Datenschutz und Sicherheit: Android vs. iOS – Teil1

1. Android vs. iOSAndroid vs. iOS

Android oder iOS? Welches System hat beim Schutz der Privatsphäre bzw. Sicherheit die Nase vorn? Diese Frage lässt sich nicht in einem Satz beantworten, sondern ist relativ vielschichtig. Anhand unterschiedlicher Kriterien möchte ich aufzeigen, wo die Unterschiede, aber auch Vorteile/Stärken der Systeme liegen. Dazu habe ich drei unterschiedliche Konstellationen betrachtet:

Aufgrund der Offenheit des Android-Universums könnten noch zahlreiche weitere Konstellationen betrachtet werden. Der Grund: Egal ob Samsung, Sony, Xiaomi oder Motorola – nahezu alle Anbieter nehmen an Android Modifikationen vor und liefern ihre Geräte mit Bloatware aus, die sich negativ/positiv auf die Privatsphäre bzw. Sicherheit auswirken können. In der Mini-Serie werde ich mich allerdings auf die drei genannten Konstellationen beschränken.

Im vorliegenden Beitrag widmen wir uns zunächst der Frage, ob und wie uns die Systeme vor dem ungewollten Abfluss von Daten (ausreichend) schützen. In einem Folgebeitrag wird dann die Sicherheit der Systeme beleuchtet bzw. einander gegenübergestellt.

Dieser Beitrag ist Teil einer Artikelserie:

2. Datenschutz

Es dürfte kein Geheimnis sein: Mobile Endsysteme wie Android und iOS gelten gemeinhin nicht gerade als datenschutzfreundlich. Das hat insbesondere zwei Gründe:

  • Die Datenübermittlung an die Hersteller (Google/Apple) lässt sich lediglich einschränken, aber nicht (vollständig) deaktivieren.
  • Die meisten Apps sind nicht nach dem Privacy-by-Design-Konzept entworfen. Das bedeutet: Datenvermeidung und Datensparsamkeit steht nicht im Vordergrund.

Nachfolgend beleuchten wir beide Gründe etwas genauer. Macht es ein System besser oder versagen sie gleichermaßen beim Schutz der (Nutzer-)Daten?

Unterstütze den Blog mit einem Dauerauftrag!

Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.

Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.

Mitmachen ➡

2.1 Datenerhebung Hersteller/System

Sowohl Android (Standard) als auch iOS sind Systeme, die eng mit den jeweiligen Herstellern verknüpft sind. Welche Daten Google bzw. Apple im Detail erheben, lässt sich nur schwer ermitteln. Fakt ist: Sie tun es beide. Die jeweiligen Datenschutzerklärungen (Google, Apple) sind umfangreich. Um eine einigermaßen qualifizierte Aussage zu treffen, müssten beide Erklärungen miteinander verglichen werden. Leider sind Datenschutzerklärungen oftmals grob unvollständig bzw. haben wenig mit der Realität zu tun. Aussagekräftiger sind daher Studien, die beide Systeme beleuchten: Mobile Handset Privacy: Measuring The Data iOS and Android Send to Apple And Google (März 2021)

We investigate what data iOS on an iPhone shares with Apple and what data Google Android on a Pixel phone shares with Google. We find that even when minimally configured and the handset is idle both iOS and Google Android share data with Apple/Google on average every 4.5 mins. The phone IMEI, hardware serial number, SIM serial number and IMSI, handsetphone number etc are shared with Apple and Google. Both iOS and Google Android transmit telemetry, despite the user explicitly opting out of this. When a SIM is inserted both iOS and Google Android send details to Apple/Google. iOS sends the MAC addresses of nearby devices, e.g. other handsets and the home gateway, to Apple together with their GPS location. Currently there are few, if any, realistic options for preventing this data sharing.

Zu den Fakten zählt allerdings auch, dass Google deutlich häufiger die Leitplanken der DSGVO missachtet. Anbei die jüngsten Studien/Erkenntnisse:

Mit Blick auf die Studien kann man sagen: Beide Systeme übermitteln zahlreiche Daten, selbst dann, wenn der Nutzer verzweifelt versucht, alle (Datenschutz-)Einstellungen so zu justieren, dass möglichst wenig/keine Daten übermittelt werden. Google scheint allerdings skrupelloser bei der Datensammlung vorzugehen. Die Standardausrede, wenn sie mal wieder mal einem Vergehen erwischt werden, lautet übrigens:

Die Daten werden für Sicherheitszwecke gesammelt, nicht für Werbung.

Dass es auch anders geht, beweist Android (GrapheneOS). Die Herstellerverknüpfung zu Google ist vollkommen aufgehoben. Es fließen also keinerlei Daten an Google ab. Für datenschutzsensible Nutzer, die mit den damit einhergehenden Einschränkungen (bspw. keine (In-)App-Käufe via Play Store) leben können, ist Android (GrapheneOS) eine datenschutzfreundliche Alternative.

Zwischenfazit: Sowohl Android (Standard) als auch iOS sammeln/erheben aufgrund ihrer engen Verbandelung mit dem Hersteller (Google/Apple) eine Vielzahl an (personenbeziehbaren) Daten. Jegliches Bestreben, die Datenerhebung zu minimieren/begrenzen, ist ein aufwendiges und leider auch aussichtsloses Unterfangen. Selbst wenn alle Schieberegler/Einstellungen möglichst datenschutzfreundlich sind, fließen noch immer Daten an Google bzw. Apple. Eine Ausnahme ist Android (GrapheneOS), das sich völlig autark bzw. ohne Herstellerbindung betreiben lässt.

2.2 Datenerhebung Apps

Apps sammeln Daten. Größtenteils geschieht dies im Hintergrund, ohne das Wissen oder die (ausreichende) Zustimmung der Nutzer. Insbesondere an Drittanbieter, wie Analysedienste, fließen jede Menge Daten ab. Das Problem: Nur in den seltensten Fällen werden Nutzer über diese Datensammlung vom App-Anbieter informiert bzw. habe eine Möglichkeit, dieser zu widersprechen. Prominente Beispiele sind:

Bei den Apps spielt es übrigens meist keine Rolle, auf welcher Plattform diese installiert bzw. ausgeführt werden. Die Datenflüsse sind auf den beiden Plattformen (Android/iOS) meist ähnlich. Was letztlich bedeutet: Die Datenschutzverstöße sind dieselben und die Plattform spielt lediglich eine untergeordnete Rolle. Die Studie Are iPhones Really Better for Privacy? Comparative Study of iOS and Android Apps (September 2021) hat sich mal der Fragestellung gewidmet, ob iPhones tatsächlich besser für die Privatsphäre sind. Das Ergebnis ist wenig überraschend:

While it has been argued that the choice of smartphone architecture might protect user privacy, no clear winner between iOS and Android emerges from our analysis. Data sharing for tracking purposes was common on both platforms. Android apps tended to share the AdId, which can be used for tracking users across apps, more often than iOS apps. Permissions, that both Apple and Google deem as particularly dangerous and require user opt-in, were more common among iOS apps (although Android also has a greater range of permissions deemed ‘not dangerous’ and do not require opt-in). On both platforms, we found widespread potential compliance issues with US, EU and UK privacy law (e.g. by tracking users without the necessary (parental) consent, or by sending personal data to countries without an adequate level of data protection). […]

Wer dann glaubt, Techniken wie Apples App Tracking Transparency (ATT) helfen dabei, das Tracking zu verhindern, der ist leider auf dem Holzweg, wie die Studie Goodbye Tracking? Impact of iOS App Tracking Transparency and Privacy Labels (Mai 2022) belegt:

Overall, we find that Apple’s new policies largely live up to its promises on making tracking more difficult. Tracking libraries cannot access the IDFA anymore, and this directly impacts the business of data brokers. These data brokers can pose significant risks to individuals, since they try to amass data about individuals from a wide range of contexts and sell this information to third-parties. At the same time, apps still widely use tracking technology of large companies, and send a range of user and device characteristics over the Internet for the purposes of cohort tracking and user fingerprinting. […]

Wenn Apple das User-Tracking tatsächlich wirksam unterbinden wollte, müssen sie schon mehr tun, als den Zugriff auf den Identifier for Advertisers (IDFA) zu beschränken – das reicht bei weitem nicht aus. Schlimmer: Viele Nutzer wiegen sich in eine falsche Sicherheit und meinen dann, sie könnten Apps bedenkenlos nutzen.

Tracking unterbinden

Ein einfacher Weg, um auf Android bzw. iOS Werbung und Tracker systemweit (in allen Apps) auf Eis zu legen, ist das Blockieren über einen DNS-Anbieter. Im Beitrag »Für Anfänger/Bequeme: Werbung und Tracker unter iOS/Android systemweit verbannen« wird die Umsetzung ausführlich beschrieben. Etwas mehr Kontrolle ermöglichen Apps wie AdAway (Android), NetGuard (Android) oder AdGuard Pro (iOS).

Sowohl Apple als auch Google tun zu wenig, um der fragwürdigen und oftmals rechtswidrigen Datenübermittlung von Apps entgegenzuwirken. Die in beiden Systemen integrierte Rechteverwaltung (Zugriffssteuerung auf Kamera, Kontakte etc.) bietet lediglich einen einfachen bzw. oberflächlichen Schutz gegen den Abfluss sensibler Daten. An welchen Schwächen das Android-Berechtigungsmodell leidet, wird im Beitrag »Das Android Berechtigungsmodell: Ein perfides Konstrukt« detaillierter beleuchtet. Im Kern lautet die Kritik: Zu grobgranular, zu verwirrend und zu intransparent. In ähnlicher Form gilt das übrigens auch für iOS.

Android (GrapheneOS) basiert auf derselben Rechteverwaltung wie Android (Google), bietet aber mehr Möglichkeiten. So kann der Nutzer mit einem Network permission toggle einer App bspw. vollständig den Zugriff auf das Netzwerk/Internet verbieten. Aber auch der Zugriff auf Sensoren wie Beschleunigungssensor, Gyroscope, Kompass, Barometer etc. lässt sich via Sensors permssion toogle einschränken.

Zwischenfazit: Obwohl sich in den letzten Jahren etwas getan hat, bieten die Systeme noch immer zu wenig Schutz gegen den ungewollten/unkontrollierten Abfluss sensibler Informationen. Es gibt zwar immer wieder Ansätze, die bspw. das (App-)Tracking erschweren/verhindern sollen, allerdings ist Umsetzung meist lückenhaft und nicht konsequent genug. Man hat den Eindruck, dass sowohl Google als auch Apple immer einen Schritt zu langsam sind, wenn es um den Schutz der Privatsphäre geht. Einzig Android (GrapheneOS) bietet einen gewissen Schutz und ermöglicht mit dem Network permission toggle, fragwürdigen Apps den Zugriff auf das Internet entziehen zu können. So können die gesammelten/erhobenen Daten zumindest nicht abfließen. Aber auch die Entkoppelung von Google wirkt sich bei Android (GrapheneOS) positiv auf den Datenschutz aus, da bspw. keine Google-Advertising-ID vorhanden ist, die von Tracking- bzw. Analyse-Anbietern gerne als (eindeutiger) Identifier missbraucht wird.

3. Zwischenfazit

Beim Schutz seiner Daten kann sich der Nutzer weder auf Google noch Apple verlassen. Immerhin kann man durch die Auswahl seiner Apps unmittelbar Einfluss auf den eigenen Datenschutz nehmen. So bietet bspw. der F-Droid-Store für Android ausschließlich quelloffene Apps an, die vollkommen frei von Tracking- und Analysediensten sind. Wer seine Apps vornehmlich aus F-Droid bezieht, reduziert die Datensammelei erheblich. Apple-Nutzer sind da leider eingeschränkter und müssen mit Tools wie AdGuard Pro das Datensendeverhalten von Apps (positiv) beeinflussen.

Aufgrund der Entkoppelung von Google hat Android (GrapheneOS) hinsichtlich des Datenschutzes meilenweit die Nase vorn. Weder Android (Standard) noch iOS können da mithalten – diese sind zu eng mit dem jeweiligen Hersteller verbandelt und übermitteln selbst dann noch Daten, wenn der Nutzer alle Schieberegler/Einstellungen möglichst datenschutzfreundlich justiert hat. Übrigens: Die Entkoppelung von Google ist kein Alleinstellungsmerkmal von Android (GrapheneOS). Es gibt noch weitere Systeme wie CalyxOS oder LineageOS, die ebenfalls eine autarke bzw. selbstbestimmte Nutzung erlauben.

Im Folgebeitrag beleuchten wir dann die Sicherheit der Systeme und ziehen ein Gesamtfazit.

Bildquellen:

Sword: smashingstocks from www.flaticon.com is licensed by CC 3.0 BY

Über den Autor | Kuketz

Mike Kuketz

In meiner freiberuflichen Tätigkeit als Pentester / Sicherheitsforscher (Kuketz IT-Security) schlüpfe ich in die Rolle eines »Hackers« und suche nach Schwachstellen in IT-Systemen, Webanwendungen und Apps (Android, iOS). Des Weiteren bin ich Lehrbeauftragter für IT-Sicherheit an der Dualen Hochschule Karlsruhe, sensibilisiere Menschen in Workshops und Schulungen für Sicherheit und Datenschutz und bin unter anderem auch als Autor für die Computerzeitschrift c’t tätig.

Der Kuketz-Blog bzw. meine Person ist regelmäßig in den Medien (heise online, Spiegel Online, Süddeutsche Zeitung etc.) präsent.

Mehr Erfahren ➡

SpendeUnterstützen

Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.

Folge dem Blog

Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:

Bleib aktuell ➡


Diskussion
HilfeWenn du konkrete Fragen hast oder Hilfe benötigst, sind das offizielle Forum oder der Chat geeignete Anlaufstellen, um dein Anliegen zu diskutieren. Per E-Mail beantworte ich grundsätzlich keine (Support-)Anfragen – dazu fehlt mir einfach die Zeit. Kuketz-Forum

Abschließender Hinweis

Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.

Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.