Pokémon Go Kleine Monster im Daten­schutz-Check

Daten­schutz-Panik ist über­trieben

Der Aufschrei war ebenso groß wie der Hype: Das Smartphone-Spiel Pokémon Go war in Deutsch­land noch gar nicht offiziell verfügbar, da hagelte es schon heftige Kritik. Die App sei eine Daten­krake und der Hersteller habe so umfassenden Zugriff auf die Google-Konten von iOS-Nutzern, dass er in ihrem Namen Mails schreiben, private Fotos ansehen und Dokumente verändern könne – so las sich die Ankla­geschrift vieler Medien. App-Anbieter Niantic gab darauf­hin rasch ein Update der iOS-App heraus, das keinen vollen Zugriff mehr verlangen soll. Zudem versicherte Niantic, nur sehr wenige Daten aus den Google-Konten ausgelesen zu haben. Laut Niantic soll Google diese Darstellung bestätigt haben. Auf Nach­frage der Stiftung Warentest äußerte sich Google allerdings nicht dazu. Um heraus­zufinden, was die App tatsäch­lich macht, schickten wir die Android- und die iOS-Version ins Labor. Nach intensiver Prüfung steht fest: Die App sammelt zwar sehr viele Nutzer­daten. Das ist jedoch für das Funk­tionieren des Spiels notwendig. Da die App bestimmte Daten unver­schlüsselt über­trägt und einige Informationen erhebt, bei denen der Erfassungs­zweck unklar bleibt, ist das Daten­sende­verhalten insgesamt kritisch, allerdings nicht sehr kritisch.

Viele unzu­lässige Klauseln

Problematischer als die App sind die sehr langen Nutzungsbedingungen und die Datenschutzrichtlinie – sie enthalten zahlreiche unzu­lässige Klauseln, weshalb der Verbraucherzentrale Bundes­verband (vzbv) den Hersteller bereits abgemahnt hat. Details aus unserer Prüfung erfahren Sie in den folgenden Absätzen. Mehr über das eigentliche Spiel – bei dem virtuelle Monster via Smartphone-Display in die reale Umge­bung einge­bettet und vom Spieler gefangen werden – lesen Sie in unserem Erlebnisbericht „Von einem, der auszog, das Pokémon-Fangen zu lernen“.

Verbraucherzentrale erwirkt Unterlassungs­erklärung

Der Verbraucherzentrale Bundes­verband (vzbv) sieht etliche Klauseln der Nutzungs- und Daten­schutz­bedingungen kritisch. Inzwischen haben die Verbraucherschützer eine verbindliche Unterlassungs­erklärung erwirkt. Pokemon-Go-Entwickler Niantic darf sich ab sofort nicht mehr auf die (insgesamt 15) vom vzbv bean­standeten Klauseln berufen. So sollte etwa eine Sperrung des Zugangs in vielen Fällen nach alleinigem Ermessen des Unter­nehmens möglich sein – und auch die Weitergabe personenbezogener Daten der Verbraucher an private Dritte ohne gesonderte Einwilligung der Betroffenen. Zudem war die Rück­erstattung von mit echtem Geld getätigten In-App-Käufen ausgeschlossen. Ab 2017 können Verbraucher laut vzbv auf rechts­konforme Nutzungs- und Daten­schutz­bedingungen hoffen.

Anmelden ist Pflicht

Anonymes Spielen ist bei Pokémon Go nicht möglich. Um die App verwenden zu können, muss der Nutzer sich über sein Google- oder „Pokemon-Trainer-Club“-Konto einloggen. Die Konto­daten müssen laut den Nutzungs­bedingungen von Niantic „korrekt, voll­ständig und aktuell“ sein. Die Bedingungen erlauben somit auch kein pseudonymes Spielen. Tech­nisch ist das aber natürlich möglich: mit einem Konto, das nicht auf den tatsäch­lichen Namen des Nutzers registriert ist.

Viele Rechte, wenige Gefahren

Hersteller Niantic fordert viele Zugriffs­rechte auf persönliche Daten – etwa auf den Stand­ort, die Kamera und Speichermedien im Smartphone. Allerdings ist das notwendig für das Spiel. Wer ein GPS-basiertes Spiel zockt, muss damit rechnen, dass seine Stand­orte und dadurch auch seine Bewegungen verfolgt werden. Ansonsten kann das Spiel nicht richtig funk­tionieren. Unklar ist hingegen, wozu die App den Mobil­funkanbieter des Nutzers erfassen muss. Über­rascht hat uns zudem, dass Pokémon Go eine Berechtigung haben will, die es – zumindest derzeit – gar nicht ausnutzt: So verlangt die App Zugriff auf das Adress­buch des Nutzers, über­trägt die Kontakte aber im Gegen­satz zu vielen anderen Apps nicht auf Firmen­server. Möglicher­weise plant Niantic, in der Zukunft soziale Spiel­elemente zu integrieren und fordert dafür schon jetzt prophylaktisch Zugriff auf das Adress­buch. Die erteilten Berechtigungen zur Daten­erhebung lassen sich per E-Mail widerrufen. Niantic stellt in der Daten­schutz­erklärung aber klar: Kann der Nutzer gerne machen – nur muss er dann damit rechnen, das Spiel gar nicht mehr oder nur einge­schränkt verwenden zu können.

Die App verschlüsselt Daten – zumeist jedenfalls

Jene Daten, die die App tatsäch­lich sendet – darunter Benutzer­name, Pass­wort, Geräte-IDs sowie Infos über Hard- und Software – sind meist verschlüsselt. Enttäuschend ist, dass einzelne Elemente von der Verschlüsselung ausgenommen sind: etwa die Stand­ortdaten bei Android und Nutzungs­statistiken bei Android und iOS. Beides kann ein Schnüff­ler aber nur dann auslesen, wenn er dasselbe lokale Netz­werk verwendet wie sein Opfer. Dafür muss er dem Nutzer physisch sehr nah sein, sodass er in vielen Fällen auch ohne Daten­diebstahl wüsste, wo der Spieler sich befindet. Auch bei anderen unver­schlüsselten Daten ist der Nutzen häufig gering: Der Täter weiß dann etwa, mit welcher Auflösung das Smartphone des Spielers arbeitet und wie viele Pokébälle er besitzt. Das bedrohlichste Szenario ist daher weniger das direkte Abfangen von Nutzer­daten im ungesicherten WLan als der massenhafte, zentrale Daten­diebstahl von Firmen­servern. Das erfordert jedoch sehr ausgeprägte Hacker-Fähig­keiten – außerdem lässt sich ein solcher Fall auch bei keiner anderen Online-Anwendung ausschließen.

Drittanbieter spielen mit

Die App über­trägt viele Daten an Dritte – das sind jedoch meist Dienst­leister, die nach­voll­zieh­bare Funk­tionen erfüllen. Darunter befinden sich etwa Google und Apple. Zusätzlich stießen wir auf die drei kalifor­nischen Firmen Apteligent, Unity Technologies und Upsight. Apteligent befasst sich vor allem mit der Analyse von App-Abstürzen und -Fehlern. Unity ist eine Platt­form zur tech­nischen Realisierung von Spiele-Ideen. Upsight kümmert sich primär um Daten­tracking, Marketing und zielge­richtete Werbung – für Nutzer mitunter unerfreulich, aber wenig über­raschend bei einem kostenlos herunter­ladbaren Spiel.

Sehr deutliche Mängel in der Daten­schutz­erklärung

Die drei zuletzt genannten Koope­rations­partner tauchen in der Daten­schutz­erklärung nirgendwo namentlich auf. Dort ist stets nur vage von „Drittanbietern“ die Rede. Auch abschließende, präzise Angaben, welche Daten genau erfasst werden, fehlen in dem Dokument. Hersteller Niantic schreibt lediglich, dass „wir bestimmte Informationen erheben, wie beispiels­weise Ihren Benutzer­namen“. An anderer Stelle werden „Protokoll­daten“ genannt „wie die Internet­protokoll(IP)-Adresse, User­agent, Browser-Art, Betriebs­system (…)“. Eine voll­ständige Aufzählung gibt es nicht, statt­dessen nennt Niantic jeweils nur Beispiele. Ähnlich sieht es aus beim Zweck der Daten­weitergabe aus. Hier heißt es in der Daten­schutz­erklärung, dass Niantic die gesammelten Informationen Drittanbietern „zu Forschungs- und Analysezwe­cken, demogra­fischen Erhebungen und ähnlichen, anderen Zwecken offenlegen“ darf. Was solche „ähnlichen, anderen“ Zwecke sein könnten, bleibt Interpretations­sache.

Viele Angaben nur teil­weise trans­parent

An anderen Stellen ist die Daten­schutz­erklärung relativ direkt, wenn auch nicht immer erfreulich: So weist Niantic darauf hin, dass die Firma die personenbezogenen Daten in die USA oder andere Länder mit geringerem Daten­schutz­niveau trans­ferieren könnte. Weiter heißt es, dass Nutzer­daten auch nach der Kündigung des Kontos noch eine Zeit lang gespeichert bleiben können – genauere Angaben zu diesem Zeitraum macht Niantic aber nicht. Einige Daten könne das Unternehmen sogar ganz behalten – unklar bleibt, was für Daten das sind. Sollte das ehemals zum Google-Konzern gehörende Start-Up jemals aufgekauft werden oder mit einem anderen Unternehmen fusionieren, kann Niantic die Daten an den neuen Besitzer oder Partner weitergeben, denn: „Informationen, die wir von unseren Nutzern erheben, einschließ­lich personenbezogener Daten, werden von uns als Unter­nehmens­werte erachtet.“

Allzeit bereit für Vater Staat

Dass Niantic nicht nur mit anderen Firmen koope­riert, sondern bei Bedarf auch mit staatlichen Stellen, lässt sich aus der Daten­schutz­erklärung ebenfalls ablesen. Hier eröffnet sich das Unternehmen einen großen Spielraum: Der Anbieter nennt mehrere Bedingungen, unter denen er „jegliche Informationen über Sie (…) an Regierungen oder Straf­verfolgungs­behörden oder private Beteiligte“ offenlegen kann, „wenn wir es nach unserem eigenen Ermessen für notwendig und angemessen erachten.“ Dieses eigene Ermessen wird noch breiter, indem Niantic es auf Aktivitäten bezieht, die das Unternehmen als „unethisch“ betrachtet. Neben der Frage, was „unethisch“ bedeutet, bleibt auch offen, um wen es sich bei den „privaten Beteiligten“ handeln könnte.

Virtuelles Spar­schwein in Gefahr

Der Verkauf virtueller Gegen­stände – von Münzen über Pokébälle bis hin zu Lock­modulen, die auf Poké­monster einen unwiderstehlichen Reiz ausüben – ist einer der Wege, über die Niantic das kostenlos herunter­ladbare Spiel refinanziert. Statistiken zeigen, dass viele Nutzer davon regen Gebrauch machen. In den Nutzungs­bedingungen stellt Niantic allerdings klar, dass der Hersteller die (mit realem Geld bezahlten) Objekte ziemlich will­kürlich entfernen kann, ohne den Spieler dafür zu entschädigen: „Wir behalten uns vor, Ihr Konto und Ihren Zugriff auf Ihre Tausch­objekte, Ihr virtuelles Geld oder Ihre virtuellen Güter, den Inhalt oder die Services nach unserem alleinigen Ermessen und ohne vorherige Ankündigung zu stornieren, sperren oder kündigen. (…) Wir sind weder verpflichtet noch verantwort­lich und werden Ihnen für Tausch­objekte, virtuelles Geld oder virtuelle Güter, die bei einer solchen Stornierung, Sperrung oder Kündigung verloren gehen, keine Erstattung oder Rück­zahlung leisten.“

So gehen Sie sicher mit dem Spiel und Ihren Daten um

Nutzen Sie keinesfalls Ihren realen Namen als Benutzer­namen im Spiel – ansonsten können andere Spieler Sie in bestimmten Situationen identifizieren. Wenn Sie auf Nummer sicher gehen wollen, dass Niantic möglichst wenig von Ihnen erfährt, können Sie einen neuen Google-Account mit einem ausgedachten Namen einrichten, den Sie nur zum Download und zur Nutzung der Pokémon-Go-App verwenden. Hersteller Niantic untersagt das in seinen Nutzungs­bedingungen zwar, dürfte aber Schwierig­keiten haben, das Verwenden pseudonymer Accounts zu erkennen und zu unterbinden.

Das Spiel ist indes nicht nur mit Daten­schutz­sorgen verbunden, sondern auch mit realen Sicher­heits­gefahren. Achten Sie deshalb beim Spielen unbe­dingt immer auf den Straßenverkehr, betreten Sie keine gesperrten Bereiche oder privaten Grund­stücke und riskieren Sie keine nächt­lichen Besuche in unsicheren Gegenden.

Fazit: Teil-Entwarnung – go catch ‘em all!

Das Daten­sende­verhalten der App Pokémon Go ist kritisch, aber nicht sehr kritisch. Sie sammelt viele Daten, doch die meisten davon sind für das Spiel notwendig – zudem werden sie zum Groß­teil in verschlüsselter Form vers­endet. Problematischer sind die Nutzungs­bedingungen und die Daten­schutz­bestimmungen mit ihren zahlreichen unzu­lässigen Klauseln und schwammigen Formulierungen. Am gefähr­lichsten sind aber mit dem Spiel verbundene reale Bedrohungen wie Unaufmerk­samkeit im Straßenverkehr, das Betreten abge­sperrter oder unsicherer Areale sowie an zentralen Spiel­orten lauernde Kriminelle.

Dieser Artikel erschien erst­mals am 22. Juli 2016 auf test.de. Er wurde am 26. Oktober 2016 aktualisiert.