Datenkrake Pokémon Go - So sicher ist die Nintendo-App

Der Poké-Hype ist ein Boom der Superlative: Nicht nur die Nintendo-Aktie schnellte nach dem Launch von Pokémon Go steil in die Höhe, der Unternehmenswert von Nintendo hat inzwischen sogar den des Erzrivalen Sony übertroffen. Dabei ist die App nach wie vor, bis auf die für das Spiel nicht zwingend notwendigen In-App-Käufe, völlig kostenlos. Nicht zu Unrecht also fragen sich viele Nutzer, wie Herausgeber Niantic und Nintendo mit der Erfolgsapp eigentlich Geld machen können.

Begehrte Ware: "Big Data"

Niantic besitzt durch Pokémon Go eine bestimmte Ware im Übermaß: Nutzerdaten. Die Nachfrage nach solchen Daten ist groß. Unternehmen wie etwa Google brauchen sie, um auf die Nutzer möglichst zielgenau angepasste Werbung zu platzieren. Doch es ist noch weit mehr möglich. Je nach Güte der Daten, können auch Trends ermittelt, Entwicklungen innerhalb der Gesellschaft prognostiziert und Werbekampagnen maßgeschneidert angefertigt werden. Besonders begehrt sind dabei exakte Standortdaten von Personen. Und genau diese besitzt Niantic durch Pokémon Go in Hülle und Fülle. Denn ohne aktiviertes GPS ist das Spielen gar nicht möglich. Dem auf Werbung spezialisierten Unternehmen "Smaato" zufolge, zahlen Anzeigekunden erheblich mehr, wenn Apps nicht nur hohe Zugriffszahlen bieten, sondern vor allem auch möglichst präzise Daten liefern, wie etwa das Geschlecht der einzelnen Nutzer. Und Pokémon Go liefert weitaus mehr als das. Durch das ständige GPS-Tracking verfügt das Unternehmen über alle Bewegungen, die der Nutzer gemacht hat, solange die App geöffnet war. Und da viele Pokémon Go-Spieler die App auch im Hintergrund ständig geöffnet haben, kommt hier einiges an Daten zusammen.

Sicherheitsforscher schlagen Alarm

Mike Kuketz ist Sicherheitsforscher. Für das Infoportal "mobilsicher" hat er die App auf Herz und Nieren geprüft - mit recht bestürzendem Ergebnis. Allein die Datenschutzerklärung gibt bereits Rätsel auf. Hier erwähnt Niantic nämlich nur einige Beispiele von Daten, die bei Pokémon Go erhoben werden. Über die tatsächlich gesammelten Daten erhält der Nutzer keine genaue Aufklärung. Ebenso wenig darüber, wem diese Daten letztendlich in die Hände fallen: Die Drittanbieter, mit denen Niantic kooperiert, werden nicht namentlich erwähnt. Wörtlich findet sich in der Datenschutzerklärung lediglich der Passus: "Wir könnten gesammelte Informationen und nicht-identifizierende Informationen Drittanbietern zu Forschungs- und Analysezwecken, demografischen Erhebungen und ähnlichen, anderen Zwecken offenlegen. Diese Informationen enthalten keine Ihrer personenbezogenen Daten (oder die des von Ihnen ermächtigten Kindes)." Die Standortdaten der Nutzer dürften jedoch auf jeden Fall kommerzialisiert werden. Denn wie bereits bekannt wurde, plant Niantic in Zukunft unter anderem geobasierte Werbung. Zudem behält sich Niantic vor, die in den USA gespeicherten Daten an Regierungsbehörden und sogar "privat Beteiligte" weiterzugeben. Dabei verlieren die Nutzer zudem das Recht, eventuelle Unstimmigkeiten vor Gericht klären zu lassen, sofern sie nicht innerhalb der Frist von 30 Tagen Widerspruch einlegen. Mit deutschem Recht ist dies kaum vereinbar, schreibt etwa der Jurist Henry Krasemann im Computermagazin "ct".

Niantic kommt auch an personenbezogene Daten

Wer sich mit seinem Google-Account bei Pokémon Go eingeloggt hat, gibt Niantic damit gleichzeitig freien Zugriff auf verschiedene Daten, die eine Identifikation der eigenen Person zulassen. Doch auch das recht detaillierte Bewegungsprofil durch die GPS-Daten lässt bereits einige Rückschlüsse auf die Identität des Nutzers zu. Immerhin ist zumindest das Einloggen via Google-Konto noch einmal rückgängig zu machen: In den Kontoeinstellungen können Nutzer Niantic den Zugriff wieder entziehen. Dennoch: Etwas weiter unten in der Datenschutzerklärung, erwähnt Niantic dann doch, dass sehr wohl personenbezogene Daten erhoben und auch weitergeleitet werden. "Wenn sich Ihr Wohnsitz außerhalb der Vereinigten Staaten befindet und Sie sich entschließen, uns Ihre personenbezogenen Daten (…) zu übermitteln, könnten wir Ihre personenbezogenen Daten (…) in die Vereinigten Staaten übertragen und dort verarbeiten. Wann immer wir Ihre personenbezogenen Daten (…) in Gebiete außerhalb der Gerichtsbarkeit, in der Sie (…) wohnhaft sind, transferieren, versichern wir Ihnen, dass angemessene Sicherheitsmaßnahmen bezüglich ihrer Sicherheit getroffen wurden." Das bedeutet, dass alle erhobenen personenbezogenen Daten zumindest einmal in die USA transferiert werden, wo die Datenschutzgesetze noch etwas lockerer sind, als in Europa. Unter anderem verschafft sich Niantic, laut Sicherheitsforscher Kuketz, Zugriff auf Namen, E-Mail-Adresse, Telefonnummer und gegebenenfalls GPS-Positionen, die sämtlich in die USA transferiert werden.

Wer erhält die Nutzerdaten?

Nachdem die Daten in den USA angekommen sind, wird es leider kryptisch. Zwar nimmt Pokémon Go vor und während des Spiels Verbindung zu den Servern unterschiedlicher Unternehmen auf, um Daten zu übertragen. Doch namentlich genannt wird keines dieser Unternehmen in der Datenschutzerklärung. Hinzu kommt: Diese Datenübertragungen sind für den tatsächlichen Spielbetrieb, laut "mobilsicher", nicht nötig. Identifizieren konnte Mike Kuketz bei seinem Test immerhin drei Firmen, die die erhobenen Daten in die Hand bekommen: Unity Technologies, Apteligent Inc. und Upsight Inc. Unity Technologies stellt die Plattform hinter Pokémon Go. Nebenbei betreibt die Firma jedoch auch einen Daten-Analyse- und einen Werbedienst und dürfte an personen- und interessenbezogener Werbung ein Interesse haben. Apteligent Inc., eine Firma mit Sitz in Kalifornien, offeriert Nutzeranalysen in Echtzeit und Upsight Inc., ebenfalls aus Kalifornien, zählt zu den klassischen Tracking- und Marketing-Diensten. Auch dieses Unternehmen bietet Nutzerdatenanalysen an. Mit diesen Daten erstellt sie anschließend Profile für zielgerichtetes Werben. Diese - und andere - Firmen erhalten via Niantic Informationen über Geräte-Modell, Hersteller, Version des Betriebssystems, den Mobilfunkanbieter und die Speicherauslastung. Auch das Land, in dem sich das jeweilige Gerät befindet, wird erkannt. Meldet man sich mit dem Google-Konto an, gehen sogar noch persönlichere Daten an die genannten Unternehmen: Name und Spielername gehen an Apteligent Inc.. Upsight gelangt hingegen in Kenntnis des exakten Spielverhaltens. Das bedeutet, die Firma erfährt, welche Spielzüge ausgeführt und welche Pokéstops besucht wurden sowie welches Level der Spieler aktuell erreicht hat. Welche Daten exakt an Niantic gehen, konnte jedoch nicht ermittelt werden - diese Verbindung ist verschlüsselt, so "mobilsicher". Hier sind lediglich die dünnen Informationen aus der Datenschutzerklärung vorhanden: Spielverlauf, Geräteinformationen, Ortsdaten, E-Mail-Adresse und den Spielernamen.

Wie können Pokémon-Spieler ihre Daten schützen?

Um Pokémon Go spielen zu können, ist die Aktivierung des GPS unumgänglich. Sollen gewisse Orte nicht an Niantic und Co. verraten werden, hilft leider nur eins: Das GPS ein paar Kilometer vor dem Erreichen dieses Ortes abzuschalten. So können Pokémon-Zocker beispielsweise ihren genauen Wohn- oder Arbeitsort für sich behalten. Des Weiteren empfiehlt es sich, die App nicht über das eigene genutzte Google-Konto laufen zu lassen. Besser ist, eigens für die Nutzung von Pokémon Go ein neues Google-Konto oder ein Konto im Pokémon-Trainer-Club anzulegen. Dafür sollte am besten eine E-Mail-Adresse genutzt werden, die den echten Namen nicht verrät. Auch der Spielername sollte nach Möglichkeit keine Rückschlüsse auf die Identität zulassen.

Die Datenschützer sind sich in jedem Fall bereits einig: Wer viel Wert auf die Sicherheit seiner Daten legt, sollte von Pokémon Go eher Abstand halten. Mike Kuketz zieht am Ende seines Sicherheitstests Bilanz: "Wer Pokémon Go spielt, der muss sich ganz klar vor Augen führen: Du bist das Produkt." Und er fragt sich: "Ist das den meisten Leuten heute tatsächlich schon egal?" Die Pokémon-Trainer müssen nun für sich abwägen, ob sie den Preis für den Spielspaß - die Weiterleitung teilweise persönlichster Daten - wirklich zahlen wollen.

Redaktion finanzen.net