Datenschutz & Sicherheit
Auslegungssache 158: Die Databroker Files
Was passiert eigentlich mit den Standortdaten, die Smartphone-Apps tagtäglich sammeln? Diese Frage haben sich Ingo Dachwitz und sein Kollege Sebastian Meineck von netzpolitik.org gestellt. Seit fast zwei Jahren sind sie gemeinsam mit dem Bayerischen Rundfunk und internationalen Partnern den sogenannten „Databroker Files“ auf der Spur. Was sie dabei zutage förderten, ist erschreckend: Über die Plattform Datarade.ai bekamen die Journalisten von Datenhändlern kostenlose „Probedatensätze“ mit inzwischen mehr als 13 Milliarden Standortdaten aus über 140 Ländern zugespielt. Allein in einem deutschen Datensatz fanden sich 3,6 Milliarden Standortpunkte, zugeordnet zu rund elf Millionen Smartphones.
Weiterlesen nach der Anzeige
Im Gespräch mit c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich erläutert Dachwitz, wie die Recherche funktionierte. Mit einem von BR-Datenjournalistin Katharina Brunner gebauten Tool ließen sich die Daten auf Karten visualisieren. Anhand der Mobile Advertising ID – einer eindeutigen Werbe-Kennung, die Android und iOS den Apps zur Verfügung stellen – konnten die Bewegungsmuster einzelner Personen über Wochen nachvollzogen werden.

Ingo Dachwitz im c’t-Podcast Auslegungssache
Mit einfachen OSINT-Methoden, etwa dem Abgleich von Wohnadressen mit Klingelschildern und Telefonbüchern, gelang es dem Team in einigen Fällen, die vermeintlich anonymen Daten Personen zuzuordnen: hochrangigen Beamten, Mitarbeitern von Bundesnachrichtendienst und Verfassungsschutz, Soldaten auf US-Militärbasen wie dem Fliegerhorst Büchel und sogar einer mutmaßlichen NSA-Mitarbeiterin in Bad Aibling.
Bußgeld ante portas
Die Daten stammen aus zwei Quellen: zum einen aus Tracking-SDKs, die App-Entwickler gegen kleines Geld in ihre Anwendungen einbauen, zum anderen aus Echtzeit-Auktionssystemen für Online-Werbung (Real-Time Bidding). Besonders aufgefallen war den Journalisten die App Wetter Online. Die nordrhein-westfälische Datenschutzaufsicht stattete dem Anbieter daraufhin einen Besuch ab und stellte fest, dass tatsächlich präzise Standortdaten abflossen. Auch die Hamburger Datenschutzbehörde wurde aufgrund der Recherche bei einer Dating-App fündig.
Rechtlich, da sind sich die drei einig, ist das gesamte Geschäftsmodell kaum zu rechtfertigen. Eine Einwilligung kann die komplexen Datenflüsse mit hunderten beteiligten Firmen praktisch nicht abbilden, ein berechtigtes Interesse scheidet nach Auffassung der Datenschutzbehörden für Werbe-Tracking ohnehin aus. Hinzu kommt, dass sich Plattformen wie Datarade laut Dachwitz selbst nicht als Verantwortliche im Sinne der DSGVO sehen, sie vermittelten ja nur. Dachwitz fordert daher eine politische Debatte: Statt die Verantwortung allein auf Nutzer abzuwälzen, brauche es klare Verbote bestimmter Datengeschäfte.
Wer sich schützen will, kann immerhin die Werbe-ID auf dem Smartphone zurücksetzen oder deaktivieren, Apps den Standortzugriff nur bei aktiver Nutzung erlauben und konsequent Tracking ablehnen. Ein Tool auf netzpolitik.org erlaubt es zudem, die eigene Werbe-ID gegen den deutschen Datensatz abzugleichen.
Weiterlesen nach der Anzeige
Episode 158:
Hier geht es zu allen bisherigen Folgen:
(hob)
Datenschutz & Sicherheit
Routerhersteller fordern Kontrolle importierter Geräte
Vier deutsche und ein litauischer Routerhersteller fordern scharfe Kontrolle importierter Internet-Netzwerkgeräte in Europa. Vorbild sollen die gegen chinesische Erzeugnisse gerichteten Sicherheitsvorschriften der EU für den 5G-Mobilfunk sein. „Router und Netzwerkgeräte müssen von der Politik ebenso stringent geschützt werden wie 5G-Netze“, heißt es in der Mitteilung des neu gegründeten Safenet-Verbands. Beteiligt sind die deutschen Unternehmen Fritz, Devolo, Lancom und TDT sowie Teltonika aus Litauen.
Weiterlesen nach der Anzeige
Wie das 5G-Instrumentarium der EU zielen die Forderungen auf chinesische Produkte, auch wenn diese in der Mitteilung nicht ausdrücklich genannt sind. Da Telekommunikationsgeräte von außen über das Netzwerk aktualisiert und gewartet werden können, gibt es Sorgen, dass staatliche chinesische Stellen dieses Einfallstor für Spionage und gegebenenfalls sogar Sabotage nutzen könnten, um Netzwerke im Konfliktfall stillzulegen.
Die Ampel-Koalition hatte den 5G-Mobilfunkanbietern vorgeschrieben, ab 2026 keine Komponenten der beiden chinesischen Hersteller Huawei und ZTE im Kernnetzwerk mehr einzubauen.
Vorwurf: Kontrolle außereuropäischer Heimnetzwerkgeräte fehlt
Nach einer von den Firmen zitierten Studie laufen aber nur sieben Prozent des europäischen Internetverkehrs über den Mobilfunk, 93 Prozent hingegen über Router und Heimnetz-Gateways. Der Marktanteil chinesischer Hersteller in diesem Bereich beläuft sich demnach auf knapp 40 Prozent. Die fünf heimischen Unternehmen werfen der Politik vor, dass die EU-Märkte in diesem Bereich offen für außereuropäische Produkte seien, die strategische Abhängigkeiten erzeugten und Sicherheitsrisiken darstellten.
Herkunftsnachweis, europäische Technik und Sicherheitsregeln
So haben die fünf Unternehmen drei Forderungen: Hersteller und Internetanbieter sollen ausweisen, wo Geräte und Firmware hergestellt und entwickelt werden. Behörden, Betreiber kritischer Infrastruktur und öffentlich finanzierte Einrichtungen sollen europäische Netzwerktechnologie nutzen. Und die EU soll neben dem 5G-Instrumentarium vergleichbare Sicherheitsvorschriften für Router und Netzwerktechnologie erlassen.
Weiterlesen nach der Anzeige
(dmk)
Datenschutz & Sicherheit
DAK-Studie: Jugendliche geben jährlich bis zu 1200 Euro online aus
Influencer und soziale Medien haben inzwischen einen erheblichen Einfluss auf das Online-Shopping-Verhalten von Kindern und Jugendlichen. So werden 47 Prozent der Jungen und Mädchen im Alter von 10 bis 17 Jahren durch Werbung auf Social-Media-Plattformen auf Produkte aufmerksam, 40 Prozent durch Empfehlungen von Influencerinnen und Influencern. Dies geht aus der Mediensucht-Sonderanalyse der Krankenkasse DAK-Gesundheit und des Universitätsklinikums Hamburg-Eppendorf (UKE) hervor, die der Deutschen Presse-Agentur vorliegt.
Weiterlesen nach der Anzeige
1,2 Prozent gelten als problematische Online-Käufer
Die starke Präsenz von Influencern und algorithmisch gesteuerter Werbung kann der Studie zufolge auch zu einer Gefahr werden. So gälten 1,2 Prozent der 10- bis 17-Jährigen bereits als problematische Online-Käufer. Mädchen seien dabei mit 1,3 Prozent etwas häufiger betroffen als Jungen mit 1,0 Prozent. Zwar gaben mehr als drei Viertel der Jugendlichen an, nie oder nur unregelmäßig online einzukaufen. Doch mit zunehmendem Alter ändere sich das: So kaufen 28,5 Prozent der 14- bis 17-Jährigen mindestens einmal monatlich online ein.
Kaufentscheidungen entstünden oft im Zusammenspiel aus sozialer Orientierung an Influencern sowie algorithmisch beeinflussten Wünschen und Impulsen, sagte die Studienleiterin und ärztliche Leiterin des Deutschen Zentrums für Suchtfragen des Kindes- und Jugendalters (DZSKJ) am UKE, Kerstin Paschke. „Junge Menschen sind aufgrund ihrer neurobiologischen und psychologischen Entwicklung besonders empfänglich für diese manipulativen Mechanismen zur Konsumförderung.“
Ausgaben von bis zu 1200 Euro im Jahr in Online-Shops
Der Untersuchung zufolge stöbern inzwischen fast vier von zehn Kindern und Jugendlichen zwischen 10 und 17 Jahren mindestens einmal pro Woche in Online-Shops – mit Folgen: So gaben 12,2 Prozent der Kinder und Jugendlichen an, bis zu 1200 Euro pro Jahr auszugeben. Etwa ein Drittel (32,1 Prozent) kaufe für 10 bis 20 Euro im Monat ein, bei rund einem Viertel (26,3 Prozent) liege der Betrag zwischen 21 und 50 Euro.
Lesen Sie auch
Beliebteste Plattform sei dabei Amazon, aber auch chinesische Plattformen wie Temu oder Shein schafften es unter die Top 5. Sie werben vor allem mit niedrigen Preisen und nutzten auch Glücksspielelemente. „Wenn Kaufimpulse vor allem über soziale Medien entstehen, müssen Kinder und Jugendliche lernen, Werbung und kommerzielle Interessen dahinter zu erkennen“, sagte der Vorstandsvorsitzende der DAK-Gesundheit, Andreas Storm. Für Eltern, Schulen und Politik werde es damit noch wichtiger, Jugendliche im Umgang mit kommerziellen Inhalten zu schützen und zu unterstützen.
Weiterlesen nach der Anzeige
Lifestyle- und Trendprodukte im Kauf-Fokus
Im Kauf-Fokus stehen der Studie zufolge vor allem Lifestyle- und Trendprodukte. Besonders gefragt seien Kleidung, Schuhe und Accessoires (66,9 Prozent), gefolgt von Elektronikprodukten (43,6 Prozent), Medien- und Unterhaltungsangeboten (31,2 Prozent) sowie Beauty- und Pflegeprodukten (29,7 Prozent).
Für die repräsentative Stichprobe befragte das Meinungsforschungsinstitut Forsa den Angaben zufolge zwischen dem 24. September und dem 12. Oktober 2025 insgesamt 1005 Kinder und Jugendliche sowie jeweils ein Elternteil.
(afl)
Datenschutz & Sicherheit
Cybergang ShinyHunters attackiert Oracle-PeopleSoft-Schwachstelle | heise online
Am Donnerstag vergangener Woche wurde eine kritische Codeschmuggel-Lücke in Oracle PeopleSoft bekannt. Die kriminelle Online-Bande ShinyHunters greift die Schwachstelle offenbar bereits an, warnen IT-Forscher. Auch die US-amerikanische IT-Sicherheitsbehörde CISA hat die Lücke in den „Known-Exploited-Vulnerabilities“-Katalog aufgenommen.
Weiterlesen nach der Anzeige
Oracle hatte außer der Reihe der üblichen vierteljährlichen „Critical Patch Updates“ (CPU) sowie der neuen, in den Monaten dazwischen eingeschobenen „Critical Security Patch Updates“ (CSPU) vor der Sicherheitslücke gewarnt. Sie betrifft demnach Oracle PeopleSoft PeopleTools und möglicherweise Oracle PeopleSoft Enterprise Applications. Details sind unklar, jedoch können Angreifer aus dem Netz ohne vorherige Anmeldung mit HTTP-Paketen Schadcode einschleusen und ausführen (CVE-2026-35273, CVSS 9.8, Risiko „kritisch“). Betroffen sind die Versionen PeopleSoft Enterprise PeopleTools 8.61 und 8.62, Updates verlinkt Oracle in der Sicherheitsmitteilung, sie sind nach Anmeldung zugänglich.
Erpressungskampagne setzt auf Oracle-Schwachstelle
IT-Forscher von Googles Tochterunternehmen Mandiant haben eine Analyse zu den beobachteten Angriffen veröffentlicht. Demnach missbraucht die Cybergang ShinyHunters, auch als UNC6240 geführt, die Schwachstelle in Oracle PeopleSoft, um Systeme zu kompromittieren und die Betreiber um Lösegeld zu erpressen. Sie ziele auf Environment-Management-Hub-Endpoints (PSEMHUB). Die Angriffe laufen bereits seit dem 27. Mai 2026, ergänzen die IT-Forscher, es handelt sich also um den Missbrauch einer Zero-Day-Lücke.
Die Mandiant-Analysten haben eigenen Angaben zufolge weltweit mehr als 100 Organisationen kontaktiert, deren IP-Adressen mit verwundbaren Endpunkten korrelieren; ein Großteil liegt in den USA, etwas mehr als zwei Drittel davon im höheren Bildungswesen. Die IT-Forscher erörtern die Funde nach den Angriffen im Detail. Sie leiten daraus auch Gegenmaßnahmen ab, etwa die Zugriffsbeschränkung auf die Endpunkte „/PSEMHUB/*“, insbesondere „PSEMHUB/hub“ und „/PSIGW/HttpListeningConnector“ auf interne IP-Adressen – sofern das Deaktivieren des EMHub-Dienstes nicht in Frage kommt. Beschränkungen mit Web-Application-Firewalls seien unzureichend, da die sich überwinden ließen, erklären die IT-Forscher weiter. Admins sollen zudem Protokolldateien und Endpunkte überwachen und auf ausgehenden Traffic auf Port 445 achten. IT-Admins finden in der Analyse noch weiterreichende Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC), anhand derer sie ihre Systeme überprüfen können.
(dmk)
-
Künstliche Intelligenzvor 3 Monaten
JBL Bar 1300MK2 im Test: Soundbar mit Dolby Atmos, starkem Bass und Akku‑Rears
-
Künstliche Intelligenzvor 3 MonatenOscars 2026: Was die heise‑Leser anders entschieden hätten
-
Künstliche Intelligenzvor 3 MonatenEmpfehlungsalgorithmen bei TikTok erklärt: Die Maschine hinter dem Endlos‑Feed
-
Social Mediavor 3 MonatenVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
-
Künstliche Intelligenzvor 2 Monaten„Don’t Starve Elsewhere“: Survival‑Hit kehrt nach zehn Jahren zurück
-
Künstliche Intelligenzvor 2 MonatenWeitere Entlassungswelle bei Disney: Bis zu 1000 Mitarbeiter betroffen
-
Künstliche Intelligenzvor 2 MonateniX-Workshop Angriffsziel lokales AD − Schwachstellen finden und beheben
-
Künstliche Intelligenzvor 2 MonatenKine‑Exakta: Die erste Spiegelreflexkamera fürs Kleinbild
