29. Juni 2018 | 10:31 Uhr

Truecaller-App: Übermittlung sensibler Daten vor Einwilligung

Vor ein paar Tagen hatte ich kurz über mögliche Datenschutzprobleme bei der Dialer-App Truecaller berichtet. Auf einen Hinweis hat der Hersteller bis heute nicht reagiert. Im App-Review auf mobilsicher.de könnt ihr nachlesen, wie die App mit sensiblen Daten umgeht: Truecaller: Nichts für Nutzer mit Privatsphäre.

Auszug:

Viel problematischer sind folgende Punkte:

Nutzer_Innen können in der App Telfonnummern aus dem Adressbuch oder der Anrufliste mit „Tags“ versehen und Namen zu unbekannten Nummern angeben. Wer das macht, lädt dabei den Kontakt samt Namen in die Datenbank von Truecaller und stellt sie allen anderen Nutzern zur Verfügung. Wer das nicht möchte, muss eine Einstellung ändern. Das widerspricht erstens dem Grundsatz von „Privacy by Default“ und der Prozess ist so unübersichtlich, dass man nicht genau weiß, wann ein Kontakt hochgeladen wird und wann nicht.

Facebook erhält Daten aus der App, darunter die Werbe-ID. Die Datenschutzerklärung weist zwar auf Drittanbieter hin, nennt Facebook aber nicht namentlich.

Die eigene Telefonnummer überträgt die App noch bevor man seine Einwilligung gegeben hat.

Ich ergänze hier noch um einen (aufbereiteten) Datenmitschnitt (Version 9.4.10 der App). Noch vor der Einwilligung in die Datenschutzerklärung des Dienstes werden folgende personenbeziehbaren Daten an Truecaller übermittelt:

buildVersion: 10
store: GOOGLE_PLAY (Installationsdetails, woher die App stammt)
device_id: ca20962304918a5d - eindeutige Android Device ID
language: de
manufacturer: Xiaomi
model: Redmi Note 4
osName: Android
osVersion: 7.1.2
Serienummer der SIM-Karte: 8249276132935118291f
IMSI: 262074150723798
MCC: 262
MNC: 7
Operator: UnityMedia
phoneNumber: 1764xxxxxx - (die Telefonnummer)
[...]

Die Telefonnummer mag noch sinnvoll erscheinen, aber die Seriennummer der SIM-Karte, die eindeutige Android Device ID und die IMSI-Nummer? Sind das wirklich Informationen, die zur Diensterbringung notwendig sind? Ich habe da so meine Zweifel – zumal die Übermittlung erfolgt, bevor der Nutzer in die Datenschutzerklärung eingewilligt hat.

Mein Tipp: Deinstallieren.