Eine eigene datenschutzfreundliche Cloud, um gemeinsam auch an vertraulichen Dokumenten zu arbeiten: das geht für ein paar Euro im Monat. Dieses Tutorial zeigt, wie man in zehn Minuten einen Hoster mit Nextcloud eingerichtet hat. Viele Redakteurinnen und Redakteure arbeiten online gemeinsam und gleichzeitig an ihren Texten. Das geschieht oft mit Google Docs oder Microsoft 365. Beide Onlinedienste sind beim Datenschutz so intransparent, dass sie z.B. an hessischen Schulen bereits verboten sind. Neben Problemen mit DSGVO und Beschäftigtendatenschutz gibt es zudem keine Garantien, dass die Texte nicht von fremden Personen gelesen werden können, wie die Freedom of the Press Foundation kürzlich ausführte (Newsrooms, let’s talk about Office 365). Für Texte, die ohnehin veröffentlicht werden sollen, ist das (rein vom Standpunkt der Berufsethik) kein Problem. Aber wenn man in den Onlinesuites auch Daten zur Recherche und zu Informanten speichert, dann sind Anbieter wie Google oder Microsoft die falsche Wahl. Erschreckend, dass manche großen Medienhäuser bereits für alle Mitarbeiter standardmäßig die zweifelhaften Onlineanbieter nutzen. Doch jetzt kommt die gute Nachricht: Die bereits lange als selbstgehostete Cloud bekannte deutsche Software Nextcloud wird seit Januar 2020 mit einer Office-Lösung ausgeliefert (genauer gesagt eine Light-Variante des lettischen Onlyoffice). Seitdem kann man nicht nur Dateien austauschen, sondern auch gemeinsam Text- und Tabellendokumente editieren. Die kostenlose Software basiert wie WordPress auf PHP und ist daher auf eigenen Websites einfach zu installieren. Daher kann sie für viele kleine und große Redaktionen, aber auch für einzelne Journalisten genutzt werden. Video-Tutorial Da viele Journalisten und Journalistinnen kein eigenes Webhosting mehr besitzen,
Allgemein Archive
Privacy Analysis of Tiktok’s App and Website
I did a detailed privacy check of the app TikTok and its corresponding website. Multiple law infringements, trust, transparency and data protection breaches were found. I provide all technical and legal details in this article. For a less technical view, read the article at Süddeutsche Zeitung (in german). I used mitmproxy as my setup in order to re-route all app traffic for analysis. One can see in the video how the device information, usage time and list of watched videos are being sent to Appsflyer and Facebook. It is hard to believe that this is covered by „legitimate interest“ and transparency: the search terms that I entered are being forwarded to Facebook: The transfers to the two companies are clearly conflicting with the GDPR: Facebook cannot comply with article 14 regarding the rights to deletion of information etc. for this data. The data transfer to Appsflyer also lacks transparency as it is unknown to which of its more than 4500 partners the data might get transferred down the line. Bytedance’s answer to this: „We won’t show you the contracts.“ Did they even read article 26 of the GDPR? Most importantly, fundamental rights are being violated since Personally Identifying Information (PII) is transferred to a server under the control of a company residing in an unsecure, non-european country. The location of the server is irrelevant – what is important is the location of the company deciding about the data, according to Malte Engeler. Bytedance’s headquarter is located in Beijing, China. I
Journalismus muss sich schrittweise von Facebook trennen – die Frage ist nur wie
[Hier den aktuellen Facebook-Skandal einfügen] Überraschend kommt dieser Skandal keineswegs, aber es ist eine gute Gelegenheit (wenn auch nicht die erste), grundsätzlich darüber nachzudenken, wie Journalisten auf die Dauerprobleme mit Facebook reagieren sollen. In diesem längeren Kommentar versuche ich, das Problem medienethisch zu beleuchten und mache einen Vorschlag zum Handeln. 1. Facebook ist schon lange eine Problemfirma Im Jahr 2007 berichtete Heise und andere Nachrichtenseiten, dass das „Online-Sozialnetz Facebook“ dem Protest von 50.000 Nutzern nachgegeben habe. Man hatte nämlich begonnen, die Einkäufe von Nutzern auch außerhalb des Portals zu tracken und dann deren Freunden diese Einkäufe ungefragt mitzuteilen („Facebook Beacons“). Die Statements von damals kommen einem bekannt vor: Zuerst bestritt man das Verhalten, dann gab man es zu, stellte die Rechtsverletzung aber so dar, als sei es für die User praktisch. Erst nach einem Gerichtsprozess entschuldigte man sich bei den Usern und stellte auf Opt-In um. Facebook musste 9,5 Millionen Dollar zahlen. Und dann fand ein Sicherheitsforscher heraus, dass die Daten auch bei Deaktivierung des Features weiter gesammelt wurden. Das war der Auftakt zu endlosen weiteren Skandalen. Wikipedia listet in einem Artikel fast hundert Kritikpunkte. Es gibt eine eigene Seite, die aufzählt, wieviel Tage seit dem letzten Skandal vergangen sind. Man lernt im Rückblick über Facebook folgendes: Facebook fördert Ungleichheit, gefährdet das freie Netz, vermeidet Steuern, hat ein Monopol, ist unsozial, intransparent, bewusst irreführend und verstößt gegen Gesetze, insbesondere natürlich beim Datenschutz. Lügen bis zum Gerichtsprozess – so geht das nun seit über zehn Jahren. Allein 2018 wurden wieder sechs
Die ZEIT entfernt Facebook „Pixel“
Zeit-Online hat mittlerweile das umstrittene Tracking-Tool „Facebook Pixel“ aus seiner Website entfernt. Montag Nachmittag war der Tracker nicht mehr in die Website eingebunden. Erst letzte Woche hatte ein Zeit-Leser eine Datenschutzbeschwerde gegen den Verlag eingereicht, die mit einer Textvorlage und Anleitung von Mike Kuketz und mir (Matthias Eberl) erstellt wurde. Mit dem Entfernen des Trackers hat die Zeit aber erst einen sehr kleinen Schritt zu einem datenschutzfreundlichen Webangebot getan. Über eingebundene Werbeanzeigen von Facebook Ads (brandlift.php) gehen weiterhin personenbezogene Daten an Facebook, obwohl dafür die Rechtsgrundlage in gleicher Weise fehlt. Zahlreiche andere Werbetracker dürften ebenfalls rechtlich problematisch sein. Die seit einem Jahr an den Verlag gerichtete Kritik, darunter auch die Auszeichnung mit dem Negativ-Preis „Big Brother Award“ durch die Datenschutzorganisation Digitalcourage, hatte den Verlag nicht zum Handeln bewegt. Durch die Datenschutzbeschwerde droht dem Verlag auch weiterhin ein Bußgeld in fünf- bis sechsstelliger Höhe. Eine Sprecherin der Zeit-Verlagsgruppe erklärte, das Interview mit dem Leser sei dem Verlag zwar bekannt, die Entfernung von Facebook Pixel sei aber kurzfristig wegen des EuGH-Urteils gefallen. Ebenfalls heute wurde bekannt, dass die Verbraucherzentrale gegen insgesamt acht Medienunternehmen mit Abmahnungen wegen unerlaubtem Tracking vorgeht: Verbraucherschützer mahnen erste Medien ab.
Wir veröffentlichen eine Musterbeschwerde gegen Facebook-Tracker – und ein Leser reicht Datenschutzbeschwerde gegen ZEIT-ONLINE ein
Copyright Zeichnung: C. Pfohlmann, www.pfohlmann.de Vier Monate ist es her, dass ich in einer großen Analyse von deutschen Medienseiten den großflächigen Einsatz von Facebook-Trackern und damit verbundene Datenschutzrisiken geschildert habe. Nur wenige Verlage haben seitdem etwas geändert. Immer noch werden von vielen Nachrichtenseiten, aber auch allgemein von Websites und Shops das Besucherverhalten profilbezogen an Facebook gemeldet. Viele empörte Leserinnen und Leser haben auf meinem Blog und anderswo im Netz Tipps ausgetauscht, wie man das Tracking technisch unterbinden kann. In vielen Fällen effektiver ist allerdings eine Datenschutzbeschwerde. Die deutschen Behörden haben bereits sehr deutlich gemacht, dass sie Facebook-Tracker ohne Einwilligung größtenteils für rechtswidrig halten. Noch sind aber keine Bußgelder oder Urteile in diesen Fällen bekannt. Als Hilfestellung für betroffene Leser und Leserinnen habe ich daher zusammen mit dem IT-Spezialisten Mike Kuketz eine Anleitung und eine Musterbeschwerde erstellt, damit Betroffene leichter gegen den rechtswidrigen Einsatz der Facebook-Tracker vorgehen können. Wir erklären, wie man die wenigen benötigten Belege aufzeichnet und wie man unsere Textvorlage auf konkrete Websites anpasst, die den Facebook-Tracker einsetzen. Als echten Praxisfall haben wir bereits einen Leser ausfindig gemacht, der sich über das Facebook-Tracking bei Zeit Online sehr geärgert hat und der nun mit unserer Vorlage eine Beschwerde bei der Hamburger Datenschutzbehörde eingereicht hat. Mit dem Leser habe ich gestern auch ein Interview geführt. Selbstverständlich sollte sein, dass die Beschwerde erst eingereicht wird, wenn zuvor der Betreiber der Website mit einer Frist von beispielsweise zwei Wochen aufgefordert wurde, den Facebook-Tracker zu entfernen und darauf nicht reagiert hat. Das ist der
„Ich finde es frech, dass Zeit Online meine Daten an Facebook gibt, obwohl ich zahle“
Alexander S. ist Informatiker und hat seit 2017 die Zeit abonniert. Gestern hat er eine Datenschutzbeschwerde gegen Zeit Online eingereicht, weil diese über einen in die Seite integrierten Facebook-Tracker sein Leseverhalten an Facebook sendet. Die Behörden weisen schon länger darauf hin, dass das Marketing-Tool rechtswidrig ist, aber viele Verlagen ändern nichts, möglicherweise auch deshalb, weil Verfahren und Urteile dazu noch ausstehen. Alexander S. nutzte für seine Beschwerde eine Textvorlage und Anleitung, die wir heute veröffentlicht haben. Darin sind auch die juristischen Details aufgeführt, mit denen der Tracker gegen die DSGVO verstößt. Alexander, du hast gerade mit Hilfe unserer Vorlage eine Datenschutzbeschwerde gegen die Zeit abgeschickt. Alexander: Ja, ich wollte das schon lange machen, es hat sich nur etwas hingezogen, bis ich dazugekommen bin. Aber dann ging es eigentlich sehr fix, wenn man sich einmal hingesetzt hat. Warum willst du nicht, dass wir deinen vollen Namen nennen? Alexander: Weil ich mein Zeit-Abo behalten möchte. Ich will, dass sie das mit dem Facebook-Tracker ändern, aber ich möchte keinen Stress mit dem Verlag, nicht dass sie mir noch das Abo kündigen. Das klingt so, als wärst du eigentlich ein großer Fan der Zeitung. Alexander: Ja, eigentlich schon. Wenn man wie ich mit Kind weniger Zeit für Nachrichten hat, ist so ein Wochenzeitungsformat schön und sehr praktisch. Zudem mag ich die Zeit einfach für die politische Ausrichtung, ich sehe sie eher links und es ist schwierig gute Zeitungen zu finden, die in diesem politischen Spektrum schreiben. Ich finde auch die Artikel immer sehr gut
Das Universalmittel gegen Facebook-Tracking?
Für manche eine schöne Aussicht, für andere weniger: Eine technische Lücke im Datenbanksystem von Facebook lädt die Behörden zu Bußgeldern ein. Bild: Eileen Henderson, Gap in the fence on Black Knowe Head – geograph.org.uk – 550211, CC BY-SA 2.0 Immer noch sehen sich Internetnutzer auf einer Vielzahl von Websites und Apps mit einer andauernden Aufzeichnung ihres Verhaltens durch Facebook konfrontiert. Obwohl das im Bereich der europäischen DSGVO in vielen Fällen eine rechtliche Grauzone darstellt, kommen die entsprechenden Verfahren gegen Facebook nicht richtig in Gang, auch weil die irische Datenschutzbehörde damit entweder überfordert ist oder nicht gegen das umsatzstarke Unternehmen agieren will. Dabei ist für viele Nutzer die massenweise und intransparente Sammlung von Verhaltensdaten auf Websites und Apps außerhalb von Facebook besorgniserregend. Doch genau in diesem Bereich findet sich auch eine bemerkenswerte, wenig beachtete, technisch-juristische Schwachstelle im Trackingsystem von Facebook, mit dem Internetnutzer gute Chancen haben, die Entfernung des Trackers aus beliebigen Websites oder Apps zu erzwingen. Für diese Erkenntnis muss ich mich bei der Presseabteilung von Facebook bedanken, die mich vor einigen Wochen überhaupt auf die Idee gebracht haben, dieses Problem im Detail zu recherchieren. In einem Artikel über das Facebook-Tracking beim Bayerischen Blutspendedienst schrieb ich bei der Süddeutschen Zeitung: Die Daten könnten nun bei Facebook profilbezogen gespeichert sein (…). Facebook forderte mehrmals hartnäckig eine Richtigstellung: Facebook nutzt Pixel-Daten nicht dafür (…) Interessen zu den Profilen von Nutzern hinzuzufügen. Ich lehnte die Richtigstellung ab, weil ich meine Formulierung mit den Business AGBs von Facebook belegen konnte und aus gutem Grund
Facebook-Tracker erkennen und dagegen vorgehen
Meine Methode zum Artikel Für meine Analyse zum Facebook-Tracker bei deutschen Medienseiten habe ich alle Einbettungen von Facebook als Tracker gewertet, die Cookies mit *.facebook.com austauschen. Dann ist die Möglichkeit gegeben, dass Leser personenbezogen erkannt werden. Grundsätzlich arbeiten Browser so, dass sie entweder keine oder alle Cookies an eine Website schicken. Es ist also nicht möglich, dass eine Seite die Weitergabe begrenzt, so dass nur anonyme Cookies an Facebook gesendet werden können. Insgesamt 12 verschiedene Tools konnte ich unterscheiden, nicht bei allen konnte ich herausfinden, warum der Verlag sie eigentlich eingebunden hat. Cookie-Banner, die auf den Facebook-Tracker nur hinweisen und ihn nicht bereits bei Aufruf der Seite verhindern, wurden ignoriert (sie sind technisch und juristisch nicht wirksam). Nicht immer erscheinen die Tracker beim ersten Aufruf und auf jeder Seite, es scheint statistische und auch wöchentliche Änderungen bei den Einbettungen zu geben. So prüft man Und so kann man mit Firefox oder Chrome relativ einfach selbst prüfen, ob eine Seite den Facebook-Tracker enthält: Firefox: Im Menü Web-Entwickler/Netzwerkanalyse aufrufen (Oder Strg-Shift-E) Eine Seite aufrufen (oder mit Strg-F5 neu laden) Im Suchfeld („Adressen durchsuchen“) „facebook“ eingeben Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies. Chrome: Im Menü More Tools/Developer Tools aufrufen (Oder Ctrl-Shift-I), dann den Tab Netzwerkanalyse Eine Seite aufrufen (oder mit Strg-F5 neu laden) Im Suchfeld (‚Filter‘) „Facebook“ eingeben Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies. Hinweise und Beschwerden
Facebook trackt Nutzer auf drei Viertel aller deutschen Nachrichtenseiten
Für diesen Beitrag habe ich 130 deutsche Nachrichtenseiten und Verlagsangebote analysiert. Das Fazit: Facebook liest fast überall mit. Durch Tracking-Tools kann der Konzern in vielen Fällen erkennen, welche Artikel ein Facebook-Nutzer anklickt. Die Gesetze untersagen diese Form von Tracking, aber die Verlage stört das nicht. Bild: CC-BY 4.0 Oliver Hinzmann Facebook sammelt persönliche Daten. Sie sind der wichtigste Vermögenswert der 500-Milliarden-Dollar-Firma und die Basis seines Geschäftsmodells. Seit einiger Zeit ist bekannt, dass Facebook nicht nur Daten von Nutzern seiner sozialen Netzwerke sammelt, sondern auch über praktisch alle anderen Internetnutzer. Eine wichtige Sammelstelle dabei sind Nachrichtenseiten und Portale von Presseverlagen. Wie meine Recherche ergab, fließen von den Seiten vieler deutscher Nachrichtenmedien Nutzerdaten an Facebook ab. Der Datenkonzern kann mit seinen Software-Bausteinen Millionen Menschen in Deutschland beim Nachrichtenlesen über die Schulter schauen. Was ist das Problem 2011 gab es mal eine größere Debatte um den Facebook-Button. Die breite Öffentlichkeit erfuhr damals erstmals, dass die standardmäßige Einbindung des Buttons dazu führt, dass Facebook auch externe Seitenabrufe personenbezogen speichern und auswerten kann. Die Debatte und die folgenden Verfahren bis zum EuGH haben dazu geführt, dass der Button auf den meisten Nachrichtenseiten nicht mehr direkt eingebunden wird, sondern erst beim Anklicken eine Verbindung herstellt. Heute ist Facebook in den meisten Nachrichtenseiten auf andere Art verankert. Mit verlockenden Produkten in seinem Business-Portfolio hat der Konzern es geschafft, auf rund 75 Prozent der deutschen Medienseiten präsent zu sein. Die Facebook-Tools können meist artikelgenau und personenbezogen den deutschen Medienkonsum auswerten. Am bekanntesten ist „Facebook Pixel“, ein Bestandteil des
Tracking- und und googlefreies Smartphone
Smartphones werden heute erst vom Hersteller, dann vom Nutzer mit Werbetracking vollgestopft. Dabei sind die Alternativen immer besser und alltagstauglicher geworden. Das ist mein Setup. Seitdem ich Android benutze, hatte ich immer zwei Smartphones in der Tasche: Ein normales mit meinen Kontakten, das unterwegs meist im Flugmodus war und einige Apps aus dem Play-Store enthielt, die mir unersetzlich erschienen. Und ein anonymes Open-Source-Android für Browsing und den ganzen Rest. Das war mein Kompromiss für die Datensparsamkeit. Und mein Weg, um verhaltensbasiertes und personenbezogenes Werbetracking weitgehend zu vermeiden. Aber es war natürlich weder eine gute, noch eine ökonomische, ökologische oder massentaugliche Lösung. Seitdem aber Messenger wie Threema oder Signal ohne Google funktionieren und immer mehr gute und trackingfreie Apps existieren, hat man bessere Optionen. Dieses Wochenende habe ich nun alles was ich brauche auf ein einziges Smartphone gepackt. Ein paar Kompromisse waren nötig – aber es ist doch ein sehr datensparsame Lösung geworden. Hier ist mein Setup – wer eine ausführlichere Anleitung möchte, dem sei die Artikelserie Android ohne Google von Mike Kuketz empfohlen. Die Hardware Chinesische Hersteller fielen bei mir wegen grundsätzlichen systemisch bedingten Datenschutzbedenken aus. Habe mich deshalb für ein Samsung Galaxy S9 entschieden. Die größere Variante S9+ hätte nicht mehr gebracht: die speziellen Kamerafunktionen der Drei-Linsen-Technik lassen sich sowieso nicht mit Open-Source nutzen. Das S9 ist außerdem das einzige neuere Galaxy, für das ein aktuelles LineageOS zu Verfügung steht (siehe nächster Abschnitt). Spannende Alternative wäre noch der europäische Hersteller BQ mit seinem Mittelklasse-Smartphone Aquaris gewesen. Außerdem nutze ich