Schützt Apple Sie wirklich vor Werbeüberwachung?

Datenschutz, ein Verkaufsargument für Apple

Angesichts des von Google entwickelten Überwachungskapitalismus hat Apple ein offensichtliches Argument: die Privatsphäre. Und das Unternehmen geizt damit nicht, wie diese Werbekampagne zeigt:

Dieses Argument findet sich auch in den Worten von Tim Cook auf der Konferenz „Computers, Privacy & Data Protection“ im Januar 2021, einer wirklich bemerkenswerten Rede.

Apple war schon immer sehr gut im Produktmarketing, aber sind das nur schöne Worte? Eine erste Antwort liefert diese Seite, eine ausführlichere Antwort findet sich hier: Apple ergreift tatsächlich zahlreiche Initiativen. Als Beispiele lassen sich nennen:

• Ende-zu-Ende-Verschlüsselung für iMessage und FaceTime.
• Datenschutz auf Apple Maps.
• Das Secure Element, das es Apple Pay ermöglicht zu funktionieren, ohne Ihre Kreditkartennummer oder Ihre Transaktionen zu kennen.
• Die Tatsache, dass Apple den Zugriff auf sensible Funktionen Ihrer iOS-Geräte wie Standortbestimmung, Fotos, Mikrofon oder Kamera immer besser schützt.
• Die Initiative „Sign in with Apple“, mit der Sie ein Konto bei einem Drittanbieterdienst erstellen können, ohne Ihre E-Mail-Adresse weiterzugeben.

Datenschutz ist einer der Grundwerte von Apple:

Aber Apple könnte noch viel weiter gehen, und ich wäre bereit zu zahlen, damit die folgenden Dienste Ende-zu-Ende-verschlüsselt werden: Apple Fotos, Kalender, Kontakte, iCloud Drive, Notizen oder Nachrichten in iCloud. Nach seinem Streit mit dem FBI während des Terroranschlags von San Bernardino, bei dem es mutig gegen die Einführung von Hintertüren in iOS kämpfte, hätte Apple die Gelegenheit gehabt, die Nutzung der Ende-zu-Ende-Verschlüsselung auf alle seine Dienste auszuweiten. Unter dem Druck des FBI traute es sich leider nicht:

Apple ließ Pläne fallen, iPhone-Benutzern die vollständige Verschlüsselung von Backups ihrer Geräte im iCloud-Dienst des Unternehmens zu ermöglichen, nachdem das FBI sich darüber beschwert hatte, dass der Schritt den Ermittlungen schaden würde, sagten sechs mit der Angelegenheit vertraute Quellen gegenüber Reuters.

Zur Freude von Regierungen, Polizei- und Geheimdiensten verschlüsselt Apple iCloud nicht Ende-zu-Ende. Und um seine Produkte in China besser verkaufen zu können, willigt Apple ein, die iCloud-Verschlüsselungsschlüssel seiner chinesischen Nutzer direkt auf Servern in China zu speichern. Ein weiteres Zugeständnis an das chinesische Regime: Apple zensiert Apps in China.

Schauen wir uns nun die Initiativen von Apple gegen Werbeüberwachung an. Gehen sie weit genug?

Safari ITP, ein guter Schutz gegen Tracking

2017 integriert Apple die Funktion „Intelligent Tracking Prevention“ (ITP) in Safari, mit dem Ziel, das websiteübergreifende Tracking zu bekämpfen. Seit dieser ersten Veröffentlichung hat Apple ITP weiterentwickelt, etwa mit der vollständigen Blockierung von Drittanbieter-Cookies oder der Begrenzung der Lebensdauer von über CNAME gesetzten Cookies, wodurch es Ihnen einen guten Schutz vor dem Tracking durch Adtech-Unternehmen bietet.

Wenn es um Datenschutz geht, hat Apple zudem einen hervorragenden Einfluss auf das Web-Ökosystem.

Apples Maßnahmen gegen das websiteübergreifende Tracking inspirieren zweifellos andere Browser. 2018 kündigt Firefox eine Änderung seiner Tracking-Richtlinie an und möchte nun standardmäßig einen Schutz vor Tracking bieten. 2019 macht Firefox Ernst mit „Enhanced Tracking Protection“ (ETP), dem Pendant zu ITP, einer Funktion, die er seither ebenfalls weiterentwickelt hat.

Als Bonus gelten, wenn Sie ein iPhone oder ein iPad verwenden und über einen anderen Browser surfen, die ITP-Schutzmaßnahmen ebenfalls! Apple sperrt nämlich die Optionen von Drittanbieter-Browsern, die gezwungen sind, WebKit, die Rendering-Engine von Safari, zu verwenden.

Apple wirkt dem Einfluss von Google im W3C entgegen

Im W3C, der Organisation, die für die Entwicklung und Weiterentwicklung der Webstandards zuständig ist, bietet Apple Alternativen zu Google im Bereich der Werbung. Während Google mit Vorschlägen zum Ersatz der Drittanbieter-Cookies („Privacy Sandbox“) viel Lärm gemacht hat, insbesondere mit dem umstrittenen FLoC-Vorschlag, schlägt Apple Standards für einen besseren Schutz der Privatsphäre vor:

• „Private Click Measurement (PCM)“: um Conversions Werbekampagnen korrekt zuzuordnen. Google hat seinen eigenen Vorschlag namens „Conversion Measurement API“, doch dieser schützt die Privatsphäre kaum, da Google es dem Werbetreibenden erlaubt, jedem Klick auf eine Anzeige eine eindeutige Kennung zuzuweisen … Apple wiederum beschränkt die Optionen auf 256 verschiedene Werte, was lediglich erkennen lässt, welche Werbekampagne wirksam ist.
• „Storage Access API“: Während Apple Dritte daran hindert, den Nutzer ohne dessen Zustimmung zu tracken (durch Einschränkungen bei Cookies, lokalem Speicher usw.), können diese den Nutzer über diese API ausdrücklich um Erlaubnis bitten. Bestimmte Anwendungsfälle wie Authentifizierungssysteme können diese Erlaubnis rechtfertigen.

Auch im W3C ist Apple zwar nicht das einzige Unternehmen, das die Privatsphäre verteidigt (Firefox und Brave sind ebenfalls sehr aktiv), doch sein Engagement ist nicht überflüssig, wenn es darum geht, den Heerscharen von Chrome-Entwicklern entgegenzuwirken. Diese gefährden häufig die Privatsphäre der Nutzer unter dem Vorwand, dem Web neue Funktionen hinzuzufügen. Hier zum Beispiel eine Liste von 16 Funktionen, die Safari nicht implementiert, weil die Risiken für die Sicherheit und für das Fingerprinting zu groß sind.

Könnte Safari noch weiter gehen?

Safari könnte beschließen, die Werbeüberwachung radikaler zu bekämpfen, indem es standardmäßig einen Tracker- und Werbeblocker vom Typ uBlock Origin integriert. Vorteile für den Nutzer:

• Werbung würde blockiert.
• Auch Erstanbieter-Tracker (Analytics, A/B-Tests, Tag-Manager usw.) würden blockiert. Heute werden zum Beispiel Google Analytics und der Google Tag Manager von Safari nicht blockiert.
• Auch Drittanbieter-Tracker, die aktuelle Web-Schwachstellen ausnutzen, würden blockiert. Ich denke zum Beispiel an Criteo mit seiner ungesunden Ausnutzung des CNAME-Cloakings, wobei Safari sich darauf beschränkt, die Lebensdauer der über CNAME gesetzten Cookies auf 7 Tage zu begrenzen.

Apropos CNAME-Cloaking: Die Technik wird übrigens auch von Apple auf seiner eigenen Website verwendet, mit dem Tool Adobe Analytics:

Heute geht Brave viel weiter mit seiner Funktion „Shields“: Das Ziel besteht nicht darin, das websiteübergreifende Tracking zu verhindern, sondern die Ausführung der Tracker zu blockieren. Ein Beispiel zur Veranschaulichung des unterschiedlichen Ansatzes: Tracker, die CNAME-Cloaking verwenden, werden standardmäßig blockiert.

Firefox seinerseits bietet standardmäßig weniger Schutz, doch sein Erweiterungssystem ist sehr offen (Safari weit weniger, Sie müssen sich mit einem „Content Blocker“ wie Firefox Focus begnügen), wodurch zum Beispiel uBlock Origin wirksam gegen CNAME-Cloaking sein kann.

Beachten Sie, dass Marketing-Tools leider immer noch den Schutzmaßnahmen der Browser und anderen Tracker-Blockern entkommen können, manchmal sogar über schlüsselfertige Lösungen.

Eine kohärente Richtlinie im Web … mit einer Ausnahme

Im Web verfolgt Apple also eine kohärente Richtlinie:

• Safari schützt vor websiteübergreifendem Tracking.
• Das Tracking innerhalb derselben Website wird von Apple als legitim erachtet und bleibt möglich.
• Eine datenschutzfreundlichere Werbung wird gefördert.

Auch wenn es immer möglich ist, es besser zu machen, ist Safari beim Schutz der Privatsphäre Google Chrome um Lichtjahre voraus.

Nur dass Apple, wenn es um Geld geht, einen Pakt mit dem Teufel schließt: Google zahlt Apple zwischen 8 und 12 Milliarden US-Dollar pro Jahr, um die Standardsuchmaschine in Safari zu sein.

Bei den Apps ein notwendiges Aufholen

Mit iOS 14.5 führt Apple das System „App Tracking Transparency“ (ATT) ein: Tracking wird zum Opt-in. Hier die Definition von „Tracking“ laut Apple:

Unter Tracking versteht man den Vorgang der Verknüpfung von Benutzer- oder Gerätedaten, die von Ihrer App erfasst werden, mit Benutzer- oder Gerätedaten, die von Apps, Websites oder Offline-Eigenschaften anderer Unternehmen erfasst werden, für gezielte Werbung oder Werbemessungszwecke. Unter Tracking versteht man auch die Weitergabe von Benutzer- oder Gerätedaten an Datenbroker.

Diese Definition ist klassisch und ähnelt der von Firefox:

Beim Tracking handelt es sich um das Sammeln von Daten über die Aktivitäten eines bestimmten Benutzers auf mehreren Websites oder Anwendungen (d. h. Erstanbietern), die nicht dem Datenerfasser gehören, sowie die Aufbewahrung, Verwendung oder Weitergabe der aus dieser Aktivität abgeleiteten Daten an andere Parteien als den Erstanbieter, bei dem sie erfasst wurden.

Sie ähnelt auch der des W3C:

Beim Tracking handelt es sich um das Sammeln von Daten über die Aktivität eines bestimmten Benutzers in mehreren unterschiedlichen Kontexten sowie um die Aufbewahrung, Verwendung oder Weitergabe von Daten, die aus dieser Aktivität außerhalb des Kontexts, in dem sie stattgefunden hat, stammen. Ein Kontext ist eine Reihe von Ressourcen, die von derselben Partei oder gemeinsam von einer Reihe von Parteien kontrolliert werden.

Apple ist endlich kohärent mit der Richtlinie, die es bereits im Web angewandt hat:

• ATT schützt vor app-übergreifendem Tracking.
• Das Tracking innerhalb derselben App oder über mehrere Apps desselben Unternehmens wird von Apple als legitim erachtet und bleibt möglich.

Auf iOS wurde die Werbeüberwachung historisch von Apple erleichtert, durch die Bereitstellung einer eindeutigen Werbekennung namens IDFA. Diese Kennung war standardmäßig aktiviert; iOS-Nutzer konnten sie deaktivieren, wenn sie wollten:

Unter Einstellungen > Datenschutz > Werbung war es möglich, „Eingeschränktes Ad-Tracking“ zu aktivieren (was ich getan hatte, wie der Screenshot zeigt), aber die Option war standardmäßig deaktiviert.

Die Standardeinstellung ist von entscheidender Bedeutung: Nur wenige Menschen ändern die Datenschutzeinstellungen (laut Adjust deaktivierten nur 20 % der Nutzer die Kennung).

Apple trägt hier also eine historische Verantwortung: Die IDFA hat es einer Vielzahl von Unternehmen ermöglicht, Sie mühelos zu überwachen, und das über Jahre hinweg. Zur Erinnerung:

• Mit der Einführung des iPhone (2007) erstellt Apple eine eindeutige Kennung, die UDID (Unique Device Identifier), ideal, um Sie zu überwachen.
• 2008, mit der Veröffentlichung des App Store, stellt Apple die UDID den App-Entwicklern zur Verfügung: die Erbsünde, die erst 13 Jahre später korrigiert werden sollte.
• 2011, mit der Einführung von iOS 5, erklärt Apple die UDID für veraltet.
• Allerdings dauert es bis 2013, bis Apple Apps, die noch die UDID verwenden, endgültig ablehnt.
• In der Zwischenzeit (2012 mit iOS 6) führt Apple die IDFA ein. Es entscheidet sich, die IDFA standardmäßig zu aktivieren; der Nutzer kann sie nicht deaktivieren, sondern den Apps nur mitteilen, dass er nicht getrackt werden möchte (ein Pendant zu „Do Not Track“), wobei die Einstellung gut versteckt unter „Werbung“ liegt (und nicht unter „Datenschutz“).
• Bis zur Veröffentlichung von iOS 10 (2016) konnte die App, wenn Sie „Eingeschränktes Ad-Tracking“ aktiviert hatten, diese Kennung weiterhin für Frequency Capping, Conversion-Messung, die Messung eindeutiger Besucher, Sicherheit, Betrugserkennung und Debugging verwenden! Apple hatte jedoch keine Möglichkeit zu überprüfen, ob die Apps diese Regeln wirklich einhielten. Die einzige Option für den Nutzer: das iPhone oder iPad zurücksetzen, um die IDFA zurückzusetzen!
• Erst mit iOS 10 also deaktiviert Apple die IDFA, wenn der Nutzer „Eingeschränktes Ad-Tracking“ aktiviert! Die IDFA wird dann durch einen nicht eindeutigen Wert ersetzt, der ausschließlich aus Nullen besteht.

Hier die Reaktion eines Werbetreibenden auf die Ankündigung der Einführung der IDFA (2012 mit iOS 6) und des mit der Option „Eingeschränktes Ad-Tracking“ verbundenen „Dark Patterns“:

„Es ist eine wirklich ziemlich elegante und einfache Lösung“, sagt Scott Swanson, CEO von Mobile Theory. „Das Größte, worüber wir uns freuen, ist, dass es standardmäßig aktiviert ist. Daher gehen wir davon aus, dass die meisten Leute es aktiviert lassen werden.“

Diese historische Verantwortung hat Apple also eine DSGVO-Beschwerde bei der CNIL durch La Quadrature du Net eingebracht:

Mit iOS 14.5 also ein Paradigmenwechsel: Die Apps müssen Sie um die Erlaubnis bitten, Sie zu tracken, wie die neue Benutzeroberfläche zeigt (sichtbar ab iOS 14, auch wenn der Schutz noch nicht wirksam ist):

Unter Einstellungen > Datenschutz > Tracking ist „Tracking-Anfragen von Apps erlauben“ standardmäßig aktiviert (im schlimmsten Fall fragen die Apps Sie, ob Sie getrackt werden möchten), und Sie können die Option deaktivieren.

Zum Vergleich: Das Google-Android-Pendant zur IDFA ist die Android Advertising ID. Aber die Schutzmaßnahmen sind nahezu nicht vorhanden:

• Es ist unmöglich, die Android Advertising ID zu deaktivieren (die IDFA ließ sich ab iOS 10 deaktivieren).
• Es ist nur möglich, sie zurückzusetzen.

Der Verein noyb hat eine DSGVO-Beschwerde gegen Google wegen des Trackings von Nutzern über eine „Android Advertising ID“ ohne gültige Rechtsgrundlage eingereicht. Anzumerken ist, dass auch eine DSGVO-Beschwerde von noyb gegen Apple wegen des Trackings ohne Zustimmung über die IDFA existiert. Aber mit diesem Aufholen riskiert Apple weit weniger als Google (noyb behauptet außerdem, Apple könne nach dem Update die IDFA weiterhin ohne Zustimmung verwenden, was falsch ist).

Technisch gesehen haben Werbetreibende keinen Zugriff mehr auf die IDFA, wenn Sie nicht ausdrücklich Ihre Erlaubnis erteilt haben. Aber Werbetreibende haben andere Waffen in der Hand, um Sie zu überwachen (Fingerprinting, Hash der E-Mail-Adresse …). Wird Apple auch gegen diese Techniken vorgehen? Die Zukunft wird es zeigen, aber es scheint ganz seine Absicht zu sein:

• Apple hat Apps abgelehnt, die das SDK von Adjust enthielten, einem Marketingunternehmen, das auf Fingerprinting setzte, um Nutzer zu identifizieren.
• Apple hat auch bereits chinesische Apps abgelehnt, die einen gemeinsamen Fingerprint (CAID) erstellt hatten.

Die Einstellungen Ihres iOS-Geräts, die das Erstellen des CAID-Fingerprints ermöglichen.

Genau wie im Web mit seiner „Private Click Measurement (PCM)“ lässt Apple die Werbetreibenden nicht im Stich. Die Messung von App-Downloads im Anschluss an eine Werbekampagne erfolgte über die IDFA oder über einen Fingerprint (erstellt von Unternehmen wie Adjust). Apple stellt Entwicklern nun die SKAdNetwork-API zur Verfügung, um diese Messung unter Wahrung der Privatsphäre der Nutzer durchzuführen.

Apple gegen Facebook

Das Versprechen von ATT ist einfach:

Danke, Tim Cook.

Die Bedeutung dieses Updates lässt sich an der gereizten Reaktion von Facebook ablesen, das seine Überwachungskapazität auf iOS stark eingeschränkt sieht (sein SDK ist heute in den Apps allgegenwärtig). Facebook rechtfertigt sein Vorgehen mit der Verteidigung kleiner Unternehmen, die auf die zielgerichtete Werbung von Facebook angewiesen seien, um neue Kunden zu finden:

• Facebook ließ kleine Unternehmen aussagen gegen das Update von Apple.
• Sogar Facebooks eigene Mitarbeiter weisen auf die Scheinheiligkeit des Vorgehens hin: „It feels like we are trying to justify doing a bad thing by hiding behind people with a sympathetic message,“

Facebook kaufte außerdem ganzseitige Werbeanzeigen in großen amerikanischen Zeitungen, um das Update von Apple anzuprangern:

Facebook enttäuscht nie:

Apple gegen die französischen Werbetreibenden

Die französischen Werbetreibenden stehen im Kampf gegen Apple an vorderster Front, und nach einem im Juli an Tim Cook gesendeten öffentlichen Brief (Spoiler: Er hat nicht geantwortet) beschließen sie, im vergangenen Oktober eine Beschwerde bei der Wettbewerbsbehörde einzureichen. Der Gegenstand ihrer Beschwerde? Die verpflichtende Einführung der ATT-Abfrage für iOS-Apps, die die Aktivität des Nutzers auf Drittanbieter-Websites tracken möchten.

Erste Antwort der Wettbewerbsbehörde am 17. März und erster Dämpfer für die Werbebranche, auf der Datenschutzebene:

Beim derzeitigen Stand des Verfahrens war die Behörde der Auffassung, dass die Entscheidung von Apple, ein System zur Einholung der Einwilligung einzurichten, das jenes anderer Akteure der Online-Werbung ergänzt, nicht als missbräuchliche Praxis erscheint.

Das Verfahren wird dennoch fortgesetzt:

Dieses soll es insbesondere ermöglichen zu überprüfen, dass die Einführung der ATT-Abfrage durch Apple nicht als eine Form der Diskriminierung oder des „Self-Preferencing“ angesehen werden kann, was insbesondere dann der Fall sein könnte, wenn Apple ohne Rechtfertigung Drittanbietern strengere Regeln auferlegte als jene, die es bei vergleichbaren Vorgängen auf sich selbst anwendet.

Es ist gut möglich, dass die Werbetreibenden auch auf der wettbewerbsrechtlichen Ebene abgewiesen werden, denn Apple bevorzugt seine eigenen Apps nicht: Es betreibt kein Tracking (und verwendet daher keine IDFA). Apple bietet zielgerichtete Werbung in seinen Apps (Apple News, App Store, Aktien) an und nutzt dabei die personenbezogenen Daten, die es selbst erhebt. Google, Facebook oder jede andere App können dasselbe auf iOS tun; Apple stellt sich personalisierter Werbung nicht entgegen.

Eine weitere Beschwerde, diesmal bei der CNIL durch den Verein France Digitale. Der Angriff ist subtiler: Apple aktiviert standardmäßig personalisierte Werbung in seinen eigenen Apps:

Wenn Sie zu Einstellungen > Datenschutz > Apple-Werbung gehen, ist die Option für personalisierte Werbung standardmäßig aktiviert.

Eindeutig müsste Apple Ihre Zustimmung einholen, bevor es personalisierte Werbung anbieten darf; es hält die DSGVO also nicht ein. France Digitale weist darauf hin, dass dies einen erheblichen Schaden verursacht:

• Für die Nutzer (das stimmt, auch wenn die personalisierte Werbung bei Apple News, im App Store und bei Aktien weit vom Schaden der personalisierten Werbung in den Apps von Google oder Facebook entfernt ist).
• Für die französischen Start-ups, die, ich zitiere, „die von der DSGVO aufgestellten Regeln gewissenhaft einhalten“. Das ist dreist! Die Liste der dem Verein angehörenden Unternehmen ist nicht öffentlich, aber man kann festhalten, dass Frichti dazugehört, und die App, die die DSGVO missachtet.

In der Beschwerde ist weiter von einer Wettbewerbsverzerrung die Rede, indem unterstellt wird, Apple biete personalisierte Werbung mit seinen „verbundenen Unternehmen“ an:

Die in der Beschwerde von France Digitale enthaltene Tabelle, die eine Wettbewerbsverzerrung aufzeigen soll.

Wie bereits gesehen, werden das Tracking und die personalisierte Werbung innerhalb derselben App oder über mehrere Apps desselben Unternehmens von Apple als legitim erachtet; diese Praxis stammt nicht allein von Apple, sondern auch von Google, Facebook, Twitter usw. France Digitale spricht daher von den „verbundenen Unternehmen“, Partnern von Apple, die sich gemeinsam verschwören würden, um Sie aufzuspüren.

Apples Erläuterungen zu seinem Werbeprogramm sind jedoch ganz eindeutig: Es erfolgt keine Übermittlung und keine Weitergabe personenbezogener Daten an Dritte:

Apple gibt keine Daten, die Sie persönlich identifizieren können, an Dritte weiter und übermittelt sie auch nicht.

Ebenso erhebt Apple keine personenbezogenen Daten über Dritte:

Die Werbeplattform von Apple trackt nicht Ihre Aktivitäten, das heißt, sie verknüpft die auf unseren Apps erhobenen Nutzer- oder Gerätedaten nicht mit Nutzer- oder Gerätedaten, die von Dritten zum Zweck der Werbeausrichtung oder -messung erhoben wurden, und gibt die Nutzer- oder Gerätedaten nicht an Datenbroker weiter.

Keine Erwähnung von „verbundenen Unternehmen“ in Apples Datenschutzerklärung – das sieht nach einer Erfindung von France Digitale aus.

Aber warum diese Verbissenheit „französischer Unternehmer und Investoren der Digitalwirtschaft“ gegen Apple? Zweifellos, weil die Adtech in Frankreich sehr schwer wiegt; man sieht zum Beispiel die Beteiligung von Criteo (dem berühmten französischen Giganten des Überwachungsmarketings) schon bei der Gründung von France Digitale, hier und dort. Man muss sagen, dass Criteo Apple kaum mag, und das schon seit geraumer Zeit.

Apple gegen die amerikanischen Werbetreibenden

Bei den amerikanischen Werbetreibenden sind die Angriffe subtiler, aber kaum überzeugend. Sie können Ben Thompson lesen oder Eric Benjamin Seufert (bei Ben Thompson oder auf seiner Website). Hier einige Argumente:

• Indem man das Tracking bekämpft, würde man die „Walled Gardens“ (Google, Facebook usw.) stärken. Worauf Wolfie Christl in diesem Twitter-Thread sehr gut antwortet:

• Was die vermeintliche Stärkung der „Walled Gardens“ betrifft: Das Tracking zu bekämpfen schließt im Übrigen nicht aus, gegen die Werbegiganten vorzugehen. Die beiden Ansätze können sich ergänzen: Lesen Sie zum Beispiel die Beschwerde von Brave gegen RTB (Selbstbedienung mit „externen“ Daten) sowie die Beschwerde von Brave gegen Google (Selbstbedienung mit „internen“ Daten). Auch ohne über den Datenschutz zu sprechen, wäre es interessant, den Missbrauch der marktbeherrschenden Stellung der Werbegiganten Google und Facebook anzugehen. Doch die Werbelobbyisten ignorieren diese Option.
• Apple wolle nicht Ihre Privatsphäre in den Apps schützen (über ATT), sondern vielmehr Ihr gesamtes Erlebnis kontrollieren. Nun störe Facebook Apple, weil die Entdeckung neuer Apps gar nicht mehr über den App Store liefe, sondern über die personalisierte Werbung auf Facebook oder Instagram. Indem es das Tracking bekämpft, versuche Apple also, die Kontrolle über die Verbreitung der Apps zurückzugewinnen. Doch wie groß ist der tatsächliche Anteil der Werbung an der Verbreitung der Apps?
• Ähnliches Argument im Web (über ITP), wo Apple eher versuche, die Werbeeinnahmen abzuwürgen. Folglich müssten die Verlage auf Abonnements über die Apps setzen, an denen Apple eine Provision verdient. Aber warum nicht datenschutzfreundliche Werbung anbieten?
• Apple bekämpfe die Werbeakteure, um sein eigenes Werbegeschäft voranzutreiben. Kaum zu glauben, denn das Werbegeschäft von Apple (App Store, Apple News und Aktien) ist im Vergleich zu seinen übrigen Einnahmen (Produkte, Dienste) verschwindend gering. Apple hat zudem im Dezember 2016 iAd, sein Werbenetzwerk, eingestellt.

Auch wenn Apples Kontrollwille offensichtlich ist und das App-Store-Monopol ein riesiges Problem darstellt, gehen die Argumente der Werbelobbyisten am Kern vorbei. Apple hat einen offensichtlichen Grund, in einen besseren Schutz der Privatsphäre zu investieren: Die Nachfrage nach Schutz ist groß (und Apples potenzielle Kunden sind nicht die Werbetreibenden, sondern Sie und ich).

Apple erzwingt Transparenz bei den App-Entwicklern

Seit Dezember 2020 hat Apple Datenschutz-Etiketten für Apps verpflichtend gemacht. Diese Etiketten helfen dabei, die Unterschiede zwischen Apps hervorzuheben. Wenn man zum Beispiel Browser vergleicht:

Die Spyware Google Chrome.

Der Browser von DuckDuckGo, der Ihre Privatsphäre respektiert.

Wenn man sich nun die Messenger anschaut:

Messenger, die Spyware von Facebook, noch schlimmer als WhatsApp.

Signal, eine App, die die Privatsphäre respektiert.

Gewiss haben diese Etiketten ihre Grenzen:

• Sie beruhen auf Selbstauskunft. Wird Apple überprüfen, ob der Entwickler die Wahrheit sagt?
• Es gibt keine Informationen über die personenbezogenen Daten, die an Dritte abfließen können. Es wäre interessant zu sehen, wer Ihre personenbezogenen Daten erhält und warum.

Aber sie stellen bereits einen schönen Fortschritt dar und werden die App-Entwickler vielleicht dazu bringen, die Nutzung personenbezogener Daten auf das strikt Notwendige zu beschränken.

Könnte Apple bei den Apps noch weiter gehen?

Mit ATT hat Apple das Niveau von Safari ITP (Schutz vor Tracking) erreicht. Wenn es noch weiter gehen wollte, könnte es sich dafür entscheiden, Werbung und Erstanbieter-Tracker (Analytics, A/B-Tests, Tag-Manager usw.) zu blockieren. Vorteile für den Nutzer:

• Werbung würde blockiert.
• Auch Erstanbieter-Tracker (Analytics, A/B-Tests, Tag-Manager usw.) würden blockiert. Heute sind zum Beispiel die Tracker von Google Analytics, Segment, Mixpanel oder Amplitude nicht blockiert.

Aber es würde sich damit bestimmte Entwickler zu Feinden machen, und das wäre nicht kohärent mit seiner aktuellen Web-Politik über Safari ITP.

Leider gilt dieser Schutz also nicht für Erstanbieter-Tracker: Ihr iPhone kommuniziert nach wie vor mit zahlreichen Dritten, darunter denen von Google (auch wenn die Kennungen nun für jede App spezifisch sein sollten, da die IDFA standardmäßig nicht mehr verfügbar ist):

Mit der nativen Unterstützung für verschlüsseltes DNS in iOS 14 hat Apple es jedoch Tracker- und Werbeblockern ermöglicht, ihre Arbeit besser zu erledigen (diese Blocker mussten ein lokales Pseudo-VPN einrichten, was eine Katastrophe für den Akku war). Ich selbst verwende NextDNS, was es mir erlaubt, alle Tracker und sonstige Werbung zu blockieren.

Ja, Apple schützt Sie vor Werbeüberwachung, und das immer besser

Wie wir gesehen haben, lässt sich der Schutz, den Apple gegen Werbeüberwachung auf iOS bietet, noch deutlich verbessern. Aber er hat den Vorzug, kohärent zu sein und das Tracking recht wirksam zu bekämpfen, wie im Übrigen der Ärger von Facebook und der Adtech im Allgemeinen beweist. Ein fortgeschrittener Nutzer kann noch weiter gehen, indem er auf einen Tracker- und Werbeblocker wie NextDNS, AdGuard oder einen Pi-Hole zurückgreift.

Auch wenn es gesund ist, einen derart dominanten multinationalen Konzern zu kritisieren, und das aus sehr berechtigten Gründen (geschlossenes, verriegeltes System, sehr eingeschränkte Reparierbarkeit, App-Store-Monopol, „Steueroptimierung“, geplante Obsoleszenz usw.), ist die Alternative „Android by Google“ nicht glaubwürdig, wenn Sie Ihre Privatsphäre schützen möchten.

Wenn Sie allergisch gegen Apple sind, Ihre Privatsphäre auf Ihrem Smartphone aber dennoch schützen möchten, müssen Sie auf Distributionen zurückgreifen, die die „Google“-Schicht von Android entfernt haben (/e/ zum Beispiel, basierend auf Lineage OS und microG), aber Sie benötigen gute technische Kenntnisse.