[Netzwelt] Cross-Device Tracking: "Werbe-Spyware" kommuniziert über Ultraschall

Die Entwicklungen der letzten Jahre im Bereich der mobilen Endgeräte führen dazu, dass mehr und mehr Menschen auf immer mehr unterschiedlichen Geräten im Netz surfen. Dieser Trend stellt Werbetreibende vor neue Probleme: Bislang genügte es, im Browser des Besuchers ein Cookie zu setzen, um ihn beim nächsten Besuch wiederzuerkennen. Der moderne Konsument hingegen besucht den Webshop über seinen Büro-Rechner, liest die Zeitung während der Heimfahrt am Handy und sieht abends auf der Couch PewDiePies Youtube Channel am privaten Laptop oder Tablet. Das klassische Tracking Cookie auf einem einzelnen Gerät, kann mit dieser neuen Form der Nutzung nicht mehr Schritt halten.

Eine Vielzahl an Unternehmen und Startups versucht nun die Lücke zwischen Desktop und den unterschiedlichen mobilen Endgeräten der Benutzer zu schließen um einen möglichen Konsumenten geräteübergreifend identifizieren zu können.
Eines davon, das indische Startup SilverPush (Silveredge Inc.) schaffte es mit einer ungewöhnlichen Idee im Frühjar 2014 etwa 1,5 Mio. Dollar von verschiedenen Investoren einzutreiben. SilverPush CEO Hitesh Chawla beschreibt im Techcrunch Interview die Funktionsweise der SilverPush Lösung, die entfernt mit einer Hundepfeife verglichen werden könnte:

Ein Werbespot für Fernsehen oder Radio wird mit einem sogenannten Audio Beacon ausgestattet, eine für das menschliche Ohr nicht hörbare Tonfolge, wie man sie beispielsweise aus der Steganographie kennt. Sieht der Benutzer einen Fernseh- oder Radiospot bei dem ein Beacon integriert ist, können andere Geräte im gleichen Raum diese unsichtbare ID "hören" und wissen, dass der Besitzer des Geräts den Werbespot wahrscheinlich wahrgenommen hat.

Diese Information wiederum dient Werbetreibenden als Grundlage für verschiedene Maßnahmen: Einerseits ermöglicht es die Reichweite einer Fernseh- oder Radiowerbung in Echtzeit zu messen, da SilverPush-Geräte dem Server des Unternehmens sofort berichten, wenn ein Device einen bestimmten Werbespot erkennt. Andererseits wird dieses Wissen für Retargeting Kampagnen nutzbar, da man gezielt sagen kann, dass der Besitzer des Handies einen Spot bereits in einem anderen Medium gesehen oder gehört hat. Hinsichtlich der Erfolgsauswertung einer Kampagne ist es dadurch möglich Aussagen zu treffen wie: X % der Käufer haben den zugehörigen Werbespot Y Mal gehört, bevor sie einen Artikel gekauft haben. Ein wichtiges Argument für Werbetreibende um Geldgeber von der Wirkung der Kampagnen zu überzeugen und zukünftige Aufträge zu sichern.

Aber nicht nur speziell mit einem Beacon versehene Spots können vom System erkannt werden. Laut SilverPush Website überwacht und analysiert das System täglich 2 Millionen Minuten Fernsehmaterial auf über 300 Sendern. Das System benötigt laut Unternehmenswebsite 10 Millisekunden um eine Serie, einen Film oder einen Werbespot zu erkennen. Zu wissen was ein potentieller Kunde zu Hause im Fernsehen sieht oder welche Musik er gerne hört, ermöglicht zielsichere Aussagen über seine Interessen und seine Gewohnheiten. Dies ermöglicht wiederum zielgerichtete Werbung, die auf diesen Benutzer zugeschnitten ist.

Die Datenschutzorganisation Center for Democracy and Technology (CDT) berichtet, dass im April 2015 bereits 67 Mobile Apps mit dem SilverPush Library ausgestattet waren und dadurch etwa 18 Millionen Smartphones zu heimlichen Zuhörern in der Hosentasche geworden sind. Laut SilverPush "hört" das Library jedoch ausschließlich auf Audio Beacons und übermittelt keine anderen Aufzeichnungen an das Unternehmen. Den Betreibern scheint klar zu sein, das Vertrauen der Benutzer ist ein Schlüsselfaktor für den Erfolg derartiger Anwendungen.

Bei den Werbetreibenden scheint die Idee anzukommen. Auf seiner Website listet das Unternehmen Kunden und Partner wie Google, Nestle, McDonald's, The Royal Bank of Scotland, Kellogg's, Disney oder Cartoon Network.

Details zur technischen Umsetzung finden sich u. A. im Paper Inaudible Sound as a Covert Channel in Mobile Devices oder in der Twitter Teamline von @d0tslash bzw. seinem Github Account, wo er Informationen zum Unternehmen und der Technik hinter SilverPush sammelt.


Aber SilverPush ist nicht alleine

Auch wenn Silveredge Inc. derzeit Schlagzeilen macht, die Technik ist allgemein bekannt und wird von vielen Unternehmen in verschiedensten Formen weiterentwickelt.
Unter diesen finden sich Namen wie 4Info, RocketFuel, Drawbridge, das Unternehmen eines ehemaligen Google Mitarbeiters oder Persio die das selbe Problem mit unterschiedlichen Ansätzen zu lösen versuchen. Keine Überraschung, ebenso Facebook bietet mit seiner "generalsanierten" Atlas-Plattform umfangreiche Tools zur Identifizierung und zum Erreichen potentieller Käufer über die Gerätegrenzen hinaus.

Ein Artikel der New York Times von 2013 beschreibt bereits, dass die inzwischen von Yahoo übernommene Analyse-Software Flurry in 350.000 Anwendungen verwendet und dadurch auf 1.2 Milliarden Geräten zum Einsatz kommt.


Warum der ganze Aufwand nur um einen Kunden zu identifizieren?

Wie hoch der Preis für Werbung in einem Medium ist, orientiert sich daran, wieviele Personen durch das Medium erreicht werden. Klassische Formen der Werbung leiden jedoch an hohen Streuverlusten, weshalb viel Geld versenkt wird, indem Werbung an Konsumenten verteilt wird, die nicht der Zielgruppe entsprechen und sich überhaupt nicht für das beworbene Produkt oder die Dienstleistung interessieren.
Konkretes Beispiel wäre die Hundefutter-Werbung in der Tageszeitung. Der Werber verrechnet pro verkauftem Exemplar der Zeitung. Wird die Zeitung von jemandem gekauft, der überhaupt keinen Hund hat und somit auch kein Hundefutter kaufen wird, bezahlt der Werbetreibende für die Schaltung ohne einen potentiellen Käufer erreicht zu haben.
Um diesem Problem entgegenzuwirken, möchten Werber möglichst genau wissen wofür sich der Besucher interessiert. Um beim obigen Beispiel zu bleiben, wünscht sich der Werber, dass sein Banner ausschließlich an Hundebesitzer ausgespielt wird. Dadurch reduziert sich der Streuverlust und somit das notwendige Budget um die gleiche Zahl an tatsächlich interessierten Konsumenten zu erreichen.

Ein mächtiges Tool, das Retargeting, hat sich in den letzten Jahren als besonders wirksam entpuppt und wird daher von allen "Big Playern" (Facebook, Youtube, Google & Co.) unterstützt. Beim Retargeting versucht man einen Konsumenten, der sich bereits eindeutig für ein Produkt interessiert, dieses aber noch nicht gekauft hat, neuerlich zu erreichen und zum Kauf zu "überreden".

Wie das in der Praxis aussieht, zeigt dieses kurze Video auf der Website des IAB Webads von 2014: Ein Unternehmen lässt sich beispielsweise von Facebook oder Google einen Tracking-Pixel erstellen und verlinkt diesen als "unsichtbares Bild" im eigenen Webshop auf der Detailseite des beworbenen Produkts. Dadurch wissen Facebook und Google/Youtube, dass der Besucher das Produkt angesehen hat. Ein weiterer Tracking-Pixel wird auf der Seite des Webshops hinterlegt, auf der ein Besucher nach Abschluss eines Kaufs landet. Dadurch wissen die Werber, wer das Produkt bereits gekauft hat und somit nicht mehr umworben werden muss oder vielleicht weiteres Zubehör für das gekaufte Produkt braucht.
Beim nächsten Besuch von Youtube oder Facebook erkennt die Seite anhand er beiden Pixel, wer sich zwar schon interessiert, aber noch nicht eingekauft hat. Diesen Personen kann somit zielgerichtet ein Preroll Video-Ad auf Youtube oder eine Banner-Werbung auf Facebook ausgespielt werden.

Die vielen unterschiedlichen Geräte eines Benutzers stellen für diese Form des Retargetings jedoch eine Hürde dar, die durch Maßnahmen des Cross-Device Trackings überwunden werden soll.

Spannend in diesem Zusammenhang wird die Frage, wie rechtlich mit solchen Tracking-Mechanismen umgegangen werden soll. Erst kürzlich haben mehrere Länder Regelungen eingeführt, die Websites dazu verpflichten, vor dem Speichern von Cookies eine explizite Zustimmung des Besuchers einzuholen. Viele Möglichkeiten des Cross-Device Trackings oder Browser-Fingerprintings passieren jedoch ohne jegliches Wissen der Benutzer.

Quellen:

• Datenschutz: Werbe-Tracker überwinden Gerätegrenzen
• Comments for November 2015 Workshop on Cross-Device Tracking
• @d0tslash on Twitter
• SilverPush Says It’s Using “Audio Beacons” For An Unusual Approach To Cross-Device Ad Targeting
• Indian SilverPush raises $1.5M with plans to grow in the U.S.
• Inaudible Sound as a Covert Channel in Mobile Devices
• MAVProxyUser/SilverPushUnmasked @ Github
• Beware of ads that use inaudible sound to link your phone, TV, tablet, and PC
• Why cross-device tracking is the latest obsession for marketers
• SilverPush Documentation
• SilverPush Website
• @SilverPush on Twitter
• India’s e-commerce war (Video)
• Selling Secrets of Phone Users to Advertisers (NYT, 2013)

 

[Novgorod]

Das Netz wäre wie leer gefegt.

blühende landschaften

Der normale Autofahrer hat auch keine Ahnung von Autos.

jeder vergleich hinkt irgendwo.. ich sprach von einem mindestmaß an qualifikation, nicht davon, dass man CUDA und assembler programmieren können muss, um am internet teilnehmen zu dürfen.. man muss zumindest die verkehrsregeln beherrschen und nicht unbedingt wissen wie man autos und straßen baut..

@electric.larry: mir ist völlig klar, dass es sich so weiterentwickelt wie es das eben tut, auch ohne meine zustimmung.. ich habe von dummen usern gesprochen, die dumme dinge tun, und das ist nunmal die konsequenz davon, wenn grundlegende qualifikation fehlt.. es betrifft mich ja nicht, also könnte es mir eigentlich egal sein - allerdings machen dann arschgeigen auf kosten von dumpfbacken profit und verpesten das internet.. es geht ja wirklich nicht um "profi"-wissen wie programmierung oder netzwerksniffer, sondern um die trivialsten verhaltensregeln (adblocker, skriptblocker, nachdenken, bevor man seine kreditkartendaten irgendwo einträgt etc. - super simple stuff).. mein vorwurf ist ja, dass sich nicht mal die geringste mühe gemacht wird, einfachste regeln zu lernen und zu verstehen was man eigentlich tut, und damit dazu beiträgt, dass werbe- und betrügerabschaum das internet überflutet.. es ist nur bemerkenswert, dass dies gerade im bereich computer und internet derart überhand nimmt, während "offline" zumindest überwiegend versucht wird, den verstand zu benutzen (man springt nicht ohne fallschirm aus dem flugzeug etc.) - das könnte daran liegen, dass die negativen konsequenzen von dummfug im internet weniger persönlich spürbar sind (werbung und vermarktung wirkt auf dumpfbacken ja eher subtil und sie merken es auch nicht, wenn sie teil eines botnets werden).. vielleicht müsste einfach noch viel mehr leuten das konto leergeräumt werden, damit ein erkenntnisprozess in gang kommt ..

 

[KaPiTN]

Zwischen 1920 und 1960 benutzte man im Schuhladen ein Pedoskop.

Jetzt waren die Kunden ja nicht alle geistig minderbemittelt, sie wußten es nicht besser.

Du kannst nicht von jemanden verlangen das Verständnis dafür aufzubringen, wie er sich schützen kann, wenn er kein Verständnis dafür hat, wie gefährdet er ist, Und solange der Schaden nur abstrakt ist, wird das auch nicht gelingen.

In meiner Familie sagt keiner , ich währe paranoid, sie sagen, ich wüßte einfach zuviel. Wie ein Arzt, der bei Kopfschmerzen an alle worst case Szenarien denkt. Für einen User sind es nur Kopfschmerzen.
Oh. Daten weg. da so etwas blödes.

Es tut keinem merkbar weh.

Warum regt sich keiner über Banken auf, die ihre Kunden bestehlen? Eine Überweisung muß innerhalb 24h durchgeführt werden? Das bedeutet, daß man Geld abhebt und erst einen Tag später beim Empfänger gutschreiben muß. Bedeutet das nicht, daß die Banken jeden Tag Milliarden Euro Buchgeld für sich verwenden können?

 

[Trolling Stone]

Banken sind hier nicht das Thema.

Novgorod: Was ist eigentlich mit Apps, die das Mikrofon für ihre Grundfunktion brauchen (z.B. eine Aufnahme-App) und deshalb der verweigerte Zugriff nicht sinnvoll wäre, sie aber mit dieser Spyware mitkommt?
Ist der User dann auch zu dumm?

 

[Statesman]

Passend zum Thema hab ich neulich im c't-Praxishandbuch "Überwachung" geblättert und diese Grafik gesehen.
Verknüpfungen zwischen Top-Android-Apps und Werbenetzwerken



Quelle

 

[Novgorod]

Du kannst nicht von jemanden verlangen das Verständnis dafür aufzubringen, wie er sich schützen kann, wenn er kein Verständnis dafür hat, wie gefährdet er ist, Und solange der Schaden nur abstrakt ist, wird das auch nicht gelingen.

das stimmt natürlich und ist auch ein tiefergehendes gesellschaftliches problem.. umdenken gibts erst wenn das geld weg ist, nicht die daten.. aber eigentlich habe ich ja auch garnichts verlangt, sondern nur festgestellt, dass es ein fahrlässiges (d.h. dummes) verhalten ist.. die diskussion kam nur zu stande, weil jemand damit nicht einverstanden war (wenn das verhalten nicht dumm ist, was dann? rational?)..

Was ist eigentlich mit Apps, die das Mikrofon für ihre Grundfunktion brauchen (z.B. eine Aufnahme-App) und deshalb der verweigerte Zugriff nicht sinnvoll wäre, sie aber mit dieser Spyware mitkommt?
Ist der User dann auch zu dumm?

das kommt drauf an, ob ein mindestmaß an menschenverstand und qualifikation ausreichen würde, um die gefahr zu erkennen und abzuwenden.. wenn man besoffen gegen einen baum fährt, dann ist das dumm; wenn man ohne eigenes verschulden von jemandem von der straße gerammt wird, weil man keine rennfahrer-reflexe hat, ist das pech; und natürlich gibt es alles dazwischen.. in dem konkreten beispiel würde ich immernoch auf unfähigkeit tippen, weil die spionagefunktion ja in den AGB dokumentiert sein muss, denen man zugestimmt hat - andernfalls macht sich der hersteller bzw. der anbieter der verbreitung von spyware strafbar, indem die user arglistig getäuscht werden (das wäre das gleiche wie eine NSA-backdoor in windows - sowas fällt nicht unter die allgemeinen verhaltensregeln).. der graubereich wäre z.b. die tatsache, dass das mikrofon eigentlich nur für die dauer der legitimen funktion (aufnahme o.ä.) aktiviert sein muss und nicht die ganze zeit oder gar im hintergrund.. dabei sollte es relativ einfach sein, anwendungen zu erkennen, die permanent im hintergrund laufen (nur so macht diese werbe-app ja überhaupt sinn), dort aber nichts zu suchen haben, während es beispielsweise nicht so leicht zu erkennen ist, wann das mikrofon hardwaremäßig tatsächlich aufzeichnet und wann und wohin netzwerkpakete geschickt werden (das geht auch unter windows nicht ohne zusatz-tools und würde wohl in den grenzbereich zwischen "dumm" und "arglistig getäuscht" fallen).. unabhängig vom eigenen technischen verständnis kann man auch ein mindestmaß an bereitschaft erwarten zu recherchieren (gerade auch wenn das technische verständnis begrenzt ist), ob die lieblings-app eine allseits bekannte malwareschleuder ist..

andererseits ist es natürlich auch legitim, alle maßnahmen der werber und tracker in ordnung zu finden und sich vermarkten zu lassen im austausch für die tolle bunte welt des internets - man hat ja auch sonst nichts zu verbergen.. dann nimmt man eben das risiko in kauf, dass hin und wieder jemand ans eigene bankkonto oder die nacktfotos kommt, aber das sind ja eher abstrakte schäden.. es ist zwar immernoch dumm oder wenigstens extrem töricht (wie drogen nehmen oder CSU wählen), steht jedoch jedem frei, solange er sich der konsequenzen im klaren ist und eine informierte entscheidung trifft, aber wer tut das schon?

 

[Trabant]

Robert Musil (1937) benennt das Paradox, dass jeder, der über Dummheit spricht, voraussetzt, über den Dingen zu stehen, also klug zu sein, obwohl genau diese Anmaßung als Zeichen für Dummheit gilt

Ich erwarte nicht das meine Mutter die ganze Situation die z.B. auf ihren IPhone wenn sie Siri benutzt versteht. Das eine solche Funktion auch anderweitig verwendet werden kann wie hier mit der Ultraschall Werbe Spyware wird an ihr vorbeilaufen aus den einfachen Grund das so etwas nicht öffentlich gemacht wird. Solche Themen findet man fast immer nur in einschlägigen Boards und nicht im Heute-Journal oder der Tagesschau und aus diesen einfachen Grund würde ich niemanden als Dumm hinstellen.

 

[BurnerR]

Ich sehe hier Google in der Pflicht nicht nur anzuzeigen worauf die App Zugriff haben will sondern z.B. auch ein Voting System für die Zugriffe.
Und/Oder den Gesetzgeber, der solcherlei deutlich kennzeichnungspflichtig macht.

Alternativ können wir uns natürlich eine andere Menschheit wünschen oder lästern wie doof die alle sind.

 

[Pleitgengeier]

Passend zum Thema hab ich neulich im c't-Praxishandbuch "Überwachung" geblättert und diese Grafik gesehen.
Verknüpfungen zwischen Top-Android-Apps und Werbenetzwerken



Quelle

Whatsapp hat keine??
Oder wurden deren Verknüpfungen in weiß gezeichnet, weil sonst die ganze Karte nur noch eine Farbe hätte

 

[Abul]

Ich denke die Grafik soll nur aufschluss darüber geben, welche APIs? (was da halt eingebunden ist, wie z.B. Google-Analytics) in welcher Software stecken. Ich denke es gibt diese Verbindungsstreifen auf dem Bild für WA nicht, da (noch) keine Werbung angezeigt wird. Die Einbindung von externer Analysesoftware ist (denke ich) nicht von nöten, da FB die Daten ja hat und die durchaus Intern auswerten kann.

 

[electric.larry]

Danke für die Grafik, Statesman. Whatsapp wurde von zwei Typen gegründet, die vorher bei Yahoo gearbeitet haben und gehört heute Facebook. Man kann sich also ausmalen welche Tracker die verwenden

 

[Novgorod]

Robert Musil (1937) benennt das Paradox, dass jeder, der über Dummheit spricht, voraussetzt, über den Dingen zu stehen, also klug zu sein, obwohl genau diese Anmaßung als Zeichen für Dummheit gilt

wenn du das gesamte justizsystem als "selber doof" bezeichnen willst, nur zu.. es ist auch eine anmaßung vorauszusetzen, dass ich meine, generell über deiner mama zu stehen [höchstens wenn sie mich darum bittet ].. vielleicht mache ich selber in anderen bereichen dumme sachen, dann muss ich mir eben zurecht kritik gefallen lassen - so funktioniert der lern- und qualifikationsprozess (das wird die mama bestimmt auch so sehen).. wenn niemand mehr objektiv dummes verhalten kritisiert, weil das evtl. als "nicht PC genug" aufgefasst werden könnte, setzt sich das als gesellschaftliche norm fest und darunter leiden dann alle.. das geschieht heutzutage leider immer mehr in verschiedenen bereichen..

wie kommst du außerdem darauf, dass tagesschau und heute-journal (und bild-zeitung, wenn wir schon dabei sind) eine ausreichende qualifikation für alle lebensbereiche bieten!? davon lernt man doch nicht schwimmen oder auto fahren und schon garnicht sowas "kompliziertes" wie verhaltensregeln im internet oder eine differenzierte politische meinung.. es ist nicht deren aufgabe, dich oder deine mama ausreichend zu qualifizieren! die verantwortung liegt allein beim nutzer und erfordert eben (wie jede andere riskante tätigkeit auch) ein mindestmaß an eigeninitiative - die qualifikation [nichts dummes anzustellen] wird nicht auf magische weise durch die nachrichten ins haus geflattert kommen ..

 

[Statesman]

Whatsapp hat keine??

Whatsapp arbeitet anders, darüber und wie man die Daten entschlüsselt gibt es im c't-Buch extra Artikel.