I did a detailed privacy check of the app TikTok and its corresponding website. Multiple law infringements, trust, transparency and data protection breaches were found. I provide all technical and legal details in this article. For a less technical view, read the article at Süddeutsche Zeitung (in german). I used mitmproxy as my setup in order to re-route all app traffic for analysis. One can see in the video how the device information, usage time and list of watched videos are being sent to Appsflyer and Facebook. It is hard to believe that this is covered by „legitimate interest“ and transparency: the search terms that I entered are being forwarded to Facebook: The transfers to the two companies are clearly conflicting with the GDPR: Facebook cannot comply with article 14 regarding the rights to deletion of information etc. for this data. The data transfer to Appsflyer also lacks transparency as it is unknown to which of its more than 4500 partners the data might get transferred down the line. Bytedance’s answer to this: „We won’t show you the contracts.“ Did they even read article 26 of the GDPR? Most importantly, fundamental rights are being violated since Personally Identifying Information (PII) is transferred to a server under the control of a company residing in an unsecure, non-european country. The location of the server is irrelevant – what is important is the location of the company deciding about the data, according to Malte Engeler. Bytedance’s headquarter is located in Beijing, China. I
Journalismus muss sich schrittweise von Facebook trennen – die Frage ist nur wie
Die Kollegen vom jetzt-Magazin haben heute mitgeteilt, dass Facebook die Sichtbarkeit der Beiträge auf der Plattform für zwei Wochen drosselt – angeblich wegen Clickbait. Auch der Chefredakteur von Buzzfeed bestätigte ähnliche Sperraktionen durch den Konzern. In den Redaktionen wird der Verdacht geäußert, dass es sich jeweils um Strafaktionen für kritische Berichte handelt. Das wäre eine neue Qualität der Machtausübung durch die Firma aus Kalifornien. Überraschend kommt so eine Unverschämtheit keineswegs, aber es ist eine gute Gelegenheit (wenn auch nicht die erste), grundsätzlich darüber nachzudenken, wie Journalisten auf die Dauerprobleme mit Facebook reagieren sollen. In diesem längeren Kommentar versuche ich, das Problem medienethisch zu beleuchten und mache einen Vorschlag zum Handeln. 1. Facebook ist schon lange eine Problemfirma Im Jahr 2007 berichtete Heise und andere Nachrichtenseiten, dass das „Online-Sozialnetz Facebook“ dem Protest von 50.000 Nutzern nachgegeben habe. Man hatte nämlich begonnen, die Einkäufe von Nutzern auch außerhalb des Portals zu tracken und dann deren Freunden diese Einkäufe ungefragt mitzuteilen („Facebook Beacons“). Die Statements von damals kommen einem bekannt vor: Zuerst bestritt man das Verhalten, dann gab man es zu, stellte die Rechtsverletzung aber so dar, als sei es für die User praktisch. Erst nach einem Gerichtsprozess entschuldigte man sich bei den Usern und stellte auf Opt-In um. Facebook musste 9,5 Millionen Dollar zahlen. Und dann fand ein Sicherheitsforscher heraus, dass die Daten auch bei Deaktivierung des Features weiter gesammelt wurden. Das war der Auftakt zu endlosen weiteren Skandalen. Wikipedia listet in einem Artikel fast hundert Kritikpunkte. Es gibt eine eigene Seite,
Die ZEIT entfernt Facebook „Pixel“
Zeit-Online hat mittlerweile das umstrittene Tracking-Tool „Facebook Pixel“ aus seiner Website entfernt. Montag Nachmittag war der Tracker nicht mehr in die Website eingebunden. Erst letzte Woche hatte ein Zeit-Leser eine Datenschutzbeschwerde gegen den Verlag eingereicht, die mit einer Textvorlage und Anleitung von Mike Kuketz und mir (Matthias Eberl) erstellt wurde. Mit dem Entfernen des Trackers hat die Zeit aber erst einen sehr kleinen Schritt zu einem datenschutzfreundlichen Webangebot getan. Über eingebundene Werbeanzeigen von Facebook Ads (brandlift.php) gehen weiterhin personenbezogene Daten an Facebook, obwohl dafür die Rechtsgrundlage in gleicher Weise fehlt. Zahlreiche andere Werbetracker dürften ebenfalls rechtlich problematisch sein. Die seit einem Jahr an den Verlag gerichtete Kritik, darunter auch die Auszeichnung mit dem Negativ-Preis „Big Brother Award“ durch die Datenschutzorganisation Digitalcourage, hatte den Verlag nicht zum Handeln bewegt. Durch die Datenschutzbeschwerde droht dem Verlag auch weiterhin ein Bußgeld in fünf- bis sechsstelliger Höhe. Eine Sprecherin der Zeit-Verlagsgruppe erklärte, das Interview mit dem Leser sei dem Verlag zwar bekannt, die Entfernung von Facebook Pixel sei aber kurzfristig wegen des EuGH-Urteils gefallen. Ebenfalls heute wurde bekannt, dass die Verbraucherzentrale gegen insgesamt acht Medienunternehmen mit Abmahnungen wegen unerlaubtem Tracking vorgeht: Verbraucherschützer mahnen erste Medien ab.
„Ich finde es frech, dass Zeit Online meine Daten an Facebook gibt, obwohl ich zahle“
Alexander S. ist Informatiker und hat seit 2017 die Zeit abonniert. Gestern hat er eine Datenschutzbeschwerde gegen Zeit Online eingereicht, weil diese über einen in die Seite integrierten Facebook-Tracker sein Leseverhalten an Facebook sendet. Die Behörden weisen schon länger darauf hin, dass das Marketing-Tool rechtswidrig ist, aber viele Verlagen ändern nichts, möglicherweise auch deshalb, weil Verfahren und Urteile dazu noch ausstehen. Alexander S. nutzte für seine Beschwerde eine Textvorlage und Anleitung, die wir heute veröffentlicht haben. Darin sind auch die juristischen Details aufgeführt, mit denen der Tracker gegen die DSGVO verstößt. Alexander, du hast gerade mit Hilfe unserer Vorlage eine Datenschutzbeschwerde gegen die Zeit abgeschickt. Alexander: Ja, ich wollte das schon lange machen, es hat sich nur etwas hingezogen, bis ich dazugekommen bin. Aber dann ging es eigentlich sehr fix, wenn man sich einmal hingesetzt hat. Warum willst du nicht, dass wir deinen vollen Namen nennen? Alexander: Weil ich mein Zeit-Abo behalten möchte. Ich will, dass sie das mit dem Facebook-Tracker ändern, aber ich möchte keinen Stress mit dem Verlag, nicht dass sie mir noch das Abo kündigen. Das klingt so, als wärst du eigentlich ein großer Fan der Zeitung. Alexander: Ja, eigentlich schon. Wenn man wie ich mit Kind weniger Zeit für Nachrichten hat, ist so ein Wochenzeitungsformat schön und sehr praktisch. Zudem mag ich die Zeit einfach für die politische Ausrichtung, ich sehe sie eher links und es ist schwierig gute Zeitungen zu finden, die in diesem politischen Spektrum schreiben. Ich finde auch die Artikel immer sehr gut
Facebook-Tracker erkennen und dagegen vorgehen
Meine Methode zum Artikel Für meine Analyse zum Facebook-Tracker bei deutschen Medienseiten habe ich alle Einbettungen von Facebook als Tracker gewertet, die Cookies mit *.facebook.com austauschen. Dann ist die Möglichkeit gegeben, dass Leser personenbezogen erkannt werden. Grundsätzlich arbeiten Browser so, dass sie entweder keine oder alle Cookies an eine Website schicken. Es ist also nicht möglich, dass eine Seite die Weitergabe begrenzt, so dass nur anonyme Cookies an Facebook gesendet werden können. Insgesamt 12 verschiedene Tools konnte ich unterscheiden, nicht bei allen konnte ich herausfinden, warum der Verlag sie eigentlich eingebunden hat. Cookie-Banner, die auf den Facebook-Tracker nur hinweisen und ihn nicht bereits bei Aufruf der Seite verhindern, wurden ignoriert (sie sind technisch und juristisch nicht wirksam). Nicht immer erscheinen die Tracker beim ersten Aufruf und auf jeder Seite, es scheint statistische und auch wöchentliche Änderungen bei den Einbettungen zu geben. So prüft man Und so kann man mit Firefox oder Chrome relativ einfach selbst prüfen, ob eine Seite den Facebook-Tracker enthält: Firefox: Im Menü Web-Entwickler/Netzwerkanalyse aufrufen (Oder Strg-Shift-E) Eine Seite aufrufen (oder mit Strg-F5 neu laden) Im Suchfeld („Adressen durchsuchen“) „facebook“ eingeben Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies. Chrome: Im Menü More Tools/Developer Tools aufrufen (Oder Ctrl-Shift-I), dann den Tab Netzwerkanalyse Eine Seite aufrufen (oder mit Strg-F5 neu laden) Im Suchfeld (‚Filter‘) „Facebook“ eingeben Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies. Hinweise und Beschwerden
Tracking- und und googlefreies Smartphone
Smartphones werden heute erst vom Hersteller, dann vom Nutzer mit Werbetracking vollgestopft. Dabei sind die Alternativen immer besser und alltagstauglicher geworden. Das ist mein Setup. Seitdem ich Android benutze, hatte ich immer zwei Smartphones in der Tasche: Ein normales mit meinen Kontakten, das unterwegs meist im Flugmodus war und einige Apps aus dem Play-Store enthielt, die mir unersetzlich erschienen. Und ein anonymes Open-Source-Android für Browsing und den ganzen Rest. Das war mein Kompromiss für die Datensparsamkeit. Und mein Weg, um verhaltensbasiertes und personenbezogenes Werbetracking weitgehend zu vermeiden. Aber es war natürlich weder eine gute, noch eine ökonomische, ökologische oder massentaugliche Lösung. Seitdem aber Messenger wie Threema oder Signal ohne Google funktionieren und immer mehr gute und trackingfreie Apps existieren, hat man bessere Optionen. Dieses Wochenende habe ich nun alles was ich brauche auf ein einziges Smartphone gepackt. Ein paar Kompromisse waren nötig – aber es ist doch ein sehr datensparsame Lösung geworden. Hier ist mein Setup – wer eine ausführlichere Anleitung möchte, dem sei die Artikelserie Android ohne Google von Mike Kuketz empfohlen. Die Hardware Chinesische Hersteller fielen bei mir wegen grundsätzlichen systemisch bedingten Datenschutzbedenken aus. Habe mich deshalb für ein Samsung Galaxy S9 entschieden. Die größere Variante S9+ hätte nicht mehr gebracht: die speziellen Kamerafunktionen der Drei-Linsen-Technik lassen sich sowieso nicht mit Open-Source nutzen. Das S9 ist außerdem das einzige neuere Galaxy, für das ein aktuelles LineageOS zu Verfügung steht (siehe nächster Abschnitt). Spannende Alternative wäre noch der europäische Hersteller BQ mit seinem Mittelklasse-Smartphone Aquaris gewesen. Außerdem nutze ich
Mangelhafte Anonymisierung bei Google Analytics
Für das Analyse-Tool Google Analytics gibt es eine weit verbreitete Funktion, mit der jeder Website-Betreiber die IP-Adressen der getrackten Besucher kürzen und damit anonymisieren kann: ga(’set‘, ‚anonymizeIp‘, true) Ein edles Vorhaben, um das insbesondere die Hamburger Datenschutzbehörde bereits 2009 mit Google gestritten hat. Mit der dann 2011 eingeführten Funktion hat Google aber anscheinend nicht nur den Hamburger Datenschutzbeauftragten Johannes Caspar, sondern eine Menge ihrer Kunden aufs Glatteis geführt, denn es gibt eine beabsichtigte oder unbeabsichtigte Lücke: die Daten, die beim Laden des Scripts selbst anfallen, werden nicht anonymisiert. Leider hat bisher noch niemand darauf hingewiesen, selbst die Datenschutzbehörden erachten die Option nach wie vor für hilfreich. Die Anonymisierungsfunktion ist so aber aus DSGVO-Perspektive sinnlos. Der technische Hintergrund: Die übliche Verwendung von Google Analytics geht in zwei Stufen vor: Bei einem Seitenbesuch wird das eingebundene Script durch den Browser eines Besuchers von Googles Server geladen und dann die enthaltenen Javascript-Funktionen ausgeführt. Erst in der Ausführung des Scripts wird die oben genannte Option für die Anonymisierung erkannt und als Parameter aip=1 an die Anfrage für das Zählpixel angehängt. In der Netzwerk-Analyse von Firefox ist das sehr schön sichtbar: Google kann also die IP des ersten Aufrufs nicht anonymisieren, zu diesem Zeitpunkt hat Google den Parameter noch nicht erhalten. Wenn der zweite Aufruf mit dem Parameter zur Anonymisierung eintrifft, könnte man nur rückwirkend die bereits verarbeitete IP aus dem ersten Aufruf kürzen – das wäre allerdings technisch schwierig und unpräzise. Die technische Beschreibung lässt keinen Zweifel: die IP-Adressen werden nur „innerhalb des Produktes“
Diskretion war einmal
Wie große Unternehmen, darunter Spiegel und Zeit, Kundendaten rechtswidrig an Facebook geben und sich keiner dafür zuständig sieht
Ich bin raus aus Facebook … bitte unterstützt diese Optionen
Facebook ist seit über zehn Jahren (Beacon-Skandal) gesetzeswidrig (Auswahl der Verfahren 2018) ausgrenzend (Netzneutralitäts-Skandal Indien) unfrei (Tim Berners-Lee über Facebook) unfair (Steuerskandal) monopolistisch (Facebook erfasst die halbe deutsche Online-Bevölkerung) unsozial (Inside-Facebook-Skandal) intransparent (Unklarheit über Algorithmen) irreführend (absichtliche Täuschung bei DSGVO nachgewiesen) Für gesellschaftlichen Akteure mit ethischem Anspruch ist das nicht mehr tragbar. Da zähle ich mich als Journalist dazu. Deshalb nutze ich ab August 2018 keine Facebook-Dienste mehr (inkl. Whatsapp und Instagram). Auch wenn ich dadurch einige gewichtige Nachteile habe, z.B. für meine Multimediakursen kein Instragram nutzen kann oder Kommunikationskanäle zu Kollegen und Freunden verliere. Hut ab vor allen, die das schneller als ich kapiert und durchgezogen haben. Von den Gesetzesverstößen bin ich selbst betroffen: Facebook hält eine 2012 von mir gelöschte Emailadresse weiter gespeichert, verwendet sie munter als Identifier für Kontaktvorschläge, aber verheimlicht sie in der gesetzlich vorgeschrieben Datenauskunft. Das ist vermutlich nur ein kleiner Teil der sogenannten Schattendaten. Deswegen habe ich eine Datenschutzbeschwerde und Strafantrag eingereicht (Danke an https://noyb.eu/ für die Inspiration). Wenn ihr bleiben wollt … ja, es gibt ökonomische Zwänge, es gibt soziale Zwänge. Ich verstehe auch das Argument, dass man gerade auch in den „walled gardens“ aktiv sein muss. Aber wenn man Facebook eigentlich für ein gesellschaftliches Problem hält, dann sollte man das deutlich kommunizieren und ein Konzept haben, wie man das ändert. Das Minimum: Bitte installiert einen zweiten Messenger, bitte unterstützt eine zweite Social-Media-Plattform. Nur so kann es einen Wechsel zu besseren Konzept geben. Ich habe das über vier Jahre so gehalten, das schaffen
Was hat es mit der neuen Email-Verschlüsselung p≡p auf sich?
UPDATE: Ich empfehle die Software aktuell nicht mehr. Sie ist unausgereift und die Bugs werden oft Monate lang nicht gefixt. Die Kritik war ja berechtigt: Email-Verschlüsselung ist zu kompliziert für den täglichen Gebrauch, z.B. im Journalismus. Seit einigen Jahren haben verschiedene Entwickler deshalb nach Lösungen gesucht. Ein gut durchdachter Ansatz namens „Pretty Easy Privacy“ (p≡p bzw. pEp) bekam 2015 bei einem Crowdfunding über 50.000$, auch dank bekannter Unterstützer wie Juli Zeh, Marc-Uwe Kling und Sibylle Berg. Vor einigen Wochen wurde die Lösung nun in das bekannte Enigmail (Thunderbird-Plugin) eingebaut, ein Plugin für Outlook gibt es schon länger. Das tolle: Die Lösung basiert auf dem klassischen OpenPGP, ist entsprechend kompatibel und genauso sicher – aber macht absolut keine Mühe. Damit gibt es endlich einen Kandidaten für eine „Volksverschlüsselung“, die alle nutzen können – aber insbesondere natürlich sensible Berufsgruppen wie Journalisten. Und mit der Unterstützung für Outlook kann man auch im Umfeld klassischer Büro-IT verschlüsselt kommunizieren (und so z.B. die strengen Datenschutzanforderungen der DSGVO umsetzen). Was ist einfacher geworden Man muss nur noch ein einziges Plugin installieren. Alle benötigten Bestandteile werden bei Bedarf nachgeladen Man muss keine Schlüssel mehr erzeugen. Das geschieht automatisch Man muss die Schlüssel nicht mehr austauschen oder auf einen Schlüsselserver laden. p≡p erkennt automatisch, wenn der Email-Partner eine Verschlüsselung hat und tauscht die Schlüssel mit ihm aus. Spätestens die zweite Email ist also schon verschlüsselt, ohne dass man etwas machen musste. Man muss standardmäßig keine Passwörter mehr eingeben, um die Emails zu lesen Zukünftig: Man muss die Schlüssel