Wearables - Keine Privatsphäre für die Biometrie

Wearables

Keine Privatsphäre für die Biometrie

Dominik Bärlocher
von Dominik Bärlocher
Lesezeit: 8 Minuten

Wearables zeichnen eine Vielzahl persönlicher Daten auf: Puls, Schlafmuster, Herzfrequenz, Anzahl gegangener Schritte und noch viel mehr. Hersteller sehen sich einer neuen Herausforderung in Punkto Datensicherheit und Privatsphäre gegenüber. Die Recherche zeigt: Manch ein Hersteller erlaubt sich im Zweifelsfall viel und schützt wenig.

Google Glass, Nike FuelBand und ähnliche Produkte, die direkt am Körper getragen werden kommen mit einem Vertrag. Der User gibt sich mit dem Kauf des Produkts oder der Installation der dazugehörigen Software damit einverstanden, dass Unternehmen gewisse Rechte an den vom Gerät aufgezeichneten Daten erhalten. Das Problem: Kaum ein User liest das sogenannte End User License Agreement (EULA). Dies bestätigt eine Untersuchung des Usability Experten Jeff Sauro, der herausgefunden hat, dass Käufer durchschnittlich sechs Sekunden auf dem Bildschirm verbringen, der das EULA anzeigt. Das ist nicht genug Zeit, die Vereinbarung zu lesen. Das EULA von iTunes ist sieben A4 Seiten lang, das von Google Play sogar elf. Weitere Dokumente, die ein Kunde studieren und verstehen sollte: Das Privacy Statement, das die Privatsphäre der Nutzer bestimmt, und die Terms of Use, die allgemeinen Geschäftsbedingungen. Auch sie werden wohl kaum gelesen.

Im EULA erklären sich Benutzer unter anderem damit einverstanden, dass sie nichts Illegales mit der Software anstellen werden, dass der Hersteller im Missbrauchsfall keine Schuld trifft und dass jegliche Haftung irgendwelcher vom Hersteller abgelehnt wird. Oft schützen sich die Hersteller des Produkts auch gegen Verlust und Diebstahl der Userdaten oder sichern sich – wie im Falle von sozialen Netzwerken wie Facebook – die Rechte an den vom User aufgezeichneten Daten. Ähnliche EULAs werden beim Kauf von Wearables und der Installation der zugehörigen Software abgeschlossen. Wohl auch in nur wenig mehr als sechs Sekunden.

Nutzer müssten mehrere EULAs lesen und verstehen

Beim Kauf von Wearables muss sich der Kunde die Frage stellen – sofern es ihn denn interessiert -, wem er seine Daten zur Verfügung stellen würde. Denn der Transfer der Daten birgt viele Risiken für die Wahrung der Privatsphäre. Wenn ein Wearable die gesammelten Daten selbständig verarbeitet und anzeigt, bleibt das Risiko, dass dem Nutzer jemand über die Schulter schaut. Wenn die Daten vom Wearable an ein Smartphone übermittelt werden, dann muss der User bereits mit zwei EULAs einverstanden sein. Wenn die Daten weiter an einen Server gesendet werden, dann können das zwei oder mehr EULAs sein. Jeder Transfer birgt zudem die Gefahr des Datenlecks.

Genau dagegen sichern sich die Hersteller ab. Und gegen Datenlecks beim Speicher. In der Privacy Policy der Smartphone-App Moves heisst es:

Wir können die Sicherheit Ihrer Daten nicht garantieren. Folgende Dinge können Ihre Daten kompromittieren: Unerlaubter Zugriff, unerlaubte Nutzung, Softwarefehler und andere Faktoren.

Nebst solchen Sätzen, die rechtlich gesehen fast schon einer Art Freibrief für den das Veruntreuen von Userdaten verstanden werden können und ohnehin einen Verstoss gegen internationale und nationale Datenschutzgesetze darstellt, versuchen auch andere Hersteller vage zu bleiben. Das Privacy Statement des Herstellers Body Media, der von Jawbone Up aufgekauft wurde, verspricht, dass sich der Hersteller an alle gängigen Best Practices der Datensicherheit eingehalten werden. Fuelband-Hersteller Nike wird konkreter:

Ihre Kreditkarten-Informationen werden über eine SSL verschlüsselte Verbindung übertragen und verschlüsselt in unserer Datenbank abgelegt…

«Biometrische Daten sind keine persönlichen Informationen»

Negativ, aber auch am offensten, sticht die Firma OMSignal heraus. Auf ihrer Website heisst es:

OMsignal sieht Ihre biometrischen Daten nicht als persönliche Daten an. Diese Daten können in Form von anonymisierten Daten für jegliche rechtliche Nutzung, die unten [auf der Website] definiert ist, genutzt werden.

Unter dieser rechtlichen Nutzung verstehen die Hersteller des High-Tech-Shirts mit integrierter Sensortechnologie wie auch andere Vendors unter anderem den Export der Daten an Services Dritter, was eine weitere EULA bedingt. Die Kenntnis dieser weiteren EULA wird dem User überlassen und wird nicht von OMsignal geprüft.

Auch Nike erlaubt sich gewisse Freiheiten mit den Daten der User. Auf seiner Website preist der Sportartikelhersteller an, dass Nutzer seiner Wearables bisher 85 Milliarden Schritte gemacht haben und dadurch 12 Milliarden Kalorien verbrannt haben. Die Website zählt automatisch mit.

Daten sind heikler als nur ein Foto

Bedenklich ist hierbei aus Expertensicht, dass die Daten, die ein Fuelband oder ein Jawbone Up übermittelt etwas heikler sind und zu viel mehr verwendet werden können als Statusupdates auf Facebook oder Fotos auf Instagram. Ein Beispiel:

Nach dem Ausfüllen des Profils seines neuen Wearables steht ein 50 jähriger Mann aus der Schweiz regelmässig zweimal pro Nacht auf. Das Wearable – Tag und Nacht an seinem Handgelenk – zeichnet folgendes auf: Schlafphase unterbrochen, kurze Distanz gegangen, kurze Zeit stillgestanden, kurze Zeit gegangen, keine Bewegung, Schlafphase fortgesetzt.

Experten ist klar, was das bedeutet: Der Mann steht auf, geht zur Toilette und legt sich wieder schlafen. Doch da hört die Korrelation der Daten nicht auf. Folgendes kann ebenfalls mit Wahrscheinlichkeit festgestellt werden:

Sollte der Hersteller des Wearables diese Daten nun verkaufen, so ist es auf einmal denkbar, das E-Mails mit Inhalt wie

Hallo, wir haben festgestellt, dass sie mehrmals pro Nacht aufstehen und auf’s Klo gehen. Haben Sie Prostata-Probleme? Hier sind die besten Produkte, die Sie interessieren könnten.

versendet werden.

Umgang mit schlaflosen Geräten

Die Crux der Wearables: Sie schlafen nicht, zeichnen also 24 Stunden am Tag ihre Daten auf. Wenn der Träger sie abnimmt, dann werden die Daten verfälscht.

Diese Situation wirft Fragen auf, sowohl für die Hersteller und Entwickler im Feld wie auch den Endkunden, der sich von Nike FuelBand und anderen gesundheitliche Vorteile oder Einsicht in seinen Körper erhofft. Darunter:

Diese Fragen und deren Beantwortung nur dem Endkunden zu überlassen, ist aber weder aus Endkonsumentensicht noch aus der der Entwickler sinnvoll. Eine Entscheidung aus Expertise kann keinem Konsumenten überlassen werden und durch die sorgfältige Behandlung der Daten entstehen für Unternehmen Vorteile. Das Vertrauen der Nutzer ist eher gegeben und so ist auch der Kauf eines Nachfolgeproduktes wahrscheinlicher.

Über den Autor

Dominik Bärlocher

Der Journalist Dominik Bärlocher ist seit 2006 im IT-Bereich tätig. Während seiner Arbeit als Journalist bei grossen Schweizer Zeitungen sind ihm seine Recherchefähigkeiten und seine IT-Affinität immer wieder zu Hilfe gekommen. Bei scip AG führt er OSINT Researches durch und betreibt Information Gathering.

Links

Herausforderung Datenschutz-Grundverordnung DSGVO?

Unsere Spezialisten kontaktieren Sie gern!

×
TIBER-EU Framework

TIBER-EU Framework

Dominik Altermatt

Vertrauen und KI

Vertrauen und KI

Marisa Tschopp

Datenverschlüsselung in der Cloud

Datenverschlüsselung in der Cloud

Tomaso Vasella

Cyber Threat Intelligence

Cyber Threat Intelligence

Marc Ruef

Sie wollen mehr?

Weitere Artikel im Archiv

Sie brauchen Unterstützung bei einem solchen Projekt?

Unsere Spezialisten kontaktieren Sie gern!

Sie wollen mehr?

Weitere Artikel im Archiv