Trotz Apple-Bann: Facebook sammelte iPhone-Nutzungsdaten - und bezahlte Teenager dafür

Facebook bezahlte Teenager dafür, eine App mit Root-Zertifikat auf dem iPhone zu installieren – offenbar unter Missbrauch von Apples Entwicklerprogramm.

Mit einer auch auf Jugendliche abzielenden "Research"-App hat Facebook weiter umfassende Daten zu Smartphone-Nutzungsgewohnheiten gesammelt – nachdem das Netzwerk seine Onavo-VPN-App auf Druck von Apple entfernen musste.

Facebook habe Nutzern im Alter von 13 bis 35 Jahren bis zu 20 Dollar pro Monat in Form von Gutscheinkarten dafür gezahlt, wie Techcrunch berichtet. Teilnehmer mussten im Gegenzug eine über Beta-Testdienste von Drittfirmen vertriebene App mit Root-Zertifikat auf ihrem iPhone installieren.

Root-Zertifikat erlaubt Einblick in iPhone-Nutzungsverhalten
Mit diesen Zugriffsmöglichkeiten ist eine umfassende Analyse von iPhone-Nutzungsgewohnheiten möglich, wie der Sicherheitsforscher Will Strafach erklärte, der die Facebook-Research-App analysiert hat. Dazu gehören Einblicke in alle verwendeten Apps, Kommunikation, Kontaktpersonen und Surf-Verhalten, das Root-Zertifikat erlaube zudem selbst den Einblick in verschlüsselte Verbindungen. Die Research-App sei praktisch identisch mit der zurückgezogenen Onavo-App, so Strafach.
Um die Installation der Research-App auf iPhones zu ermöglichen, habe Facebook auf Apples Enterprise-Zertifikat gesetzt und damit wohl gegen die Entwicklerrichtlinien des iPhone-Herstellers verstoßen, heißt es in dem Bericht. Mit einem Enterprise-Zertifikat versehene Apps lassen sich einfach auf iPhones installieren – außerhalb von Apples App Store. Dieser Weg ist allerdings nur für eine Firmen-interne Bereitstellung von iOS-Apps gedacht.

Facebook will iPhone-Version der Research-App zurückziehen
Facebook räumte gegenüber Techcrunch ein, ein entsprechendes Research-Programm zu betreiben und dafür Nutzer verschiedener Altersgruppen zu bezahlen – schon seit 2016.
Man betreibe damit übliche Marktforschung mit Fokusgruppen, hieß es – und informiere Teilnehmer über die Art der Datensammlung, bei Teenagern müsse eine Einwilligung der Eltern vorliegen. Onavo und Facebook Research seien unterschiedliche Programme, würden aber vom selben Team unterstützt. Nach Facebooks Ansicht verstoße die App-Verteilung per Enterprise-Zertifikat auch nicht gegen Apples Richtlinien.

In der Nacht auf Mittwoch teilte Facebook gegenüber US-Medien mit, man werde die Verteilung der Research-App für iPhones einstellen – ein Grund wurde nicht genannt. Apple hat die Angelegenheit bislang nicht kommentiert.

Mit der aufgekauften Onavo-VPN-App, die als Datenschutz-Tool vermarktet wurde, konnte Facebook in den vergangenen Jahren offensichtlich umfassende Nutzungsdaten erheben, so das steigende Interesse an konkurrierenden Apps wie Snapchat und WhatsApp erkennen – und darauf frühzeitig reagieren. Onavo ist weiterhin für Android erhältlich, auch das Research-Programm will Facebook offenbar mit Android-Nutzern fortsetzen.

Quelle: Trotz Apple-Bann: Facebook sammelte iPhone-Nutzungsdaten - und bezahlte Teenager dafür | heise online

Update:

Apple stoppt Vertrieb von Facebooks Datensammel-App


Zum Schutz der Kunden habe man Facebooks Enterprise-Zertifikate gesperrt, teilte Apple mit. Es handele sich um einen "klaren Regelbruch".

In die Debatte über eine Marktforschungs-App von Facebook hat sich nun Apple eingeschaltet: Zum "Schutz unserer Kunden und ihrer Daten" habe er Facebooks Enterprise-Zertifikat widerrufen, teilte der iPhone-Konzern gegenüber US-Medien mit. Die außerhalb des App Stores vertriebene Facebook-Research-App lässt sich dadurch nicht länger auf dem iPhone installieren. Die Facebook-App und andere Dienste des Netzwerkes wie WhatsApp und Instagram sind davon nicht betroffen.

Apple sieht Vertragsbruch
Facebooks Verwendung des Enterprise-Zertifikates zur Bereitstellung einer Datensammel-App für Endnutzer sei "ein klarer Bruch der Vereinbarung mit Apple", betonte das Unternehmen in einer Stellungnahme gegenüber Recode. Jeder Entwickler, der die Zertifikate missbrauche, müsse mit diesem Schritt rechnen. Apples Enterprise-Zertifikate sind nur dafür gedacht, dass Firmen Apps intern testen können, ohne dafür auf den App Store zurückgreifen zu müssen.
Nach der Entfernung von Facebooks App Onavo VPN aus dem App Store auf Druck von Apple hin schwenkte das Netzwerk zur Erfassung von iPhone-Nutzungsdaten offenbar auf die Research-App um. Diese wurde unter anderem gezielt auch für Jugendliche zum Download angeboten, die im Gegenzug Geschenkgutscheine von rund 20 Dollar im Monat erhielten – im Austausch für extrem tiefe Einblicke in ihre iPhone-Nutzung. Anhand eines mitzuinstallierenden Root-Zertifikates konnte der Konzern praktisch den kompletten Inhalt des Datenverkehrs einsehen, wie Sicherheitsforscher berichteten.

Apple und Facebook rücken zunehmend auseinander
Apple-Chef Tim Cook hat Facebook in den vergangenen Monaten mehrfach öffentlich kritisiert – teils scharf: Aus seiner Sicht sollte eine so intime Datenbank an Nutzerprofilen wie von Facebook gar "nicht existieren", erklärte Cook im vergangenen Frühjahr und forderte eine Regulierung des sozialen Netzwerkes.
Facebook-Chef Mark Zuckerberg argumentierte im Gegenzug, nur weil manche Unternehmen daran arbeiten, immer mehr Geld zu kassieren, bedeute das nicht automatisch, dass diese sich letztlich auch mehr um den Nutzer scheren. Um einen Dienst nicht nur für "reiche Leute" anzubieten, habe man sich für die Werbefinanzierung entschieden, das sei das einzige "rationale Modell".

Quelle: Apple stoppt Vertrieb von Facebooks Datensammel-App | heise online

Apps liefern Facebook vertrauliche Daten – Untersuchung angekündigt

Persönliche Gesundheitsdaten aus zahlreichen Apps landen ohne Zustimmung und sogar ohne Wissen der Nutzer bei Facebook. Nun gibt es erste Konsequenzen.

Nachdem das Wall Street Journal berichtet hatte, dass etliche Smartphone-Apps vor allem aus dem Gesundheitsbereich private Informationen der Benutzer ohne deren Zustimmung zu Werbezwecken an Facebook senden, gibt es nun erste Konsequenzen: Der Gouverneur des US-Bundesstaats New York hat eine Untersuchung der Vorgänge eingeleitet. Ein erster App-Hersteller hat Updates veröffentlicht, in denen das kritisierte Verhalten abgestellt sein soll. Derweil weist Facebook eine Mitschuld an den Vorgängen zurück.

Daten an Facebook – auch ohne Facebook-Konto
Am Freitag war durch eine Reportage des Wall Street Journal (Artikel hinter Paywall) bekannt geworden, dass zahlreiche Apps sensible Gesundheitsdaten ihrer Benutzer ungebeten an Facebook übertragen. Genannt wurde etwa die App Flo, mit der Frauen ihre Menstruation und ihren Eisprungzyklus überwachen, jedoch auch Hilfe bei einem Schwangerschaftswunsch erhalten können. Die App HR Monitor zur Messung der Herzfrequenz soll diese ebenso an Facebook gemeldet haben wie die Immobilien-App Realtor die Besichtigung einer Immobilie, an deren Kauf der Benutzer interessiert ist. Zu weiteren übermittelten persönlichen Daten gehören Blutdruck und Gewicht der Benutzer oder die Nutzung einer Meditations-App.

Die App-Entwickler nutzten Software von Facebook, mit der über ein "Custom Event" genanntes Feature ein Ereignis in der App das Übertragen entsprechender Daten an den Social-Media-Konzern auslöst, zusammen mit einer eindeutigen Werbe-ID, die sich dem Report zufolge mit einem Gerät oder einem Profil verknüpfen lässt.

Diese Daten sollen ohne Wissen und Zustimmung der Benutzer zum Zweck der Werbung an Facebook übertragen worden sein – und zwar nicht nur bei Benutzern mit Facebook-Konto, selbst wenn diese sich in der jeweiligen App nicht bei Facebook angemeldet hatten, sondern auch bei Benutzern, die gar kein Konto bei Facebook besitzen. Eine Möglichkeit, die Datenweitergabe in den Apps zu unterbinden, soll nicht bestanden haben. Der Test umfasste ungefähr 70 mehr oder weniger populäre Apps in Apples App Store, von denen 11 entsprechende Daten übermittelt hätten. Android-Versionen existieren von mehreren Apps, das WSJ testete sie jedoch nicht.

New Yorker Gouverneur leitet Untersuchung ein
Der Gouverneur des US-Bundesstaats New York, Andrew Cuomo, nannte die Datenübertragung an Facebook einen "ungeheuerlichen Missbrauch der Privatsphäre" und beauftragte zwei ihm unterstellte Behörden mit einer Untersuchung der Vorgänge. Außerdem rief Cuomo die zuständigen Regulierungsbehörden des Bundes auf, ebenfalls tätig zu werden, berichtet der britische Guardian.

Facebook wolle die New Yorker Behörden bei der Aufklärung unterstützen, schreibt das Magazin. Das Social-Media-Unternehmen verwies jedoch darauf, dass die Entwickler der Apps die Einwilligung der Benutzer für eine Datenübermittlung einholen müssten, und dass Facebook den Entwicklern untersage, sensible persönliche Daten (etwa aus dem Gesundheitsbereich) zu übermitteln. Außerdem bemühe sich die Firma, Daten zu finden und zu löschen, die es nicht hätte erhalten dürfen.

Cuomo hatte erst Ende Januar gemeinsam mit der Generalstaatsanwältin Letitia James eine Untersuchung gegen Apple wegen des schwerwiegenden Datenschutz-Bugs in der Gruppenchat-Funktion von FaceTime eingeleitet.

Erster Entwickler ändert seine App
Inzwischen hat sich der Entwickler der Menstruations-App Flo, Flo Health, zu der Angelegenheit geäußert und will das Verhalten in einer aktualisierten Version der App – für iOS und Android – abstellen, wie Mashable berichtet. Mit den Updates habe man jegliche Datenübertragung an andere Unternehmen abgestellt, so der Entwickler. Die Firma wolle sich zudem einer Datenschutzprüfung unterziehen.

Die Problematik des Datensammelns durch Facebook ist spätestens seit dem Cambridge-Analytica-Skandal in die breite öffentliche Aufmerksamkeit geraten. Auch Facebooks eigene Apps sind nicht gerade zurückhaltend beim Einsammeln persönlicher Informationen – wie etwa Anrufdaten durch den Messenger.

Erst kürzlich hatte das Bundeskartellamt Facebooks marktbeherrschende Stellung kritisiert und von der Firma das Entbündeln seiner Datenbestände verlangt. Das unkontrollierte Datensammeln ist insbesondere bei Android-Apps in letzter Zeit mehrfach ans Licht gekommen: so etwa das Erfassen von Standortdaten trotz Widerspruchs des Benutzers, das Vorhandensein von Tracker-Skripten zum Einsammeln diverser Nutzerdaten oder das tausendfache Umgehen der Werbe-ID.

Quelle: Apps liefern Facebook vertrauliche Daten – Untersuchung angekündigt | heise online

Es wird die Nutzer beruhigen.

Die Daten sind bei Facebook so sicher, wie die Renten in DE ... und die, die wirklich bei FB sicher sind, holt sich FB per WhatsApp, die ja auch tooootal verantwortungsvoll mit Nutzerdaten (und Nicht-Nutzer-Daten) umgehen.


weitere wirklich wirklich wahre News:

In Taka-Tuka-Land haben heute Weihnachtsmann und Osterhase mit dem Klapperstorch zu Mittag gespeist ... *ich schwör* ... grosses Indianerehrenwort!