Soziale Netzwerke wollen es wissen. Es spielt keine Rolle, was es ist. Sie sammeln Daten, egal von was, von wo und worüber. Sie sind unaufhaltbar. Facebook, Google+ und andere soziale Netze haben im Verlauf der Jahre einige Tricks angewandt, um ihre Nutzer – also uns – besser kennenzulernen. Während Google+ recht harmlos ist, ist Facebook als das aggressivere der Netzwerke bekannt.

Facebook hat in der Vergangenheit unter anderem direkt nach unseren Lieblingsfilmen oder -bands oder -restaurants gefragt. Später dann kam die Frage, ob wir einen bestimmten Film gesehen haben sowie Plug-Ins, die andere soziale Netzwerke mit Facebook verbinden, darunter Goodreads für Leseratten und TripAdvisor für Reisefieber-Gepackte. Dazu kommen unzählige Variationen der Frage «Du hast $ding geliket, du könntest $ähnlichesDing auch mögen». Das alles nur, damit die Werbung, von der Facebook lebt, noch zielgerichteter verteilt werden kann und den Werbekunden Facebooks noch bessere Marketingdaten zur Verfügung stehen.

Datenkorrelation durch Nachfragen, ob ein Nutzer nun dieses oder jenes mag, gehört der Vergangenheit an. Antiquiert, möchte man fast sagen. Mit dem steten Anstieg der Datentransferrate und dem Fortschritt in Datenanalyse stehen neue technologische Mittel zur Verfügung. Die Welt nähert sich dem Punkt, an dem User Input gar nicht mehr notwendig, vielleicht sogar unerwünscht, ist. Die jüngste Entwicklung in diesem Gebiet ist ein Feature, das Facebook in den Vereinigten Staaten in Betrieb hat. Es fällt in die Kategorie der Audio Discovery.

Audio Discovery – Grundlose Spionage

Audio Discovery ist kein neues Konzept und Facebook ist nicht der einzige Konzern, der ein solches System einsetzt. Google betreibt Google Now und Apple hat seine Siri. Was Facebooks Implementation aber von der Konkurrenz unterscheidet, sind die generelle Nutzung und die Details, denn vom Prinzip her sind alle diese Services mehr oder weniger identisch: Sie zeichnen auf, was ein Nutzer sagt und führen Aktionen basierend auf dem Satz entnommenen Instruktionen auf. Darunter sind Navigationsfunktionen oder das Abspielen eines Musikstücks in einer Streaming App. In den vergangenen Monaten haben Effektivität und Intelligenz dieser Services stark zugenommen. Daher ist es nicht verwunderlich, dass viele Anbieter auf den Markt drängen und auch ein Stück des Kuchens wollen.

Bei Facebook hat das Audio Discovery Feature keinen eigenen Namen, wie auch der Name Audio Discovery selbst keinerlei Anspruch auf die offizielle Bezeichnung macht. Ein anderer Begriff, der ebenfalls geläufig ist, ist Voice Recognition. Das Feature ist Teil der App für Android- und Applegeräte in den Vereinigten Staaten. Der internationale Launch wird schon bald erwartet. Die Funktion: Wenn ein User ein Statusupdate tippt, schaltet die App das Mikrofon des Telefons ein und hört dem Raum, in dem der Nutzer ist, zu. Songs oder Fernsehserien, die im Hintergrund laufen, werden identifiziert. Wenn der Status abgeschickt wird, wird ein Satz wie «hört gerade Hol Baumann – [Human] dem Userstatus angefügt. Die Facebookfreunde können daraufhin einen 30 sekündigen Clip des Lieds hören und werden dann zu Kaufoptionen weitergeleitet.

Facebook hört zu – eine längere Geschichte

Das Audio Discovery, weil Voice Recognition ist es im eigentlichen Sinne ja nicht, ist keine neue Erfindung. Die früheste Erwähnung des Produkts datiert auf das Frühjahr 2014, als das Feature offiziell angekündigt wurde. Doch wurde es nicht sofort verbreitet und verschwand wieder in den Schatten des Internets. Kürzlich aber ist es wieder aufgetaucht, diesmal anscheinend weit verbreitet, und löste dieselben Bedenken bei Nutzern aus, die es schon im Vorjahr ausgelöst hatte.

Facebook says the feature will be used for harmless things, like identifying the song or TV show playing in the background, but by using the phone’s microphone every time you write a status update, it has the ability to listen to everything. Not only is this move just downright creepy, it’s also a massive threat to our privacy. The feature is opt-in, but many won’t even read the warnings. – SumOfUs.org Petition

Zudem hegt manch ein Nutzer den Verdacht, dass Facebook auch dann zuhört, wenn das Mikrofon aus sein soll. Theoretisch ist es möglich, aber das wird von Facebook dementiert.

Myth: The feature listens to and stores your conversations. Fact: Nope, no matter how interesting your conversation, this feature does not store sound or recordings. Facebook isn’t listening to or storing your conversations. Here’s how it works: if you choose to turn the feature on, when you write a status update, the app converts any sound into an audio fingerprint on your phone. This fingerprint is sent to our servers to try and match it against our database of audio and TV fingerprints. By design, we do not store fingerprints from your device for any amount of time. And in any event, the fingerprints can’t be reversed into the original audio because they don’t contain enough information. Myth: Facebook is always listening using your microphone. Fact: Nope, if you choose to turn this feature on, it will only use your microphone (for 15 seconds) when you’re actually writing a status update to try and match music and TV. – newsroom.fb.com

Kurz nachdem das Feature angekündigt wurde, sind empörte Nutzer zum Internetaktivismus übergegangen und haben versucht, Facebook mit einer Online-Petition dazu zu zwingen, das Feature wieder zu entfernen, da es laut ihnen gruslig sei.

Ein Jahr später ist die Gesellschaft weit mehr daran gewöhnt, dass der Klang der menschlichen Stimme Maschinen kontrolliert. Mit dem Fortschritt der Technologie wird es auch möglich, dass diese Befehle zunehmend komplexer und daher auch nützlicher werden. Die öffentliche Meinung zu Voice Control ändert sich Tag für Tag mit neuer Technologie und deren Vorzüge.

Angriffe per Mikrofon

Einem Gerät Befehle mittels Stimme zu übergeben, birgt eine Menge Risiken. Die meisten sind im Bereich der Überwachung zu finden.

Wenn eine Applikation uneingeschränkten Zugang zum Mikrofon eines Geräts erhält, verwanzt es den Raum in dem das Gerät liegt. Wenn nun die Applikation übernommen oder der Netzwerkverkehr mitgehört werden kann, oder wenn gar eine eigens zu dem Zweck entwickelte App zum Einsatz kommt, dann kann das zu grossen Mengen an Informationen führen, die einem Angreifer zur Verfügung stehen. Kurz: Jeder Raum, in dem ein betroffenes Gerät liegt, kann überwacht werden.

Das ist nicht nur für Gesetzeshüter interessant. Auch Werber und Spione dürften am Feature ihre Freude haben. Spione nicht im Sinne von James Bond, sondern mehr im Sinne von Menschen, die Interesse an Geheimnissen konkurrierender Unternehmen haben, so als Beispiel. Viele Manager nehmen ihr Handy mit in wichtige Sitzungen mit, da sie auf Vorfälle aller Art im Betriebsalltag reagieren müssen. Diese Telefone hören eine grosse Menge streng Vertrauliches mit. Wenn jetzt auf das Mikrofon des Telefons zugegriffen werden kann, könnten die abgehörten Informationen einen grossen geschäftlichen Vorteil versprechen.

Wenn wir aber nun doch über James Bond Spione einer Regierung nachdenken, dann steht schnell fest, dass Regierungen sich einen grossen Vorteil versprechen, wenn sie wissen, was andere Regierungen besprechen und beschliessen. Das geschieht nicht nur in Krisenzeiten, wie der Fall des Merkelphones zeigt. Die Dokumente, die Whistleblower Edward Snowden veröffentlicht hat, zeigen auf, dass die NSA das Privathandy der deutschen Bundeskanzlerin Angela Merkel abgehört hat, das sie auch für Politisches verwendet hat. Die Affäre hat die diplomatischen Beziehungen Deutschlands mit den USA stark gereizt, aber am Ende wurde die Ermittlung eingestellt. Angela Merkel und die deutsche Regierung verwenden seither verschlüsselte Handies, die von der Telekom-Tochter T-Systems hergestellt werden.

Der andere offensichtliche Angriffsvektor ist die Interferenz. Bis jetzt unterscheiden nur wenige der Geräte zwischen Nutzern. Das heisst, wenn Nutzerin Alice ihrem Handy einen Befehl gibt, dann kann Angreifer Mallory einfach Dinge rufen und das Telefon akzeptiert Mallorys Kommando als legitimen Befehl. Heute führt das wohl noch nicht zu grossem Schaden, aber wird spätestens dann zum Problem, wenn die Voice Recognition sensitivere Daten verarbeiten kann.

Verteidigen Sie sich

Es gibt einige Verteidigungsmassnahmen gegen obige Angriffe. Sie gehören alle ins Feld der Operations Security, kurz OPSEC genannt. Die offensichtlichste Lösung scheint auch die einfachste und effizienteste zu sein: Wenn ein Meeting sich mit vertraulichen beschäftigt, dann bleibt das Handy ausserhalb des Raumes. Diese low-tech Lösung ist aus offensichtlichen Gründen effektiv.

Die nächste Alternative wäre es, sich selbst zu zensieren. Das könnte so aussehen, dass während einem Meeting gewisse Dinge wie der Name des Kunden oder der Interessengruppe nicht laut gesagt werden darf. Es könnten Codenamen verwendet werden, aber das kann schnell mühsam werden und zu grossen Missverständnissen führen. Da scheint es doch einfacher, das Telefon nicht in die Sitzung mitzunehmen.

Indem ein Stimmabdruck, das Audio-Äquivalent zum Fingerabdruck, erstellt wird, können nur autorisierte und registrierte Nutzer das Gerät bedienen. In einem Privathaushalt könnte das bedeuten, dass nur Familienmitglieder dem Gerät Befehle geben können. Im Büro könnten autorisierte Nutzer projektbezogen definiert werden. Das würde aber voraussetzen, dass jeder Nutzer einen eigenen Account in der Voice Recognition Software benötigt. Eine solche Registration würde wohl daraus entstehen, dass ein Nutzer denselben Satz mehrere Mal aufsagt und dann der Applikation den Rest überlässt.

Auf Facebook vertrauen wir?

Die Frage ist nicht, ob Facebook Nutzern zuhören kann, sondern ob Facebook wirklich nur dann zuhört, wenn Nutzer ein Statusupdate tippen. Soweit Informationen vorliegen ist es wahrscheinlich, dass sie es nicht tun. Oder etwa doch?

Dafür gibt es einige Gründe:

• Es ist in den meisten Ländern illegal
• Es ist so dermassen moralisch und ethisch fragwürdig, dass Facebook die Besorgnis der Nutzer nicht ignorieren kann
• Es ist so dermassen moralisch und ethisch fragwürdig, dass kein Werbepartner Facebooks ohne verlässliche Profitversprechen eine Werbekampagne auf Abhörtechniken finanzieren würde

Selbst wenn Facebook generell ein etwas seltsames Konzept von Moral und Ethik hat – Hassreden sind erlaubt, Nacktheit aber nicht, was auf ein kulturell amerikanisches Verständnis der Konzepte hindeutet – so haben sie doch hin und wieder Privatsphärenbedenken. Das ergibt Sinn, da Facebook seine Nutzer nicht allzu schlecht behandeln darf. Ein bisschen schlecht behandeln ist in Ordnung, aber zu weit gehen darf der Konzern nicht, weil sonst das Produkt – also die Nutzer – abwandern und sich im nächsten sozialen Netzwerk wieder finden werden. Das weiss Facebook auch.

Daher, selbst wenn Facebook nicht gewillt ist, jedem Wort, das die Nutzer sagen, zuzuhören, so ist es doch keine Hexerei, so ein Feature einzuführen. Das trifft auch auf jede andere Applikation mit Voice Recognition oder Audio Discovery Features zu.

Für den Fall, dass Facebook tatsächlich nicht vertraut werden kann, wovon auszugehen ist, hat Developer Daniel Velazco eine Android-Applikation entwickelt, die Facebook vom Rest des Geräts isoliert.

Wie es funktioniert

Es gibt aktuell zwei vorherrschende Modelle, wie Stimmen und andere Geräusche von einem Mobiltelefon abgefangen werden können.

Facebooks Methode ist die passivere der Beiden. Das Mikrofon ist in der Regel ausgeschaltet, es sei denn einige sehr spezifische Kriterien stimmen zu. Im Falle Facebook dürften sie in etwa so aussehen:

• Option für automatische Erkennung von Hintergrundgeräuschen ist eingeschaltet
• Nutzer muss ein Statusupdate tippen
• Nutzer muss aktiv tippen

Dazu behauptet Facebook, dass sie nur während 15 Sekunden Ton aufzeichnen und diese Daten nirgendwo ablegen werden. Daher analysieren sie nicht aktiv, was Nutzer sagen und bewahren die Daten auf, auch wenn es anderslautende Gerüchte gibt.

Die andere Methode ist die, die in Google Nows oder Siris Einstellungen aktiviert werden kann und die den Standard in Amazon Echo darstellt. Geräte, die diese Methode wählen, hören immer zu, reagieren und verbinden sich aber nur dann mit dem Internet, wenn sie ein Reizwort hören. Bei Google Now ist das Okay Google, Alexa bei Amazons Echo und bei Siri ist es Hey, Siri. Sobald die Geräte ihr Reizwort gehört haben, laden sie nicht nur die Stimme zum Verständnis in die Cloud sondern analysieren gleichzeitig eine grosse Menge Daten, die hoffentlich die Antwort auf die Frage des Nutzers bringen soll.

Sorge um die Privatsphäre im grossen Stil

Nutzer haben derzeit keinerlei Mittel, zu verifizieren, ob die Geräte tatsächlich das tun, was sie sagen, wenn sie die oben genannte Methode verwenden, auf die auch Facebook setzt. Es gibt zahlreiche Fälle, in denen Nutzer glauben, dass die Facebook-App immer zuhört.

We found a roach in our apartment (very common in my part of the world). We were complaining about it and the need for pest control. Within 10 minutes I had an ad on my Facebook feed for a local pest control place. Never ever ever have a seen a similar ad on Facebook. The rationalist in me wanted to say that it must have to do with the time of year and the frequency of roach problems in my area, but the coincidence was enough to give me pause. – User NewHoustonian auf Reddits Jailbreak subreddit.

Allem Anschein nach ist das kein Einzelfall. Andere Leute im selben Thread berichten davon, dass die App allerlei Sachen aufgelesen hat, die sie eigentlich gar nicht hätte hören sollen. Darunter ein Film mit einem sehr spezifischen Zitat, speziell geröstete Mandeln und Durchfall. Die Nutzer versichern, dass sie über diese Themen nicht auf Facebook geredet haben und es daher keinen Weg gebe, wie Facebook davon hätte erfahren können, es sei denn, die App höre immer zu. Dennoch, Datenkorrelation kann Wunder bewirken und mit genügend Daten nicht nur genau sondern auch spezifisch sein. Nun heisst das nicht, dass die App nicht tatsächlich zugehört hat, aber es gibt durchaus andere Wege, an die selbe Information zu kommen. Alternativ könnte auch eine kognitive Verzerrung namens Baader-Meinhof-Phänomen oder auch Frequenz-Illusion für den Effekt verantwortlich sein. Das Phänomen beschreibt das Auftauchen gewisser Begriffe im Alltag nachdem sie einmal bewusst wahrgenommen wurden. Der Begriff taucht nicht öfter auf, wirkt aber auffälliger.

Doch auch nur die 15 Sekunden, die von der App garantiert mitgehört werden, können schon zu grosser Peinlichkeit oder zum Verlust von Vertraulichem führen. Beispiele hierfür sind Gespräche mit einem Elternteil über eine Krankheit, oder mit dem Partner über das, was nach Ausschalten des Lichts im Bett passiert. Versuchen Sie sich an die Gespräche zu erinnern, die sie hatten, während Sie einen Facebook-Status getippt haben. Zumindest theoretisch hat Facebook die Möglichkeit, diese Gespräche zu analysieren. Auch Google, Amazon und Apple haben diese.

Schutz durch Vermeidung

Es ist schwierig, sich gegen solche technologischen Features zu schützen. Dafür gibt es zwei Gründe: Der eine ist, dass eine Vielzahl der User Facebook nicht hinterfragt. Sie gehen davon aus, dass sie der Kunde sind und dass Facebook ihnen gegenüber grundsätzlich wohlgesonnen ist und daher nie etwas tun würde, das ihnen schaden würde. Dies trotz unzähliger Fälle, die das Gegenteil beweisen, zum Beispiel der Fall der Schweizer Politikerin Sarah Bösch, die sich nach einem Post über die eigene Trunkenheit am Steuer so exponiert hatte, dass ihr Leben und ihre Karriere medial untersucht wurde und sie am Ende die politische Karriere gekostet hat. Als Unabhängige hat Sarah Bösch nach dem Skandal um ihre Person kaum Chancen auf Wahlerfolg.

Der zweite Grund könnte der sein, dass wir Menschen neugierig sind. Wer kann schon dem Drang Was passiert, wenn ich das mache? widerstehen? Das ist der Grund, weshalb wir als Menschheit soweit gekommen sind und unser Forschungsdrang nach wie vor ungezügelt ist.

Die Lösung könnte aber in der Konstellation von Facebooks Unwillen, seine Nutzer zu schlecht zu behandeln, und Nutzern, die auf etwas Bequemlichkeit verzichten wollen und ihre Neugier zügeln können, liegen. Einfach gesagt: Deinstallation der App. Keine Online-Petition und kein News-Report wird den gleichen Effekt haben, wie es ein rapider Abfall der Nutzerzahlen hat. Glücklicherweise ist das Audio Discovery Feature derzeit nur in den USA aktiv und auch dort muss ein Nutzer das Feature einschalten. Daher sind wir – zumindest für den Moment – sicher.

Über den Autor

Der Journalist Dominik Bärlocher ist seit 2006 im IT-Bereich tätig. Während seiner Arbeit als Journalist bei grossen Schweizer Zeitungen sind ihm seine Recherchefähigkeiten und seine IT-Affinität immer wieder zu Hilfe gekommen. Bei scip AG führt er OSINT Researches durch und betreibt Information Gathering.

Links

• http://action.sumofus.org/a/Facebook-app-taps-phones/?akid=5478.2614652.96-Mk1&rd=1&sub=fwd&t=2
• http://newsroom.fb.com/news/2014/05/a-new-optional-way-to-share-and-discover-music-tv-and-movies/
• http://tripadvisor.com
• http://wat.is/-yYldzAzA
• http://www.amazon.com/echo
• http://www.bbc.com/news/world-europe-33106044
• http://www.businessinsider.com/facebooks-new-feature-creeped-out-users-2014-6?IR=T
• http://www.forbes.com/sites/kashmirhill/2014/05/22/facebook-wants-to-listen-in-on-what-youre-doing/
• https://de.wikipedia.org/wiki/Edward_Snowden
• https://play.google.com/store/apps/details?id=com.danvelazco.fbwrapper
• https://plus.google.com
• https://redd.it/2×0qm9??
• https://redd.it/3nxjwt
• https://www.facebook.com
• https://www.goodreads.com
• https://www.reddit.com/user/NewHoustonian
• https://www.telekom.com/media/media-kits/105252
• https://www.youtube.com/watch?v=1m4-i9t_ffk.»