App-Store-Anwendung: Apple trackt eingegebene Zeichen

Apple gibt Entwicklern auf dem iPhone zahlreiche neue Metriken zur Optimierung ihres Anwendungsvertriebs an die Hand – und setzt dabei offenbar erstaunlich aggressiv auf ein Tracking der App-Store-Nutzer. Das berichtet das deutsch-kanadische Sicherheitsforschungsteam Mysk. Demnach speichert der iPhone-Hersteller gar jeden einzelnen Buchstaben bei der Eingabe in Suchfelder inklusive Zeitstempel. Das Problem: Wer den App Store verwendet, bekommt dafür keine Opt-out-Möglichkeit – offenbar auch dann nicht, wenn man personalisierter Werbung auf dem iPhone durch Apple grundsätzlich widerspricht.

Neue Metriken für Entwickler

Möglicherweise steckt Apples neue „Personalized Collections“-Funktion hinter dem erhöhten Mitspeichern der App-Store-Aktivität – oder nutzt diese zumindest. Damit möchte Apple erfassen, welche Interessen User an Apps haben, um ihnen dann algorithmisch passende Vorschläge zu machen. Sogenannte App Notes sollen zudem erklären, warum die Empfehlungen kamen – was an Mechanismen von Facebook oder Google erinnert, die Nutzern ihre interessenbasierte Reklame ebenfalls auf ihren Websites erklären (und sogar konfigurierbar machen).

Die Gruppe Mysk entdeckte die Speicherei auf simplem Weg, wie das Team auf X mitteilte: Die Daten fanden sich in Apples „Privacy Takeout“-Material, das man über privacy.apple.com anfordern kann, da dies gesetzlich so vorgeschrieben ist (etwa durch die DSGVO in Europa). Mysk zufolge handelt es sich bei den Informationen um App-Analytics-Daten, nicht um Endpoint-Infos für die App-Suche selbst. Mysk gelang es sogar, einen 1000 Zeichen langen Text, der in das Suchfeld des App Store eingefügt wurde, wiederzufinden – er war mit der Nutzer-ID verknüpft und landete in Apples Daten, obwohl die Eingabetaste nicht betätigt worden war.

Keine neue Entwicklung

Weitere in den gespeicherten Daten zu findende Informationen betreffen laut Mysk die Zeit, die ein Nutzer in bestimmten App-Store-Bereichen verbringt, etwa wie viel in einer Beschreibung gescrollt wird. Auch alle App-Store-Links aus Browsern werden samt Referrer geloggt.

Laut Mysk ist die Datensammlung nicht neu und besteht in Teilen mindestens seit iOS 14. Durch die Verknüpfung mit der ID seien die Daten auch nicht anonym. Offenbar interessieren sich auch Strafverfolger für die Informationen, so wurde Mysk laut eigenen Angaben bereits 2022 von US-Behörden angesprochen, die Hilfe bei der Datenanalyse wünschten. In den USA läuft gegen die App-Store-Datensammelei seit mehreren Jahren eine Sammelklage von Nutzern.

(bsc)