DSGVO & Apps: Wo stecken die Datenschutz-Risiken?
Datenschutz bei manchen Apps Fehlanzeige
Security-Anbieter berichten regelmäßig von Spionage-Apps, die Nutzerdaten sammeln könnten. Und das ohne Einwilligung und Wissen der Betroffenen.
Auf mobilen Unternehmensgeräten wurden mehr als 80.000 bösartige Apps entdeckt, berichtete zum Beispiel der Sicherheitsanbieter Lookout im Herbst 2024. Die Bedrohungen für mobile Apps können sehr unterschiedlich sein und reichen von invasiven Berechtigungen und Riskware, die erhebliche Compliance-Risiken bergen, bis hin zu hochentwickelter Spyware, die Geräte verfolgen, Daten stehlen, Gespräche abhören und auf die Kamera und das Mikrofon des Benutzers zugreifen kann.
Ein Beispiel aus einer Umfrage des Security-Providers Lookout: Überwältigende 97 Prozent der Befragten glauben, dass bösartige mobile Apps oder umfangreiche Berechtigungen für mobile Apps – wie etwa der Zugriff auf Kontakte, SMS, Kamera und Mikrofon – eine Bedrohung für ihr Unternehmen darstellen und zum Abfluss vertraulicher Daten führen könnten. Innerhalb von sechs Monaten waren 75 Prozent der Unternehmen Opfer von mobilen Phishing-Versuchen, die auf ihre Mitarbeiter abzielten.
Zu diesen Nutzerdaten, die mobile Apps ausspionieren könnten, gehören unter anderem die folgenden:
- IP-Adresse: Sie identifiziert eindeutig Sender und Empfänger von Datenpaketen im Internet, ähnlich einer Postadresse. Sie verrät Informationen über den Internetanbieter und den Standort des Rechners. Der Internetanbieter wiederum kann über die IP-Adresse den Datenstrom seiner Kunden nachverfolgen.
- Online-Suchen nach bestimmten Produkten oder Themen: Sie werden gespeichert und mit dem Nutzerprofil in Verbindung gebracht.
- Tracker von Drittanbietern: Sie sind auch in Apps enthalten. Die Mehrheit der sogenannten App-Analytics-Unternehmen verwendet Tracking für gezielte Werbung, Verhaltens-Analysen und Standort-Tracking.
- Account oder Profil mit persönlichen Informationen: Diese Daten fordern manche Anbieter, bevor Kunden ihren Service nutzen oder Inhalte sehen können.
- Persönlichkeitstests, Spiele, Umfragen und Preise: Sie versprechen meist Gewinne und greifen im Gegenzug persönliche Daten ab.
- Datenanalysen durch Drittanbieter: Solche Datenanalysen geben sowohl Online- oder auch stationäre Händler in Auftrag. Sie optimieren damit ihre Werbe-Aktivitäten. Dafür geben sie ihre gesammelten Kundendaten an diese Datenanalysten weiter.
Viele Datenschutz-Lücken in Apps
Zu den Datenrisiken von Apps, die gegen die Grundsätze der Verarbeitung und die Vorgaben zur Sicherheit der Verarbeitung nach Datenschutz-Grundverordnung (DSGVO) verstoßen, gehören somit:
- persönliche Daten, die die Apps heimlich über das Internet übertragen
- Geräte-Informationen, die sie über das Netzwerk übertragen
- ungeschützte Verbindungen
- Sicherheitslücken im Code und in eingebetteten Bibliotheken von Drittanbietern
Privacy by Design bei Apps
Bei vielen beliebten mobilen Apps ist es nicht sinnvoll, sie einfach komplett zu verbieten. Vielmehr sind die App-Entwickler gefragt, die Vorgaben zu Privacy by Design und Privacy by Default umzusetzen.
Dazu gehört ein weiterer wichtiger Punkt, der vorhanden sein muss: die rechtlich geforderte Datenschutzerklärung.
Werkzeuge, um den Datenschutz bei Apps zu hinterfragen
Doch es ist eine Sache, eine Datenschutzerklärung zu veröffentlichen, eine andere ist es aber, den Datenschutz auch wirklich zu gewährleisten. Deshalb sind Werkzeuge hilfreich und wichtig, die den Datenschutz bei mobilen Apps bewerten können.
Ein Beispiel ist die z3A-Lösung (https://www.zimperium.com/z3a-advanced-app-analysis/) von Zimperium. Sie bietet insbesondere Kontextanalysen sowie Datenschutz- und Sicherheitsbewertungen zu mobilen Apps. z3A nutzt Prüffunktionen für mobile Anwendungen. Die Lösung sucht Sicherheits- und Datenschutzrisiken, indem sie kontinuierlich Daten aus verschiedenen Quellen sammelt und korreliert, darunter Fälle von Malware und Datenmanipulation. Durch multivariante Tests und Validierungen werden dann potenzielle Risiken identifiziert.
Apps liefern Umsatz und Daten
Warum mehr Datenschutz bei Apps so wichtig ist, zeigt zum Beispiel eine Meldung des Digitalverbands Bitkom.
Der App-Markt wächst in 2025 auf 2,2 Milliarden Euro (+2,3 Prozent). Ein Beispiel von vielen: Fast drei Viertel (72 Prozent) der Smartphone-Nutzerinnen und -Nutzer in Deutschland hat mindestens eine App von Lebensmittelhändlern auf dem Smartphone installiert. Im Vorjahr waren es erst 58 Prozent, so der Digitalverband Bitkom. Im Schnitt finden sich bei den Nutzerinnen und Nutzern etwa vier solcher Apps auf dem Smartphone. Im Vorjahr waren es drei.
Wer Apps von Lebensmittelhändlern verwendet, nutzt sie demnach vor allem für Vergünstigungen, Prospekte und Treueprogramme: 81 Prozent nutzen Rabatte beziehungsweise Coupons in den Apps, jeweils zwei Drittel (66 Prozent) für Online-Prospekte beziehungsweise für digitale Kundenkarten oder Treueprogramme. Digitale Kassenbons haben 60 Prozent der App-Nutzerinnen und -Nutzer schon verwendet.
Doch das sind bei weitem nicht alle möglichen Funktionen von Apps. Tatsächlich sind die Funktionen mobiler Apps für Smartphones und Tablets sehr vielfältig. Sie leisten Aufgaben von Wecker, Taschenlampe, Fotoapparat, Videokamera, Uhr, Notizbuch, Kalender, Navigationsgerät, MP3-Player, Fernsehempfänger, Babyphone, Fernsteuerung oder Geldbörse, um einige Beispiele zu nennen.
Dass mit diesen Funktionen und Aufgaben personenbezogene Daten verbunden sind, steht außer Frage.
Das ist auch ein Grund, warum sich für die Anbieter kostenlose Apps lohnen können: Mit den Daten der Nutzer lässt sich etwa die Werbung anpassen und optimieren.
