Du hast die Zahl wahrscheinlich schon mal gesehen. “Diese App enthält 7 Tracker.” Vielleicht in einem Scan-Ergebnis, vielleicht in einem Nachrichtenartikel, vielleicht in einer Play-Store-Bewertung von jemandem, der wütender war als du. Aber was bedeutet das eigentlich? Was ist ein Tracker technisch gesehen? Was macht er in der App auf deinem Handy? Und warum sollte sich ein normaler Mensch dafür interessieren?

Das sind berechtigte Fragen. Die Privacy-Community wirft das Wort “Tracker” herum, als ob jeder schon wüsste, was es bedeutet. Die meisten Leute wissen es nicht.

Ein Tracker ist Code, der an jemand anderen berichtet

Wenn ein Entwickler eine App baut, schreibt er selten alles von Grund auf. Er benutzt Bibliotheken, also vorgefertigte Code-Bausteine, die häufige Probleme lösen. Crash-Reporting nötig? Bibliothek importieren. Analytics nötig? Bibliothek importieren. Werbeleistung messen? Bibliothek importieren.

Jede dieser Bibliotheken wird von einem Drittunternehmen geschrieben und gepflegt. Firebase von Google. Adjust von Adjust GmbH. AppsFlyer von AppsFlyer Ltd. Wenn der Entwickler die Bibliothek importiert, läuft der Code dieses Unternehmens in der App. Auf deinem Handy. Mit den Berechtigungen, die die App hat.

Ein Tracker ist eine dieser Bibliotheken, deren primäre oder sekundäre Funktion es ist, Daten über dich zu sammeln und sie an einen Ort zu senden, der nicht der eigene Server des App-Entwicklers ist.

Was Tracker tatsächlich sehen

Die Details hängen vom Tracker, den App-Berechtigungen und der Android-Version ab. Aber die meisten kommerziellen Tracker sammeln eine Kombination aus:

  • Geräte-Identifikatoren: deine Werbe-ID, Gerätemodell, OS-Version, Bildschirmauflösung. Genug, um einen Fingerprint zu erstellen, selbst ohne eine persistente ID.
  • Nutzungsdaten: wann du die App öffnest, wie lange du bleibst, welche Screens du besuchst, welche Buttons du tippst, wo du scrollst.
  • Standort: wenn die App Standortberechtigung hat, werden viele Tracker ihn auslesen. Selbst wenn der erklärte Zweck des Trackers Crash-Reporting ist.
  • Netzwerkinformationen: deine IP-Adresse, WLAN-Name, Mobilfunkanbieter. Deine IP allein reicht aus, um dich auf eine Stadt zu lokalisieren.
  • Referral-Daten: woher du kamst, welche Werbung du angeklickt hast, welche Kampagne dich gebracht hat.

Ein einzelner Tracker, der das sieht, ist unspektakulär. Sieben Tracker, die das sehen, über 40 Apps hinweg, die alle Daten über gemeinsame Identifikatoren korrelieren, sind eine Überwachungsinfrastruktur. Nicht in der Theorie. In der Praxis, heute, auf dem Handy in deiner Tasche.

Wie sie in Apps landen

Entwickler fügen Tracker selten mit böser Absicht hinzu. Der Prozess ist banal.

Ein Entwickler will wissen, warum seine App auf Samsung-Geräten abstürzt. Er fügt Firebase Crashlytics hinzu. Es braucht vier Zeilen Code und löst das Problem. Was er vielleicht nicht merkt: Crashlytics teilt sich eine Codebasis mit Firebase Analytics, und die Standardkonfiguration sendet Nutzungsdaten zusammen mit Crash-Reports.

Ein anderer Entwickler will messen, welcher Marketing-Kanal die meisten Installationen bringt. Er fügt Adjust hinzu. Adjust braucht Geräte-Identifikatoren für die Attribution. Jetzt wird jeder Nutzer, der die App öffnet, von einem Unternehmen in Berlin getracked, von dem er noch nie gehört hat.

So endet eine einfache Wetter-App mit 9 Trackern. Nicht weil der Entwickler böse ist. Weil jedes Tool ein echtes Problem gelöst hat und jedes Tool einen Passagier mitgebracht hat.

Wir haben die häufigsten dokumentiert in unserem Scan von 32 beliebten Apps. Firebase Analytics tauchte in 94% davon auf. Facebooks SDK in 62%. Die Zahlen sind keine Ausreißer. Sie sind die Baseline.

Warum “Ich habe nichts zu verbergen” nicht zutrifft

Die Standardantwort auf Tracker-Warnungen ist “Ich habe nichts zu verbergen.” Das versteht das Problem falsch.

Tracker interessieren sich nicht für deine Geheimnisse. Sie interessieren sich für deine Muster. Welche Apps du um 2 Uhr nachts öffnest. Wie oft du die Apotheke besuchst. Ob du nach Scheidungsanwälten oder Schwangerschaftstests oder Schuldenberatung gesucht hast. Nichts davon ist ein Geheimnis für sich. Alles davon ist in der Summe wertvoll, für Werbetreibende, für Versicherungen, für Datenbroker, die Profile an jeden verkaufen, der zahlt.

Du verbirgst nichts. Du leckst einen kontinuierlichen Strom von Verhaltensdaten an Unternehmen, deren gesamtes Geschäftsmodell der Verkauf dieses Stroms ist. Die Frage ist nicht, ob du etwas zu verbergen hast. Die Frage ist, ob du willst, dass 30 Unternehmen, von denen du nie gehört hast, ein Profil deines täglichen Lebens aufbauen.

Was du dagegen tun kannst

Du kannst Tracker nicht komplett vermeiden. Sie sind in praktisch jeder App im Play Store. Aber du kannst informierte Entscheidungen treffen.

Deine meistgenutzten Apps zu scannen dauert Minuten und verändert, wie du über das nachdenkst, was auf deinem Handy ist. Wenn du siehst, dass deine Taschenlampen-App 11 Tracker hat und dein Taschenrechner null, wird die Entscheidung zum Wechseln offensichtlich. Wenn du siehst, dass zwei Notiz-Apps dasselbe tun, aber eine hat 3 Tracker und die andere 9, nimmst du die mit 3.

AppXpose existiert, um diesen Vergleich möglich zu machen. Nicht um dich zu erschrecken, nicht um dir zu sagen was du tun sollst, sondern um dir die Information zu geben, die du vor dem Tippen auf “Installieren” gerne gehabt hättest.

Die Tracker verschwinden nicht. Aber die Annahme, dass niemand nachschaut, ist der Grund, warum es so schlimm geworden ist. Jeder Scan ist eine kleine Stimme gegen diese Annahme.