{"id":32083,"date":"2025-04-22T10:49:07","date_gmt":"2025-04-22T08:49:07","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=32083"},"modified":"2025-04-22T10:50:10","modified_gmt":"2025-04-22T08:50:10","slug":"geolocation-data-broker-leak","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/geolocation-data-broker-leak\/32083\/","title":{"rendered":"Standortdatenbroker: Was sie tun, und was bei Datenlecks passieren kann"},"content":{"rendered":"

Unsere Smartphones und andere Ger\u00e4te sammeln t\u00e4glich riesige Mengen an Daten \u00fcber uns und \u00fcbermitteln sie an Dutzende oder Hunderte von Drittunternehmen. Dies gilt auch f\u00fcr Standortinformationen, f\u00fcr die es einen riesengro\u00dfen Markt gibt. Kauf und Verkauf geschehen nat\u00fcrlich ganz ohne unser Wissen, was unvorhersehbare Risiken f\u00fcr den Datenschutz birgt.<\/p>\n

Der j\u00fcngste Hackerangriff<\/a> auf den Standortdatenbroker Gravy Analytics verdeutlicht, wie problematisch solche Praktiken sind. In diesem Artikel analysieren wir, wie Datenh\u00e4ndler vorgehen und was passieren kann, wenn die gesammelten Daten an die \u00d6ffentlichkeit gelangen. Au\u00dferdem geben wir Tipps, wie du deine Standortdaten sch\u00fctzen kannst.<\/p>\n

Was Standortdatenbroker tun<\/h2>\n

Datenbroker sind Unternehmen, die Informationen \u00fcber Nutzer sammeln, verarbeiten und verkaufen. Diese Informationen erhalten sie von mobilen Apps, Online-Werbenetzwerken, Online-Analysesystemen, Telekommunikationsanbietern und aus einer Vielzahl anderer Quellen\u00a0\u2013 von Smart-Home-Ger\u00e4ten bis hin zu Autos<\/a>.<\/p>\n

Theoretisch werden diese Daten nur f\u00fcr Analysen und zielgerichtete Werbung erfasst. In der Praxis gibt es jedoch oft keinerlei Nutzungsbeschr\u00e4nkungen und scheinbar kann jeder sie kaufen. Eine beunruhigende Tatsache: Deine Daten k\u00f6nnen praktisch f\u00fcr beliebige Zwecke verwendet werden. Eine Untersuchung aus dem letzten Jahr ergab beispielsweise, dass Datenh\u00e4ndler sogar f\u00fcr staatliche Geheimdienste<\/a> arbeiten k\u00f6nnen\u00a0\u2013 entweder direkt oder \u00fcber Vermittler.<\/p>\n

Datenh\u00e4ndler sammeln Benutzerinformationen aller Art. Eine der wichtigsten und sensibelsten Kategorien sind Standortdaten. Die Nachfrage ist tats\u00e4chlich so gro\u00df, dass es neben allgemeinen Datenh\u00e4ndlern auch Firmen gibt, die sich auf den Bereich Standortdaten konzentrieren.<\/p>\n

Sogenannte Standortdatenbroker sind Unternehmen, die auf die Erfassung und den Verkauf von Informationen zum Standort von Nutzern spezialisiert sind. Einer der wichtigsten Akteure in diesem Segment ist das amerikanische Tracking-Unternehmen Gravy Analytics, das 2023 mit dem norwegischen Unternehmen Unacast fusionierte<\/a>.<\/p>\n

Das Datenleck bei Gravy Analytics<\/h2>\n

Im Januar 2025 wurde ein Datenleck bei Gravy Analytics bekannt. Zun\u00e4chst gab es nur inoffizielle Berichte<\/a>, die auf einem Beitrag in einem russischen Hackerforum basierten. Der Autor behauptete, er habe Gravy Analytics gehackt und die Standortdaten von Millionen von Nutzern gestohlen. Als Beweis legte er Screenshots der Datensammlung vor.<\/p>\n

Die offizielle Best\u00e4tigung<\/a> lie\u00df nicht lange auf sich warten. Unacast, die Muttergesellschaft von Gravy Analytics, musste nach norwegischem Recht die nationale Regulierungsbeh\u00f6rde benachrichtigen.<\/p>\n

In der Erkl\u00e4rung<\/a> erkl\u00e4rte das Unternehmen, dass sich am 4. Januar eine nicht autorisierte Person \u201emithilfe eines illegalen Zugangsschl\u00fcssels\u201c Zugriff auf die AWS Cloud-Speicherumgebung von Gravy Analytics verschafft habe. Der Eindringling habe \u201ebestimmte Dateien gestohlen, die m\u00f6glicherweise pers\u00f6nliche Benutzerdaten enthalten.\u201c<\/p>\n

Analyse der bei Gravy Analytics geleakten Daten<\/h2>\n

Mit Details dar\u00fcber, welche Daten kompromittiert worden sein k\u00f6nnten, hatten es Unacast und Gravy Analytics nicht eilig. Wenige Tage sp\u00e4ter ver\u00f6ffentlichte jedoch ein unabh\u00e4ngiger Sicherheitsforscher eine ausf\u00fchrliche Studie<\/a> \u00fcber die abgeflossenen Informationen. Dabei st\u00fctzte er sich auf eine Stichprobe der gestohlenen Daten.<\/p>\n

\"Datenlecks<\/a>

Das Leck bei Gravy Analytics umfasste die Standortdaten von Nutzern auf der ganzen Welt.Quelle<\/a><\/p><\/div>\n

Wie sich herausstellte, war durch den Angriff auf Gravy Analytics eine riesige Menge an Standortdaten von Nutzern weltweit durchgesickert\u00a0\u2013 von Russland bis in die USA. Das von dem Forscher analysierte Fragment war 1,4 GB gro\u00df und enthielt rund 30 Millionen Datens\u00e4tze. Der Gro\u00dfteil davon wurde in den ersten Januartagen 2025 gesammelt. Der Hacker behauptete, die gestohlene Datenbank sei 10 TB gro\u00df. Es k\u00f6nnte sich also insgesamt um \u00fcber 200 Milliarden Datens\u00e4tze handeln!<\/p>\n

Die betroffenen Daten wurden von mobilen Apps gesammelt und von Gravy Analytics erworben. Sie sollten zusammengefasst und anschlie\u00dfend weiterverkauft werden. Eine Analyse des Datenlecks ergab eine Liste mit Tausenden von Apps, die Standortdaten sammeln. Die untersuchte Stichprobe enthielt beispielsweise Daten, die von 3.455 Android-Apps<\/a> erfasst worden waren. Darunter waren auch von Dating-Apps.<\/p>\n

\"\"<\/a>

Die Standortdaten von Tinder-Nutzern aus Gro\u00dfbritannien zeigen beispielhaft, welche Daten bei Gravy Analytics durchgesickert sind.Quelle<\/a><\/p><\/div>\n

Tracking und Deanonymisierung von Nutzern anhand von Daten aus dem Gravy Analytics-Leck<\/h2>\n

Der Gravy Analytics-Hack hat einen sehr unangenehmen Nebeneffekt: Die durchgesickerten Daten sind mit Werbe-IDs verkn\u00fcpft\u00a0\u2013 IDFA f\u00fcr iOS- bzw. AAID f\u00fcr Android-<\/a>Ger\u00e4te. Dadurch lassen sich die Bewegungen der Nutzer in vielen F\u00e4llen \u00fcber einen l\u00e4ngeren Zeitraum hinweg nachverfolgen. Hier ist beispielsweise eine Karte solcher Bewegungen in der Umgebung des Wei\u00dfen Hauses in Washington (f\u00fcr diese Visualisierung wurde nur eine kleine Stichprobe der gestohlenen Daten verwendet, die vollst\u00e4ndige Datenbank enth\u00e4lt wesentlich mehr Informationen):<\/p>\n

\"Tracking<\/a>

Die Daten aus dem Gravy Analytics-Leck sind mit Werbe-IDs verkn\u00fcpft. Deshalb k\u00f6nnen die Bewegungen von Nutzern nachverfolgt werden.Quelle<\/a><\/p><\/div>\n

Und damit nicht genug: Einige Daten k\u00f6nnen sogar deanonymisiert werden. So konnte der Forscher beispielsweise die Bewegungen eines Nutzers nachverfolgen, der den Blue Origin-Startplatz besucht hatte:<\/p>\n

\"Beispiel<\/a>

Ein Beispiel f\u00fcr die Deanonymisierung von Nutzern mithilfe von Standortdaten, die aus Gravy Analytics abgeflossen sind.Quelle<\/a><\/p><\/div>\n

Ein weiteres Beispiel: Der Forscher konnte die Bewegungen eines Nutzers wie folgt nachverfolgen\u00a0\u2013 vom Columbus Circle in Manhattan zu seinem Wohnort in Tennessee und am n\u00e4chsten Tag zum Haus seiner Eltern. Anhand von OSINT-Daten konnte der Forscher dann sehr viel \u00fcber diese Person herausfinden\u00a0\u2013 unter anderem den Namen der Mutter und die Tatsache, dass der verstorbene Vater fr\u00fcher bei der US Air Force war.<\/p>\n

\"Beispiel<\/a>

Ein weiteres Beispiel f\u00fcr die Deanonymisierung von Nutzern mithilfe von Standortdaten, die aus Gravy Analytics durchgesickert sind.Quelle<\/a><\/p><\/div>\n

Die Datenpanne bei Gravy Analytics veranschaulicht die ernsten Risiken, die mit dem Datenhandel und insbesondere mit Standortdatenbrokern verbunden sind. Durch den Hack flossen gro\u00dfe Mengen an Standortdaten ab, die von mobilen Apps gesammelt wurden.<\/p>\n

Anhand dieser Daten lassen sich die Bewegungen einer gro\u00dfen Zahl von Personen mit relativ hoher Genauigkeit nachverfolgen. Die geleakte Datenbank enth\u00e4lt zwar keine direkten pers\u00f6nlichen Identifikationsmerkmale (z.\u00a0B. Vor- und Nachnamen, Ausweisnummern, Adressen oder Telefonnummern), trotzdem ist durch die Verkn\u00fcpfung mit Werbe-IDs in vielen F\u00e4llen eine Deanonymisierung m\u00f6glich. Anhand verschiedener indirekter Merkmale ist es m\u00f6glich, die Identit\u00e4t eines Nutzers festzustellen, seinen Wohn- und Arbeitsort herauszufinden und seine sozialen Verbindungen zu verfolgen.<\/p>\n

Wie kannst du deine Standortdaten sch\u00fctzen?<\/h2>\n

Das Erfassen der Standortdaten von Nutzern ist mittlerweile eine so weit verbreitete Praxis, dass es auf diese Frage leider keine einfache Antwort gibt. Es gibt keinen magischen Schalter, mit dem du alle Internetunternehmen weltweit daran hindern kannst, deine Daten zu sammeln.<\/p>\n

Du kannst aber zumindest die Menge an Informationen \u00fcber deinen Standort minimieren, die in die H\u00e4nde von Datenbrokern gelangen. Das geht so:<\/p>\n