88 Prozent aller Android-Apps sehen eine Datenweitergabe an Alphabet vor, dem Mutterkonzern von Google. Das hat eine groß angelegte Analyse an der Universität Oxford ergeben. Etwa 43 Prozent der Apps sehen eine Weitergabe an die Facebook-Gruppe und 34 Prozent an Twitter vor.

Mit geringeren Anteilen tauchen in der Rangliste die Unternehmen Verizon (26 Prozent), Microsoft (23 Prozent) und Amazon (18 Prozent) auf. Eine typische Android-App ist laut der Studie an zehn verschiedene Drittanbieter angeschlossen.

Praktisch und tückisch: App-Module

Die Datenübertragung an diese Unternehmen baut auf sogenannten App-Modulen auf. Das sind Programmbausteine, die Entwickler in ihre Apps einbauen, damit sie bestimmte Funktionen übernehmen. Die Module schließen die App beispielsweise an ein Werbenetzwerk an, ermöglichen die Verknüpfung mit sozialen Netzwerken wie Facebook oder Twitter oder analysieren das Nutzerverhalten.

Zum Unternehmenskosmos von Alphabet etwa gehören die Werbenetzwerke DoubeClick, AdSense und Admob sowie die Analyse-Tools Google Analytics und Firebase. Hunderttausende Apps sind über eingebaute Programmbausteine an diese Dienste angeschlossen. Über diese Verbindung geben sie regelmäßig Daten weiter – die schließlich bei Google landen.

Einige konkrete Beispiele für Einzeldienste, an die Apps angeschlossen sind:

• 87,6 Prozent der Apps sehen eine Anbindung an Google (Hauptdienst) vor
• 60,9 Prozent an DoubleClick (eine Google-Tochter)
• 42,6 Prozent an Facebook (Hauptdienst)
• 39,4 Prozent an Google Analytics
• 33.9 Prozent an den Google Tag Manager
• 30,9 Prozent an Twitter (Hauptdienst)
• 30,1 Prozent an AdSense (eine Google-Tochter)
• 22,1 Prozent an Microsoft (Hauptdienst)
• 20,8 Prozent an Yahoo (Hauptdienst)
• 20,6 Prozent an LinkedIn (eine Microsoft-Tochter)
• 19,2 Prozent an Firebase (eine Google-Tochter)
• 14,7 Prozent AdMob (eine Google-Tochter)
• 11,6 Prozent an Amazon Web Services

Suche nach Webadressen im Quellcode

Für die Studie hat ein Team um den Oxford-Informatiker Reuben Binns im Jahr 2017 eine Million Android-Apps untersucht. Das entsprach zu der Zeit etwa einem Drittel aller im Play-Store gelisteten Apps.

Sie führten eine sogenannte statische Analyse durch. Sie suchten im Quellcode, der Bauanleitung einer App, nach Webadressen, etwa nach der Adresse des Facebook-Hauptdienstes oder der Google-Tochter Firebase.

Statisch heißt: sie fahndeten ausschließlich nach den Webadressen, analysierten aber nicht den tatsächlichen Datenverkehr einer App, wie wir es etwa bei Mobilsicher machen. Somit können sie zwar sagen, dass eine Kommunikation der App mit dem jeweiligen Dienst prinzipiell vorgesehen ist. Sie wissen aber nicht, welche Daten die App tatsächlich überträgt.

Datenweitergabe außer Kontrolle?

Wie Reuben Binns gegenüber der britischen Zeitung Financial Times sagte, sei die Datenweitergabe von Apps mittlerweile außer Kontrolle geraten. Grund sei, dass die meisten Apps nicht mehr auf ein Bezahlmodell setzen, sondern sich überwiegend über Werbung finanzierten. (Der Financial-Times-Artikel befindet sich hinter einer Bezahlschranke und ist leider nicht frei aufrufbar.)

Binns glaubt, dass die Komplexität der Datenbranche sowohl Betroffene als auch Branchenteilnehmer überfordere. Nutzer der Apps, aber auch die Aufsichtsbehörden und manchmal sogar die App-Entwickler selbst, seien sich gar nicht über das Ausmaß bewusst, wie Daten von Smartphones an Werbenetzwerke und Datenhändler gehen und wie diese die Informationen kaufen, verkaufen und miteinander verknüpfen.