iPhone-Apps großer Unternehmen wie Expedia, Hotels.com oder Air Canada zeichnen unbemerkt jeden Fingertipp seiner Nutzer auf. Wie TechCrunch feststellte, müssen die Betreiber ihre Kunden nicht einmal um Erlaubnis fragen. Neben allgemeiner Datenschutz-Bedenken birgt der Transport der sensiblen Daten das Sicherheitsrisiko mit sich, dass Passwörter und Kredikarteninformationen in die falschen Hände geraten.


Glassbox, der „Man in the middle“
Die Aufnahme der App-Bedienung ermöglicht eine Firma namens Glassbox. Das Geschäftsfeld des Unternehmens stellt die Analyse von Anwenderverhalten dar. Darunter fallen auch die „Session Replay Services“ des Konzerns, also die Echtzeitaufnahme der App-Bedienung. Mithilfe der „Session-Replay“-Technologie von Glassbox können die Softwareentwickler und -betreiber jeden Schritt und jede Eingabe des Nutzers nachverfolgen. Die Aufnahmen gehen anschließend entweder über die Server von Glassbox oder kundeneigene Server an die Auftraggeber.

Sensible Daten offengelegt
Einer der Kunden von Glassbox ist die Fluggesellschaft Air Canada. Im Sommer 2018 gab das Unternehmen zu, es seien möglicherweise 20.000 Nutzerprofile „unsachgemäß abgerufen“ worden. 1,7 Millionen Anwender forderte die Airline auf, ihr Passwort zurückzusetzen. Den Hintergrund zu dem Sicherheitsleck lieferte die Seite App Analyst. Air Canada hatte über das Glassbox-SDK Screenshots angefertigt und die Eingaben vor dem Senden nicht richtig maskiert. Dadurch konnten Mitarbeiter der Fluggesellschaft und alle anderen, die Zugriff auf die Screenshot-Datenbank besaßen, unverschlüsselte Kreditkarteninformationen und Passwörter einsehen.

Keine Ankündigung, keine Erwähnung
Für den Bericht analysierten die Verfasser mit einem Experten zusammen mehrere Kunden-Apps von Glassbox. In der Stichprobe hatte keines der Programme Nutzer auf die Möglichkeit der Bildschirmaufnahme hingewiesen – auch nicht im Kleingedruckten. Glasbox sagte auf Nachfrage, das Unternehmen zwinge seine Auftraggeber nicht, die Verwendung von Replay-Services in deren Datenschutzerklärung zu erwähnen. Eine solche Erklärung ist laut Apples App-Store-Richtlinien Pflicht für jede App, die besagten Aufnahmemöglichkeiten fanden sich in keiner.

Glassbox-Kunden sind sich keiner Schuld bewusst
Es gab kaum Reaktionen der betroffenen Unternehmen, nachdem sie zu Statements aufgerufen worden waren. Die Modekette Abercrombie & Finch, zu der auch die Marke „Hollister's“ gehört, schreibt beispielsweise: „Glassbox trägt zu einem nahtlosen Einkaufserlebnis bei, das es uns ermöglicht, alle Probleme zu identifizieren und zu lösen, die während des digitalen Erlebnis unserer Kunden auftreten können“. Man verweist auf die allgemeine Datenschutzerklärung des Konzerns, die Bildschirmaufnahme ebenfalls mit keinem Wort erwähnt. Air Canada betont, man erfasse keine Bildschirmaktivitäten außerhalb der Air-Canada-App. Laut Glassbox geht das auch gar nicht. Neben Glassbox bieten unter anderem Appsee, UXCam und Mixpanel „User-Recoding“ für App-Entwickler und deren Kunden an.