Update 10.01.2018: MySugr hat inzwischen erfreulicherweise angekündigt, die Erfassung der Nachnamen über Mixpanel zu beenden. Auch die Datenschutzerklärung soll verbessert werden und eine E-Mail-Verifizierung soll eingeführt werden. Wann dies genau umgesetzt wird, ist noch nicht klar.
Bei mobilsicher.de haben wir ja schon einige Überraschungen bei App-Tests erlebt. Aber bei der App MySugr, dessen Hersteller zum Pharmariesen Roche gehört, mussten wir besonders schlucken.
Die App fragt Nutzer und Nutzerinnen nach ihrem Vor- und Nachnamen sowie nach detaillierten Angaben zur Erkrankung, zum Beispiel Diabetes-Typ und Art der Therapie (Spritze oder Pumpe). Diese Daten bleiben nicht etwa auf dem Gerät, sondern werden über das Internet an das US-amerikanische Trackingunternehmen "Mixpanel" versendet.
Auf Nachfrage von mobilsicher.de gab die MySugr GmbH (eine Tochter des Roche-Konzerns) dazu an:
„Mixpanel hilft uns, die App-Nutzung zu optimieren, (sic!) und darf Daten nur nach unseren Vorgaben und Aufträgen verarbeiten.“
Das ist durchaus verständlich. Jeder will schließlich seine Dienstleistung verbessern. Aber wozu benötigt Mixpanel dabei den Vor- und Zunamen seiner Nutzer und Nutzerinnen? Dazu schreibt MySugr:
„Nutzerdaten werden immer transportverschlüsselt übertragen, sensible Gesundheitsdaten (z.B. Diabetes-Typ) darüber hinaus in Form von nicht-identifizierbaren, völlig willkürlichen Buchstaben- und Zahlenkombinationen. Mixpanel kann daraus keinerlei Schlüsse auf bestimmte Nutzer ziehen und solche Daten auch nicht legal dechiffrieren.“
Dieser Satz stimmt nur halb. Tatsächlich waren die Daten in unserem Test TLS-verschlüsselt und darüber hinaus mit einer Base64-Kodierung kodiert. Auch Vor- und Nachname. Base64 ist ein standardisiertes Kodierungs-Verfahren, das ebenso standardmäßig dekodiert werden kann. Anders als bei einem Verschlüsselungsverfahren benötigt man dazu keinen geheimen Schlüssel. Jeder kann aus diesen Buchstabenkombinationen also wieder klar lesbaren Text machen – wir, unser Tester Mike Kuketz und eben auch Mixpanel.
Ob Mixpanel das tut und ob es legal wäre, wollen wir an dieser Stelle weder vermuten noch diskutieren. Denn für die vielen tausend Nutzerinnen und Nutzer der App zählt einzig die Frage: Warum, um alles in der Welt, erhebt die App überhaupt Vor- und Nachnamen? Und versendet diesen dann auch noch – kodiert oder nicht kodiert?
Muss man wirklich riskieren, dass derart sensible Daten von den Servern bei Mixpanel gestohlen oder durch Fehlbedienung aus Versehen veröffentlicht werden, wie es auch dieses Jahr wieder zahlreichen, durchaus seriösen und technisch versierten Firmen passiert ist? Von US-Behördenanfragen ganz abgesehen, vor denen Daten in den USA – auch unter dem Privacy Shield – niemals sicher sind.
Natürlich ist es zur Analyse hilfreich, wenn man einzelne Nutzer auseinanderhalten kann. Aber das ginge auch mit einer einmalig innerhalb der App erzeugten, wirklich zufälligen Kennnummer, in der sich keinerlei personenbezogene Informationen befinden. War dieser einfache Schritt wirklich zu aufwändig? Oder wussten die Verantwortlichen bei MySugr nicht genau, was ihre Entwickler programmiert hatten?
Fehler können natürlich passieren. Aber spätestens am 7. Dezember 2017 wusste MySugr genau, was ihre App tut. Denn an diesem Tag erhielt unser Autor Mike Kuketz Post von den Anwälten der Firma, mit der Forderung, seine Vorabveröffentlichung auf seinem eigenen Blog sofort zu entfernen und zudem eine Unterlassungserklärung zu unterzeichnen, in der sinngemäß in etwa steht, dass er über dieses Thema nie mehr schreiben wird. Frist: 24 Stunden. In dem Blog-Beitrag hatte er den oben geschilderten Sachverhalt – zugegeben mit einigen klaren Meinungsäußerungen garniert – für seine Leserschaft dargestellt. (Diese Meinungsäußerungen wurden inzwischen abgemildert; die Erklärung hat Kuketz nicht unterschrieben).
Kurios: Weder in der Korrespondenz mit Mike Kuketz, noch in einem späteren Schreiben an mobilsicher.de fanden wir einen Hinweis darauf, dass MySugr plant, an der kritisierten Datenerfassung etwas zu ändern. Offenbar bricht der Hersteller lieber einen Rechtsstreit vom Zaun, als seinen Umgang mit Nutzerdaten zu verbessern. Das ist schade, denn die Nachricht „Einwandfreier Diabetes-Begleiter“ hätten wir unseren Leserinnen und Lesern gerne vermeldet.
