Spionieren Geolokalisierungsdienste Sie aus?

Die Nachricht, dass Qualcomm, ein führender Anbieter von Smartphone-Chips, Benutzer mit seinem Geolokalisierungsdienst verfolgt hatte, sorgte kürzlich in der Tech-Presse für leichtes Aufsehen. In diesem Beitrag werden wir die Wahrheit von dem Unsinn dieser Geschichte trennen und darüber sprechen, wie Sie die unerwünschte Verfolgung von Geolokalisierungen tatsächlich minimieren können. Schauen wir uns zunächst an, wie die Geopositionierung tatsächlich funktioniert.

So bestimmen mobile Geräte Ihren Standort

Die traditionelle Methode zur Geolokalisierung besteht darin, ein Satellitensignal von den Systemen GPS, GLONASS, Galileo oder Beidou zu empfangen. Anhand dieser Daten führt der Empfänger (der Chip im Smartphone oder Navigationsgerät) Berechnungen durch und bestimmt seinen Standort. Dies ist eine ziemlich genaue Methode, bei der das Gerät keine Informationen überträgt, sondern nur empfängt. Diese Geolokalisierungsmethode hat jedoch erhebliche Nachteile: Sie funktioniert nicht in Innenräumen und dauert lange, wenn der Empfänger nicht täglich verwendet wird. Dies liegt daran, dass das Gerät den genauen Standort der Satelliten kennen muss, um die Berechnung durchführen zu können. Es muss also den sogenannten Almanach herunterladen, der Informationen über die Position und Bewegung der Satelliten enthält. Der Abruf dauert zwischen fünf und zehn Minuten, wenn der Download direkt vom Satellit erfolgt.

Als viel schnellere Alternative zum direkten Download vom Satellit können Geräte den Almanach mithilfe einer Technologie namens A-GPS (Assisted GPS) innerhalb von Sekunden aus dem Internet herunterladen. Gemäß der ursprünglichen Spezifikation werden nur die aktuell verfügbaren und unmittelbaren Satellitendaten übertragen, aber mehrere Entwickler haben eine wöchentliche Vorhersage der Satellitenpositionen hinzugefügt, um die Berechnung der Koordinaten zu beschleunigen, selbst wenn der Empfänger tagelang keine Internetverbindung hat. Die Technologie ist als Predicted Satellite Data Service (PSDS) bekannt und der bereits erwähnte Qualcomm-Dienst ist die bisher beeindruckendste Implementierung. Der 2007 eingeführte Dienst erhielt den Namen „gpsOne XTRA“, wurde 2013 in „IZat XTRA Assistance“ umbenannt und in seiner jüngsten Version wieder in „Qualcomm GNSS Assistance Service“ umbenannt.

Wie der Empfang von Satellitensignalen in Innenräumen funktioniert und was SUPL ist

Wie bereits erwähnt, besteht ein weiteres Problem bei der Geopositionierung mithilfe eines Satellitensignals darin, dass es in Innenräumen möglicherweise nicht verfügbar ist. Daher gibt es andere Möglichkeiten, den Standort eines Smartphones zu bestimmen. Die klassische Methode aus den 90er Jahren besteht darin, zu überprüfen, welche Mobilfunk-Basisstationen am aktuellen Standort empfangbar sind, und den ungefähren Standort des Geräts durch Vergleich der Signalstärke zu berechnen, wobei die genaue Position der Stationen bekannt ist.

Mit geringfügigen Modifikationen wird dies auch von modernen LTE-Netzen unterstützt. Außerdem können Smartphones nach WLAN-Hotspots in der Nähe suchen und deren ungefähre Position bestimmen. Dies wird in der Regel durch zentralisierte Datenbanken ermöglicht, in denen Informationen über WLAN-Zugangspunkte gespeichert sind und die von bestimmten Diensten wie dem Google Location Service bereitgestellt werden.

Alle existierenden Geopositionierungsmethoden werden durch den SUPL-Standard (Secure User Plane Location) definiert, der von Mobilfunkanbietern und Entwicklern von Smartphones, Mikrochips und Betriebssystemen unterstützt wird. Jede Anwendung, die den Standort des Benutzers kennen muss, erhält diesen vom mobilen Betriebssystem mithilfe der schnellsten und genauesten Kombination von derzeit verfügbaren Methoden.

Welche Informationen der Smartphone-Anbieter erhält, wenn GPS oder GLONASS auf Ihrem Telefon aktiviert sind.

Tweet

Kein Datenschutz garantiert

Der Zugriff auf SUPL-Dienste muss nicht unbedingt zu einer Verletzung der Privatsphäre der Benutzer führen, aber in der Praxis werden Daten häufig durchgesickert. Wenn Ihr Telefon Ihren Standort mithilfe von Basisstationen in der Nähe bestimmt, weiß der Mobilfunkanbieter genau, welcher Teilnehmer die Anfrage gesendet hat und wo er sich gerade befindet. Google monetarisiert seine Ortungsdienste, indem es den Standort und die Kennung des Benutzers aufzeichnet; technisch ist dies jedoch nicht erforderlich.

Was A-GPS anbelangt, so können Server theoretisch die erforderlichen Daten bereitstellen, ohne die Kennung der Teilnehmer zu sammeln oder ihre Daten zu speichern. Viele Entwickler tun jedoch beides. Die Android-Standardimplementierung der SUPL sendet dem Smartphone eine IMSI (eindeutige SIM-Nummer) als Teil einer SUPL-Anfrage. Der Qualcomm XTRA-Client auf dem Smartphone übermittelt den Teilnehmern „technische Kennungen„, einschließlich der IP-Adressen. Laut Qualcomm „de-identifizieren“ sie die Daten; das heißt, sie löschen nach 90 Tagen Datensätze, die eine Verknüpfung von Teilnehmerkennungen und IP-Adressen enthalten, und verwenden sie anschließend ausschließlich für bestimmte „geschäftliche Zwecke“.

Ein wichtiger Punkt: Die Daten einer A-GPS-Anfrage können nicht dazu verwendet werden, den Standort des Benutzers zu bestimmen. Der auf dem Server verfügbare Almanach ist überall auf der Erde derselbe – es ist das Gerät des Benutzers, das den Standort berechnet. Mit anderen Worten, die Besitzer dieser Dienste können nur Informationen über den Benutzer speichern, der zu einem bestimmten Zeitpunkt eine Anfrage an den Server sendet, nicht aber den Standort des Benutzers.

Die Vorwürfe gegen Qualcomm

Qualcomm kritisierende Veröffentlichungen berufen sich auf die Forschung einer bestimmten Person namens Paul Privacy, die auf der Nitrokey-Website veröffentlicht wurde. Das Papier behauptet, dass Smartphones mit Qualcomm-Chips die persönlichen Daten der Benutzer ohne deren Wissen über ein unverschlüsseltes HTTP-Protokoll an die Server des Unternehmens senden. Dies geschieht angeblich, ohne dass es von jemandem kontrolliert wird, da die Funktion auf Hardware-Ebene implementiert ist.

Trotz der oben genannten Datenschutzprobleme, unter denen beispielsweise der GNSS-Assistenzdienst von Qualcomm leiden, erschreckt die Forschung die Benutzer in gewisser Weise und führt die Benutzer in die Irre, während sie eine Reihe von Ungenauigkeiten enthält:

• In alten Smartphones konnten Informationen tatsächlich über das unsichere HTTP übertragen werden, aber im Jahr 2016 hat Qualcomm diese XTRA-Schwachstelle geschlossen.
• Laut Lizenzvertrag können Informationen wie eine Liste der installierten Anwendungen über die XTRA-Dienste übertragen werden, praktische Tests (Paketuntersuchung und Untersuchung des Android-Quellcodes) ergaben jedoch keinen Beweis dafür.
• Entgegen den anfänglichen Behauptungen der Forscher ist die Funktion zur gemeinsamen Nutzung von Daten nicht in den Mikrochip (Baseband) eingebettet, sondern auf Betriebssystemebene implementiert, sodass sie durchaus kontrolliert werden kann: sowohl von den Betriebssystementwicklern als auch von der Modding-Community. Das Ersetzen und Deaktivieren bestimmter SUPL-Dienste auf einem Smartphone ist seit 2012 eine bekannte Fertigkeit, aber dies wurde nicht aus Datenschutzgründen, sondern aus Gründen der schnelleren GPS-Funktion vorgenommen.

Spionageschutz: für alle und für besonders vorsichtige Personen

Qualcomm verfolgt uns also (wahrscheinlich) nicht. Das Tracking per Geolokalisierung ist jedoch möglich, aber auf einer ganz anderen Ebene: Wetter-Apps und andere scheinbar harmlose Programme, die Sie täglich verwenden, tun dies systematisch. Wir empfehlen jedem, eine einfache, aber wichtige Sache zu tun: Minimieren Sie die Anzahl der Apps, die Zugriff auf Ihren Standort haben. Schließlich können Sie einen Ort manuell auswählen, um die Wettervorhersage abzurufen, und die Eingabe einer Lieferadresse beim Online-Shopping ist keine so große Sache.

Diejenigen unter Ihnen, die verhindern möchten, dass ihr Standort irgendwo aufgezeichnet wird, sollten einige zusätzliche Schutzmaßnahmen ergreifen:

• Deaktivieren aller Geolokalisierungsdienste außer dem guten alten GPS auf Ihrem Smartphone.
• Verwenden erweiterter Tools, um den Zugriff Ihres Telefons auf SUPL-Dienste zu blockieren. Je nach Smartphone-Modell und Betriebssystemtyp kann dies durch eine Filterung des DNS-Servers, eine System-Firewall, einen Filter-Router oder dedizierte Smartphone-Einstellungen
• Es ist am besten, auf die Verwendung von Mobiltelefonen zu verzichten, und zwar ganz! Auch wenn Sie alle oben genannten Maßnahmen ergreifen, kennt der Mobilfunkanbieter jedoch jederzeit Ihren ungefähren Standort.