EFF: Android-SDKs geben Nutzerstandorte standardmäßig an Datenhändler weiter

Die Electronic Frontier Foundation (EFF) hat neue Forschungsergebnisse veröffentlicht, die zeigen, dass Android-App-Entwickler unbeabsichtigt die präzisen Standortdaten von Millionen Nutzern über eingebettete Software Development Kits (SDKs) von Drittanbietern an Werbetreibende und Datenhändler weitergeben. Dies wirft neue Fragen über die verborgenen Datenpipelines im mobilen Werbeökosystem auf.

Wie SDKs App-Berechtigungen ausnutzen

Der diese Woche veröffentlichte Bericht der EFF zeigt, dass Werbe-SDKs, die in Android-Apps integriert sind, die Standortberechtigungen der Host-App standardmäßig erben und präzise Geolokalisierungsdaten ohne separate Zustimmung sammeln. Sofern Entwickler die Erfassung nicht aktiv deaktivieren, beginnen diese Code-Bibliotheken mit der Absaugung von Standortinformationen, sobald ein Nutzer der App Zugriff gewährt.techcrunch+2

"Standortberechtigungen auf App-Ebene allein können keine sinnvolle Zustimmung zur Standorterfassung und -weitergabe durch Werbe-SDKs von Drittanbietern signalisieren", so die EFF in ihrem Bericht. "Werbe-SDKs sollten die Weitergabe persönlicher Daten nicht zur Standardeinstellung machen, insbesondere bei so sensiblen Daten wie dem präzisen Standort einer Person."mezha+2

Unter den Apps, die laut EFF im Hintergrund Standortdaten weitergaben, befanden sich laut TechCrunch zwei Anwendungen mit insgesamt 60 Millionen Downloads. Die Organisation führte ihre Tests durch, indem sie den Netzwerkverkehr der Apps analysierte, um festzustellen, welche Dienste Nutzerstandortdaten empfingen.techcrunch+1

Eine Lücke in Googles Datenschutz

Die Untersuchung unterstreicht eine strukturelle Schwäche im Android-Berechtigungssystem von Googles Muttergesellschaft Alphabet Inc. ↗ 0.77%. Obwohl Android eine explizite Nutzerzustimmung erfordert, bevor eine App auf Standortdaten zugreifen kann, gibt es laut EFF "keine SDK-spezifischen Standortberechtigungen". Sobald ein Nutzer einer App Zugriff auf den Standort gewährt, kann jede darin eingebettete Drittanbieter-Bibliothek denselben Datenstrom anzapfen – was Datenschützer als Zustimmungslücke bezeichnen.mezha+1

Die Anbieter dieser SDKs seien "generell kommerziell motiviert, ihre Kunden dazu zu bringen, mehr Daten zu sammeln", berichtete TechCrunch. Über diese Kanäle gesammelte Standortverläufe landen bei Datenhändlern, die die Informationen an Werbetreibende, Einzelhändler und Regierungsbehörden, einschließlich des FBI und militärischer Geheimdienste, verkaufen.techcrunch+1

Wachsender regulatorischer Druck

Die Ergebnisse kommen in einem sich verschärfenden regulatorischen Umfeld. Virginia wurde im April 2026 der dritte US-Bundesstaat, der den Verkauf von Geolokalisierungsdaten verbot, und Datenschutzrahmen wie die europäische DSGVO und der CCPA in Kalifornien klassifizieren Standortdaten als eine der sensibelsten Kategorien personenbezogener Informationen.techbuzz+1

Die EFF forderte Entwickler auf, ihre SDK-Integrationen zu prüfen und unnötige Datenerfassung zu deaktivieren. Datenschützer drängen auf neue technische Standards, die SDKs dazu verpflichten würden, ihre Datenpraktiken in maschinenlesbaren Formaten zu deklarieren, um automatisierte Audits durch App-Stores und Entwicklertools zu ermöglichen. Vorerst liegt die Last weitgehend bei den Entwicklern, von denen viele nicht über die Ressourcen verfügen, um den Drittanbieter-Code zu prüfen, auf den sie zur Monetarisierung ihrer Apps angewiesen sind.techcrunch+2