seine Daten löschen lassen können, und das sollte sich kaskadierend auswirken. Die Website sollte auch alle Daten löschen müssen, die sie mit Unterauftragsverarbeitern geteilt hat, und sie sollte vor der Weitergabe vertragliche Zusicherungen haben, dass diese das umsetzen können.
    • Der Großteil des Mobilfunks wird von der FCC reguliert, daher könnte es auf Ebene von Bundesstaaten oder Kommunen schwierig sein.
    • Wenn das verabschiedet wird, wäre dann so etwas möglich wie nach Massachusetts zu gehen, ein konformes Gerät zu besorgen und daraus einen Vorteil zu ziehen?
    • In der US-Verfassung gibt es die Commerce Clause, die Bundesstaaten daran hindert, den zwischenstaatlichen Handel zu beeinträchtigen oder zu blockieren. Würde ein Verbot des Verkaufs von Standortdaten innerhalb von Massachusetts tatsächlich Bestand haben?

  • Falls es jemanden interessiert: Wetter-Apps sind bei diesem Problem oft die schlimmsten und häufigsten Übeltäter. Natürlich wollen die Leute, dass ihr Wetter-Widget aktualisiert wird, egal wo sie sind, aber im Backend reichen diese Wetter-Apps frei verfügbare NWS-Daten weiter und verkaufen dabei alles, was sie über die Nutzer verkaufen können.

    • Ich vermute, das war ein wichtiger Grund, warum Apple die DarkSky-App übernommen hat. Damit wurde die Technologie in die Standard-Wetter-App integriert, um die Sicherheitslücken externer Apps zu schließen.
    • Schaut euch mal Yr vom norwegischen Wetterdienst an. Keine Werbung und es funktioniert fast überall auf der Welt.
    • Das Android-Wetter-Widget liefert lokalere Prognosedaten als die NWS-Website. Die NWS-Website ist fast immer auf den regionalen Flughafen fixiert.
      Wenn man in der Nähe eines großen Sees wohnt, kann sich das lokale Wetter ziemlich stark unterscheiden, auch wenn der Flughafen relativ nah ist. Die Daten stammen natürlich alle von der NWS, aber die NWS stellt nicht alles so bereit, dass man leicht darauf zugreifen kann.
    • https://www.nwsnow.net/
      Keine Werbung
      Kein Nutzer-Tracking
      GPS nicht erforderlich
      Ungefilterte NWS-Daten einschließlich Forecast Discussions
    • Sofern man nicht ständig unterwegs ist, reicht für eine Wetter-App ein statischer Ort, ein Stadtteil oder eine Postleitzahl. Wenn der Arbeitsplatz sehr weit von zu Hause entfernt ist, vielleicht zwei, aber die meisten Menschen sind nicht ständig auf Reisen.

  • Klingt vielleicht nach einer völlig absurden Idee, aber hört es euch mal an: Was wäre, wenn jede staatliche Stelle, egal auf welcher Ebene, bevor sie meine Daten von einem Dritten erhält, einen hinreichenden Grund darlegen und einen von einem Richter unterzeichneten Durchsuchungsbefehl vorlegen müsste, und der Dritte mich vor der Herausgabe der Daten gesetzlich informieren müsste, damit ich mir einen Anwalt nehmen und den Beschluss anfechten kann?
    Verrückte Idee, oder? Fast so, als wolle man den 4. Verfassungszusatz tatsächlich respektieren.

    • Wenn man über einen ausreichend langen Zeitraum die Standortdaten aller Abgeordneten kauft und veröffentlicht, könnte man wohl bekommen, was man will.
    • "Das Recht des Volkes, in seiner Person, seiner Wohnung, seinen Papieren und seiner Habe vor unangemessenen Durchsuchungen und Beschlagnahmen sicher zu sein, darf nicht verletzt werden, und Durchsuchungsbefehle dürfen nur bei hinreichendem Grund erlassen werden, unterstützt durch Eid oder eidesstattliche Erklärung, und sie müssen den zu durchsuchenden Ort sowie die zu beschlagnahmenden Personen oder Sachen genau bezeichnen."
      Welchen Teil des 4. Verfassungszusatzes verletzt die Regierung in diesem Fall?

  • Ich frage mich, wo man solche Datensätze für persönliche Forschungszwecke kaufen kann. Kann man solche Datensätze auch erwerben, wenn ein Unternehmen gezielte Outbound-Vertriebsaktivitäten durchführen will?
    Ich habe die Schlagzeilen gesehen und verstehe auch, dass es Firmen gibt, die das als Dienstleistung für Strafverfolgungsbehörden anbieten. Um nützlich zu sein, müssten die Daten wohl de-anonymisiert sein.
    Von wem und wo könnte man solche Daten bekommen?

    • Als Ausgangspunkt würde ich mir die im California data broker registry gelisteten Unternehmen ansehen.
      https://www.oag.ca.gov/data-brokers
      Wenn man das Geld hätte, ein paar Datensätze mit möglichen Überschneidungen zu kaufen, wäre die De-Anonymisierung wohl nicht besonders schwer.
    • An Privatpersonen verkauft das niemand. Sprint hat Kundendaten über die Tochtergesellschaft Pinsight verkauft. Unternehmen, die derzeit Standortdaten verkaufen, sind unter anderem Advan Research, Placer.ai und SafeGraph.
    • Mir ist niemand bekannt, der standortbezogene Daten auf Einzelpersonenebene verkauft. Alle in diesem Ökosystem haben zu viel Angst davor, und ehrlich gesagt ist auch nicht klar, wie man das sinnvoll monetarisieren sollte.
      Meiner Erfahrung nach geht es vor allem um Besucherstrommuster, demografische Schätzungen und darum, welche anderen Arten von Geschäften Menschen besuchen. Also eher klassische standortbasierte Business-Analyse.
    • Wenn man nur ein paar einzelne Personen verfolgen will, muss man einfach alle Akteure auflisten, die diese Daten haben. Dann sucht man die Datenbroker, mit denen sie handeln, und verfolgt das rekursiv weiter. Man findet die Mitarbeiter aller beteiligten Unternehmen, legt ein paar hundert Dollar bereit, die wie Marktpreis wirken, und dann ist man fertig[0].
      Für Forschungszwecke weiß ich es nicht genau. Man müsste wohl so oder so direkt mit einer dieser Firmen Geschäfte machen, also würde ich damit anfangen, mit ihnen zu sprechen.
      [0] - https://www.vice.com/en/article/nepxbz/i-gave-a-bounty-hunte...
    • Gute Frage. Man hört immer, dass so etwas passiert, aber ich habe es noch nie tatsächlich gesehen.

  • Das erinnert mich daran, dass Massachusetts 2020 ein Right-to-Repair-Gesetz verabschiedet hat. Ich habe nachgesehen, und es scheint, als hätte die NHTSA dieses Gesetz ausgehebelt [1] :/
    Es ist gut, wenn Bundesstaaten bei digitalen Rechten die Grenzen austesten. Hoffentlich hat diese Sache eine bessere Zukunft. Mir fällt spontan keine bundesstaatliche Behörde ein, die von der Branche vereinnahmt ist und die Zuständigkeit hätte, das hier auszuhebeln.
    [1]: https://www.thedrive.com/news/feds-tell-automakers-to-ignore...

    • Das sind die Labore der Demokratie. Die Bundesstaaten verabschieden jeweils ihre eigenen Gesetze, diese werden vor Gericht angefochten, die Gesetze werden angepasst, und der Prozess wiederholt sich. Irgendwann versteht man es gut genug, um ähnliche Gesetze überall oder landesweit zu verabschieden.
    • Es wurde nicht ausgehebelt, man hat die Leute nur aufgefordert, sich nicht daran zu halten.
      Dadurch entsteht am Ende diese unangenehme Situation, dass es vor Gericht geklärt werden muss.

  • Es ist gruselig, wenn man eine Gegend besucht und dann plötzlich Spam-Anrufe aus deren Vorwahl bekommt. Offenbar wissen Unternehmen, und zwar zwielichtige Unternehmen, dass ich nicht zu Hause bin und wo ich mich befinde.

    • Passiert das wirklich? Ich lebe in Seattle, benutze aber immer noch eine Nummer aus Idaho. Fast alle Spam-Anrufe kommen aus Idaho.
      Besonders lustig ist, dass das iPhone die ungefähre Region der anrufenden Nummer anzeigt, und Idaho hat nur eine einzige Vorwahl. Deshalb bekomme ich Anrufe aus Orten, in denen ich noch nie war.

  • https://archive.is/M7quL

    • Dieser Link erzeugt einen SSL-Fehler.

  • Ein Verkaufsverbot verlagert das Problem nur an eine andere Stelle. Die Mobilfunkanbieter haben größtenteils schon aufgehört, Daten zu "verkaufen", und stattdessen Werbeanalysen und andere Formen des internen Data-Mining ins eigene Haus geholt und verkaufen nun den Zugang dazu statt der Rohdaten.
    Wahrscheinlich verdienen sie mit den Analysen mehr Geld als mit dem bloßen Verkauf von Rohdaten, also ist es für sie in beide Richtungen ein Gewinn.

  • Ich verstehe das nicht. Der Verkauf von Standortdaten ist ein so offensichtlicher Eingriff in die Privatsphäre. Kommt mir nicht mit diesem Unsinn über "Anonymisierung". Sowohl Verkauf als auch Kauf sollten sofort zu Bundesverbrechen werden.

    • Weil solche Daten allgemein verfügbar der Regierung nützen. Wenn die Daten legal "auf der Straße" erhältlich sind, wozu braucht man dann überhaupt eine richterliche Genehmigung?
    • Die Gesetze sind veraltet. Das Abhören von Telefongesprächen ist eine Straftat, aber das Sammeln des Web-Browserverlaufs nicht. Die US-Post ist gesetzlich geschützt, E-Mails hingegen nicht.
      Bis Gesetze verabschiedet werden, werden Datenbroker ihr Geschäft weiter betreiben, und auch danach werden sie bis direkt an die rechtliche Grenze gehen.