App-Datenschutz prüfen: Ist die App sicher? Die Risiken und wie du es herausfindest

Ist die App sicher? So prüfst du es in 5 Minuten

Du musst nicht programmieren können. Du musst auf 5 Dinge schauen, am besten vor der Installation.

1. Die DatenschutzangabenScroll auf der Seite der App bis zum Datenschutz. Im App Store liest du zuerst «Für Tracking verwendete Daten»: Wenn dort nichts steht, umso besser. Bei Google Play heisst der Teil «Datensicherheit».
2. Die Berechtigungen, die sie verlangtEine Taschenlampe braucht deine Kontakte nicht. Wenn die Anfrage nichts mit dem zu tun hat, was die App macht, sag Nein.
3. Die DatenschutzerklärungSuch, wer verantwortlich ist, wofür die Daten verwendet werden, an wen sie gehen und in welchen Ländern sie liegen. Das Schweizer Recht verlangt diese Angaben.
4. Wo die Daten liegenAuf deinem Gerät, in deiner Cloud oder auf den Servern der Firma? Verschlüsselt? Und wer hat den Schlüssel?
5. Nach der Installation: der BerichtDas iPhone zeigt, worauf die App in den letzten 7 Tagen zugegriffen hat und mit welchen Domains sie Kontakt hatte. Bei Android zeigt das Privatsphäredashboard, wann die App Standort, Kamera und Mikrofon verwendet hat. Vergleich das mit den Datenschutzangaben.

Die Datenschutzangaben füllt der Entwickler selbst aus, im App Store wie bei Google Play. Sie sind ein guter Anfang, aber kein Beweis. Erst der Bericht aus Schritt 5 zeigt, was die App wirklich tut.

Was Apps sammeln

Einiges davon braucht die App, um zu funktionieren. Anderes nicht. Die Frage ist immer dieselbe: Braucht die App das für das, worum ich sie bitte?

• Der StandortDer genaue Standort verrät, wo du wohnst und wo du arbeitest. Für das Wetter oder einen Laden in deiner Nähe reicht der ungefähre.
• Die KontakteDas sind Daten anderer Menschen, die nie eingewilligt haben.
• Die FotosUnd was in ihnen steckt: Wenn die Kamera Zugriff auf den Standort hat, speichert jedes Foto den Ort, an dem es aufgenommen wurde. Wer das Foto bekommt, kann ihn sehen.
• Die Werbe-IDEine Nummer deines Handys, mit der sich zusammenführen lässt, was du in verschiedenen Apps und auf verschiedenen Websites tust.
• Was du schreibst und sagstNachrichten, Notizen, Aufnahmen, Suchanfragen. Wenn sie auf einen Server gehen, kann sie dort jemand lesen.
• Die GesundheitFür das Schweizer Recht sind das besonders schützenswerte Daten (Art. 5). Wenn das Gesetz dafür deine Einwilligung verlangt, muss sie ausdrücklich sein (Art. 6).

Wohin deine Daten gehen

Bei einer App, die alles auf dem Gerät speichert, bleiben die Daten bei dir. Bei anderen legen sie einen längeren Weg zurück:

1. Dein HandyWo die Daten entstehen
2. Die Server der AppManchmal in einem anderen Land
3. PartnerWerbung und Nutzungsstatistiken
4. DatenhändlerFirmen, die Profile kaufen und verkaufen

Wenn die Daten die Schweiz verlassen, muss die Datenschutzerklärung sagen, in welches Land und mit welchen Garantien (Art. 19). Sie dürfen nur in ein Land gehen, das die Daten angemessen schützt, oder mit eigenen Garantien (Art. 16).

Die Risiken, ganz konkret

1. Betrug, auf dich zugeschnittenMit deinem Namen, deiner Bank oder deinem letzten Einkauf wirkt eine gefälschte Nachricht echt.
2. DatenlecksEin schlecht geschützter Server kann angegriffen werden. Bringt das Leck ein hohes Risiko für dich, muss die Firma so rasch wie möglich den EDÖB informieren, und auch dich, wenn dich das schützt (Art. 24).
3. Profile, die bleibenWer die App löscht, löscht nicht, was auf den Servern liegt. Das Gesetz sagt, dass Daten gelöscht werden, wenn sie nicht mehr nötig sind (Art. 6), aber um sicher zu sein, musst du es selbst verlangen.
4. Jemand gibt sich als du ausMit genug Daten kann eine andere Person in deinem Namen Konten eröffnen oder Passwörter zurücksetzen.

Verschlüsselung: Die Frage ist, wer den Schlüssel hat

Verschlüsseln heisst, die Daten so zu verwürfeln, dass nur lesen kann, wer den Schlüssel hat. «Verschlüsselt» heisst nicht immer dasselbe:

1. Bei der ÜbertragungDie Daten reisen verwürfelt durchs Internet (das «https» und das Schloss im Browser). Sie kommen beim Server an, und der Server liest sie.
2. Bei der SpeicherungDie Daten liegen verwürfelt auf der Festplatte des Servers. Wer den Schlüssel hat, liest sie; oft ist das die Firma selbst.
3. Ende-zu-EndeDer Schlüssel existiert nur auf deinen Geräten. Die Firma speichert die Daten, kann sie aber nicht lesen.

Ein Beispiel: iCloud. Mit dem normalen Schutz sind die Daten verschlüsselt, aber Apple bewahrt für viele davon die Schlüssel auf. Mit eingeschaltetem «Erweiterter Datenschutz» wird der grösste Teil Ende-zu-Ende-verschlüsselt, und Apple hat diese Schlüssel nicht mehr.

6 iPhone-Einstellungen, die dich schützen

1. Die Datenschutzangaben vor der Installation lesenIm App Store sind die Datenschutzangaben in «Für Tracking verwendete Daten», «Mit dir verknüpfte Daten» und «Nicht mit dir verknüpfte Daten» aufgeteilt.
2. Die Berechtigungen prüfenEinstellungen > Datenschutz & Sicherheit. Für jede Art von Daten (Fotos, Kontakte, Mikrofon …) siehst du, welche Apps Zugriff haben, und entfernst, was nicht nötig ist.
3. Tracking ablehnenWenn eine App fragt, tipp auf «App-Tracking ablehnen». Für alle auf einmal: Einstellungen > Datenschutz & Sicherheit > Tracking und «Apps erlauben, Tracking anzufordern» ausschalten.
4. Nur den ungefähren Standort teilenEinstellungen > Datenschutz & Sicherheit > Ortungsdienste > die App und «Genauer Standort» ausschalten. Bei der Kamera wählst du «Nie», wenn du den Ort nicht in den Fotos willst.
5. Den Bericht einschaltenEinstellungen > Datenschutz & Sicherheit > App-Datenschutzbericht > «App-Datenschutzbericht aktivieren». Er zeigt die letzten 7 Tage. Der Bericht ist verschlüsselt und nur auf deinem iPhone gespeichert.
6. iCloud schützenEinstellungen > dein Name > iCloud > «Erweiterter Datenschutz». Vorher verlangt Apple einen Wiederherstellungskontakt oder einen Wiederherstellungsschlüssel: Bewahr ihn gut auf, denn Apple kann dir nicht helfen, die Daten wiederherzustellen.

6 Android-Einstellungen, die dich schützen

Die Namen unten sind die des Android von Google auf Deutsch. Bei Handys anderer Marken (Samsung, Xiaomi …) kann der Weg anders sein: Findest du etwas nicht, gib den Namen in die Suche der Einstellungen ein.

1. Die «Datensicherheit» vor der Installation lesenScroll auf der Seite der App bei Google Play bis zu «Datensicherheit». Dort steht, welche Daten die App sammelt, ob sie sie mit anderen Firmen teilt, ob sie verschlüsselt übertragen werden und ob du die Löschung verlangen kannst. Wie im App Store füllt der Entwickler diese Angaben selbst aus.
2. Die Berechtigungen prüfenEinstellungen > Datenschutz & Sicherheit > Berechtigungsmanager (in manchen Versionen unter «Datenschutzeinstellungen»). Für jede Art von Daten siehst du, welche Apps Zugriff haben, und wählst «Nicht zulassen», wo es nicht nötig ist. Und unter Einstellungen > Apps > die App lässt du «App-Aktivität bei Nichtnutzung stoppen» eingeschaltet: Eine App, die du einige Monate nicht verwendest, verliert ihre Berechtigungen von selbst.
3. Die Werbe-ID löschenEinstellungen > Datenschutz > Werbung (auf manchen Handys unter «Datenschutz & Sicherheit») und auf «Werbe-ID löschen» tippen. Apps, die sie lesen wollen, bekommen dann nur noch Nullen.
4. Nur den ungefähren Standort teilenEinstellungen > Apps > die App > Berechtigungen > Standort und «Genauen Standort verwenden» ausschalten. Die App kennt dann die Gegend, aber nicht die Strasse. Willst du den Ort nicht in den Fotos, schalt ihn in den Einstellungen der Kamera-App aus.
5. Das Privatsphäredashboard ansehenEinstellungen > Datenschutz & Sicherheit > Privatsphäredashboard. Es zeigt, welche Apps Standort, Kamera und Mikrofon verwendet haben, und um welche Uhrzeit. In neueren Versionen gibt es im Menü ⋮ «7 Tage anzeigen».
6. Die Sicherung schützenEntsperr dein Handy mit einer PIN, einem Muster oder einem Passwort, nicht nur durch Wischen. Die Google-Sicherung verwendet diesen Code, um einen Teil der Daten Ende-zu-Ende zu verschlüsseln. Fotos und Videos in Google Fotos und MMS sind dadurch nicht geschützt.

Was dir das Schweizer Recht gibt

Das neue Datenschutzgesetz (DSG) gilt seit dem 1. September 2023. Es gilt auch für Firmen aus dem Ausland, wenn sich die Bearbeitung der Daten in der Schweiz auswirkt (Art. 3).

• Wissen, was mit den Daten geschiehtWer verantwortlich ist, wofür, an wen sie gehen und in welche Länder (Art. 19).
• Deine Daten verlangenKostenlos und in der Regel innert 30 Tagen: die Daten, wofür sie dienen, wie lange sie bleiben, woher sie kommen und an wen sie gingen (Art. 25).
• Sie mitnehmenIn einem gängigen elektronischen Format, wenn die App sie automatisiert mit deiner Einwilligung oder wegen eines Vertrags bearbeitet (Art. 28).
• Berichtigen und löschen lassenFalsche Daten werden berichtigt. Und du kannst dich der Bearbeitung widersetzen: Hält sich die Firma nicht daran, kann ein Gericht die Bearbeitung verbieten, die Weitergabe an andere verbieten oder die Löschung anordnen (Art. 30 und Art. 32).
• Geschützte DatenDie Firma muss die Daten dem Risiko entsprechend schützen (Art. 8). Wer die Mindestanforderungen an die Datensicherheit vorsätzlich nicht einhält, riskiert eine Busse bis CHF 250 000 (Art. 61).
• Über ein Datenleck informiert werdenWenn das nötig ist, damit du dich schützen kannst (Art. 24).

Häufige Fragen