Über viele Jahre lang war der US-Databroker Gravy Analytics dafür bekannt, massenhaft Daten von Handy-Nutzenden zu horten – ob die betroffenen Nutzer*innen das nun bewusst wollten oder nicht. Jetzt ist das eingetreten, wovor Fachleute immer gewarnt haben: Gravy Analytics hat offenbar die Kontrolle über seinen Datenschatz verloren.
Ein oder mehrere Hacker*innen behaupten, große Mengen sensibler Daten von Gravy Analytics erbeutet zu haben. Einen Ausschnitt davon haben sie bereits verbreitet. Es geht unter anderem um Standortdaten und Geräte-Kennungen (Mobile Advertising IDs) von Handy-Nutzenden weltweit. Sie drohen außerdem, die gesamten erbeuteten Daten zu veröffentlichen.
Für eine kurzfristige Presseanfrage war die Mutterfirma von Gravy Analytics, Unacast, nicht zu erreichen. Die Website von Gravy Analytics selbst ist am Donnerstagabend offline.
Was droht, wenn die Daten öffentlich werden? Wie ungewöhnlich ist der Vorfall? Und wer ist Gravy Analytics überhaupt? Die wichtigsten Fragen und Antworten.
Am 7. Januar berichtete das US-Medium 404 Media erstmals über den mutmaßlichen Hack von Gravy Analytics, verkündet in einem russischen Hackerforum. Die US-Firma Gravy Analytics hat sich aufs Sammeln und Auswerten von Standortdaten spezialisiert. Auch erste Ausschnitte aus den Daten erschienen im Netz.
Wenig später meldeten sich IT-Sicherheitsforscher zu Wort, die einen ersten Blick auf die Daten werfen konnten. Ihr Tenor ist eindeutig: Sie halten die Daten für authentisch. Gegenüber der Nachrichtenagentur Reuters sagte etwa Marley Smith von der IT-Sicherheitsfirma RedSense: „Es erscheint zu 100 Prozent stichhaltig“ (auf Englisch: „It passes the smell test 100 percent“).
Gegenüber 404 Media sagte der IT-Sicherheitsexperte Zach Edwards vom Unternehmen Silent Push: „Der Hack eines Standortdaten-Brokers wie Gravy Analytics ist das absolute Horrorszenario, das alle Datenschützer*innen befürchtet und vor dem sie gewarnt haben.“
Zu den wichtigsten Funden in den Daten gehören einerseits Kombinationen aus Geo-Koordinaten und Geräte-Kennungen (mobile advertising IDs). Mit ihnen lassen sich potentiell detaillierte Bewegungsprofile von Handys erstellen – und damit von ihren Besitzer*innen. Häufungen von Standortdaten können verraten, wo eine Person wohnt und zur Arbeit geht. Auch Ausflüge, Reisen oder Besuche in Praxen, Kliniken, Kirchen, Bordellen und so weiter lassen sich ablesen.
In den bislang veröffentlichen Ausschnitten fanden IT-Sicherheitsforschende Standortdaten aus mehreren Ländern weltweit.
Brisant ist ebenso eine bereits öffentlich gewordene Liste mit mehr als 15.000 Apps. Demnach war Gravy Analytics im Besitz der Standortdaten von Nutzer*innen dieser Apps. Darunter sind weltweit populäre Apps aus allen typischen Kategorien wie Gaming, Dating, Wetter oder Nachrichten.
Problematisch sind die umfangreichen Datensätze schon in den Händen
der Firmen, für die sie gesammelt wurden: Werbeunternehmen, die anhand
umfangreicher Überwachung nach den besten Wegen suchen, um Menschen
Dinge zu verkaufen. Das können teurer Schmuck für spezifische Zielgruppen
wie Viel-Shopper*innen, Online-Casino-Besuche für Spielsüchtige oder
teure Therapien für verzweifelte Menschen mit schweren Krankheiten sein.
Allerdings lassen sich gerade mit Standortdaten noch schlimmere Dinge
anstellen. Stalker*innen können damit ihren Opfern nachstellen.
Täter*innen können ihre (Ex-)Partner*innen ausspionieren.
Arbeitgeber*innen können ihre Angestellten überwachen. Behörden können
auskundschaften, wer welche Demos besucht. Rechtsradikale könnten die
Adressen politischer Gegner*innen finden.
Recherchen von netzpolitik.org und anderen Medien haben in der jüngeren Vergangenheit noch eine andere Gefahr deutlich gemacht:
für die Sicherheit von Staaten. Denn auch Menschen, die in
sicherheitsrelevanten Bereichen arbeiten, werden von Datenhändlern
exponiert. So haben wir in Datensätzen von Databrokern Standorte von
Personen gefunden, die auf Militärstützpunkten und kritischer
Infrastruktur ein- und ausgehen, die in Bundesministerin, bei der
Polizei oder bei Geheimdiensten arbeiten.
Ausländische Geheimdienste können solche Informationen für Spionage,
Sabotage oder Erpressung nutzen. Zahlreiche Firmen der sogenannten ADINT-Branche haben sich darauf spezialisiert, die Werbeüberwachung auch für staatliche Akteure nutzbar zu machen.
Schon im alltäglichen Geschäft kontrollieren einige Datenhändler
kaum, an wen sie Daten herausgeben, wie nicht nur unsere Recherchen
belegen. Ein Leak würde die Daten noch leichter zugänglich machen, die
Gefahren vervielfachen sich damit.
