Die Zyklus-App Stardust verspricht auf ihrer eigenen Seite: „Ihre Daten sind privat. Punkt.” Forscher von Mozilla haben den Datenverkehr der App geöffnet und festgestellt: Diese Daten wandern zu einer Analysefirma namens RudderStack.

Es geht nicht um anonyme Statistik der Sorte „wie viele Menschen haben die App geöffnet”. Laut den Befunden gingen Geburtsdatum, Verhütungsmethode, Kinderwunsch und Symptome nach draußen - gebunden nicht an einen Namen, sondern an eine eindeutige Kennung. Genau diese Unterscheidung nutzen Marketingabteilungen, um zu behaupten, die Daten seien anonym. Die Kennung kennt deinen Namen nicht, aber sie kennt alles andere über dich - und sie überlebt jedes Passwort.

Die Sicherheitsforscherin Shoshana Wodinsky hat sechs Zyklus-Apps analysiert. Nur eine gab sensible Gesundheitsdaten an ein externes Unternehmen weiter: Stardust. Mozilla stufte die App Euki als sauber ein - sie schickte nichts an Dritte und behielt die Gesundheitsdaten auf dem Gerät der Nutzerin. Machbar ist es also. Die anderen fünf schafften es trotzdem nicht.

Die Antwort des Unternehmens: RudderStack sei es „vertraglich untersagt, die Daten zu verkaufen oder für eigene Zwecke zu nutzen”. Ein Vertrag ist eine schöne Sache - bis ein Durchsuchungsbeschluss kommt. Beide Firmen können von Strafverfolgungsbehörden zur Herausgabe der gespeicherten Daten aufgefordert werden. Dann bedeutet der Vertrag zwischen ihnen nichts. Er bedeutet nur, dass es jetzt zwei Türen gibt statt einer. Stardust-Gründerin Rachel Moranis beantwortete die Frage nicht, was das Unternehmen bei einer solchen Aufforderung täte.

Es ist nicht das erste Mal. 2022 zeigte eine Untersuchung, dass die Angaben derselben App zur vollständigen Verschlüsselung nicht stimmten. Vier Jahre später ist das Versprechen umformuliert, die empfangende Firma eine andere - und der Kern derselbe: Die Werbung sagt das eine, der Datenverkehr zeigt das andere.

Leicht abzutun als amerikanische Geschichte über amerikanische Gesetze. Nur werden Zyklus-Apps auch hier aus denselben Stores geladen, mit demselben Datenschutztext, durch dasselbe Übersetzungstool gejagt. Der Unterschied: Dort öffnet wenigstens jemand den Datenverkehr und misst, was rausgeht. Die Frage für den Leser hier ist einfacher und unangenehmer: Wann hat zuletzt irgendeine Institution hier geprüft, was die App auf deinem Telefon verschickt - und an wen?