„… du bist das Produkt.“ Das ist eine besonders dunkle Facette der „kostenlosen“ Programme und Dienste im Web, und trotz der Forderungen nach mehr Transparenz ist klar, dass die Praxis weiterhin existiert, wenn auch im Hintergrund. Die Leute von Motherboard und PCMag haben gerade eine Untersuchung veröffentlicht, die auf geleakten Dokumenten einer Tochtergesellschaft von Avast namens Jumpshot basiert. Die Dokumente bestätigen den Verkauf von Daten, die vom Avast-Antivirus gesammelt wurden, einschließlich Suchanfragen, Klicks und Online-Käufen. Doch wenn etwas so beunruhigend ist wie diese Datensammlung, dann ist es die Liste der Käufer …
Die Enthüllung
Avast meldet offiziell 435 Millionen aktive Nutzer. Der Hauptmotor hinter dieser Zahl ist sein kostenloser Antivirus, und es ist nicht abwegig zu glauben, dass das Unternehmen versucht, ihn zu monetarisieren. Die Frage ist: Wie weit ist es bereit zu gehen? Der erste Konfliktpunkt entstand im Oktober des letzten Jahres, als der Schöpfer der Adblock-Plus-Erweiterung, Wladimir Palant, auf seinem persönlichen Blog veröffentlichte, dass die Erweiterungen von Avast und AVG eine massive Menge an Daten sammelten, in einem Ausmaß, dass es möglich war, vollständige Browserverläufe und einen Großteil des Nutzerverhaltens im Web zu rekonstruieren.
Nach einer anfänglichen Blockierung durch Firefox bestätigte Avast, dass es „transparentere“ Versionen seiner Erweiterungen veröffentlichen würde … aber alles deutet darauf hin, dass sein endgültiger Schachzug darin bestand, den Sammlungsmechanismus in den Antivirus selbst zu verlagern. Eine von Motherboard und PCMag veröffentlichte Untersuchung, die auf geleakten Dokumenten der Tochtergesellschaft Jumpshot basiert (die Avast 2013 übernommen hat), zeigt, dass Avast sensible Nutzerdaten an Kunden mit sehr hohem Profil verkauft, darunter Google, Microsoft, Pepsi, IBM, L’Oréal, Condé Nast und Home Depot.
Nun soll die Datensammlung bei Avast opt-in sein, aber nicht wenige Nutzer wussten nichts von dem Verkauf dieser Informationen an Dritte. Eine erweiterte Analyse bestätigt die Erfassung von Google-Suchanfragen, Standorten und GPS-Koordinaten in Google Maps, Besuchen von Firmenprofilen auf LinkedIn, YouTube-Videos und Zugriffe auf Erwachseneninhalte (PornHub, YouPorn). Tatsächlich tauchen auch die verwendeten Begriffe auf diesen Portalen auf, sogar spezifische Videos. Dieses Mega-Paket an Daten enthält keine persönlichen Identifikationsmerkmale, dennoch ist es nicht auszuschließen, dass einige Nutzer deanonymisiert werden können.
All Click Feed und die Twitter-Werbung
Die Vermarktung dieser Daten erfolgt über verschiedene Produktlinien, die Jumpshot seinen Kunden anbietet. Eine der beunruhigendsten trägt den Namen „All Click Feed“ und ermöglicht es Interessenten, Details über die Klicks zu erwerben, die Jumpshot auf bestimmten Domains erkennt, wie Amazon, Walmart, Target, Best Buy oder eBay. Sogar in ihrem Twitter-Account sprechen sie über „Jede Suche. Jeder Klick. Jeder Kauf. Auf jeder Seite.“.
Und sie zahlen eine wahre Summe. Eine New Yorker Marketingfirma, Omnicom Media, zahlte mehr als sechseinhalb Millionen Dollar für den Datenzugriff in den Jahren 2019, 2020 und 2021. Was Omnicom bisher erhalten hat, sind die Klick-Feeds in 14 verschiedenen Ländern, von den USA bis Neuseeland. Auf der Grundlage des „Navigationsverhaltens“ „deduziert“ das Produkt das Geschlecht des Nutzers und sein Alter.
Und damit kommen wir zu einem weiteren besorgniserregenden Aspekt: Jeder Nutzerverlauf hat eine dauerhaft zugewiesene „Device-ID“. Wenn jemand genügend Daten kombiniert, könnte diese Device-ID jeden Versuch der Anonymisierung zunichte machen. Laut Eric Goldman, Direktor des Instituts für Hochtechnologierecht an der Santa Clara University, ist es „fast unmöglich“, Daten zu anonymisieren oder zu de-identifizieren. Kurz gesagt: Bis eine fortschrittlichere Transparenz- und Datenschutzpolitik in Kraft tritt, können wir nur die Deinstallation von Avast, AVG und allen zugehörigen Produkten empfehlen.
Quellen: Motherboard, PCMag
