eblocker Labs: SmartTV Studie Teil 2 (Philips, Loewe)

Transkript

1 eblocker Labs: SmartTV Studie Teil 2 (Philips, Loewe) 1 Präambel Die vorliegende Studie vom ist die Fortsetzung der Untersuchung von SmartTVs aus dem September Dem interessierten Leser wird auch der erste Teil der Studieempfohlen, in der ein aktuelles Samsung SmartTV untersucht wurde. Der erste Teil der Studie kann unter folgender URL abgerufen werden: 2 Einleitung Smarte Geräte sind im Trend und halten immer mehr Einzug in die Haushalte. Leider bergen sie häufig ein Risiko für die Privatsphäre, da sie unbemerkt Daten über das Nutzungsverhalten des Anwenders aufzeichnen und an Dritte weitergeben. Der zweite Teil unserer Studie setzt die Analyse der von SmartTVs erfassten und weitergegebenen Nutzungsdaten fort. In diesem Teil haben wir zwei weitere aktuelle Geräte eines von Loewe und eines von Philips untersucht. 3 Zusammenfassung Die Fortsetzung der Untersuchung bestätigt, dass SmartTVs mit Internet-Anschluss direkt nach Inbetriebnahme und dauerhaft während des Betriebs zahlreiche Internet- (sog. = Senden an und Abrufen von Daten eines Servers) an unterschiedliche Drittanbieter senden. Diese senden dabei in der Regel Daten über das Verhalten des Nutzers. Einige dieser sind geeignet, genaue Nutzungs- und Persönlichkeitsprofile zu erstellen. Der zweite Teil der Untersuchung zeigt allerdings auch, dass es zwischen Modellen verschiedener Hersteller durchaus Unterschiede gibt. Die Anzahl und Art der, die ein SmartTV sendet, hängt vom Hersteller ab. Gleichzeitig differieren auch die Benutzerinformationen zu Datenschutzaspekten sowie die Einstellungsmöglichkeiten zu Datenschutzeinstellungen zwischen den Herstellern. Es hat sich bestätigt, dass an den jeweiligen Gerätehersteller selbst und dass je nach Modell viele an kommerzielle Anbieter unterschiedlicher Dienste geschickt werden. im Kontext von HbbTV beziehen sich auf den gerade eingeschalteten Sender. Hier gibt es keinen prinzipiellen Unterschied zwischen den Geräteherstellern: Die HbbTV-Angebote werden von den Sendern selbst definiert und das SmartTV stellt nur den Zugang zur Verfügung. Trotzdem gibt es aus Datenschutzsicht signifikante Unterschiede im Verhalten der Geräte unterschiedlicher Hersteller. 4 Versuchsaufbau Untersucht wurde ein aktuelles Loewe One 40 SmartTV (56404W72) sowie ein Philips SmartTV der 7100er Serie (49PUS7181/12). Die SmartTVs wurden wieder in der Standardkonfiguration belassen und Fragen zu AGB und Datenschutzbestimmungen bei der Ersteinrichtung wurden positiv bestätigt, so wie es wohl die meisten Kunden verwenden würden. Die Geräte wurden bei keinem Inhalteanbieter aktiv registriert oder angemeldet und es wurde kein Abonnement für einen Pay-TV-Sender oder für andere Dienste abgeschlossen. Die SmartTVs wurden per Antennen-Kabel an das Netz von Kabel Deutschland angeschlossen. Im Sendersuchlauf wurden nur freie Kanäle ausgewählt. Das Gerät wurde per WLAN in ein abgeschlossenes lokales Netz integriert. In diesem lokalen Netz wurden außer dem SmartTV und dem WLAN-Router nur ein eblocker sowie ein Laptop zur Auswertung der Daten betrieben. Das lokale Netz war über einen Router mit dem Internet verbunden Seite 1 von 10

2 5 Durchführung Die SmartTV-Geräte wurden wieder wie ein normales Fernsehgerät in verschiedenen Anwendungsfällen getestet. Der eblocker wurde dazu verwendet, die vom SmartTV jeweils abgesendeten http-/https- zu protokollieren und zu analysieren. Mit dieser Analyse ist der eblocker anschließend in der Lage, die zu Datensammlern und damit die Profilbildung aktiv zu unterbinden. Hierbei ist zu beachten, dass bei es sich bei den untersuchten Anwendungsfällen nicht um spezifische SmartTV-Anwendungen handelt, sondern um ganz normales Fernsehen wie es auch schon vor 50 Jahren mit einem Röhrengerät möglich gewesen wäre. Es wurde jeweils untersucht, ob und welche https- oder http- an Server im Internet geschickt wurden. Da http- im Gegensatz zu https unverschlüsselt übertragen werden, konnte bei diesen Verbindungen auch der Übertragungsinhalt erfasst werden. Hierbei wurde untersucht, ob der Request Daten enthält, die geeignet sind, das Gerät bzw. den Nutzer dauerhaft wiederzuerkennen und damit ein Persönlichkeitsprofil zu bilden. Grundsätzlich sind drei Gruppen von zu unterscheiden: 1., die ohne direkte Benutzer-Interaktion einmalig (z. B. nach Einschalten) oder regelmäßig, jedenfalls unabhängig vom gerade laufenden Fernsehprogramm abgesendet werden. 2., die im Kontext von HbbTV zum gerade laufenden Programm abgesendet werden. 3., die bei der Verwendung von Apps oder des jeweiligen AppStores abgesendet werden. Diese dritte Gruppe, also im Kontext von Apps für Online-Dienste, Spiele oder anderes wurde in dieser Studie nicht weiter betrachtet. Es ist grundsätzlich davon auszugehen, dass sich diese Apps ähnlich wie ihre Pendants auf Smartphones oder Tablets verhalten. Der Nutzer kann sich hier vor Datenabgriffen am besten dadurch schützen, dass die entsprechenden Apps nicht verwendet werden. Eine kurze Untersuchung hat dies qualitativ bestätigt: Sobald der Nutzer in den App-Bereich des Gerätes wechselt bzw. Apps aufruft, wird eine große Zahl von an die jeweiligen Anbieter des Contents bzw. der Infrastruktur gesendet. Diese sind hier nicht im Einzelnen dokumentiert, da es den Rahmen der Studie sprengen würde. 5.1 https-verbindungen (SSL-Verschlüsselung) Auf Grund der Ende-zu-Ende-Verschlüsselung von https-verbindungen, kann der eblocker bei solchen nur feststellen, zu welcher bzw. zu welcher IP-Adresse die Verbindung aufgebaut werden sollte. Er kann jedoch nicht den Inhalt des analysieren. 5.2 http-verbindungen Bei unverschlüsselten http- kann der eblocker die genaue URL sowie etwaige Meta-Daten der Anfrage analysieren und protokollieren. Hier ist insbesondere interessant, ob der Request Identifizierungs-Cookies oder ähnliche, eindeutige IDs enthält, über die das Gerät und damit der Nutzer dauerhaft erkannt und somit ein Profil der Gerätenutzung erstellt werden kann. 5.3 Dokumentation und Interpretation der Ergebnisse In den folgenden Abschnitten sind die Untersuchungsergebnisse zu den unterschiedlichen Anwendungsfällen dokumentiert. Hierbei ist festzuhalten, dass Zeitpunkt, Reihenfolge und genaue URLs der nicht konstant sind, so dass eine erneute Messung nicht immer exakt die gleichen Ergebnisse liefert. Die Protokolle sind in diesem Sinne als Momentaufnahmen zu verstehen. Es wurde versucht, die Systematik zu ermitteln und entsprechend zu dokumentieren. Eine gewisse Unschärfe ist beim aktuellen Stand der Untersuchung jedoch unvermeidbar Seite 2 von 10

3 6 Loewe One 40 ohne direkte Benutzerinteraktion Beim Loewe One 40 sind relativ wenige ohne Benutzerinteraktion zu beobachten. Insbesondere wurden keine an Domains von Loewe selbst festgestellt. Die beobachteten gehen stattdessen zu Diensten von dritten Anbietern. Möglicherweise bietet Loewe keine eigenen Online-Dienste an, sondern bindet stattdessen die Angebote von anderen Anbietern ein wie z. B. NetRange und Microsoft PlayReady. Erwartet wurden zu Loewe Domains zum Update der SmartTV-Software. Diese konnten während der Laufzeit der Untersuchung jedoch nicht eindeutig zugeordnet werden. 6.1 Verschlüsselte (https) sdklog.tvstore.opera.com ( ) Opera AppStore c ipg.web.cddbp.net ( ) Gracenote (Media-Informationsdienst) 6.2 Unverschlüsselte (http) loewe.vtuner.com VTuner Internet-Radio Dienst Abruf von Meta-Daten zu Internet-/Radio-Angeboten xml.opera.com Opera (Anbieter von Browser-Software und Internet-Diensten) Unbekannt akamai-b.cdn.cddbp.net Gracenote (Media-Informationssystem) Abruf von Sender-Logos für den EPG 897c4cd046b c9d5d4cb94d. 0dc5127bd3b3bc23fd0c57e8375f595f.de Netrange NM ( SmartTV Ökosystem Seite 3 von 10

4 go.microsoft.com Microsoft - secureclock.playready.microsoft.com Microsoft Playready DRM System Konfiguration von DRM Content Protection (genauer Zweck unbekannt) 6.3 Weitere Feststellungen Bei der erstmaligen Einrichtung wird der Nutzer des Loewe One 40 über zwei relativ kurz und übersichtlich gehaltene Bildschirmseiten mit Informationen zum Datenschutz mit im Wesentlichen folgendem Inhalt geführt: Für den automatischen Update der SmartTV-Software werden Daten des Geräts erhoben und gespeichert. Bei Verwendung von HbbTV werden Daten an Dritte gesendet, die für die Bereitstellung von HbbTV-Diensten erforderlich sind. Diese Seiten sind so knapp, dass der Benutzer sie vielleicht tatsächlich liest, den wesentlichen Inhalt erkennen und so eine bewusste Entscheidung treffen kann. Beim Umschalten auf ein HbbTV-fähiges TV-Programm verzögert der Loewe One 40 das Absenden der und die Einblendung des Red-Button-Labels um ca. 2 Sekunden. Beim schnellen Zappen gehen also u.u. auch keine an die Sender. Darüber hinaus gibt es eine (leider etwas versteckte) Konfigurationsoption. Wenn diese Option aktiviert ist, werden die HbbTV-Request erst dann gesendet, wenn der Benutzer den Red Button tatsächlich auch drückt. Mit dieser Konfiguration ist es damit leichter, fast alle Internet- zu vermeiden, die bei normalem Betrieb als Fernsehgerät entstehen Seite 4 von 10

5 7 Philips ohne direkte Benutzerinteraktion Beim Philips AndroidTV sind ohne Benutzerinteraktion einige zu verschiedenen Google- Servern sowie zu unbekannten en zu beobachten. Das ist nicht überraschend, da Google als Hersteller des Android-Betriebssystems natürlich auch viele Hintergrunddienste bereitstellt. Die meisten dieser sind verschlüsselt, so dass über Zweck und Inhalt der nichts Genaues gesagt werden kann. Ohne explizite Benutzerinteraktion (z. B. durch Aktivierung entsprechender Apps) wurden beim Philips SmartTV wesentlich weniger zu den Servern von anderen Inhalte-Anbietern beobachtet als z. B. beim Samsung Gerät, welches im ersten Teil der Studie untersucht wurde. 7.1 Verschlüsselte (https) Zahlreiche verschlüsselte gehen an verschiedene Server von Google: android.clients.google.com ( ) - clients3.google.com ( ) - clients4.google.com ( ) - ( ) - play.googleapis.com ( ) - android.clients.google.com ( ) - Andere gehen an e, von denen auf Grund der verschlüsselten Übertragung nur die IP- Adressen bekannt sind. Eine umgekehrte Namensauflösung ergibt, dass es sich bei einigen dieser Adressen um Cloud-Server von Amazon bzw. Google handelt Amazon AWS Google Google Seite 5 von 10

6 Weitere verschlüsselte channel.nettvservices.com ( ) NetTVServices / AppsOnTv.com: Informationsdienst zu Apps auf SmartTV-Gerten 7.2 Unverschlüsselte (http) Auch unter den unverschlüsselten wurden zu Google beobachtet, darunter bekannte Tracking-Links: Google Analytics Tracking ID in der URL fonts.googleapis.com / fonts.gstatic.com / Google Webinhalte von Google (z. B. Datenschutzerklärung) Ja Die folgenden werden anscheinend im Kontext von TV-Empfehlungen gemacht: p1024.papi.cddbp.net Gracenote (Medien-Informationsservice) Die URL legt nahe, dass Empfehlungen zum TV-Programm geladen werden. Die URL enthält IDs zum Nutzer und zum Gerät: getuserrecommendations? usertoken=55blx1d5ngwtt...unfz& providersgroup=de& deviceid=0008c & nettvversion=6.0.2& numbervod=0& numbernonlinear=0& numberlinear=8&linearrangestart=- 7931ba2e78cdf4bd887acbc46e8937bd843e7024f2229d2769e3.r71.cf3.rackcdn.com Cloud Service, gehosted bei rackspace.com TV-Empfehlungen Cookie mit IDs und sehr vielen Daten über das Gerät und den Nutzer. Andere laden Vorschaubilder o.ä.: Seite 6 von 10

7 cdn-nettv.portal.nettvservices.com NetTVServices Vorschaubild Weitere unverschlüsselte : xml.opera.com Opera (Anbieter von Browsern und Internet-Services) Versionscheck des Opera-Browsers 7.3 Weitere Feststellungen Das Philips SmartTV macht sofort nach dem Einschalten deutlich, dass es sich um ein Android-Gerät handelt, bei dem klassisches Fernsehen nur eine unter vielen Anwendungen ist. Sobald bei der Ersteinrichtung der Internet-Zugang hergestellt ist, wird man aufgefordert, sich an seinem Google-Account anzumelden. Dies ist datenschutzrechtlich jedoch bedenklich, da davon auszugehen ist, dass Google die gewonnenen Nutzungsdaten zur Fernseh- und App-Nutzung über sämtliche Google-Dienste und über sämtliche Geräte des Nutzers personenbezogen erfasst. In diese Datenverknüpfung hat jeder Google-Nutzer bereits bei Anlage seines Google-Kontos eingewilligt. Auch ohne Anmeldung bei einem Google-Konto wird der Benutzer angehalten die Google- Datenschutzbestimmungen zu akzeptieren. Diese sind beim AndroidTV ebenso lang und unübersichtlich wie bei anderen Geräten bzw. Anwendungen, die auch auf Android basieren. D.h., dass in der Regel kein normaler Nutzer diese Ausführungen tatsächlich lesen, geschweige denn verstehen wird Seite 7 von 10

8 8 im Kontext von HbbTV Die im Kontext von HbbTV werden von den Fernsehsendern definiert und hängen zumindest inhaltlich nicht vom TV-Gerät ab. Daher werden die HbbTV- für beide SmartTVs gemeinsam dokumentiert. Interessanterweise findet fast die gesamte HbbTV-Kommunikation unverschlüsselt statt. Nur sehr wenige, spezielle werden über https übertragen. 8.1 Verschlüsselte (https) Sender ARD script.ioam.de InfOnline (Reichweitenanalyse) 8.2 Unverschlüsselte (http) ARD itv.ard.de Mehrere : HTML, Script, Bilder Red-Button-Logo Cookie: ardstart=rangeid*201610*ra*201610*u*0*v*3*ts* (kein ID-Parameter?) ZDF hbbtv.zdf.de Mehrere : HTML, Script, Bilder Red-Button-Logo Vox / RTL cdn.digitaltext.vox.de / cdn.digitaltext.rtl.de Mehrere : HTML, Script, Bilder Red-Button-Logo cdn.digitaltext.vox.de und cdn.digitaltext.rtl.de sind Aliasnamen für ähnliche Server im Akamai- Netzwerk. Man kann also davon ausgehen, dass das HbbTV-Angebot von RTL, Vox und anderen Sendern der gleichen Senderfamilie von einem gemeinsamen Anbieternetzwerk ausgeht. cdn.hbbtv.smartclip.net Einzelne : Script Smartclip: Werbeplattform Seite 8 von 10

9 de.ioam.de Einzelne : Script Tracking/Reichweitenanalyse (InfOnline) URL enthält für Tracking geeignete Informationen Pro7 / Sat1 redbutton-lb-prod.sat1.de / redbutton-lb-prod.prosieben.de Mehrere : HTML, Script, Bilder Red-Button-Logo Cookie mit für Tracking geeigneter ID Cookie: wt3_eid=%3b %7c ; wt3_sid=%3b redbutton-lb-prod.sat1.de und redbutton-lb-prod.prosieben.de sind Aliasnamen für die gleichen Server im AmazonWS-Netzwerk. Das HbbTV-Angebot von Sat1, Pro7 und anderen Sendern der gleichen Senderfamilie geht also von einem gemeinsamen System aus. Die IDs in den Cookies sind bei Sat1 und Pro7 teilweise gleich, so dass ein Tracking des Nutzers über die Sender der Senderfamilie hinweg möglich ist. hbbtv-track.sat1.de/ hbbtv-track.prosieben.de / Einzelne, regelmäßige Tracking durch Anbieter WebTrekk Cookie mit für Tracking geeigneter ID Cookie: wt3_eid=%3b %7c ; wt3_sid=%3b Darüber hinaus enthält bereits die URL nutzerspezifische Informationen. Die Domains hbbtv-track.sat1.de und hbbtv-track.prosieben.de sind Aliasnamen für den gleichen Server. Durch die Domain-Aliasnamen erscheinen die e wie Server aus dem Verantwortungsbereich der Senderfamilie Pro7/Sat1. Tatsächlich handelt es sich aber offenbar um Server aus dem Netzwerk des Tracking-Anbieters WebTrekk. Die IDs in den Cookies sind teilweise die gleichen, die auch bei oben genannten URLs versendet werden. Ein senderübergreifendes Zusammenführen der Nutzerinteraktionen ist damit technisch möglich Seite 9 von 10

10 9 Fazit Die Erweiterung der Studie um zwei aktuelle Geräte von Loewe und Philips hat gezeigt, dass der Datenabgriff durch SmartTVs seitens der Hersteller durchaus mit unterschiedlicher Intensität erfolgt. Während das Samsung Gerät regelmäßig verschlüsselte Daten an Hersteller-Domains - teilweise sogar auch im ausgeschalteten Zustand - versendet, verhalten sich die Geräte von Philips und Loewe in Hinblick auf die Datensammlung durch den Hersteller besser. Bedenklich beim Philips Gerät ist die Verwendung des Android Betriebssystems, bei dem ohne Einflussnahme durch den Nutzer kontinuierlich Daten insbesondere an Google versendet werden. Verknüpft der Nutzer zudem seinen Philips SmartTV mit seinem Google-Konto, ist davon auszugehen, dass seitens Google sogar ein personenbezogenes Nutzungsprofil gebildet wird, in dem auch weitere Profildaten sämtlicher Google-Dienste kombiniert werden. Datenschutztechnisch kommt dies einer personenbezogenen Totalüberwachung des gesamten Internet- und Fernsehkonsums gleich. Unter Datenschutzgesichtspunkten schneidet der Loewe unter den drei getesteten Geräten am besten ab. Gut hat uns hierbei insbesondere die übersichtliche Ersteinrichtung bei Datenschutzfragen gefallen sowie die Tatsache, dass bei schnellem Umschalten keine Daten per hbbtv an die Sender übertragen werden. Auch ein Datenversand an den Hersteller konnte nicht nachgewiesen werden. Abschließend lässt sich jedoch festhalten, dass aktuelle SmartTVs in den Standardeinstellungen stets Daten an dritte Anbieter schicken, die geeignet sind, Nutzungsprofile zum Fernsehverhalten zu erstellen. Ohne zusätzliche Schutzmaßnahmen sind insbesondere Fernsehsender, die hbbtv anbieten, durch übergreifend eingesetzte Tracking-Anbieter in der Lage, senderübergreife Nutzerprofile zu bilden. 10 Wie der eblocker schützt Der eblocker schützt in der aktuellen Version bereits vor dem unbemerkten Datenabgriff bei der Verwendung von hbbtv, da dort in der Regel normale Datensammler verwendet werden, die dem eblocker bereits bekannt sind. Eine senderübergreifende Profilbildung durch dritte Tracking-Anbieter wird damit schon jetzt verhindert. Dank der integrierten eblocker Analysefunktion, die auch für diese Studie verwendet wurde, kann der über hbbtv hinaus gehende Datenversand an Hersteller und Drittanbieter leicht erkannt und mit einfacher Definition von Blockierregeln unterbunden werden. Aktuell arbeiten wir an dem Aufbau einer Datenbank mit Regeldefinitionen für häufig verwendete smarte Geräte, die dann ganz einfach durch die Nutzer dieser Geräte aktiviert werden können. Es ist geplant, dass eblocker Anwender, die gerätespezifischen Regeln mit eblocker und anderen Nutzern teilen können, so dass durch den Community-Effekt in kurzer Zeit viele smarte Geräte in der eblocker Datenbank erfasst und abgesichert werden können Seite 10 von 10