Proton: 85 Prozent aller VPN-Apps schnüffeln Nutzer aus
Ich nutze ein VPN auf dem Smartphone aus einem einzigen Grund: Meine Daten gehen niemanden etwas an. Eine neue, gigantische Untersuchung der Schweizer Sicherheitsexperten von Proton belegt jetzt aber das genaue Gegenteil. Wer glaubt, mit einem Klick auf „Verbinden“ anonym zu sein, wird in den meisten Fällen eiskalt hintergangen.
Proton hat weltweit über 7.000 mobile VPN-Apps mithilfe der Plattform Exodus Privacy analysiert. Das Ergebnis für den US-Markt mit 390 geprüften Apps aus dem Apple App Store und Google Play Store ist ein absoluter Totalschaden: Satte 85 Prozent dieser Anwendungen enthalten aktives Tracking für Werbung, Analysen und Profilbildung.
Die Standort-Falle: Wenn das VPN deine GPS-Daten petzt
Besonders dreist: Rund 25 Prozent der untersuchten US-Anwendungen – konkret 64 VPN-Apps – erfassen aktiv den physischen Standort der Anwender. Beispiele wie VPN Proxy Master, VPN – Fast VPN Super oder X-VPN saugen Positionsdaten ab, obwohl ihre einzige Daseinsberechtigung die Anonymisierung ist. Allein im Juni entfielen über 3 Millionen Downloads auf solche Standort-Schnüffler.
Das ist aber erst die Spitze des Eisbergs. Die integrierten Tracking-Skripte schaufeln sensible Daten wie die Google Advertising ID (GAID), das Gerätemodell, Mobilfunkanbieter und den Netzwerktyp munter ins Ausland. Allein im Juni flossen Daten aus 1,5 Millionen Downloads direkt nach China, 1,4 Millionen nach Russland und 2,6 Millionen nach Israel.
Briefkastenfirmen und Datenfalle: Wer steckt hinter den Apps?
Ein genauer Blick auf die Firmenstrukturen offenbart das nächste Desaster. Von den 390 betrachteten US-Apps gehören 64 Unternehmen aus China. Bei 31 dieser Anbieter wird die wahre Eigentümerstruktur über Briefkastenfirmen in Singapur, Hongkong oder Großbritannien getarnt. Nach chinesischem Recht können Firmen verpflichtet werden, Nutzerdaten an staatliche Stellen auszuhändigen – bei einem Sicherheits-Tool ein absolutes NOGO.
Oft steckt dahinter nicht einmal direkte Spionageabsicht der Entwickler, sondern schlicht Gier. Viele Betreiber nutzen White-Label-Software und finanzieren ihre Gratis-Angebote über kommerzielle Tracking-Module. Wer nicht für den Dienst zahlt, wird eben selbst als Datenpaket verkauft.
Auch die Branchenriesen schnüffeln: Keine Entwarnung für NordVPN & Co.
Dass dieses Problem keineswegs nur billige Gratis-Anwendungen betrifft, zeigt der Blick auf die Branchenprominenz. Bereits der Sicherheitsforscher Mike Kuketz wies in der Android-App von VyprVPN (Version 2.30.0) Tracker wie Adjust, Google Analytics oder Google Crashlytics nach. Sogar E-Mail-Adressen wanderten bei der Registrierung direkt an die Marketing-Plattform Iterable.
Auch bei bekannten Schwergewichten wie NordVPN, Surfshark, ExpressVPN, Secure VPN und Thunder VPN wurden integrierte Tracking-Bausteine von Anbietern wie AppsFlyer entdeckt. Gleichzeitig schauen Apple und Google weg und verlassen sich blind auf die Selbsterklärungen der Entwickler im Store, statt forensische Code-Prüfungen durchzuführen. Wer echte Anonymität sucht, muss Vertrauen durch unabhängige Audits und transparente Firmensitze einfordern.
Schmidtis Blog zu Deiner bevorzugten Quelle bei Google hinzufügen
Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!
