Werbeversprechen vs. Realität: Was Apps wirklich über uns wissen

Jede moderne App und jedes vernetzte Gerät wird mit demselben Versprechen verkauft: Komfort, Sicherheit, Bequemlichkeit. Was dabei selten erwähnt wird: Dieser Komfort wird mit einem lückenlosen Datenprofil bezahlt, das Stück für Stück aus vermeintlich harmlosen Funktionen zusammengesetzt wird. Wer versteht, wie die einzelnen Puzzleteile zusammenpassen, erkennt das Muster hinter dem Werbeversprechen.

Das Geschäftsmodell der Einladung

Datenschutzprobleme entstehen selten durch Einbruch. Meist wird die Tür freundlich geöffnet. Technologiekonzerne sind seit Jahren darin geübt, Nutzern das Preisgeben ihrer Daten als praktischen Dienst zu verkaufen. Der Schlüsselmechanismus dahinter: Friction Reduction – also die gezielte Beseitigung jeder Hürde, die zwischen dem Nutzer und dem Datenabfluss steht.

Das bekannteste Beispiel dürfte die „Freunde finden"-Funktion von Facebook sein. Was klingt wie ein netter Helfer zum Wiederfinden alter Bekannter, löste in der Praxis den massenweisen Upload kompletter E-Mail-Adressbücher aus – inklusive der Daten von Personen, die Facebook nie genutzt haben und dem nie zugestimmt haben. Das Landgericht Berlin stellte fest, dass Facebook mit der „Freunde Finder"-Funktion gegen Datenschutzrecht verstößt, da auch personenbezogene Daten von Personen verarbeitet wurden, die selbst kein Facebook-Konto hatten und der Nutzung ihrer Daten nicht zustimmen konnten. Das Gericht wertete dies als Verstoß gegen die Transparenzpflicht der DSGVO. Der Bundesgerichtshof erklärte die daraus resultierenden Massen-Einladungs-Mails ebenfalls für unzulässige Werbung – die BGH-Entscheidung (Az.: 15 O 569/18) erging nach drei Instanzen, was zeigt, wie lange solche Praktiken unbehelligt liefen.

WhatsApp macht dasselbe etwas unauffälliger: Den größten Kritikpunkt stellt die regelmäßige Übertragung der Telefonnummern aus dem Adressbuch an WhatsApp dar, da diese automatisch und ohne Differenzierung nach dem Status der Telefonbucheinträge erfolgt. Betroffen sind damit nicht nur die Telefonnummern von WhatsApp-Nutzenden, sondern auch die Telefonnummern von Personen, die mit WhatsApp in keinerlei Verbindung stehen. Beruhigend klingt hier WhatsApps Hinweis, man speichere die Nummern von Nicht-Nutzern nur als kryptografische Hashwerte, die verhindern sollen, dass WhatsApp die Telefonnummer wieder identifizieren kann. Klingt gut – ist aber lediglich Pseudonymisierung, keine Anonymisierung. Wer die Ausgangsdaten kennt (und wer hat kein Telefonbuch?), kann den Hash-Wert jederzeit zurückrechnen. Das Landgericht Berlin II entschied im März 2026 schließlich, dass Nutzerdaten nicht von WhatsApp an Facebook weitergegeben werden dürfen, da die von WhatsApp eingeholte Zustimmung nicht die Anforderungen an eine wirksame Einwilligung erfüllten. Schutz für Nicht-Nutzer: Auch Telefonnummern von Personen, die WhatsApp nicht installiert haben, dürfen nicht ohne Weiteres verarbeitet werden.

Das Muster ist klar: Auch Bekannte von Nutzern werden zu unfreiwilligen Datenlieferanten, ohne je gefragt worden zu sein.

Gesichter als Daten – und warum man sie nicht zurückbekommt

Biometrische Daten sind das Endlager unter den personenbezogenen Informationen. Ein Passwort lässt sich ändern, eine Adresse umziehen, eine Telefonnummer wechseln. Das eigene Gesicht nicht.

Google Fotos bietet seit Jahren die automatische Sortierung von Fotos nach Personen an. Was wie ein nützliches Ordnungstool wirkt, erstellt im Hintergrund detaillierte biometrische Profile. Google nutzt maschinelles Lernen, um Gesichtsmuster zu analysieren und Personen zuzuordnen. Biometrische Daten sind besonders sensibel und gehören zu den persönlichsten Informationen überhaupt. Anders als ein Passwort lässt sich das eigene Gesicht nicht ändern – einmal erfasst, bleiben diese Merkmale dauerhaft mit der Identität verknüpft.

In den USA hat Google dafür bereits teuer bezahlt: Im US-Bundesstaat Illinois verstößt die Gesichtserkennung in ihrer aktuellen Umsetzung gegen den „Biometric Information Privacy Act", da die Daten der Menschen nicht ohne ihre Einwilligung verarbeitet und genutzt werden dürfen. Google muss 100 Millionen Dollar Schadenersatz zurücklegen. In Europa ist die Funktion aus diesem Grund standardmäßig deaktiviert – deutsche Nutzer müssen die Funktion bewusst über Umwege aktivieren. Wer das tut, gibt aber nicht nur eigene Daten preis: Das Hauptproblem liegt darin, dass Google anonyme Personen auf Fotos nicht informieren oder um Erlaubnis fragen kann, obwohl deren biometrische Daten erfasst werden. Diese Praxis verstößt gegen grundlegende Datenschutzprinzipien.

Ähnliches gilt für die Gesichtserkennung zum Entsperren des Smartphones. Was als Sicherheitsfeature vermarktet wird, speichert biometrische Merkmale zentral – und kann bei einem Datenleck oder Behördenanfrage nicht einfach „zurückgesetzt" werden.

Das Smart Home als offenes Buch

Wer eine smarte Heizungssteuerung, automatisierte Jalousien oder eine vernetzte Türklingel betreibt, verabschiedet sich in der Regel von einem gewissen Maß an Privatsphäre – ob das so explizit kommuniziert wird oder nicht.

Das Werbeversprechen lautet: „Passt sich automatisch an." Die technische Realität dahinter: Dauerhafte Erfassung von Anwesenheit, Bewegungsmustern und Routinen im privaten Raum, die an die Cloud des Anbieters übermittelt werden. Kriminelle können Nutzungsmuster für verschiedene Geräte verfolgen und wissen so beispielsweise, wann jemand nicht zu Hause ist.

Ein konkretes Beispiel: Wer seine Heizung per App auf Abwesenheitsmodus stellt, weil er in den Urlaub fährt, teilt diese Information zuverlässig mit dem Cloud-Betreiber. Wer smarte Beleuchtung nur abends einschaltet, verrät seinen Tagesrhythmus. Wer eine vernetzte Türkamera betreibt, liefert Gesichter, Stimmen und Besucherprofile in eine externe Datenbank.

Kameras, Sprachassistenz und App-Protokolle erzeugen sensible Daten wie Bilder, Ton und Bewegungsmuster. Unklare Datenschutzerklärungen, breite Einwilligungen oder Datentransfers in Drittländer sind dabei problematisch.

Besonders pikant wird es bei Photovoltaikanlagen und Batteriespeichersystemen, die per App steuerbar sind. Wer seinen Energiespeicher über eine Cloud-App managed, gibt dem Anbieter potenziell die Kontrolle über dasselbe System ab und hat potentiell die Möglichkeit z.B. durch Phasenverschiebung das gesamte regionale Stromnetz zum Ausfall zu bringen. Auch das Hacken von intelligenten Geräten, die wichtige Funktionen des Hauses wie Kühlung und Heizung steuern, kann verheerende Folgen haben. Ein Hacker, der Zugriff auf den Thermostat hat, könnte das System auf Hochtouren laufen lassen, sodass es zu Fehlfunktionen kommt. Wer jedoch eine eigene Homelab-Infrastruktur betreibt und Automatisierungsplattformen wie ioBroker selbst hostet, behält die Kontrolle – alle anderen vertrauen darauf, dass der Anbieter seine Cloud sicher und integer betreibt.

Bewegungsprofile: Die Karte des eigenen Lebens

Navigation-Apps sind das vielleicht unterschätzteste Datenschutzproblem im Alltag. Der Komfort ist unbestreitbar – aber der Preis ist ein lückenloses Bewegungsprofil über Monate und Jahre.

Google Maps speichert standardmäßig jeden besuchten Ort, wie lange man dort war, und sogar mit welchem Verkehrsmittel man sich bewegt hat. Find-my-Phone übermittelt dazu auch noch die Information, mit wem man unterwegs ist oder sich trifft. Diese Standortverlauf-Funktion arbeitet im Hintergrund und erstellt ein präzises Bewegungsprofil, das Jahre zurückreichen kann. Selbst wenn die App nicht aktiv genutzt wird, werden Bewegungen dokumentiert, solange die Standortdienste aktiviert sind. Die gesammelten Daten fließen in Googles komplexes Profiling-Netzwerk ein.

Auf der Grundlage der erhobenen Standortdaten können Bewegungsprofile erstellt werden, welche ein genaues Abbild des Alltagslebens einer Person herstellen. So können Orte, die oft aufgesucht werden, identifiziert werden. Unter der Annahme einer gewissen Regelmäßigkeit kann dann sogar der Aufenthalt zu bestimmten Zeitpunkten in der Zukunft extrapoliert werden.

Konkret bedeutet das: Wer täglich denselben Weg zur Arbeit fährt, wer regelmäßig zum selben Arzt geht, wer jeden Samstag das Fitnessstudio besucht – all das ist kartiert. Nicht als anonyme Statistik, sondern verknüpft mit dem Google-Konto, der Gerätkennung und allen anderen Google-Diensten.

Das Gleiche gilt für die automatische Foto-Synchronisierung auf Cloud-Plattformen: Jedes Foto trägt Metadaten – Zeitstempel, GPS-Koordinaten, Gerätkennung aber eben auch Gesichter. Wer seine Fotos automatisch synchronisiert, liefert damit nicht nur Bilder, sondern eine lückenlose visuelle Standortgeschichte auch von Bekannten/Unbekannt auf den Photos.

Der soziale Graph als Kollateralschaden

Ein oft übersehener Aspekt: Die Weitergabe eigener Daten betrifft immer auch andere. Wer sein vollständiges Adressbuch an WhatsApp gibt, kartiert damit sein gesamtes soziales Netzwerk – inklusive aller Personen, die diesen Diensten nie zugestimmt haben.

Sprachassistenten wie Alexa, Siri oder Google Assistant bauen diesen sozialen Graph durch permanente Aufzeichnung weiter aus. Die Marketingaussage: „Bequem mit einem Wort." Die Realität: Permanente Aktivierung der Mikrofone in Wohnräumen, Schlafzimmern und Küchen, mit Cloud-Verarbeitung der Sprachfetzen.

Amazons Echo Spot: Ein perfekter Wecker am frühen Morgen

Security Experten sind sich einig: Let’s put a webcam in every bedroom. What can possibly go wrong? Man muss sich schon die Frage stellen, warum ein Gerät zum Chatten und Sprachkommandos entgegennehmen die Form eines Weckers annehmen muss? Damit der neue Spot auf Sprache reagieren kann, muss er zwangsläufig

Meister-Tech-BlogMichael Meister

Der Ein-Klick-Login über Social-Media-Konten (Single Sign-On) schließt das Bild ab. Wer sich mit dem Google- oder Facebook-Konto bei Dritten anmeldet, erlaubt dem Identitätsanbieter, alle besuchten Dienste zu verknüpfen. Aus isolierten Einzeldatenpunkten wird ein kohärentes Gesamtprofil: Wer man ist, was man kauft, welche Dienste man nutzt, welche Interessen man hat.

VPN: Wenn der Datenschutz selbst zum Problem wird

Besonders ironisch wird es bei Diensten, die explizit mit Datenschutz werben. VPN-Dienste sind das Paradebeispiel. Das Versprechen: Vollständige Privatsphäre, Anonymität, Schutz vor Überwachung.

Die Realität bei NordVPN: Ein Datenmitschnitt der App zeigt eindeutig, dass Tracker wie AppsFlyer und Google Firebase tatsächlich integriert sind – genau jene, die das Unternehmen offiziell leugnet. Konkret wurden in der NordVPN-App drei Tracker gefunden: AppsFlyer, Google Crashlytics und Google Firebase Analytics. AppsFlyer sammelt im Dienst von mehr als 15.000 unterschiedlichen Firmen unzählige Daten. Dazu gehört die Geräte-ID, die Google Advertising ID, die Android ID, die genutzte Version von Android, das Gerätemodell, die Sprache und Region sowie die eigene IP-Adresse und Details über das genutzte WLAN und den Mobilfunkanbieter.

Das wurde von Mike Kuketz in einem Datenmitschnitt nachgewiesen und ist zudem über das Open-Source-Projekt Exodus Privacy für jeden reproduzierbar überprüfbar. Diese Verbindungen werden übrigens initiiert, noch bevor der Privacy- oder Cookie-Banner überhaupt erscheint.

Das Muster: Wer ein VPN als Schutzschild einsetzt, aber eine App mit eingebetteten Trackern von US-amerikanischen Analytics-Diensten nutzt, hat das Machtgefälle lediglich verschoben.

Das Gesamtbild: Aus Mosaiksteinen wird ein Portrait

Jede der genannten Funktionen ist für sich genommen vielleicht noch vertretbar. Das Problem entsteht durch Korrelation. Wer Navigation, Cloud-Fotos, Smart-Home, Sprachassistenten, Social-Media-Login und Fitness-Apps kombiniert, liefert einem oder mehreren Konzernen ein Profil, das tiefer geht als alles, was frühere Überwachungsinfrastrukturen je erreicht haben.

Die folgende Tabelle zeigt das Muster:

Das Problematische daran ist nicht, dass Daten gespeichert werden – das ist allgemein bekannt. Das Problematische ist die Normalität, mit der dieser Tausch vollzogen wird. Datenhoheit und Privatsphäre werden als Relikt verkauft, Kontrolle als Umstandskrämerei.

Digitale Souveränität als Alternative

Der Gegenentwurf ist bekannt, aber aufwändiger. Wer seine Hausautomation über ein selbst gehostetes System wie ioBroker auf einer eigenen Infrastruktur betreibt, behält die Daten im eigenen Netz. Wer GrapheneOS statt Stock-Android nutzt, schaltet die meisten der genannten Datenpfade ab. Wer Navigation-Apps ohne permanente Standortfreigabe nutzt oder auf Open-Source-Alternativen wie OsmAnd~ setzt, liefert kein Bewegungsprofil in fremde Rechenzentren.

Das Thema betrifft im übrigen nicht nur Privatpersonen. Auch Europas Verwaltungen haben das Problem erkannt: In diesem Artikel habe ich bereits beschrieben, wie europäische Behörden zunehmend versuchen, sich von US-Cloud-Abhängigkeiten zu lösen – auch weil ein Microsoft-Manager unter Eid bestätigen musste, dass Daten in europäischen Rechenzentren nicht vor US-Behördenzugriffen geschützt sind.

Technik ist hier nur ein Teil der Lösung. Der wichtigere Teil ist das Bewusstsein dafür, wann und wo Daten anfallen – und wer sie erhält.

Fazit

Komfort ist kein neutrales Angebot – er ist ein Tauschgeschäft, dessen Bedingungen im Kleingedruckten stehen und dessen Konsequenzen sich erst sichtbar machen, wenn man die einzelnen Datenpunkte zusammenzählt. Wer versteht, wie Navigation, Smart-Home, Biometrie, Kontakt-Upload und Cloud-Dienste zusammenspielen, erkennt, dass das entstehende Profil weit über das hinausgeht, was man bewusst preisgegeben zu haben glaubt. Digitale Souveränität beginnt nicht mit einem Schritt, sondern mit der Entscheidung, den nächsten bewusst zu tun.