Absaugen ▓ 17 Minuten Lesezeit

Maria Brandl öffnet Instagram.

Maria Brandl sollte eigentlich lernen, bald steht ihr zweites Staatsexamen an. Aber sie ist abgelenkt, schaut auf ihr Handy, öffnet Instagram, scrollt durch Bilder und Videos von Freunden und Prominenten. Instagram hatte als App begonnen, in der man Fotos mit Freunden teilte. Heute ist es ein soziales Netzwerk mit mehr als einer Milliarde Nutzern. Seit 2012 gehört das Unternehmen zu Facebook und damit zu einer Gruppe von Konzernen, die in der Werbebranche „walled gardens“ heißen, ummauerte Gärten. Auch Amazon, Googles Mutterkonzern Alphabet und Apple gehören zu der exklusiven Gruppe. Wer ihre Dienste nutzen möchte, muss sich mit einer E-Mail-Adresse oder einer Telefonnummer registrieren, speichert vielleicht sogar Kontodaten. Diese Informationen sind für die Datenunternehmen besonders wertvoll, denn sie ändern sich oft über Jahre hinweg nicht. Und nun können sie angereichert werden, zu Kundenprofilen wachsen: was hat Maria Brandl gesucht, wofür interessiert sie sich, zu welcher Tageszeit hat sie die App geöffnet, wie häufig, in welchem Netz war sie eingeloggt? All das wird in Datenbanken gespeichert.

Ziel der walled gardens ist es, dass sich die Nutzer möglichst oft und lange innerhalb ihrer Mauern aufhalten. Denn dort können sie mit personalisierter Werbung angesprochen werden, sie mussten sich ja, gewissermaßen am Eingang zu dieser exklusiven Gartenparty, identifizieren. Und Instagram ist mit seinem Mutterkonzern Facebook wie ein Gastgeber, der sie unentwegt mit anderen Partygästen bekannt macht, die alle nur eines wollen: Sie wollen Menschen wie Maria Brandl etwas verkaufen.
Diese anderen Gäste haben eine kleine Summe für den Eintritt zur Party gezahlt, in der Hoffnung, dort mit dem Nutzer ins Gespräch und am Ende ins Geschäft zu kommen. So wird Facebook im laufenden Jahr Werbeeinnahmen von 67 Milliarden Dollar verdienen, wie das Marktforschungsunternehmen E-Marketer prognostiziert hat. Der allergrößte Anteil der globalen Werbebudgets wird allerdings bei Google ausgegeben: 2019 sollen es mehr als 100 Milliarden Dollar sein, bei Amazon immerhin noch 14 Milliarden.
Die ehemalige Harvard-Professorin Shoshana Zuboff prägte für dieses Geschäftsmodell den Begriff des „Überwachungskapitalismus“, der einer „parasitären ökonomischen Logik“ folge und zu einer „Enteignung kritischer Menschenrechte“ führe. Das Problem ist nur: Dieses System hat den Alltag von Millionen Menschen durchdrungen, weil seine Dienste das Leben leichter machen.
Wer nicht im Stau stehen will, der nutzt eine App von Google. Die App nutzt die Bewegungsdaten anderer Autofahrer, die schon im Stau stehen, und errechnet in Echtzeit eine schnellere Umleitung. Wer nicht samstags im Wahnsinn einer Einkaufsstraße nach einem Wintermantel suchen will, bestellt entspannt per Amazon-App und bekommt dort sogar die seltene Sondergröße und eine Empfehlung für passende Schuhe dazu. Einer aktuellen Studie des Digitalverbandes Bitkom zufolge, stimmten 87 Prozent der Befragten der Aussage zu, dass Smartphones „eine große Erleichterung im Alltag“ seien.
„Ich könnte ohne Google Maps nicht mehr leben“, sagt auch Maria Brandl, „das ist für mich wirklich eine Erleichterung.“ Sorgen um ihre Daten macht sie sich eher unterbewusst. Sie weiß, dass ihr digitaler Helfer nicht nur für sie, sondern für Konzerne arbeitet. Und dass ihr Smartphone, diese Wunderwaffe, zugleich eine Wanze ist. Nur merke man das eben nicht. „Da, wo die einen einen Gewinn machen, machen andere keinen Verlust. Es tut mir ja nicht weh.“ Es ist kaum spürbar, wenn Konzerne mit den eigenen Daten Profite machen.
Kritiker befürchten, dass der Preis des stillen Datensammelns schon bald spürbarer werden könnte. Bei der Vergabe von Krediten zum Beispiel oder bei Versicherungstarifen. Wer eine App des Versicherungskonzerns Allianz auf seinem Handy installiert, die seine Bewegungsdaten beim Autofahren übermittelt, bekommt heute schon Rabatte. Man muss nur vorsichtig fahren, nicht zu schnell durch Kurven, nicht zu stark bremsen, den Berufsverkehr meiden. Bisher sind solche Modelle freiwillig.
Es ist völlig unklar, was in Zukunft aus den Daten entsteht, die heute schon gesammelt werden. Einer der fleißigsten Beobachter der Datensammler, der Wiener Forscher Wolfie Christl, nennt dieses Problem „customer lifetime risk“, das Risiko des Kunden auf Lebenszeit. Aber wer denkt schon an künftige Folgen, wenn die Suche nach der nächsten Apotheke oder nach einem Campingstuhl so praktisch ist?

Maria Brandl sucht Campingzubehör.

Maria Brandl öffnet ihr Smartphone, in der App von Tchibo sieht sie sich Campingzubehör an. Von diesem Interesse erfährt in diesem Moment aber nicht nur Tchibo. Die Information geht auch an Google. Warum erfährt Google, dass Maria Brandl bei Tchibo Campingzubehör anschaut? In der Datenindustrie heißt dieser Vorgang „third party tracking“, Dritte verfolgen, was Menschen online so treiben. In diesem Fall ist dies der kalifornische Konzern. Er betreibt den Analysedienst Google Analytics. Millionen Websites und Apps integrieren diesen Dienst. Er ermöglicht es ihnen, nachzuvollziehen, worauf ein Nutzer klickt, wie lange er in der Anwendung bleibt und vieles mehr. So lässt sich leicht herausfinden, wie genau die Apps genutzt werden.
Auch Adjust, ein Berliner Unternehmen, erfährt von Brandls Camping-Vorlieben.

Dabei bleibt es nicht. Adjust und Google erhalten zudem eine Nummer, die die Münchnerin eindeutig identifiziert, vergleichbar mit einer Steuernummer. Die Analyse des Datenverkehrs von Maria Brandls Smartphone ergab, dass die meisten ihrer Apps diese Nummer auslesen und übertragen. Diese sogenannte Werbe-ID ist für ein Phänomen mitverantwortlich, das wohl jeder schon einmal erlebt hat: Man sucht in einer App nach einem Produkt, zum Beispiel einem Schlafsack, und ab diesem Moment erscheinen auch in anderen Apps Werbeanzeigen für genau diesen Schlafsack.

Das ganze Internet scheint plötzlich für diesen einen Schlafsack zu werben. Die Werbung klebt am Nutzer wie Harz am Finger. Und das so lange, bis er schwach wird und den Schlafsack kauft. Man kann diese Nummer loswerden, durch eine neue ersetzen und so die Werbung abschütteln. Smartphones mit Apple- und Googles Android-Betriebssystem erlauben das in den Systemeinstellungen. Doch ist diese Funktion gut versteckt. Und für die Datenunternehmer ist es leicht, herauszufinden, wer sich hinter einer neuen ID verbirgt. Google erklärte auf Anfrage, man könne seinen Analyse-Dienst auch ohne Werbefunktionen nutzen.
Und wenn sie die Identität von Maria Brandl einmal keiner dieser Nummern zuordnen können, dann hilft ihnen die Statistik. Denn wer sich nicht selbst verrät, den verraten andere: Nutzer mit ähnlichen Interessen, die mehr über sich preisgeben. Sie machen Maria Brandl ausrechenbar, zum Produkt simpler Wahrscheinlichkeitsrechnung. Die Handynutzer werden für das Ausspielen der Werbung dann in Gruppen eingeteilt. Maria Brandl wäre dann in dieser: weiblich, Wohnort München, zwischen 25 und 40 Jahre alt, interessiert an Camping. Für die Werbeindustrie heißt das: Wahrscheinlich ist sie auf der Suche nach Reiseangeboten und bereit, demnächst ihr Urlaubsgeld auszugeben.

Maria Brandl merkt von all dem nichts.

Der Programmiercode ihrer Küchenapp besteht aus einzelnen Bausteinen, und einige davon sind verwanzt. Ein solcher Baustein stammt von Facebook. Die Macher der Küchenapp haben ihn mutmaßlich eingebaut, um herauszufinden, wie die Nutzer sich in ihrer App verhalten, zur Analyse. Es gibt viele solcher Analyse-Dienste, aber der von Facebook ist für den Betreiber der App kostenlos. Vielleicht ist der Baustein aber auch in der App, weil er es den Nutzern ermöglicht, sich ganz bequem mit ihrem Facebook-Login für die Dienste der Küchenapp zu registrieren. Es gibt Tausende solcher verwanzter Bausteine. Programmierer setzen sie aus Bequemlichkeit und Kostengründen gern ein. Vor allem kostenlose Anwendungen sind voll davon, etwa Spiele-Apps. Was diese Bausteine alles können, wissen die Programmierer der Apps oft selbst nicht.
Auch auf Webseiten wird das Prinzip angewandt. Bekannt geworden ist es durch ein Urteil des Europäischen Gerichtshofes im Juli dieses Jahres zu Facebooks Like-Button. Diesen Knopf hatten deutsche Webseitenbetreiber zu Tausenden auf ihren Seiten eingebaut: Wem beispielsweise ein Nachrichtenartikel auf einer Webseite gefiel, der konnte das mit einem Klick seinen Freunden auf Facebook mitteilen, ohne die Nachrichtenseite zu verlassen. Der Programmiercode hinter diesem Knopf, dem Like-Button, sammelte personenbezogene Daten des Nutzers und sendete sie an Facebook. Beispielsweise seine IP-Adresse, eine Art eindeutige Anschrift im Netz. Egal ob man selbst ein Facebook-Konto hat oder nicht. Deutsche Datenschützer wollten die deutschen Webseitenbetreiber dafür verantwortlich machen. Die sahen jedoch alle Verantwortung bei Facebook. Der EuGH schließlich urteilte, dass die Betreiber einer Webseite ihre Besucher klarer darüber aufklären müssen, welche weiteren Firmen Daten über ihr Nutzungsverhalten bekommen.
Auf Webseiten funktioniert das in der Regel so: Beim ersten Aufrufen schiebt sich ein Fenster vor die Webseite, in dem erklärt wird, welche Verfahren eingesetzt werden. Seit im Mai 2018 die europäische Datenschutzgrundverordnung (DSGVO) in Kraft trat, muss jeder Nutzer auswählen dürfen, welche Form des Trackings die Webseite einsetzen darf.
Bei Smartphone-Apps funktioniert es ähnlich. Nach der Installation einer App muss der Nutzer die Einwilligung zur Verarbeitung seiner Daten geben. Welche weiteren Unternehmen die Daten dann erhalten, wird aus den Einwilligungserklärungen nicht immer ersichtlich. Die Analyse der SZ zeigte, dass die App-Betreiber die rechtlichen Anforderungen sehr unterschiedlich auslegen. Die App von Tchibo – in der Maria Brandl nach Campingutensilien suchte – deutet es schon als Einverständnis, wenn man die App nutzt. Der Verbraucherzentrale Bundesverband lässt derzeit einen ähnlichen Fall eines anderen Anbieters gerichtlich prüfen, weil dies nach seiner Auffassung keine aktive Zustimmung sei.
Tchibo erklärte auf Anfrage, man arbeite „an einer konzernweiten, umfassenden Lösung, die in Kürze bereitstehen wird, um der aktuellen Rechtsprechung vollumfänglich zu entsprechen“.
Wie sensibel die Daten sein können, die Apps an Facebook weitergeben, zeigt eine Untersuchung der Organisation Privacy International. Sie testete 36 verbreitete Android-Apps, mit denen Frauen ihren Menstruationszyklus protokollieren können und fruchtbare Tage oder die nächste Periode berechnet bekommen. Fast zwei Drittel der Apps sendeten Daten an Facebook, direkt nachdem sie geöffnet worden waren. Schon daraus lässt sich schließen, dass es sich bei der Nutzerin sehr wahrscheinlich um eine Frau handelt, die entweder ein Kind bekommen oder verhüten möchte. Ob die Nutzerinnen Facebook-Accounts hatten oder gar eingeloggt waren, spielte keine Rolle. Eine der untersuchten Apps gab sogar Symptome wie Bluthochdruck oder Schlaflosigkeit, die man in einem Tagebuch protokollieren konnte, an Facebook weiter. Ursache waren abermals verwanzte Bausteine. Facebook sagte auf Anfrage der SZ: „Unsere Nutzungsbedingungen verbieten es Entwicklern, uns sensible Nutzerdaten wie Informationen zu Gesundheit oder Finanzen zu schicken. Erhalten wir Kenntnis darüber, dass dies geschieht, gehen wir entsprechend dagegen vor.“
Zurück zu Maria Brandls Suche nach den Rezepten. Die Firma Adjust erfährt nun auch, für welches Essen sich Maria Brandl interessiert. Von ihrer Suche nach dem Campingzubehör in der Tchibo App wissen sie ja bereits.
Die Berliner Firma wirbt bei ihren Kunden, den App-Betreibern, mit den vielfältigen Informationen, die ihr Software-Baustein sammeln kann: Produktsuchen, Artikel auf Wunschlisten oder im virtuellen Einkaufskorb, wann sie den ersten Kauf abschließt. Oder für Reiseanbieter: Buchungen, Stornierungen, ein Online-Check-in. Die Technik des Unternehmens steckt nach eigenen Angaben schon in 25 000 Apps. 2019 investierten mehrere Kapitalgeber etwa 200 Millionen Euro in die Firma. Eine Erfolgsgeschichte. Auch in Apps der Süddeutschen Zeitung steckt Programmiercode von Adjust. Er liefert Analysten der SZ Informationen darüber, wie Nutzer die SZ-Apps gefunden und installiert haben. Diese Daten sind für die Analysten allerdings nicht auf einzelne Personen zurückführbar. Adjust erklärte auf Anfrage der SZ, keine Personenprofile zu erstellen und Daten nur im Auftrag zu verarbeiten.

Brandl sucht ein Netzwerk.

An diesem Spätnachmittag nutzt Maria Brandl die App des deutschen Berufsnetzwerks Xing. Hier vernetzen sich Geschäftsleute und solche die es werden wollen. Und Xing setzt offenbar eine Software ein, die Daten aus unterschiedlichen Quellen zusammenführen kann. Der amerikanische Softwareriese Adobe hat ein System entwickelt, das diese Aufgabe erleichtert.

Als Maria Brandl die Xing-App öffnet, erfährt deshalb auch Adobe davon. Der Konzern ist eines von vielen IT-Unternehmen, die in den letzten Jahren neben ihren originären Produkten auf das Geschäft mit Kundenprofilen und Digitalwerbung setzten. Informationen über Menschen erscheinen vielen als eine sichere Investition. Es ist auch eine Wette darauf, dass die technischen Möglichkeiten der Auswertung und Verarbeitung in Zukunft noch besser sein werden als sie es jetzt schon sind. Xing erklärte auf Anfrage, dass Adobe die Daten selbst nicht nutze, sondern nur im Auftrag verarbeite.
Neben den jungen Datenkonzernen gibt es Unternehmen, die jahrzehntelange Erfahrung haben im Sammeln personenbezogener Information: beispielsweise Wohnadressen aus öffentlichen Registern oder Auskünfte über die Kreditwürdigkeit eines Kunden. Die amerikanische Firma Acxiom ist so ein unbekannter Riese. In Deutschland spielt die Bertelsmann-Tochter Arvato in diesem Markt eine wichtige Rolle. Diese Firmen werden als Datenbroker bezeichnet und können oft das ergänzen, was Facebook und Google fehlt: Informationen, die nicht im Internet zu finden sind. Online-Profile werden durch Offline-Profile angereichert.
Viele dieser Unternehmen kooperieren und tauschen Informationen aus. So ist ein System entstanden, in dem der Einzelne kaum mehr verstehen kann, wer eigentlich welche Information über ihn besitzt – wer ihn überwacht oder gar manipuliert. Auf die Frage, wer in der Digitalindustrie mit wem Daten austausche, antwortet ein langjähriger Datenunternehmer: „Alle mit allen, es ist ein großer Puff.“
Wer sich in der vordigitalen Zeit vor einem staatlichen „Großen Bruder“ fürchtete, steht heute vor einem Geflecht aus Datenhändlern. Shoshana Zuboff bezeichnet es in Anlehnung an den Orwell’schen „Big Brother“ als „Big other“ – der große andere. Dem großen anderen seien Gedanken, Gefühle und Handlungen egal, solange seine technische Infrastruktur alles beobachten, registrieren und dem kapitalistischem Streben zugänglich machen könne.
Teil dieses Systems sind längst auch die Hersteller der Smartphones, wie Apple, Samsung oder Huawei. Maria Brandl nutzt ein Gerät des chinesischen Herstellers Xiaomi. Das Unternehmen ist in Deutschland noch relativ unbekannt, 2019 verkaufte es weltweit aber fast so viele Geräte wie Apple. Zum Bruchteil des Preises eines iPhones. Während die SZ den Datenverkehr beobachten kann, kommuniziert das Telefon unentwegt mit dem chinesischen Unternehmen. Nur an Google und Facebook gehen mehr Daten. Die Server von Xiaomi stehen zwar teilweise auch in anderen Ländern – ob Brandls Daten vor dem Zugriff chinesischer Behörden geschützt sind, ist aber unklar. Zudem überträgt das Gerät personenbezogene Informationen unverschlüsselt. „Wir halten das für extrem problematisch“, sagt Eliot Bendinelli von Privacy International, „die Nutzer können zu Recht davon ausgehen, dass ihr Telefon keine eindeutig identifizierenden Informationen mit dem Gerätehersteller teilt, vor allem nicht für Werbezwecke.“
Als Maria Brandl längst schläft, das zeigt die Analyse der SZ, sendet ihr Handy sogar eine Liste an Xiaomi, die verrät, welche App sie an diesem Tag wie lange genutzt hat. Auf eine SZ-Anfrage hat Xiaomi nicht reagiert.

Doch der „große andere“ hat in jüngster Zeit auch Rückschläge erlitten. Nach dem Skandal um die Firma Cambridge-Analytica und die mutmaßliche Beeinflussung der US-Wahlen im Jahr 2016 kündigte Facebook vergangenes Jahr an, die Zusammenarbeit mit Unternehmen wie Acxiom zu beenden. Und auch politisch gerät die Datensammlung in den USA zunehmend unter Druck. Die demokratische Präsidentschaftskandidatin Elizabeth Warren hat die Machtkonzentration der Tech-Konzerne zum Wahlkampfthema gemacht – mit der Drohung, sie zu zerschlagen. Die EU versucht es mit Regulierungen. Seit Mai 2018 zwingt die Datenschutzgrundverordnung (DSGVO) die Betreiber von Apps und Webseiten, die Nutzer umfänglicher darüber aufzuklären, was mit ihren Daten passiert und ihr Einverständnis einzuholen. Aber kann man sich darauf verlassen?

Brandl braucht Nachhilfe.

Maria Brandl kann das nicht überprüfen, sie hat andere Sorgen. Ihr Staatsexamen. Sie interessiert sich für Nachhilfe, sucht in der Kleinanzeigen-App von Ebay danach. Die Plattform ist ein digitaler Flohmarkt, nicht nur für Gebrauchsgegenstände, sondern auch für Dienstleistungen wie Nachhilfe.
Google erfährt von ihrer Suche.

Die App hatte sie aufgefordert, die Weitergabe von ihren Daten an „Partner“ zu akzeptieren. Im Hintergrund, auch das zeigt die Analyse der SZ, sendet die App aber schon vor der Zustimmung persönliche Informationen an mehrere Unternehmen. Ebay-Kleinanzeigen bestätigte auf Nachfrage der SZ, dass bereits vor der Einwilligung Daten an „einige wenige Partner“ gesendet werden könnten. Die personenbezogenen Daten würden aber ohne die Zustimmung des Nutzers nicht weiterverarbeitet, dies sei eine branchenübliche Lösung.
Ebay-Kleinanzeigen bestätigte auch, wie die App ihre Nutzer regelrecht versteigert. Versteigerungen von Nutzerprofilen finden auf vielen digitalen Plattformen statt, die sich durch Werbung finanzieren.
Noch während die App oder die Webseite lädt, werden der Platz für eine Werbeanzeige und das Profil von Nutzern wie Maria Brandl wie auf einer vollautomatisierten Börse angeboten. Das ganze passiert in Millisekunden:

Die App signalisiert einem Vermarkter, dass sie einen freien Werbeplatz hat.
Der freie Werbeplatz wird mit Informationen über den App-Nutzer zur Auktion gebracht. Eine Software findet dafür einen passenden Bieter. Der hatte sein Gebot im Vorhinein für bestimmte Zielgruppen abgegeben.
Nach der Auktion wird die Werbung des Bieters in der App angezeigt.
Für Kunden, in deren Profil eine Vorliebe für Camping festgehalten ist, hat beispielsweise ein Campingausrüster den Zuschlag erhalten. Aber nicht nur der erfolgreiche Bieter hat für die Auktion das Profil von Maria Brandl erhalten, sondern auch die Unterlegenen. Es wird ausgestellt wie auf dem Viehmarkt.

Maria Brandl sucht Rezepte.

Auch beim Kochen nimmt Maria Brandl ihr Telefon zu Hilfe. „Kitchenstories“ ist eine von inzwischen Hunderten Apps, in denen jedermann seine Kochrezepte anderen zum Nachkochen anbieten kann. Während Brandl nach Rezepten sucht, wird sie abermals verfolgt: von Facebook.

Obwohl die Küchenapp nicht zu Facebook gehört, erfährt das Unternehmen, in welchem Netz Maria Brandl surft, welches Handymodell sie nutzt, wie groß der Bildschirm ist, in welcher Zeitzone sie sich aufhält, welche Sprache sie eingestellt hat und abermals die Identifikationsnummer.
Netzanbieter: [Telekom.de]
Smartphone-Modell: [Redmi 6A]
Bildschirmauflösung: [720x1344]
Zeitzone: [Europe/Berlin]
Sprache: [DE]

Maria Brandl geht ins Bett.

Zum letzten Mal entsperrt Maria Brandl ihr Handy, liest einige Nachrichten, dann legt sie sich schlafen. Ihr Tag ist zu Ende. Ihr Smartphone arbeitet weiter.