Erwischt: AccuWeather sendet Nutzerstandort

Die populäre Wetter-App AccuWeather sendet den Standort des Benutzers (unabhängig von den Benutzereinstellungen) an die Server einer Firma. Diese Firma ist auf die Monetarisierung solcher Standortdaten spezialisiert.

Die meisten Nutzer von Mobilgeräten kennen wohl die App AccuWheather und setzen diese vermutlich ein. Bei iTunes wird die App sehr gut bewertet. Unter Android gibt es ähnliche Ratings im Google Play Store. Auch unter Windows ist die App verfügbar. Es gibt einen freie Version mit Werbung und eine werbefreie Bezahlversion. Der Standort des Benutzers ist relevant, wenn man eine lokale Wettervorhersage abrufen möchte. Das weckt natürlich Begehrlichkeiten.

(Quelle: ZDNet.com/AccuWeather)

Beim Einrichten der App erscheint wohl ein Popup (siehe oben), wo nachgefragt wird, ob der Standort abgefragt werden darf, auch wenn die App nicht im Vordergrund aktiv ist. Ich denke, jemand, der Wert auf Privatsphäre legt, wird die Option zum Blockieren der Standortabfrage wählen.

Im iTunes-Store ist AccuWeather eine der populärsten Apps mit mehreren Millionen Downloads. Allerdings gibt es aktuell in den iTunes-Bewertungen mehrere 1 Stern-Rezensionen, die auf ein Problem mit der App hinweisen:

OPEN YOUR EYES, PEOPLE.

by KrisaidenThis app is tracking your information at all times the moment you agree to their policies, whether you click to allow info tracking or not, and selling it to advertisers! This is a violation of both our privacy and the Apple Developer requirements. If you are to install, only do so to further this information to others!

Steals your location data! Do NOT use

by Artiste212Previously, I gave this app a great review. Now, I've removed it from my phone. Why? Because it has been revealed that this app reports your location data even when you have location service turned off for this app.

Hintergrund ist wohl, dass die App den Gerätestandort an einen Server schickt, egal, welche Benutzereinstellungen gesetzt wurden. Wie ZDNet.com hier schreibt, hat Sicherheitsforscher Will Strafach den Datenaustausch eines iPhone, auf dem die neueste Version von AccuWeather läuft, analysiert. Dabei fand er heraus, dass die App einen Server von Reveal Mobile kontaktiert, und Daten verschickt. Er gibt folgende Daten an:

• Die genauen GPS-Koordinaten, einschließlich Geschwindigkeit und Höhe
• Den BSSID-Namen des WLAN-Routers, der mit anderen öffentlichen Daten zur Standortbestimmung benutzt werden kann.
• Die Information, ob das Gerät Bluetooth aktiviert hat.

ZDNet.com schreibt zudem, dass die MAC-Adresse übertragen werde. Die Daten sollen alle paar Stunden übertragen werden, auch wenn der Zugriff auf den genauen Standort verboten ist. Die Firma Reveal Mobile ist auf die Monetarisierung dieser Daten spezialisiert. Die Firma schreibt auf ihrer Webseite:

We convert mobile location signals into high value audiences. You generate more mobile revenue, with or without ads.

und präzisiert auf dieser Seite:

By expanding the use case of location data to pre- and post-shopping experiences, entirely new possibilities open up for online and offline retailers. The value lies in understanding the path of a consumer and where they go throughout the day. Traveling from home to work to retail to soccer practice to dinner is vital to knowing the customer, and represents the new opportunity of mobile location data. …

Location data also informs the home and work location of customers. Pairing this information with existing demographic targeting criteria allows retailers to target consumers with a high propensity to visit based upon two of their most relevant locations.

Der Seite lässt sich zudem entnehmen, dass wohl hunderte Apps mit der RevealMobile-Technologie bzw. den betreffenden Frameworks ausgestattet sind, um solche Daten abzugreifen und an revealmobile.com zu senden.

Das könnte noch Ärger geben, da die Federal Trade Commission FTC im August 2016 bereits einen ähnlichen Fall aufgegriffen hat (A deep dive into mobile app location privacy following the InMobi settlement). Als Benutzer würde ich die App auf jeden Fall von meinen Mobilgeräten verbannen (ich habe nachgeschaut, die App war wohl nur zum Testen auf meinen Android-Geräten).

Ergänzung: Ich habe gerade gesehen, dass heise.de gestern diesen Artikel veröffentlicht hat. In den Datenschutzbestimmungen wird die Datenweitergabe wohl erwähnt. Der Bericht des Sicherheitsforschers bezieht sich auf iOS, ob unter Android etwas ähnliches passiert, kann ich nicht beantworten. Natürlich wird behauptet, dass die Daten nur anonym weiter gegeben werden. Bei der Kommunikation ist die IP-Adresse des Geräts im Datenstrom, welche zur Identifizierung des Nutzers verwendet werden könnte.

Eine Alternative könnte möglicherweise die App WarnWetter vom Deutschen Wetterdienst sein. Die kostenlose App steht für Android, iOS und Windows 10 zur Verfügung, dürfte aber auf Deutschland begrenzt sein.

Ergänzung: AccuWeather nimmt Stellung

Die Artikel haben wohl etwas Staub aufgewirbelt. AccuWeather nimmt in diesem Pressebeitrag Stellung zum Thema. Tenor: Man hat von allem nichts gewusst und stellt temporär die Datensammlung ein. Man hat eine neue Version der App freigegeben, die den Reveal SDK-Code nicht mehr enthält. Bei heise.de gibt es diesen deutschsprachigen Artikel zum Thema.