Mindestens 15 Monate lang, bis zum November 2019, hat die Social-Media-App TikTok Android-Nutzer*innen über eine Gerätenummer eindeutig identifiziert – ohne deren Wissen. Wer die App beispielsweise löschte und mit anderen Anmeldedaten neu einrichtete, konnte von der chinesischen Anbieterfirma ByteDance Ltd. wiedererkannt werden.
Die App las dazu die MAC-Adresse aus, eine einmalige Nummer, die fest mit einem Smartphone verbunden ist. Selbst wenn Sie das Gerät auf Werkseinstellungen zurücksetzen und dabei alle Daten löschen, bleibt die MAC-Adresse bestehen. Wenn eine Firma sie hat, bringen auch Tricks wie das regelmäßige Ändern der Werbe-ID nichts mehr – ein Gerät wird immer wiedererkannt.
Aus diesem Grund untersagen Google und Apple App-Anbietern das Auslesen der MAC-Adresse in ihren App-Store-Richtlinien und schieben der Praxis seit 2015 auch technisch einen Riegel vor. Um die Nummer trotzdem abzurufen, nutzte TikTok eine Sicherheitslücke aus. Das Auslesen der Nummer ohne Zustimmung der Nutzer*innen dürfte zudem kaum mit der europäischen Datenschutz-Grundverordnung (DSGVO) vereinbar sein.
Dass TikTok sich die sensible Nummer mehr als ein Jahr lang heimlich von Nutzer*innen holte, konnte die New Yorker Tageszeitung Wall Street Journal in Kooperation mit der Privatsphäre-Analysefirma AppCensus zeigen. Mit einem Update wurde die Praxis laut Wall Street Journal am 18. November 2019 beendet.
Gerätedaten ermöglichen Profilbildung
Das Kombinieren unterschiedlicher Kennnummern eines Geräts nennt man ID-Bridging. Für Smartphone-Nutzer*innen ist diese Praxis ein großer Nachteil: Je mehr technische Daten bei einer Firma vorliegen, umso aussagekräftigere Nutzer*innenprofile können erstellt werden.
Dies geschieht häufig, ohne dass die Nutzer*innen davon wissen oder etwas dagegen tun könnten. Ob die so erstellten Profile nur für personalisierte Werbung genutzt oder weiterverkauft werden, ist ebenso unklar.
US-Regierung will TikTok verbieten
US-Präsident Donald Trump sprach schon vor dieser Neuigkeit davon, TikTok in den USA zu verbieten, falls es nicht in den Besitz eines US-amerikanischen Unternehmens übergehe. Daten von US-Bürger*innen seien in China nicht ausreichend vor dem Zugriff der chinesischen Regierung geschützt.
Trump hat bereits ein Verbot von Geschäften amerikanischer Unternehmen mit der Bytedance Ltd. auf den Weg gebracht, das Mitte September 2020 in Kraft treten soll. Für die Übernahme durch einen US-amerikanischen Anbieter bliebe also nur wenig Zeit.
Die TikTok-Betreiber*innen hatten auf die Vorwürfe erwidert, dass die Daten US-amerikanischer Nutzer*innen nicht in China, sondern auf Servern in den USA gespeichert würden. Damit unterlägen sie nicht dem chinesischen, sondern dem US-amerikanischen Recht. Die Bytedance Ltd. strebt nun ihrerseits eine Klage gegen den Erlass des US-Präsidenten an.
