Wenn du heute zehn zufällige Apps aus dem Play Store installierst und sie durch einen statischen Analyser laufen lässt, wie viele Tracking-SDKs würdest du im Bytecode finden?

Die Antwort ist im Schnitt sieben. Manchmal mehr.

Und nein, das sind keine Randerscheinungen. Wir reden von der Sorte Werkzeug, die du nutzt, ohne darüber nachzudenken: Wetter, Fitness, Foto-Bearbeitung, die Taschenlampe, auf die deine Tante schwört.

Warum das passiert

Moderne Android-Entwicklung ist eine Wundertüte aus kostenlosen SDKs. Crash-Reporting? Pack Firebase Crashlytics rein. A/B-Test einer Button-Farbe? Optimizely dazu. Push-Benachrichtigungen, ohne ein Backend zu schreiben? OneSignal. Wissen, wie Nutzer durch deine Screens navigieren? Mixpanel, Amplitude, Heap. Such dir eines aus, oder alle drei.

Jedes SDK ist ein kleines, nützliches Werkzeug. Jedes öffnet aber auch eine Netzwerkverbindung zu einer dritten Partei, sendet Gerätemerkmale und kann Identifikatoren über Sessions hinweg speichern. Pack sieben davon zusammen und du hast einen leisen Ausschuss, der dein Verhalten an sieben verschiedene Firmen meldet, von denen dein Nutzer noch nie gehört hat.

Der Entwickler denkt fast nie so darüber nach. Er hat eine Bibliothek hinzugefügt, um ein Problem zu lösen. Die Bibliothek kam halt zufällig mit einem Tracker daher.

Die sieben, die wir am häufigsten sehen

In unseren Scans der Top 32 kostenlosen Apps in Deutschland tauchten diese Tracker in mehr als 50 % der Fälle auf:

  • Google Firebase Analytics (in ~94 % der Apps)
  • Google CrashLytics (~78 %)
  • Facebook Login + Audience Network (~62 %)
  • AppsFlyer (~58 %)
  • Adjust (~54 %)
  • OneSignal (~52 %)
  • Branch (~51 %)

Keiner davon ist illegal. Die meisten sind für den Entwickler in irgendeiner Weise nützlich. Das Problem ist nicht ein einzelnes SDK. Es ist das kumulative Bild.

Was das für dich bedeutet

Ein Tracker in einer App tut nicht zwangsläufig etwas Bösartiges. Er feuert vielleicht nie. Er sammelt vielleicht nur aggregierte Daten. Er respektiert vielleicht Androids Datenschutz-Berechtigungen und bekommt nie eine echte Kennung.

Aber du hast keine Möglichkeit zu wissen, in welchem Fall du bist, ohne hinzuschauen. Genau diese Lücke füllt AppXpose: nicht um dich von Apps abzuschrecken, sondern um dir zu zeigen, womit du dich einverstanden erklärst.

Die Tracker stören mich nicht so sehr wie die Annahme, dass niemand nachschauen wird.

Was du tun kannst

  1. Scanne die Apps, die du am häufigsten nutzt. Fang mit den 5 an, die du täglich öffnest. Die Ergebnisse dauern Sekunden.
  2. Vergleiche Alternativen. Wenn zwei Taschenlampen-Apps dasselbe tun und eine 9 Tracker hat und die andere 1, ist die Wahl offensichtlich.
  3. Beobachte Änderungen. Updates fügen oft heimlich Tracker hinzu. Mit GUARD bekommst du eine Benachrichtigung, sobald es passiert.

Wir werden weitere tiefere Analysen veröffentlichen, sobald wir mehr Daten sammeln. Wenn es eine Kategorie gibt, die wir uns als nächstes anschauen sollen (Banking-Apps, Dating-Apps, Kinderspiele), schreib uns.