Datenschutz & Sicherheit
Die magische Anziehungskraft des Social-Media-Verbots
Wie kann man Kinder und Jugendliche vor den schädlichen Seiten sozialer Medien schützen? Darüber diskutieren derzeit Fachleute aus Politik, Wissenschaft und Zivilgesellschaft. Ob in Deutschland oder der EU, in Großbritannien oder Australien – im Zentrum der Aufmerksamkeit steht vor allem eine Maßnahme: harte Altersgrenzen.
Soziale Medien sollen demnach ein Mindestalter bekommen, durchgesetzt durch harte Altersschranken für alle, die im Internet unterwegs sind. Ein Internet voller Kontrollen: Die Gefahren für Grundrechte sind enorm.
Jüngst hat ein Team aus neun Forscher*innen für den Verein Leopoldina ein Diskussionspapier vorgelegt. Es beschreibt die möglichen Gefahren sozialer Medien für Minderjährige und gibt konkrete politische Empfehlungen. Die Leopoldina ist eine vom Bund und dem Land Sachsen-Anhalt finanzierte Gelehrtengesellschaft. Sie hat es sich unter anderem zur Aufgabe gemacht, Politik und Öffentlichkeit zu beraten.
Große Nachrichtenmedien haben auf das Papier schnell und vor allem einseitig reagiert. „Keine Social-Media-Accounts für unter 13-Jährige“, titelte etwa tagesschau.de. Auch in der Spiegel-Schlagzeile stand: „Leopoldina empfiehlt Verbot“.
Zwar steht das Verbot durchaus in dem 76-seitigen Papier. Doch gerade bei den Altersschranken argumentieren die Forschenden unsauber, wie die folgende Analyse in sieben Schritten zeigt. Jenseits von Alterskontrollen haben die Forschenden der Leopoldina dagegen Spannendes zu sagen, darunter radikale Kritik am Geschäftsmodell von Big Tech.
1) Die Wissenschaft weiß, dass sie nichts weiß
Aus dem Leopoldina-Papier geht hervor: Die Debatte um ein Social-Media-Verbot steht wissenschaftlich auf schwachem Fundament. Schaden soziale Medien überhaupt der Gesundheit von Kindern und Jugendlichen? „Der Großteil der verfügbaren Evidenz ist korrelativer, nicht kausaler Natur“, stellen die Forschenden fest.
Das bedeutet: Man konnte noch nicht sicher nachweisen, was soziale Medien genau bei Minderjährigen anrichten können. Die Expert*innen der Leopoldina bezeichnen die Forschungslage als „unbefriedigend“. Auch die Frage, wie soziale Medien auf das Gehirn einwirken, sei „bislang noch kaum neurowissenschaftlich untersucht“.
Allerdings lassen sich psychische Schäden möglicherweise nicht rückgängig machen, warnen die Forschenden. Deshalb treffen sie eine Entscheidung: Sie plädieren für Vorsicht statt Nachsicht. Dieses Vorsorgeprinzip sei ein „ethischer Standard zum Umgang mit Unsicherheit“. Darauf basieren die Empfehlungen der Leopoldina.
2) Leopoldina sieht Vor- und Nachteile sozialer Medien
Bevor sie konkrete Tipps auf den Tisch legen, zeichnen die Forschenden zunächst ein ambivalentes Bild. Soziale Medien können demnach auch gut für das Wohlbefinden sein. Jugendliche pflegen über Social Media etwa Kontakte, finden Unterstützung und erleben soziale Verbundenheit. „Dies ist insbesondere für Minderheiten und vulnerable Gruppen wie LGBTQ+ wichtig“, schreiben die Forschenden.
Zudem würden viele junge Menschen soziale Medien als Informationsquelle nutzen. Dabei gehe es um Trends und um das Weltgeschehen. Den eigenen Interessen nachzugehen könne junge Nutzer*innen „inspirieren und ihren Horizont erweitern“. Sie können zudem untereinander Wissen austauschen.
Als negative Seiten sozialer Medien nennen die Forschenden etwa Bedrohungen und Belästigungen oder Unzufriedenheit mit dem eigenen Körper und Selbstbild. Gerade bei Mädchen gebe es ein erhöhtes Risiko für sexuelle Übergriffe. Jugendliche, die Social Media suchtartig nutzen, können unter anderem Schlafprobleme bekommen, gestresst und nervös sein, Symptome von Depressionen entwickeln. Die Aufmerksamkeit könne sinken, die Leistungen in der Schule könnten schlechter werden.
Zudem gebe es Hinweise, dass sich Menschen besser fühlen, wenn sie Social-Media-Zeit reduzieren: „Erste Studien mit jungen Erwachsenen in Deutschland und den USA zeigen, dass eine bewusste Reduktion der täglichen Nutzungsdauer um 20 bis 30 Minuten bereits zu deutlichen Verbesserungen der psychischen Gesundheit führt.“
3) Radikale Kritik am Geschäftsmodell sozialer Medien
Stellenweise ist das Leopoldina-Papier visionär, etwa wenn die Forschenden das schiere Geschäftsmodell sozialer Medien ins Visier nehmen.
Es ließe sich zweifellos argumentieren, dass wirksame Maßnahmen grundsätzlicher am Geschäftsmodell der Aufmerksamkeitsökonomie ansetzen müssten – schließlich betreffen dessen negative Folgen nicht nur Kinder und Jugendliche, sondern auch Erwachsene.
Konkret kritisieren die Forschenden „die Extraktion und Monetarisierung von Aufmerksamkeit“ durch Digitalkonzerne. Das fördere „technologische Strategien zur Maximierung der Nutzerbindung“ und schaffe „gezielt suchtfördernde Strukturen“.
Einfacher ausgedrückt: Weil die Konzerne vor allem durch personalisierte Werbung Geld verdienen, nutzen sie allerlei Psychotricks, damit Menschen möglichst lange am Bildschirm kleben bleiben. Es geht etwa um manipulative Designs oder um die die Sogwirkung algorithmisch optimierter Feeds. Und das ist nicht nur eine Gefahr für Minderjährige, sondern für alle, wie die Forschenden herausstellen.
Das „Prinzip der Aufmerksamkeitsökonomie“ ist nicht nur eine Nebensache, sondern steht laut Papier „im Zentrum vieler digitaler Geschäftsmodelle“. Warum also nicht ran an diese gesellschaftlich schädlichen Geschäftsmodelle? Konkrete Ideen gibt es dafür längst. So ließen sich etwa die Macht der Plattformen begrenzen, Tracking und Profilbildung zu Werbezwecken untersagen sowie süchtigmachende und manipulative Designs bekämpfen.
Zumindest kurz darüber nachgedacht haben die Leopoldina-Expert*innen offenbar. Sie schreiben, ein „solcher Ansatz wäre ein langfristiges politisches Vorhaben, während die akute Gefährdung von Kindern und Jugendlichen rasches Handeln erfordert.“
4) Mehr als Alterskontrollen: Das empfiehlt die Leopoldina
Um Kinder und Jugendliche kurzfristig vor den Gefahren sozialer Medien zu schützen, empfiehlt die Leopoldina ein Bündel an Maßnahmen. Ausdrücklich raten die Forschenden davon ab, allein auf Alterskontrollen zu setzen.
Heranwachsende sollten vor den Risiken sozialer Medien geschützt werden – und zugleich die Chance erhalten, einen reflektierten und selbstbestimmten Umgang mit ihnen zu entwickeln, ohne überfordert zu werden. Strategien, die vorrangig auf Altersbeschränkungen setzen, greifen dabei aus unserer Sicht zu kurz. Wir schlagen stattdessen eine kombinierte, altersdifferenzierte Schutzstrategie vor.
Zunächst gehen die Forschenden auf Dinge ein, die teils schon auf der To-do-Liste der EU-Kommission stehen. Grundlage dafür ist das relativ neue Gesetz über digitale Dienste (DSA). Konkret nennen die Forschenden etwa:
- Schutz vor Fremden: Dienste können Accounts von Minderjährigen so einstellen, dass „nur Interaktionen mit bereits bestätigten Kontakten möglich ist“.
- Weniger Sogwirkung: Dienste können „suchterzeugende Funktionen wie Autoplay, Push-Nachrichten oder unendliches Scrollen standardmäßig“ deaktivieren.
- Empfehlungssysteme entschärfen: Algorithmisch sortierte Feeds können demnach weniger auf Klickverhalten reagieren, sondern altersgerechte Inhalte bevorzugen.
- Medienkompetenz fördern: Hierfür gebe es in Deutschland schon genug Materialien. Aber in Schulen fehle es an Fachpersonal, Zeit und Fortbildungsmöglichkeiten, so die Leopoldina.
Die Handlungsempfehlungen der Forschenden greifen diese Punkte auf und vertiefen sie teilweise.
- Messenger-Dienste sollten demnach ebenso Maßnahmen zum Jugendschutz ergreifen, wenn die „Grenzen zwischen sozialen Netzwerken und Messengerdiensten zunehmend verschwimmen“. So gibt es auf WhatsApp inzwischen Stories, wie manche sie von Instagram kennen, sowie Gruppen und Channels, wie manche sie von Facebook kennen.
- Features für Eltern sollten die Möglichkeit schaffen, die Social-Media-Nutzung ihrer Kinder altersgemäß zu gestalten.
- Öffentliche Aufklärung solle als breit angelegte Kampagne geschehen und Kinderärzt*inen einbeziehen. „Die Kampagne sollte Empfehlungen geben, wie soziale Medien sinnvoll genutzt werden können und worauf besser verzichtet werden sollte“.
- Unabhängige Forschung solle die „positiven und negativen Auswirkungen“ sozialer Medien beleuchten. Dabei sollten Plattformanbieter „verpflichtet sein, ihre Daten zügig bereitzustellen“.
Ein Baustein dieser Empfehlungen ist schließlich, was gerade unverhältnismäßig viel politische Aufmerksamkeit bekommt: die Empfehlung für harte Altersgrenzen.
5) Social-Media-Verbot ab 13: Darauf stürzen sich die Medien
Zwar warnen die Forschenden der Leopoldina selbst davor, vorrangig auf Alterskontrollen zu setzen. Dennoch widmen sie diesem Thema mehrere Seiten und werden dabei konkret.
- 13 Jahre soll demnach das verbindliche Mindestalter für die Einrichtung eines Social-Media-Accounts sein.
- 13- bis 15-Jährige sollten soziale Medien nur mit Zustimmung der Eltern und nach einer Altersbestätigung nutzen dürfen.
- Ab der 11. Klasse erst sollen Jugendliche Smartphones in der Schule nutzen dürfen. Auch zur Organisation und Kommunikation im Klassenverband sollte die Nutzung sozialer Medien „kritisch hinterfragt und auf das Mindestmaß beschränkt werden“.
- 16- bis 17-Jährige sollen soziale Medien nur mit Einschränkungen nutzen. So sollen etwa Inhalte verboten sein, die „die psychische und physische Gesundheit gefährden können“.
Zur Erinnerung: Die Forschenden argumentieren hier auf Basis des Vorsorgeprinzips; die Empfehlungen fußen nicht auf wissenschaftlicher Evidenz.
Einige deutsche Spitzenpolitiker*innen dürften diese Empfehlungen gerne hören, immerhin fordern sie ein Social-Media-Verbot für Minderjährige. Dazu gehören etwa die Bundesministerinnen für Justiz (SPD) und für Familie (CDU).
Doch den Ambitionen für ein deutsches Social-Media-Verbot verpasst die Leopoldina direkt einen Dämpfer: Für nationale Alleingänge sieht sie kaum juristischen Spielraum, ähnlich wie jüngst die Wissenschaftlichen Dienste des Bundestags. Der Grund ist, dass anderslautende EU-Gesetze Vorrang haben.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Auch auf EU-Ebene sehen die Wissenschaftlichen Dienste wenig Spielraum für ein Social-Media-Verbot für Minderjährige. Die Forschenden der Leopoldina finden, Deutschland solle sich für eine Lösung auf EU-Ebene einsetzen.
6) Alterskontrollen: Hier argumentiert die Leopoldina unsauber
Nicht nur juristisch wird es eng für ein pauschales Social-Media-Verbot für Minderjährige. Die Empfehlung der Leopoldina hat einen weiteren Haken.
Wer das Alter von Menschen im Netz kontrollieren möchte, kann dafür mehrere Systeme verwenden. Die wichtigsten davon fasst die Leopoldina im Diskussionspapier zusammen. Solche Kontrollsysteme basieren etwa auf biometrischen Gesichtscans oder Ausweispapieren. Die EU arbeitet an einer App-Lösung für Angebote ab 18 Jahren. Sie soll später Teil der für 2026 geplanten digitalen Brieftasche werden, der EUDI-Wallet.
Genau hier ist der Haken in der Argumentation der Leopoldina. Die Forschenden gehen davon aus, dass solche technischen Lösungen funktionieren und den Ansprüchen gerecht werden. Sie sollen etwa „zuverlässig, sicher und datenschutzfreundlich“ sein, schreiben sie. Mehrfach betonen sie im Papier, dass Maßnahmen nicht die digitale Teilhabe von Kindern gefährden sollen.
Aber Alterskontrollsysteme werden diesen Ansprüchen nicht gerecht.
- Zuverlässigkeit: Mit Alterskontrollen versehene Angebote lassen sich mit simplen Mitteln umgehen. Je nach Kontext sind das etwa VPN-Dienste, alternative DNS-Server oder der Tor-Browser. Als Grundwerkzeuge digitaler Selbstverteidigung lassen sich solche Werkzeuge auch nicht ohne fatale Grundrechtseingriffe verbieten.
- Unzuverlässig ist der Schutz auch, wenn sich die Empfehlungen nur auf soziale Medien und funktional ähnliche Messenger beziehen. Die Sogwirkung von Gaming ist für Minderjährige ebenso verlockend. Mit Spielen wie Roblox, Fortnite oder Brawl Stars schlagen sie sich die Nächte um die Ohren. Die Leopoldina lässt das unerwähnt.
- Sicherheit: Alterskontrollsysteme lassen sich sicher oder weniger sicher gestalten. Nutzer*innen können das oftmals nicht beurteilen. Sie müssen sich darauf verlassen, dass ein Anbieter ihre Daten nicht missbraucht, wenn er ihr Gesicht oder ihren Ausweis scannen will. Die EU will mit ihrer Alterskontroll-App zumindest eine sichere Musterlösung vorlegen. Phishing-Versuche durch unseriöse Anbieter werden sich kaum vermeiden lassen.
- Datenschutz: Der von der EU-Kommission vorgestellte Prototyp einer Alterskontroll-App arbeitet zunächst nicht anonym, sondern pseudonym. Dabei hat die Kommission in ihren eigenen Leitlinien festgehalten, dass auf Ausweisen basierende Alterskontrollen anonym sein sollten. Zumindest hier ließe sich nachbessern.
- Teilhabe: Auf Dokumenten basierende Alterskontrollen schließen Menschen ohne Papiere aus; allein in Deutschland sind das Hunderttausende. Auch biometrische Kontrollen als Alternative erschweren vulnerablen Gruppen der Gesellschaft die Teilhabe; gerade bei jungen Altersgruppen funktionieren sie nicht zuverlässig. Die Fehlerraten der Systeme sind auch bei People of Color und Frauen besonders hoch. Das heißt, Altersschranken werden Menschen ungerechtfertigt aussperren.
- Overblocking lässt sich schon jetzt bei bestehenden Altersschranken beobachten. Inhalte, die frei zugänglich sein sollten, landen durch oftmals automatische Filter irrtümlich hinter Altersschranken. Auch das beschneidet Teilhabe und Informationsfreiheit von Nutzer*innen.
Die EU-Kommission hat manche dieser systematischen Schwächen von Alterskontrollsystemen in ihren DSA-Leitlinien zum Jugendschutz bereits benannt – zieht daraus bislang allerdings keine klare Konsequenz. Die Leopoldina scheint die systematischen Schwächen von Alterskontrollsystemen auszublenden.
7) Jenseits von Alterskontrollen
Es gibt eine Gemeinsamkeit zwischen dem Diskussionspapier der Leopoldina und den Leitlinien der EU-Kommission zum Jugendschutz. Beide Dokumente stellen klar, dass Alterskontrollen gewisse Ansprüche erfüllen müssen. Und beide empfehlen Alterskontrollen, obwohl sie diesen Ansprüchen nicht gerecht werden. Das ist nicht schlüssig argumentiert. Zur Beschwichtigung wird gerne darauf verwiesen, dass die passenden Werkzeuge noch entwickelt werden.
Damit wird das Social-Media-Verbot – und die damit verbundenen Alterskontrollen – zu einem Beispiel für sogenannten Tech-Solutionismus. So nennt man die irrtümliche Hoffnung darauf, dass sich ein gesellschaftliches Problem mit der passenden Technologie lösen lasse.
Viele Nachrichtenmedien rücken die Verbotsforderung unkritisch in den Fokus. Auf diese Weise verfestigt sich die Erzählung von einem vermeintlich fundierten Konsens. Zugleich hemmt das die Debatte über alternative Maßnahmen, für die das Leopoldina-Papier genug Anlass bietet.
„Leopoldina schießt gegen Geschäftsmodell von Big Tech“ – auch diese Schlagzeile würde das Papier hergeben. Immerhin übt die Leopoldina radikale Kritik an der digitalen Aufmerksamkeitsökonomie. Genau hier ließe sich konstruktiv anknüpfen. Die EU-Kommission plant gerade einen „Digital Fairness Act“. Bis 24. Oktober können Interessierte unter anderem Fälle von manipulativen oder süchtigmachenden Designs melden. Für die Regulierung der Aufmerksamkeitsökonomie gibt es also ein reales Handlungsfenster.
Sprengstoff bietet auch eine weitere Passage der Leopoldina, die sich an Eltern richtet:
Eltern scheinen bei der Mediennutzung der Kinder allerdings Vorbild und Verhaltensmodell zu sein, denn die Mediennutzung der Kinder und Jugendlichen steht in einem signifikant positiven Zusammenhang mit der Mediennutzung ihrer Eltern. Eltern, die selbst ein suchtartiges Nutzungsverhalten bei sozialen Medien zeigen, dienen daher als negatives Vorbild und erhöhen somit das Risiko, dass auch ihre Kinder ein suchtartiges Nutzungsverhalten entwickeln.
Dieser Aspekt hat es ebenso wenig in Schlagzeilen großer Nachrichtenmedien geschafft. Auch Spitzenpolitiker*innen appellieren nicht an Eltern, ihr Handy doch mal selbst wegzulegen. Kein Wunder: Mit solchen Appellen würde man sich nicht gerade beliebt machen.
Ob Big Tech entmachten oder Eltern in die Pflicht nehmen: Gerade der Vergleich mit diesen alternativen Ansätzen erklärt die magische Anziehungskraft von Verboten und Alterskontrollen. Sie versprechen zwar trügerische Sicherheit und werden ihren Ansprüchen nicht gerecht – aber für Politik und Eltern sind sie immerhin bequem.
Datenschutz & Sicherheit
Neue Tricks mit QR-Codes | heise online
Neue Tricksereien mit QR-Codes melden Sicherheitsforscher von Barracuda. Die Angriffe kommen per E-Mail und umgehen viele der in großen Unternehmen üblichen Sicherheitsscans. Liest der Endnutzer seine E-Mails dann auch noch mit aktivierter HTML-Darstellung, wird er leicht zum Opfer.
QR-Codes (quick response codes) sind bei Verbrechern beliebt, weil sich darin Hyperlinks kodieren lassen, die Menschen nicht lesen können. Damit lassen sich leichter falsche Hyperlinks unterjubeln. Unter einem Vorwand werden die Zielpersonen dazu gebracht, den Code einzuscannen; flugs landen sie auf einer vom Angreifer kontrollierten Webseite. Diese Methode wird so häufig für das Ernten fremder Zugangsdaten genutzt (Phishing), dass es für Phishing mit QR-Code einen eigenen Begriff gibt: Quishing.
Separate Dateien ergeben zusammen ein Bild
Eine verblüffend einfache Methode besteht darin, einen irreführenden QR-Code in zwei (oder mehr) Teile zu teilen. Diese Bilddateien werden beispielsweise einem Phishing-Email angehängt. Sicherheitssysteme versuchen in der Regel, die Bilddateien einzeln auszuwerten, finden in den einzelnen QR-Schnipseln aber nichts Verwertbares und lassen die gefährliche Nachricht passieren.
Veranschaulichung eines zweigeteilten QR-Codes. Ist jede Hälfte eine eigene Bilddatei, lässt sich der QR-Code schlecht automatisiert überprüfen, aber leicht mittels HTML zusammensetzen.
(Bild: Barracuda)
Mittels HTML können die Bilder allerdings am Endgerät des Nutzers so angeordnet werden, dass sie optisch wie ein einzelnes Bild wirken – sowohl für das menschliche Auge als auch die Kamera eines Smartphones. Scannt die Zielperson den virtuell zusammengesetzten QR-Code ein, wird sie auf eine betrügerische Webseite umgeleitet, wo beispielsweise Malware oder eine Phishing-Falle warten.
Verschachtelung
Schon länger bekannt ist die Idee, zwei QR-Codes in einander zu verschachteln. Welcher der beiden Codes dann von einem Smartphone ausgewertet wird, hängt insbesondere von der Entfernung zwischen Code und Kamera ab. Ein automatisiertes Sicherheitssystem wird allerdings versuchen, das gesamte Ding auszuwerten.
Barracuda hat Angriffe mit solchen verschachtelten QR-Codes beobachtet. Ein enthaltener Hyperlink ist völlig harmlos und zeigt beispielsweise auf eine Suchmaschine, während der andere Link in die Falle führt. Die Angreifer setzen darauf, dass die verschachtelten Codes die Sicherheitsscanner in die Irre führen. Die aufgeteilten QR-Codes sind ein Trick des Phishing as a Service Toolkits Gabagool; die verschachtelten QR-Codes eine Methode, die das Konkurrenzprodukt Tycoon 2FA beherrscht.
ASCII-Code QR
Bereits im Oktober hat Barracuda über gefinkelte QR-Codes berichtet, die gar nicht als Bilddatei daherkommen, sondern aus ASCII-Codes zusammengesetzt sind. Der ASCII-Code kennt neben Buchstaben und Satzzeichen noch allerlei andere Zeichen, darunter 32 unterschiedliche „Blöcke“, beispielsweise █.
Diese werden in einer Matrix aneinandergereiht. Verbunden mit einem Cascading Style Sheet (CSS), das die Farbe einzelner ASCII-Zeichen ändert und beispielsweise auf Weiß stellt, lassen sich Textgebilde erstellen, die von Smartphones als QR-Code erkannt werden, aber am Sicherheitsscanner unerkannt vorbeigekommen sind. Alternativ lassen sich die weißen Stellen aus geschützten Leerzeichen aus dem ASCII-Repertoire zusammenstellen.
Argwohn angezeigt
Außerhalb geschlossener Systeme sind QR-Codes grundsätzlich verdächtig. Wir empfehlen Argwohn gegenüber QR-Codes sowie grundsätzlich, E-Mails nur als Plain-Text darzustellen. Das sieht zwar nicht so hübsch aus, erschwert aber eine ganze Reihe unterschiedlicher Überwachungs- und Angriffsmethoden, nicht nur QR-Code-Tricks.
Angreifer profitieren mit QR-Codes von einem speziellen Vorteil: Sie lassen sich in der Regel nicht mit demselben Endgerät auswerten, auf dem sie angezeigt werden. Wer meint, einen auf seinem Computerbildschirm angezeigten QR-Code auswerten zu müssen, greift in aller Regel zum Smartphone (was aber nicht unbedingt erforderlich wäre). Und während Arbeitgeber versuchen, mittels Sicherheitssystemen den Aufruf verdächtiger URLs von Arbeitsplatzcomputern hintanzuhalten, ist das zum QR-Scan genutzte Smartphone nicht selten privat und agiert an den Sicherheitssystemen vorbei.
So erreichen Phisher ungemütlich hohe Erfolsquoten. In der Praxis hat sich Anti-Phishing-Training leider als weitgehend nutzlos erwiesen.
(ds)
Datenschutz & Sicherheit
Gericht rüffelt Cookie-Banner beim „Standard“
Ein aktuelles Urteil aus Österreich ist ein weiterer Schritt im Streit um sogenannte „Pay or Okay“-Modelle. Demnach habe die Zeitung „Der Standard“ mit der Gestaltung ihrer Cookie-Banner gegen die Datenschutzgrundverordnung (DSGVO) verstoßen und keine gültige Einwilligung zur Verabeitung von Daten eingeholt.
Beim Modell „Pay or Okay“ werden Leser:innen vor die Wahl gestellt, ob sie ein kostenpflichtiges Abonnement abschließen wollen („pay“) oder Tracking auf der Website zustimmen („okay“). Abonnieren oder akzeptieren: Aus Perspektive von Datenschutz und Privatsphäre ist das keine faire Wahl.
In Fall des Standard wurden Leser:innen beim Klicken des „Okay“-Button direkt zu den Inhalten der Seite geleitet, ohne dass sie zuvor auswählen konnten, für welchen Verarbeitungszweck ihre Daten erhoben werden sollen. Dagegen hat sich die NGO noyb gewehrt. Das ist eine gemeinnützige Organisation aus Wien, die sich für Datenschutz in der EU einsetzt.
Keine freiwillige Einwilligung
Möchten Online-Medien ihre Nutzer:innen tracken, benötigen sie dafür laut DSGVO eine wirksame Rechtsgrundlage. Websites und Apps berufen sich dafür in der Regel auf die informierte und freiwillige Einwilligung und servieren Besucher:innen Cookie-Banner. Allerdings kommt es auf die Gestaltung des Banners an.
Der Europäische Datenschutzausschuss (EDSA) vertritt in seinen Leitlinien zur Einwilligung die Ansicht, dass zu verschiedenen Verarbeitungsvorgängen auch gesonderte Einwilligungen eingeholt werden müssen: „Wenn der Verantwortliche verschiedene Zwecke für die Verarbeitung zusammengefasst hat und nicht versucht, gesonderte Einwilligungen für jeden Zweck einzuholen, fehlt die Freiheit.“
EU-Datenschützer*innen watschen Abo-Modelle ab
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Darauf hatte sich auch die österreichische Datenschutzkonferenz (DSB) bezogen, die den Fall aufgrund der noyb-Klage bewertet hatte. Grundsätzlich seien „Pay or Okay“-Modelle demnach zwar kein Problem. Im Fall des Standard hätte Nutzer:innen aber keine ausreichend granulare Auswahl treffen können. Diese Entscheidung hat nun auch das Bundesverwaltungsgericht (BVwg) in Österreich bestätigt.
„Sowohl die DSB als auch das Gericht haben entschieden, dass Nutzer:innen die Möglichkeit haben müssen, die Einwilligung zu jedem Verarbeitungszweck einzeln abzugeben oder zu verweigern“, fasst noyb die Lage zusammen.
Die NGO geht jedoch davon aus, das Der Standard die Entscheidung noch vor dem Verwaltungsgerichtshof (VwGH) in Österreich anfechten werde, bis sie wahrscheinlich vor dem dem Europäischen Gerichtshof (EuGH) landet. Der Standard hat in Reaktion auf das Urteil bereits angekündigt, die Granularität der Einwilligung anzupassen.
Mehr Tracking durch „Pay or Okay“
„Pay or Okay“-Modelle sind besonders in der EU verbreitet. Populäre Nachrichtenseiten wie T-Online oder der Spiegel setzen sie ein. Auch Meta nutzt das Modell seit 2023 für Facebook und Instagram.
Fachleute bezweifeln nicht nur die Rechtmäßigkeit, sondern auch die finanzielle Notwendigkeit dieser Modelle. Laut einem Bericht von noyb stammen nur etwa 10 Prozent der Einnahmen von Medienhäusern aus digitaler Werbung und höchstens 5 Prozent aus der Verarbeitung von personenbezogener Daten.
Vor die Wahl zwischen Abonnement und Tracking gestellt, würden sich mehr als 99 Prozent für Tracking entscheiden. „Laut Studien wollen aber nur 0,16 Prozent bis 7 Prozent der Menschen getrackt werden oder ihre Daten für personalisierte Werbung verwenden“, mahnt noyb.
Datenschutz & Sicherheit
Sorglose Tesla-Fahrer: Hunderte TeslaMate-Installationen offen im Netz
Wer einen Tesla fährt, kann umfangreich Daten des Fahrzeugs sammeln und auswerten. Das gelingt etwa mit dem Open-Source-Projekt TeslaMate. Ein IT-Forscher hat nun hunderte offenstehende Instanzen im Netz gefunden, die diese Daten aller Öffentlichkeit preisgeben.
Aufgefallen ist der fehlende Zugriffsschutz Seyfullah Kılıç, der in einem Blog-Beitrag darüber berichtet. Das quelloffene Tool TeslaMate steht auf Github zum Herunterladen bereit. Es erlaubt, die Daten des eigenen Fahrzeugs zu sammeln und speichert diese in einer Postgres-Datenbank. Die Daten können mit Grafana visualisiert und analysiert sowie an lokale MQTT-Broker verteilt werden. Das ermöglicht die Aufbereitung, etwa mit Home Assistant.
Zu den Daten, die TeslaMate verwaltet, gehören unter anderem Fahrtendaten mit automatischen Adressnachschlagen, Ladestand und Zustand des Akkus. Das Projekt listet auf Github noch diverse Standard-Dashboards zu weiteren Daten auf, die damit einsehbar sind.
Selbsthosting ohne Zugriffsschutz
Das Problem, auf das Kılıç gestoßen ist, liegt im Selbsthosting von TeslaMate. Die Software enthält standardmäßig keinen Zugriffsschutz und erlaubt allen Zugriff auf die Daten. Dadurch können Unbefugte etwa den Standort einsehen – daraus lässt sich gegebenenfalls ableiten, ob ein Tesla zuhause oder im Büro ist. Etwa für Angreifer wie Einbrecher jedoch sehr nützlich.
TeslaMate stellt standardmäßig auf Port 4000 ein Web-Interface bereit und auf Port 3000 ein Grafana-Dashboard. Das verlockt Nutzerinnen und Nutzer offenbar dazu, Instanzen auf Cloud-Servern zu hosten oder heimische Installationen ins Internet durchzureichen. Mit einer Suche nach offenen TCP-Ports 4000 und der Abfrage des Standard-HTTP-Titel von TeslaMate über das Internet stieß der IT-Sicherheitsforscher auf hunderte offene Instanzen, die diese eher persönlichen Informationen aller Welt preisgeben.
Darauf basierend hat er einen Crawler programmiert, der die genauen GPS-Daten der überwachten Teslas, ihre Modell-Namen, Software-Version und Updateverlauf sowie Zeitstempel von Reisen und Ladesitzungen auswertet. Durch das Auswerten der täglichen Gewohnheiten auf einer Karte konnte er etwa Heimatadressen und oft besuchte Orte erkennen. Unter der URL teslamap.io veröffentlicht Kılıç seine Auswertungen auf einer Karte. Auch in Deutschland, Österreich und Schweiz sind demnach mehrere Fahrzeuge unter TeslaMate-Beobachtung.
Das Problem ist der fehlende Zugriffsschutz. Der Dienst sollte nicht öffentlich im Netz erreichbar sein, sondern wenigstens in LAN stehen, auf das nur Zugriff über VPN gelingt. Der IT-Forscher schlägt zudem vor, einen Reverse Proxy mit nginx aufzusetzen, der zumindest Basic Auth – also eine Log-in-Abfrage von Nutzername und Passwort – nachrüstet.
(dmk)
-
Datenschutz & Sicherheitvor 2 Monaten
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Apps & Mobile Entwicklungvor 2 Monaten
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
Online Marketing & SEOvor 2 Monaten
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Digital Business & Startupsvor 2 Monaten
10.000 Euro Tickets? Kann man machen – aber nur mit diesem Trick
-
UX/UI & Webdesignvor 1 Tag
Der ultimative Guide für eine unvergessliche Customer Experience
-
UX/UI & Webdesignvor 2 Monaten
Philip Bürli › PAGE online
-
Digital Business & Startupsvor 2 Monaten
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
Social Mediavor 2 Monaten
Aktuelle Trends, Studien und Statistiken