Mehr als 13 Milliarden Standortpunkte aus über 140 Ländern landeten als Probedatensätze bei Journalisten. Die Recherche von netzpolitik.org, dem Bayerischen Rundfunk und internationalen Partnern zeigt, wie großflächig App-Tracking in Datensammlungen zusammenfließt. In einem deutschen Paket fanden sich 3,6 Milliarden Positionen, zugeordnet zu rund elf Millionen Smartphones. Die Analyse macht klar, dass vermeintlich anonymisierte Bewegungsprofile sich bis zu realen Personen zurückverfolgen lassen.

Die Veröffentlichung, die unter dem Namen "Databroker Files" zusammengefasst wird, basiert auf Datensätzen, die über die Plattform Datarade.ai angeboten wurden. Recherchierende Journalisten erhielten kostenlose Testdaten. Insgesamt enthielten die Datensätze mehr als 13 Milliarden Standortpunkte aus über 140 Ländern. Ein deutsches Paket umfasste nach Angaben der Recherche 3,6 Milliarden Geopunkte, verknüpft mit etwa elf Millionen unterschiedlichen Mobile Advertising IDs.

Was zeigen die Daten?

Die Datensätze enthalten zeitlich und räumlich präzise Positionsangaben. Sie stammen laut den Forschenden aus zwei Hauptquellen. Zum einen aus Tracking-SDKs, also Software-Bausteinen, die App-Entwickler in ihre Anwendungen einbauen. Zum anderen aus Echtzeit-Auktionssystemen für Online-Werbung, dem sogenannten Real-Time Bidding. Dort werden Werbeplätze in Millisekunden verkauft und Daten über Nutzerprofile weitergereicht.

Die Datensätze sind so aufgebaut, dass eine Mobile Advertising ID, eine eindeutige Werbekennung von Android und iOS, Bewegungsmuster über Wochen abbildet. Mit Kartenvisualisierungen liess sich zeigen, wie sich einzelne Kennungen durch Städte und Länder bewegen. Die Visualisierungen stammten aus einem Tool, das BR-Datenjournalistin Katharina Brunner entwickelte.

Wie gelang die Identifizierung?

Die Reporter nutzten einfache OSINT-Methoden, um vermeintlich anonymisierte Kennungen Personen zuzuordnen. Sie verglichen etwa Wohnadressen mit Klingelschildern und Telefonbucheinträgen. Auf diese Weise liessen sich Bewegungsdaten in einigen Fällen konkret zuordnen. Betroffen waren laut Bericht unter anderem hochrangige Beamte, Mitarbeitende des Bundesnachrichtendiensts und des Verfassungsschutzes sowie Soldaten auf US-Militärbasen wie dem Fliegerhorst Büchel. Auch eine mutmassliche NSA-Mitarbeiterin in Bad Aibling wurde identifiziert.

Die Recherche zeigt, dass die Kombination aus Standortsequenzen und öffentlich zugänglichen Daten ausreicht, um Identitäten aufzudecken. Die Mobile Advertising ID allein ist kein verlässlicher Schutz gegen Rückschlüsse. Bewegungsverläufe enthalten genug Muster, um Wohnort, Arbeitsplatz und regelmäßige Aufenthalte sichtbar zu machen.

Rechtliche Lage und behördliche Schritte

Datenschutzbehörden reagierten auf Hinweise aus der Recherche. Die nordrhein-westfälische Aufsichtsbehörde prüfte die App Wetter Online und stellte laut den Recherchierenden fest, dass präzise Standortdaten abflossen. Auch die Hamburger Datenschutzbehörde wurde bei einer Dating-App aktiv.

Solche Prüfungen können zu Bußgeldern oder ordnungsrechtlichen Massnahmen führen.

Rechtlich erscheint das Geschäftsmodell der Databroker nach Einschätzung der beteiligten Journalisten schwer zu rechtfertigen. Eine wirksame Einwilligung der Nutzer lässt sich wegen der komplexen Datenflüsse kaum herstellen. Und für Werbe-Tracking sehen die Datenschutzbehörden kein berechtigtes Interesse, das die massenhaften Erhebungen rechtfertigen könnte. Plattformen wie Datarade geben sich laut der Recherche oft als reine Vermittler, die sich nicht als Verantwortliche im Sinne der DSGVO einstufen.

Das wirft Fragen zur Verantwortlichkeit auf. Wenn Plattformen und Datenhändler sich nicht als Verantwortliche sehen, ist unklar, wer rechtlich zur Rechenschaft gezogen werden kann. Die Recherchierenden fordern deshalb eine politische Debatte über klare Regeln bis hin zu Verboten bestimmter Datengeschäfte.

Mastheads

Welche Auswirkungen hat das auf Sicherheit und Geheimschutz?

Die konkrete Nachverfolgbarkeit von Bewegungen hat direkte Folgen für Personen in sensiblen Positionen. Wenn Bewegungsmuster von Mitarbeitenden der Nachrichtendienste, von Soldaten auf Militärstandorten oder von anderen exponierten Personen nachvollzogen werden können, entstehen Sicherheitsrisiken. Die Recherche dokumentiert Fälle, in denen genau das passierte.

Die Problematik betrifft nicht nur staatliche Bedienstete. Auch Privatpersonen können aus Bewegungsdaten Rückschlüsse auf Alltag, Beruf oder Beziehungen ziehen. Für Menschen in gefährdeten Situationen, etwa Opfer von Stalking, können solche Daten eine reale Gefahr darstellen.

Databroker operieren in einem Markt, der auf der Monetarisierung von Nutzerinformationen baut. Tracking-SDKs liefern Daten an ein Ökosystem aus Werbetreibenden, Datenhändlern und Plattformen. Real-Time-Bidding-Systeme verstärken die Verbreitung, weil sie Daten in Millisekunden an viele Akteure weiterreichen.

Die Recherche zeigt auch, dass Testzugänge oder Probedatensätze eine Rolle spielen. Über Angebote wie Datarade lassen sich Datensätze beziehen oder zumindest anfragen.

Für Forschende und Journalisten waren solche Proben Anlass, das Ausmass der Sammlung sichtbar zu machen. Für Unternehmen sind diese Märkte lukrativ, weil Standortdaten als Zielgruppensignal für Werbung gelten.

Wer sich gegen solches Tracking schützen will, hat einige Optionen. Nutzer können die Werbe-ID auf dem Gerät zurücksetzen oder deaktivieren. Sie können Apps den Standortzugriff nur bei aktiver Nutzung erlauben. Und sie können Tracking in den Systemeinstellungen oder mit Drittanbieter-Tools ablehnen.

Solche Massnahmen helfen, den Zugriff zu begrenzen. Sie entfernen aber nicht automatisch bereits erhobene Daten aus den Sammlungen der Datenhändler. Und sie sind technisch und praktisch nur für einen Teil der Nutzer leicht umsetzbar. Aus Sicht der Recherchierenden reicht die Verantwortung der Einzelnen nicht aus, um die Breite der Datensammlungen zu stoppen.

Die Veröffentlichung entstand in Zusammenarbeit von netzpolitik.org und dem Bayerischen Rundfunk sowie internationalen Partnern. In Interviews und Gesprächsrunden erläuterten die Recherchierenden ihre Methoden.

Im c't-Podcast "Auslegungssache" sprachen Ingo Dachwitz und Sebastian Meineck über das Vorgehen. Heise-Justiziar Joerg Heidrich und c't-Redakteur Holger Bleich führten das Gespräch.

Die beteiligten Journalistinnen und Journalisten betonen, dass die gefundenen Fälle exemplarisch für breitere Probleme stehen. Die Datensammlungen seien technisch einfach zu nutzen und wirtschaftlich attraktiv. Damit entstünden datenökonomische Anreize, die mit bestehenden Rechtsnormen kollidieren.

Die Recherche liefert konkrete Beispiele für Probleme, die Gesetzgeber adressieren müssten. Dabei geht es nicht nur um Sanktionen gegen Unternehmen.

Es geht um die Frage, wer Verantwortung trägt, wenn Daten über komplexe Ketten verteilt werden. Und es geht um das Verhältnis von Einwilligung, berechtigtem Interesse und der wirtschaftlichen Praxis im Werbe-Ökosystem.

Die Forschenden fordern klare Regeln. Dazu zählt nach ihrer Darstellung das Verbot bestimmter Datengeschäfte, die systematisch Bewegungsprofile erzeugen und weiterverkaufen. Behörden haben bereits Prüfungen eingeleitet. Ob und wie weitgehend Regulierungen folgen, liegt in der politischen Hand.

Related Articles

In einem deutschen Datensatz fanden sich 3,6 Milliarden Standortpunkte, verknüpft mit rund elf Millionen Mobile Advertising IDs.

Dieser Artikel wurde mit KI-Unterstützung erstellt.