Mike Kuketz 🛡Jun 3

Meta (Facebook, Instagram) & Yandex nutzen lokale Ports auf Android-Geräten, um Browserdaten mit nativen Apps zu verknüpfen. Dieses „Web-to-App-ID-Sharing“ hebelt Inkognito-Modus, Cookie-Löschen & Berechtigungssysteme aus. Betroffen: Milliarden Nutzer. Meta hat das Verhalten nach Offenlegung gestoppt. Nach meiner Ansicht wäre hier die Höchststrafe fällig: 4 % vom Umsatz!

https://localmess.github.io/

#Privacy #Android #Tracking #Meta #Yandex #Datenschutz #DSGVO

Covert Web-to-App Tracking via Localhost on Android

Show threadMike Kuketz 🛡Jun 3

Beispiel: Beim Besuch einer Website mit Meta Pixel sendet dein Browser den Cookie _fbp=fb.1.1717351059.Abc123Xyz via WebRTC an die Facebook-App auf dem Gerät. Diese verknüpft ihn mit deinem Login (z. B. User-ID 1000123456789) und sendet die Daten an Meta-Server.

➡️ Ergebnis: Webseitenbesuche lassen sich direkt deiner Facebook-Identität zuordnen – auch im Inkognito-Modus, trotz Cookie-Löschung, ohne Einwilligung.

Show threadfacebitaJun 3
@kuketzblog Jupp. Und wennste gar kein Konto bei Meta hast, was dann?
Show threadNeinhornJun 3

@facebita
Das würde ich auch gerne wissen, habe nichts bei Meta.

@kuketzblog

Show threadKai Pyhrinja Jun 3
@Klotzkie @facebita @kuketzblog eure freunde haben WhatsApp und damit ihre Kontakte freigegeben und damit seid ihr dabei 😉
Show threadDuncan IdahoJun 3

@SilentReader
Soweit ich das verstehe benutzt dieses Tracking die Kommunikation des Browsers zu Facebook (oder evtl anderer Meta-Apps). Es ist klar, dass Meta die Kontakte der Meta-Nutzer kennt auch wenn diese nicht bei Meta sind. Aber wenn diese Kontakte keine Meta-App installiert haben, dann kann der Browser auch nicht mit der App reden und nicht tracken - oder übersehen ich was?

@Klotzkie @facebita @kuketzblog

Show threadTaburienteJun 3
@__duncanidaho @SilentReader @Klotzkie @facebita @kuketzblog Die Fb-App ist ja oft als Bloatware installiert und kann maximal deaktiviert werden. Oder hat sich das inzwischen geändert?
Show threadDuncan Idaho

@sirius
Bei meinem Samsung S24 ist sie nicht drauf (war sie auch nicht). Kann mich erinnern, dass sie auf älteren Geräten installiert war.

Aber aus meiner Sicht bring das nichts fürs Tracken mit dem beschriebenen Mechanismus, wenn man nicht in FB eingeloggt ist. Wie soll FB denn sonst die Zuordnung zu einem bestimmten Meta-Nutzer machen?
Aber wenn man die App nicht nutzt, sollte man sie wenigstens deaktivieren - dann sollte sie nix senden

@SilentReader @Klotzkie @facebita @kuketzblog

Jun 3 at 9:11pmWeb
Show threadtessaraktJun 4
@__duncanidaho @sirius @SilentReader @Klotzkie @facebita @kuketzblog Muss ja kein "bestimmter" Nutzer sein - dass es der gleiche ist, ist ja auch eine Info.
Show threadfacebitaJun 4
@tessarakt @__duncanidaho Das mag sein. Wenn es kein "bestimmter" Nutzer ist, handelt es sich nicht um personenbezogene Daten. pbD liegen nur vor, wenn die darin enthaltenen Informationen sich auf eine identifizierte oder identifizierbare Person beziehen. Der "Geräteabdruck" z.B. ist kein pbD, solange der Verarbeiter des Geräteabdrucks nicht weiß, wer das Gerät benutzt - auch wenn er weiß, dass Gerät A und Gerät B von der selben Person genutzt werden. @sirius @SilentReader @Klotzkie @kuketzblog
Show threadtessaraktJun 4
@facebita @__duncanidaho @sirius @SilentReader @Klotzkie @kuketzblog Fällt aber trotzdem unter die ePrivacy-Richtlinie, oder?
Show threadfacebitaJun 4
@tessarakt Nicht unbedingt. Es kommt u.a. darauf an, ob dazu Daten auf dem Endgerät des Nutzer gespeichert oder ausgelesen werden. Fingerprinting kann man auch serverseitig betreiben. @__duncanidaho @sirius @SilentReader @Klotzkie @kuketzblog