Connect with us

Datenschutz & Sicherheit

Wetter Online lässt Daten tröpfeln


Diese Recherche ist Teil der „Databroker Files“. Hier geht es zu den weiteren Veröffentlichungen.

Wetter Online, eine von Deutschlands populärsten Wetter-Apps, kann nun offenbar den Aufwand bewältigen, Datenschutz-Auskunftsanfragen von Nutzer*innen nachzukommen. Vor mehr als einem Jahr hatten wir Wetter Online eine solche Anfrage gestellt. Anlass waren unsere Recherchen zu den Databroker Files. Sie zeigten, dass Unternehmen offen mit präzisen Standortdaten von Wetter-Online-Nutzer*innen handelten. Wie kann das sein?

Ein Mitglied des Recherche-Teams hatte selbst Wetter Online auf dem Handy und deshalb auf Grundlage der Datenschutzgrundverordnung (DSGVO) eine Auskunftsanfrage gestellt. Welche Daten hatte Wetter Online über ihn erfasst? Die Antwort auf eine solche Anfrage ist Pflicht, das verlangt das Gesetz. Wegen angeblich zu hohem Aufwand wollte Wetter Online dem allerdings zunächst nicht vollständig nachkommen. Nach einer Beschwerde haben wir nun erstmals Daten erhalten.

Die schlechte Nachricht: Die Aussagequalität der ausgehändigten Daten ist begrenzt. Zahlreiche Fragen bleiben offen. Aber eins nach dem anderen.

Zu viel Aufwand?

Auf Artikel 15 der DSGVO können sich alle Nutzer*innen in der EU berufen. Demnach müssen ihnen Datenverarbeiter Informationen darüber bereitstellen, wie sie deren personenbezogene Daten verarbeiten. So können Interessierte erfahren: Was genau wird über mich erhoben? Auf welcher Rechtsgrundlage? An wen werden Daten weitergegeben? Zudem können sie eine vollständige Kopie ihrer Daten anfordern.

Genau das taten wir bereits im Sommer 2024. Wetter Online kam der Anfrage damals jedoch nur teilweise nach. Das Unternehmen teilte zunächst mit, dass lediglich drei Firmen die Daten des betroffenen Redakteurs erhalten hätten. Eine Kopie könne man jedoch nicht herausgeben, weil das zu aufwendig sei. Dabei verwies Wetter Online auf veraltete Regeln im ehemaligen Bundesdatenschutzgesetz.

Wir hatten deshalb gemeinsam mit der Datenschutzorganisation noyb Beschwerde bei der zuständigen Datenschutzbehörde Nordrhein-Westfalen eingelegt und darüber im Februar 2025 berichtet. Diese Beschwerde hatte zumindest in Teilen Erfolg, denn inzwischen verweigert Wetter Online die Datenkopie nicht mehr mit Blick auf den Aufwand.

Spuren von Wetter Online bei zwei Datenhändlern

Wetter Online spielt eine besondere Rolle bei den Databroker Files, unseren Recherchen mit dem Bayerischen Rundfunk zum unkontrollierten Handel mit Standortdaten. In mehreren Artikeln hatten wir zunächst aufgedeckt, wie Datenhändler vermittelt über eine Berliner Plattform intime Daten von Millionen Menschen verkaufen. Darunter auch genaueste Standortdaten von hochrangigen deutschen Regierungsangestellten, von Menschen mit Zugang zu sensiblen Arealen bei Militär und Geheimdienst.

Dem Rechercheteam liegen inzwischen mehrere Datensätze mit mehreren Milliarden Standortdaten vor, inklusive Werbe-IDs, mit denen sich Handys eindeutig identifizieren lassen. In einem dieser Datensätze sind die Standortdaten zudem mit Hinweisen auf konkrete Apps verknüpft. Zu einigen der Apps konnten wir alarmierend genaue Standortdaten finden. Eine davon ist Wetter Online.

An nur einem Tag in Deutschland wurden zehntausende Nutzer*innen wohl teils auf den Meter genau geortet. Wetter Online taucht auch in einem anderen Datensatz als Quelle für Handy-Standortdaten auf: dem Leak des Datenhändler Gravy Analytics, der im Frühjahr gehackt wurde.

Nach Recherchen: Vor-Ort-Kontrolle bei Wetter Online

Alarmiert durch unsere Berichterstattung schaltete sich die Datenschutzbeauftragte Nordrhein-Westfalen ein und schaute bei Wetter Online persönlich nach dem Rechten.

„Die schnelle Vor-Ort-Kontrolle war hier besonders hilfreich, da das Unternehmen die nicht datenschutzkonforme Handhabung bestritten hatte“, schreibt Behördenchefin Bettina Gayk in einer Pressemitteilung. Der Behörde zufolge konnten die Datenschützer*innen bei ihrem Besuch feststellen, dass tatsächlich genaue Standortdaten ohne wirksame Einwilligung an Dritte weitergegeben wurden. Das habe man stoppen können.

Noch im Februar nahm Wetter Online auch für Nutzer*innen sichtbare Änderungen vor. „Wetter Online hat innerhalb der uns gesetzten Frist reagiert und nun auf Website und Apps einen Einwilligungsbanner gesetzt, der auf die Verarbeitung von GPS-Standortdaten nur für Wetterinformationen hinweist“, erklärte ein Sprecher der Datenschutzaufsicht.

Unklar blieb jedoch, an wen genau die Standortdaten der Wetter-Online-Nutzer*innen geflossen sein könnten. Wetter Online antwortete im Januar und Februar auf wiederholte Presseanfragen nicht. Umso höher waren die Erwartungen an neue Erkenntnisse durch die beantragte Datenauskunft.

Firma hat Reiseroute erfasst

In Reaktion auf die Beschwerde hat uns Wetter Online schließlich eine Tabelle mit rund 150 Zeilen zur Verfügung gestellt. Zu den erfassten Informationen gehört etwa, ob das Handy des Redakteurs mit einem WLAN verbunden war und welche Betriebssystem-Version darauf lief. Die Tabelle enthält auch auf die Sekunde genaue Zeitstempel sowie zahlreiche Ortsnamen und Postleitzahlen.

Mehrfach taucht Berlin auf, wo netzpolitik.org seinen Sitz hat. Einige Orte scheinen falsch erfasst worden zu sein, der Redakteur war dort nicht. Ablesen lässt sich jedoch eine Auslandsreise. Legt man die erfassten Postleitzahlen auf eine Karte, lassen sich Teile der tatsächlichen Reiseroute ungefähr nachvollziehen.

Was die Tabelle allerdings nicht enthält: Präzise Standortdaten, aus denen sich Bewegungen minutiös nachverfolgen lassen. Es gibt keine Hinweise auf die genaue Wohnadresse oder den Arbeitsplatz. Außerdem stehen in der Tabelle lediglich Daten eines einzigen Tracking-Unternehmens: Appsflyer. Zuvor hatte Wetter Online noch mitgeteilt, Daten an drei Tracking-Firmen weitergegeben zu haben. Und in der Datenschutzerklärung werden gar Hunderte Firmen als Werbepartner gelistet. Die Datei enthält zudem zahlreiche leere Felder.

Hat Wetter Online wirklich alle Daten vorgelegt, die erfasst wurden?

Wetter Online: Keine GPS-Daten „verkauft“

Wir haben Wetter Online per Presseanfrage um Erklärung gebeten. Das Unternehmen teilt mit: „Die Auskunft ist auf Sie bezogen vollständig.“ Mehrfach habe man geprüft, ob auch Daten zu den ursprünglich genannten Tracking-Firmen vorliegen. Es konnten jedoch keine gefunden werden, heißt es. Für die leeren Felder in der Datei gebe es technische Gründe; das heißt: Nachträglich entfernt worden sei nichts.

Aus der Antwort geht jedoch hervor, dass Wetter Online durchaus mal mehr Daten erfasst hatte. Diese Daten würden aber nicht mehr vorliegen. „Wir haben bereits vor Ihrem Auskunftsersuchen, basierend auf Regellöschfristen, personenbezogene Daten gelöscht“, erklärt der Sprecher.

Der Wetter-Online-Sprecher äußert sich auch erstmals zur Datenschutzbeauftragten Nordrhein-Westfalen: „Die Untersuchungen laufen noch“, schreibt er. Wetter Online ist es wichtig zu betonen, dass GPS-Daten nicht an Dritte „verkauft“ worden seien. „Dies war und ist auch nicht Gegenstand der laufenden Untersuchung“, betont der Sprecher. Wie genaue Handy-Standortdaten auch ohne einen direkten Verkauf an Dritte gelangt sein könnten, erklärt der Sprecher nicht. „Wir bitten um Verständnis, dass wir uns zu laufenden Untersuchungen nicht äußern.“

In unserem Artikel Im Dschungel der Datenhändler haben wir mehrere Wege beschrieben, wie sensible Daten von Handy-Nutzer*innen zur offenen Handelsware werden können, auch ohne dass App-Betreiber sie selbst verkaufen.

Nutzer*innen haben keine Kontrolle

Die Auskunft von Wetter Online liefert also keine lückenlose Aufklärung – schon allein, weil wir nicht wissen, welche personenbezogenen Daten Wetter Online bereits im Vorfeld durch „Regellöschfristen“ getilgt hat. Der konkrete Fall verdeutlicht ein typisches Problem beim Recht auf Datenauskunft. Betroffene können nicht genau prüfen, welche Daten Unternehmen tatsächlich über sie verarbeitet haben.

Theoretisch könnten Unternehmen also auch nach einer Auskunftsanfrage gezielt Daten löschen, um sie nicht offenlegen zu müssen. Oder ihre Antwort so lange herauszögern, bis sensible Daten durch übliche Löschfristen nicht mehr vorliegen. Betroffene wären nicht in der Lage, das nachzuweisen. Sie müssten dem Unternehmen schlicht vertrauen. Das bedeutet: Für Nutzer*innen ist die mit dem Recht auf Datenauskunft eigentlich intendierte Kontrollfunktion eine Illusion.

Abhilfe schaffen könnten hier nur Datenschutzbehörden. Mit Kontrollen vor Ort könnten sie prüfen, ob Unternehmen die Rechte von Nutzer*innen wirklich umsetzen. Allerdings ist das aufwendig und allenfalls in Einzelfällen realistisch.

So können Interessierte selbst ihre Daten anfragen

Die Hürden bei Auskunftsersuchen sollten Interessierte allerdings nicht davon abhalten, ihre Rechte einzufordern. Selbst eine möglicherweise geschönte Datenauskunft kann aufschlussreich sein.

Wer eine vollständige Datenauskunft nach Artikel 15 DSGVO erhalten will, sollte jedoch etwas Geduld einplanen. Immer wieder versuchen Unternehmen, Betroffene mit Ausreden abzuspeisen. In der Regel haben sie nur vier Wochen Zeit für die Auskunft. Nur in Ausnahmefällen mit besonderem Aufwand darf diese Frist verlängert werden.

Hilfreich ist es, einem Unternehmen möglichst direkt alle Daten zu schicken, die die Auskunft erleichtern. Dazu zählen auch Identifier wie die Mobile Advertising ID, also die einzigartige Werbe-Kennung des eigenen Handys. Wir haben im Fall von Wetter Online etwa konkrete Beispiele für besuchte Orte mitgeschickt, zu denen Standortdaten vorliegen müssten. Auch eine (teils geschwärzte) Kopie des Personalausweises kann in Einzelfällen verlangt werden.

Für Interessierte gibt es mehrere Anlaufstellen, die bei der Formulierung solcher Auskunftsanfragen helfen, etwa die Verbraucherzentralen, die deutsche Initiative datenanfragen.de oder die englischsprachige Initiative datarequests.org.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Polizei hackt alle fünf Tage mit Staatstrojanern


Polizei und Ermittlungsbehörden durften 2023 in Deutschland 130 Mal IT-Geräte mit Staatstrojanern hacken und haben es 68 Mal getan. Das hat das Bundesjustizamt bekannt gegeben. Damit hat sich die Anzahl der Trojaner-Einsätze in zwei Jahren mehr als verdoppelt.

Das Bundesjustizamt veröffentlicht jedes Jahr Statistiken zur Telekommunikationsüberwachung. Wir bereiten sie regelmäßig auf.

Anlass für den Einsatz von Staatstrojanern waren wie immer vor allem Drogen, so das Justizamt in der Pressemitteilung: „Wie in den vergangenen Jahren begründete vor allem der Verdacht einer Straftat nach dem Betäubungsmittelgesetz die Überwachungsmaßnahmen.“

62 kleine Trojaner

Die „Quellen-Telekommunikationsüberwachung“ hackt Geräte, um laufende Kommunikation auszuleiten. Dieser „kleine Staatstrojaner“ wurde 104 Mal angeordnet. In 62 Fällen wurde der Einsatz „tatsächlich durchgeführt“. Im Vorjahr waren es 49 Einsätze.

Spitzenreiter ist Nordrhein-Westfalen, dort haben Ermittler 23 Mal gehackt. Danach folgt Niedersachsen, dort kamen kleine Staatstrojaner zehn Mal zum Einsatz. Bayern und Sachsen haben je sieben Mal Geräte infiziert. Hamburg, Hessen und der Generalbundesanwalt hackten drei Geräte. Sachsen-Anhalt hat zweimal die Quellen-TKÜ eingesetzt, Baden-Württemberg, Rheinland-Pfalz, Schleswig-Holstein und Thüringen je einmal.

Damit hackt mittlerweile die Mehrzahl der Bundesländer. Nur fünf Länder haben keine Quellen-TKÜ eingesetzt: Berlin, Brandenburg, Bremen, Mecklenburg-Vorpommern und das Saarland.

Die Justizstatistik enthält leider keine Angaben, bei welchen Straftaten der kleine Staatstrojaner eingesetzt wird. Das Bundesjustizamt sagt, dass „vor allem“ Drogendelikte Anlass für Überwachung sind.

Sechs große Trojaner

Die „Online-Durchsuchung“ hackt Geräte, um sämtliche Daten auszuleiten. Dieser „große Staatstrojaner“ wurde 26 Mal angeordnet. In sechs Fällen wurde der Einsatz „tatsächlich durchgeführt“. Im Vorjahr waren es vier Einsätze.

Der Generalbundesanwalt hat 19 Anordnungen bekommen, aber nur zweimal gehackt. Anlass waren kriminelle oder terroristische Vereinigungen. Das könnten Rechtsterroristen wie die Patriotische Union oder Klimaaktivisten wie die Letzte Generation sein.

Bayern hat zweimal gehackt, wegen krimineller Vereinigungen oder Mord. Baden-Württemberg hackte einmal, wegen Straftaten gegen die sexuelle Selbstbestimmung bzw. kinderpornografischer Inhalte. Hessen hackte einmal, wegen Straftaten gegen die persönliche Freiheit. Hamburg wollte einmal hacken, wegen Straftaten gegen die persönliche Freiheit, war aber nicht erfolgreich.

Für und gegen Sicherheit

Politisch werden Staatstrojaner meist mit Terrorismus, Mord und Totschlag oder Straftaten gegen die sexuelle Selbstbestimmung begründet. Spitzenreiter sind jedoch auch weiterhin Drogendelikte. Damit verhindert der Staat, dass Sicherheitslücken geschlossen werden, um ein paar Drogen-Dealer zu bekämpfen.

Die Polizeibehörden besitzen mehrere Staatstrojaner, die sie einsetzen können. Das BKA hat selbst einen Trojaner Remote Communication Interception Software programmiert. Seit 2013 hat das BKA den Trojaner FinSpy von FinFisher. Seit 2019 hat und nutzt das BKA auch Pegasus von NSO. Welche weiteren Trojaner Polizei und Geheimdienste besitzen, will keine Bundesregierung öffentlich sagen.

Polizei hackt immer öfter

Erst seit fünf Jahren gibt es offizielle Statistiken, wie oft die deutsche Polizei Staatstrojaner einsetzt. Seitdem steigen die Zahlen Jahr für Jahr.

Die Ampel-Regierung wollte die Eingriffsschwellen für Staatstrojaner hochsetzen, hat das aber nicht umgesetzt. Die aktuelle Bundesregierung will den Einsatz von Staatstrojanern ausweiten. Die Bundespolizei soll Staatstrojaner gegen Personen einsetzen, die noch gar keine Straftat begangen haben.



Source link

Weiterlesen

Datenschutz & Sicherheit

Sonicwall untersucht mögliche Attacken auf Firewalls


Das IT-Unternehmen Sonicwall untersucht derzeit mögliche Attacken auf seine Firewalls der Gen-7-Serie. Davor warnen mehrere Sicherheitsforscher unabhängig voneinander. Auch intern wurden eigenen Angaben zufolge Unregelmäßigkeiten dokumentiert. Möglicherweise nutzen Angreifer derzeit eine Zero-Day-Sicherheitslücke aus. Dabei handelt es sich um eine Schwachstelle, für die es noch kein Sicherheitsupdate gibt.

Nun nimmt Sonicwall zu den Berichten der Sicherheitsforscher von unter anderem Huntress Stellung. Bei den möglichen Attacken sollen Angreifer Gen-7-Firewalls mit aktivierter SSL-VPN-Funktion im Visier haben.

Die Sicherheitsforscher von Huntress geben in ihrem Bericht an, dass Angreifer durch das Ausnutzen einer Zero-Day-Lücke die Multi-Faktor-Authentifizierung (MFA) umgehen und so Ransomware auf Systeme schieben. Sie berichten, dass Angreifer nach erfolgreichen Attacken Domänencontroller übernehmen. Die Forscher empfehlen, den VPN-Service, der offensichtlich das Einfallstor ist, zu deaktivieren oder ihn nur für bestimmte IP-Adressen zugänglich zu machen.

Instanzen absichern

Auch wenn derzeit noch vieles unklar ist und Sonicwall davon noch nichts konkret bestätigt hat, empfiehlt auch das IT-Unternehmen den VPN-Service temporär zu deaktivieren oder Zugriff streng zu filtern. Außerdem sollten Kunden die Sicherheitsfeatures Botnet Protection, MFA und Geo-IP Filtering aktivieren. Zusätzlich sollten Admins ihnen unbekannte Accounts umgehend entfernen.

Sonicwall erläutert, mit den Sicherheitsforschern zusammenzuarbeiten und neue Erkenntnisse umgehend mit Kunden zu teilen. Außerdem versichern sie, im Falle einer Sicherheitslücke umgehend ein Update auszuliefern. Derzeit dauern die Untersuchungen noch an.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Helsing plant Drohnenbomber mit großer Reichweite


Das Rüstungs-Start-up Helsing entwickelt unbemannte Luftkampfsysteme, die Bomben von mehreren Hundert Kilo tragen können. Dies geht aus internen Dokumenten hervor, über die das Handelsblatt berichtet.

Nach der kürzlich bekannt gegebenen Übernahme des deutschen Flugzeugherstellers Grob Aircraft will das ursprünglich auf Software fokussierte Unternehmen das unbemannte Luftfahrzeug selbst bauen. Damit würde sich Helsing als Komplettanbieter für einen solchen Drohnenbomber positionieren, der mehrere Tonnen wiegen soll.

Die von Helsing als „streng geheim“ eingestuften Pläne vom Mai 2025 sehen dem Handelsblatt zufolge Drohnenflotten mit über 1.000 Kilometer Reichweite vor, die selbstständig aufklären und Missionsziele autonom umsetzen sollen. Die Langstreckendrohne könnte demnach Aufgaben klassischer Kampfjets übernehmen: Angriffe auf Bodenziele, Luftkämpfe, Aufklärung und elektronische Kampfführung.

Anwält*innen wollten Veröffentlichung stoppen

Helsing versuchte laut dem Handelsblatt die Berichterstattung zu verhindern. Ein „eiligst“ eingeschalteter Rechtsanwalt einer Wirtschaftskanzlei habe gewarnt, die Verbreitung würde „zu gravierenden und nicht wiedergutzumachenden Schäden führen“ – sowohl für Helsing als auch für „die Sicherheit der Bundesrepublik Deutschland“. Ein offizieller Geheimstatus liegt aber offenbar nicht vor, jedenfalls soll das Dokument keine Einstufung als Verschlusssache tragen.

Das erst vier Jahre alte Unternehmen Helsing hat bereits über eine Milliarde Euro Wagniskapital eingesammelt, zuletzt flossen im Juni – angeführt von Spotify-Gründer Daniel Ek – 600 Millionen Euro frisches Kapital. Damit positioniert sich Helsing aggressiv gegen etablierte Drohnen-Konkurrenten wie Rheinmetall und Airbus sowie kleinere Firmen wie Quantum Systems.

Mit dem Grob-Zukauf erhält Helsing auch Expertise für die Zertifizierung von Flugzeugen und kann dadurch wertvolle Zeit zur Beantragung einer solchen Lizenz sparen. In dem bayerischen Standort Tussenhausen im Unterallgäu, wo 275 Mitarbeiter*innen bisher kleine Trainingsflugzeuge bauten, könnten künftig die anvisierten autonomen Luftkampfsysteme entstehen.


2025-07-14
1187.12
100


– für digitale Freiheitsrechte!



Euro für digitale Freiheitsrechte!

 

Bedrohung für Airbus

Trotz seiner vergleichsweise frischen Gründung hat Helsing gute Kontakte zum deutschen Verteidigungsministerium. Helsings Co-Geschäftsführer Gundbert Scherf beriet die ehemalige Verteidigungsministerin Ursula von der Leyen. Das Handelsblatt vermutet deshalb, dass der Konzern auf eine Direktvergabe ohne reguläres Wettbewerbsverfahren hofft. Das Verteidigungsministerium beantwortete Fragen der Zeitung dazu aber nicht.

Gefährlich ist die Offensive besonders für die Verteidigungssparte von Airbus. Noch vor einem Jahr hatte der Konzern mit Sitz in Bremen angekündigt, mit Helsing einen unbemannten „Loyal Wingman“ zu entwickeln – eine Kampfdrohne, die Kampfjets begleitet oder vorausfliegt und Bedrohungen am Boden oder in der Luft bekämpft. Mit dem Grob-Kauf liegt nahe, dass Helsing Airbus nicht mehr als Partner benötigt.

Helsing positioniert sich damit auch als Alternative zum stockenden „Future Combat Air System“ – dem von Deutschland und Frankreich geplanten Cyberkampfjet, der an Streitigkeiten zwischen Airbus und Dassault zu scheitern droht.

Das hochmoderne und atomwaffenfähige Kampfflugzeug der „sechsten Generation“ ist das ambitionierteste europäische Rüstungsprojekt der kommenden Jahrzehnte und soll ab 2040 serienreif sein. Insgesamt könnte die Entwicklung des FCAS rund 100 Milliarden Euro kosten.

Deutschland könnte Cyberkampfjet mit Großbritannien entwickeln

Jedoch will Frankreich Airbus ausbooten und fordert einen Anteil von 80 Prozent am Workshare für den „New Generation Fighter“. Diese französische Forderung würde die bisher vereinbarte gleichberechtigte Zusammenarbeit zwischen den Partnern aushebeln. Bislang war vereinbart, dass die französische Dassault Aviation und die deutsch-dominierte Airbus Defense die Entwicklung und Produktion paritätisch untereinander aufteilen, wobei Frankreich die Führung beim eigentlichen Kampfflugzeug übernehmen sollte.

Bislang reagierte Airbus zurückhaltend auf derartige Forderungen des Konkurrenten Dassault. In einem ungewöhnlichen Statement stellte der Chef von Airbus Defence and Space die gemeinsame Entwicklung FCAS kürzlich ebenfalls infrage. Eine Abkehr von einem milliardenschweren Rüstungsprojekt bedeutet dies aber nicht: Stattdessen könne sich Deutschland auch an einem ähnlichen Vorhaben mit Großbritannien beteiligen.



Source link

Weiterlesen

Beliebt