Die Dating-App Grindr will auf Anfrage von BuzzFeed News nicht mitteilen, wie viele deutsche Nutzer von einem HIV-Datenleck betroffen sind. Auch nach mehrfacher Nachfrage ist das Unternehmen nicht bereit mitzuteilen, ob und in welchem Ausmaß deutsche und europäische Nutzer von der Weitergabe sensibler Daten an Partnerunternehmen betroffen sind.
Grindr ist eine Dating-App für schwule Männer mit eigenen Angaben zufolge weltweit 3,6 Millionen täglich aktiven Nutzern. Vor zwei Wochen wurde durch das norwegischen Forschungsinstitut Sintef und eine Recherche von BuzzFeed News bekannt, dass sensible Daten der App für Drittunternehmen zugänglich waren – darunter auch Angaben zum HIV-Status der Nutzer oder dem Zeitpunkt des letzten Aidstests.
HIV-positive Nutzer waren identifizierbar
Da auch GPS-Daten, Telefon-IDs und Emaildresse weitergegeben wurden, waren die HIV-positiven Personen indentifizierbar. Auch Angaben zum Beziehungsstatus, zur Sexualität und zur Herkunft der Grindr-Nutzer landeten bei Drittunternehmen. Weitergegeben wurde die Daten an die Apps „Apptimize” oder „Localytics“. Diese Apps sollen die Software von Grindr durch ihre Datenauswertung verbessern.
Die Deutsche Aidshilfe kritisierte Grindr scharf. „Den HIV-Status von Menschen weiterzugeben ist ein Unding, denn HIV ist in vielerlei Hinsicht ein sehr sensibles und persönliches Thema“, schreibt Pressesprecher Holger Wicht auf Anfrage von BuzzFeed News.
Die Deutsche Aidshilfe prüft nun weitere Schritte. Man berate in den Gremien, ob und wie man weiter vorgehen könne, schreibt Sprecher Holger Wicht. Klar ist bislang nur, dass es „indiskutabel“ sei, dass Grindr solch sensible Daten wie den HIV-Status an Dritte weitergebe, schreibt auch Tim Schomann, Leiter der schwulen Kampagne ICH WEISS WAS ICH TU, in einer Pressemitteilung zur Aidsprävention. „Für die Nutzer muss sichergestellt sein, dass diese Angaben höchst vertraulich behandelt werden.“
Auch der Deutsche Lesben- und Schwulenverband übt Kritik an dem Unternehmen: „Datenschutz ist eine Sicherheitsfrage für LSBTI*, sagt Pressesprecher Markus Ulrich gegenüber BuzzFeed News am Telefon, unverantwortlicher Datenschutz berge besonders für LSBTI „unabsehbare Risiken für Menschenleben und Persönlichkeitsrecht“. Dafür sei das Unternehmen verantwortlich, aber es handele sich auch um eine staatliche Kontrollaufgabe, so Ulrich.
Grindr: „Daten nicht verkauft“
Grindr ist eigentlich als Vorreiter in der Aids-Prävention bekannt. Für das Datenleck wurde das Unternehmen weltweit heftig kritisiert. Zwar verkündete das Grindr bereits Anfang April, dass mit dem kommenden Update keine HIV-Daten mehr weitergeben werde. Die Einsicht, einen Fehler gemacht zu haben, war trotzdem gering. Man habe die Daten nur für interne Verbesserungen weitergegeben und nicht verkauft, sagte Grindrs Sicherheitschef Bryce Case gegenüber BuzzFeed News.
Auf eine Presseanfrage von BuzzFeed News teilte die Grindr vertretende Pressestelle Spark Public Relations lediglich mit, man habe keine Daten weiterverkauft. Es handelt sich um ein Statement der Unternehmensseite.
„Grindr hat nie und wird die persönliche Nutzerdaten verkaufen.“
Grindr erklärte zwar offiziell, es teile die Daten nur mit „ausgewählten, vertrauenswürdigen Vertragspartnern“, die vertraglich verpflichtet seien, die Daten nicht weiterzugeben. Unklar ist aber bislang, ob es möglicherweise weitere Unternehmen gibt, bei denen Daten der Millionen Nutzer gespeichert sind. Auch auf diese Fragen von BuzzFeed News antwortete das Unternehmen nicht – genauso wenig, wie auf die Frage, wie viele Nutzer Grindr in Deutschland hat, die von der Datenweitergabe betroffen sein könnten. Die Angaben zum HIV-Status würden freiwillig gemacht, heißt es stattdessen in der Antwort, die Daten nicht gespeichert.
In den Mediadaten des Unternehmens aus dem Jahr 2015 wird Deutschland auf Rang neun geführt, dazu wird die Zahl 177.796 angegeben. Was genau mit der Zahl gemeint ist, wird aus den Unterlagen nicht klar.
Fest steht, dass Grindr in Deutschland zusammen mit der App Planet Romeo zu den wichtigsten schwulen Dating-Apps gehört. Bei Planet Romeo, dem Marktführer in Deutschland, kann man den HIV-Status nicht in standardisierter Form angeben. Sicherheitsprobleme gibt es trotzdem.
Ein Untersuchung von Stiftung Warentest zur Datensicherheit von April 2018 kommt zu dem Schluss, dass die Apps von Grindr und Planet Romeo „erhebliche Schwächen“ beinhalten, die Datenschutzerklärungen wiesen „sehr deutliche juristische Mängel“ auf. Auch die lesbische Dating-App „Lesarion“ wird als kritisch eingestuft. Daten an Drittanbieter wie Facebook weiterzugeben, sei unnötig, so die Stiftung Warentest. Das geschehe aber derzeit etwa bei der iOS-Version der App Planet Romeo.
Problematisch ist auch, dass etwa die die Datenschutzbestimmungen bei Grindr nicht in den Landessprachen, sondern nur auf Englisch zur Verfügung gestellt werden. Dafür findet sich darin der Hinweis: „Teilen Sie keine Informationen in Ihrem Profil, die privat bleiben sollen.“
Kritik an Grindr gab es in der Vergangenheit schon häufiger. Eine Fallstudie der Universität South Australia zeigte etwa 2015, dass aus der App mit einfachen forensischen Mitteln ganze Chatnachrichten wiederhergestellt werden konnten. Fotos wurden im Datentransfer nicht verschlüsselt, Emailadressen, der exakte Standort und die Dauer, in welcher der Nutzer aktiv war, konnten eingesehen werden. So lange Nutzer also die App nutzen, können sie identifiziert und lokalisiert werden.
Wie gefährlich die Weitergabe solcher Daten für LGBT* werden kann, war zuletzt in Ägypten zu beobachten: Der Geheimdienst nutzte die Grindr-Daten, um Schwule zu finden und zu verhaften. Das Deutsche Auswärtige Amt sprach im Herbst 2017 eine Reisewarnung aus. 2016 warnte auch das britische Außenministerium: Grindr-Nutzer sollten zu ihrer eigenen Sicherheit vorsichtig sein, wenn sie die App im Ausland benutzten.
1. Wie viele deutsche Nutzer sind auf Grindr registriert?
2. Wie viele deutsche Nutzer haben in ihrem Profil Informationen zu ihrem HIV-Status angegeben?
3. Wurden Daten deutscher Nutzer mit Drittanbietern wie „Localytics“ oder „Apptimize“ oder anderen Werbetreibenden geteilt? (HIV-Status, GPS-Position, Sexualität, Beziehungsstatus, ethnische Zugehörigkeit und Telefon-ID).
3a. Falls Nein: Was beweist, dass Daten deutscher Nutzer nicht mit Drittanbietern wie „Localytics“ oder „Apptimize“ oder Werbetreibenden geteilt wurden?
3b. Falls Ja: Wie oft wurden Nutzerdaten über den HIV-Status und den letzten Aidstest an Drittanbieter wie „Localytics“ oder „Apptimize“ oder andere Werbetreibende weitergegeben? (Bitte Anzahl der deutschen Nutzer angeben?
3c. Falls Ja: Mit welchen Drittunternehmen und / oder Werbetreibenden wurde der HIV-Status und das letzte getestete Datum geteilt?
Die gleiche Anfrage wurde für europäische Nutzer gestellt.
Hier gibt es weitere LGBT*-Themen von BuzzFeed News.
Juliane Löffler ist Redakteurin für LGBT* und Feminismus und lebt in Berlin. Contact this reporter at Juliane.Loeffler@buzzfeed.com
Contact Juliane Loeffler at juliane.loeffler@buzzfeed.com.
Got a confidential tip? Submit it here.
