OnePlus: Die Smartphones senden Nutzungsdaten ohne Anonymisierung an den Hersteller

Veröffentlicht am 11. Oktober 2017 von Jens

Völlig unabhängig vom Hersteller oder den installierten Apps kann man sagen, dass wir alle kleine Datenkraken mit uns herum tragen: Smartphones sammeln ununterbrochen Daten und könnten, wenn diese Daten angezapft werden, extrem viel über einen Menschen aussagen. Jetzt ist einem neugierigen Nutzer aufgefallen, dass der Smartphone-Hersteller OnePlus diese Daten auf seinen Geräten nicht nur sammelt, sondern auch immer wieder an die Server des Unternehmens sendet – und das ohne Anonymisierung.

Smartphones verfügen bei weitem nicht nur über die Daten die der Nutzer selbst eingibt – also die Apps, Kontakte, Bilder, Notizen, Termine etc. – sondern sammeln sie mit den unzähligen Sensoren vollautomatisch. Im Normalfall werden diese Daten, wie etwa der Standort und jede noch so kleinste Bewegung aber nicht dauerhaft aufgezeichnet und können nur von Apps ausgewertet und weiter gespeichert werden. Beim Smartphone-Hersteller OnePlus sieht das allerdings etwas anders aus.

Ein Nutzer hat aus reinem Interesse einmal den Datenverkehr seines OnePlus 2 überwacht und hat dabei erstaunliche Dinge entdeckt: Das Smartphone sendet in schöner Regelmäßigkeit Daten an einen Amazon AWS-Server von OnePlus. Dass nach jedem Absturz Daten gesendet werden, kann man sich noch einreden lassen, aber es geht noch weiter: Bei jedem Sperren und Entsperren des Smartphones werden Daten gesendet genau so wie bei jedem aktivieren und deaktivieren des Displays – und das ist dann erfahrungsgemäß schon sehr häufig.

Aber es wird nicht nur der anonyme Hinweis an das Unternehmen gesendet, sondern das Datenpaket enthält sehr viele Informationen, die dort eigentlich nichts zu suchen haben. Wenn die Daten anonym gesammelt werden könnte das noch zu Auswertungszwecken und zur Erforschung des Nutzungsverhalten verwendet werden, aber OnePlus kann jede Aktion sehr genau einem Gerät und einem Nutzer zuordnen und hat so eine vollständige Überwachung geschaffen.

Folgende Daten werden gesendet:

Die ausgeführte Aktion
Der genaue Zeitpunkt
Die Telefonnummer
Die IMEI
Die MAC-Adresse
Das aktuelle Mobilfunknetzwerk
IMSI-Daten
Informationen über die aktuelle WLAN-Verbindung
Seriennummer des Smartphones

Nicht alle Daten werden jedes mal mitgesendet, aber laut dem Entdeckt häufig genug, um den Nutzer sehr eindeutig zu identifizieren. All diese Daten sind vielleicht bei Problemen relevant, aber natürlich nicht bei einer normalen Nutzung des Smartphones. Google bietet mit Android ebenfalls nach einem Absturz einer App eine Option an, um solche Daten zu senden, aber eben mit Erlaubnis und einem sehr konkreten Hinweis an den Nutzer.

Auch viele andere Apps, insbesondere Google, sammeln unzählige Daten über den Nutzer – vom Standort über jede Bewegung bis hin zu Statistiken zum Nutzungsverhalten (was sich bei der Einrichtung des Smartphones schon festlegen lässt). Allerdings kann dies jederzeit deaktiviert werden und die Daten werden anonymisiert – was hier sehr eindeutig nicht der Fall ist.

OnePlus hat sich mittlerweile dazu geäußert

We securely transmit analytics in two different streams over HTTPS to an Amazon server. The first stream is usage analytics, which we collect in order for us to more precisely fine tune our software according to user behavior. This transmission of usage activity can be turned off by navigating to ‘Settings’ -> ‘Advanced’ -> ‘Join user experience program’. The second stream is device information, which we collect to provide better after-sales support.

Der erste Teil der Information lässt sich in den Einstellungen deaktivieren, aber der zweite ist nicht optional und es wird wohl keine Möglichkeit zur Deaktivierung geben. Das macht die ganze Sache nicht besser, und steigert vermutlich nicht gerade das Vertrauen in OnePlus-Smartphones.

Es gibt einen Workaround zur Deaktivierung der Daten-Sammlung, allerdings erfordert dies eine ADB-Verbindung mit dem Computer. Wer sich damit nicht auskennt sollte besser die Finger davon lassen, und es ist auch zu beachten dass dadurch unvorhergesehen Probleme auftreten könnten. Wer dennoch eingreifen möchte, muss einfach nur folgenden Befehl in das ADB-Terminal eintragen: