Sag mir, was du hörst, und ich sag dir, wer du bist!
Die Überwachung von Nutzergewohnheiten bringt unglaubliche Vorteile.
Sie sind nicht naiv, was Ihre Anonymität im Internet betrifft. Sie haben Javascript abgeschaltet, akzeptieren Cookies nur auf Anfrage (löschen aber regelmäßig das Cookie.txt File) und würden für keinen geschenkten iMac Ihre Kreditkartennummer über das Web versenden. Allerdings haben Sie eine (verzeihbare) Schwäche für Musik. Als Default-Player für CD's, MP3- und WAV-Audiodateien haben Sie RealJukeBox auf Ihrem Rechner installiert, ein Player, mit dem sich auch bequem Audiodateien verwalten lassen. Wenn das wirklich der Fall ist, dann sind Sie gut beraten, die News vom Anfang der Woche genau verfolgt zu haben.
Denn wie ein unabhängiger Sicherheitsexperte am vergangenen Wochenende herausgefunden hat, sammelte der vom Unternehmen RealNetworks vertriebene Player für die RealJukeBox bislang klammheimlich Daten über die Musikvorlieben der User. Seit dem Erscheinen im Sommer 1999 wurden 13.5 Millionen Kopien dieses Players heruntergeladen. Auf seiner Website beschreibt Richard M.Smith akribisch, wie er dem Verstoß gegen das Recht der Nutzer auf den Schutz der Privatsphäre auf die Spur gekommen ist.
Demzufolge erzeugt der Player bei jeder Installation eine einzigartige Identifikationsnummer (GUID), die zugleich in der Registry am Rechner des Nutzers eingetragen und zum Server von RealNetworks übertragen wird. Das Programm überwacht zudem das Nutzungsverhalten und versendet den GUID zusammen mit Nutzungsdaten regelmäßig an RealNetworks.
Smith fand auch eine extrem lange URL, die vom Player in die Registry eingetragen wird. Mit Hilfe eines Kryptografie-Experten entschlüsselte Smith diese URL und kam zu dem Ergebnis, dass sie im Klartext die von ihm verwendete Software und seine Email-Adresse enthält, nebst Informationen über Betriebssystem, Standort, Sprache, Prozessor und den bereits erwähnten GUID.
Damit könnte RealNetworks theoretisch eine Datenbank angelegt haben, in der festgehalten wird, welcher User welche CD's hört. Auf das Individuum zugeschnittenen Marketingmethoden für Musik-CD's ist so prinzipiell Tür und Tor geöffnet. Smith vermutet, dass dieses System auch dem Nachverfolgen von Raubkopien dienen könnte, konnte das aber nicht mehr verifizieren.
Nachdem Smith mit RealNetworks in Kontakt getreten war, hatten diese klammheimlich ihr Privacy-Statement verändert und einige Absätze über den GUID eingefügt. Schon zuvor war da einiges über Cookies, Refer-Informationen und Client-Daten zu lesen gewesen, verbunden mit der Aussage, RealNetworks würde diese Daten nur zum Besten der User verwenden. Doch auch im erneuerten Privacy Statement wird explizit verleugnet, dass ein Zusammenhang mit der Email-Adresse des Users hergestellt wird. Ebenso geleugnet wird, dass die GUID mit der individuellen MAC-Adresse der Netzwerkkarte des Users in Verbindung gebracht wird.
In einem offenen Brief wandte sich der Präsident von Junkbusters, Jason Catlett, an RealNetworks. Darin forderte er die Beseitigung des Überwachungsfeatures und beschuldigt das Unternehmen zivil- und strafrechtlicher Gesetzesbrüche. Da die Online-Lizenz der Software keine Erwähnung der GUID inkludiert, ebensowenig die Funktionen zur Überwachung von Hörgewohnheiten, wird die wiederholte Übertragung von Informationen ohne Zustimmung des Users als "Trojan Horse Attack" bezeichnet. Diese sei nach dem Computer Fraud and Abuse Act von 1986 ein strafrechtliches Vergehen. Da im Privacy Statement RealNetworks den Usern größtmögliche Transparenz verspricht, sie aber nicht über die genauen Praktiken aufklärt, sei auch ein zivilrechtliches Vergehen gegeben.
RealNetworks haben zwar nun einen Patch herausgegeben, welcher die GUID in existierenden Versionen des Players neutralisiert. In zukünftigen Versionen soll dieser Patch von vorneherein enthalten sein, so dass alle GUIDs aus lauter Nullen bestehen. Außerdem behaupten RealNetworks, dass keine individuellen Daten gesammelt worden seien. Es sei immer nur darum gegangen, User-Trends zu analysieren, ohne dabei Verbindungen zu individuellen Email-Adressen herzustellen. Das Ziel der Datensammlung sei allein, zukünftige Weiterentwicklungen optimal nach den Bedürfnissen der User gestalten zu können. Es wäre niemals Absicht gewesen, Daten an Dritte weiterzuverkaufen.
RealNetworks berufen sich auch auf die Mitgliedschaft in TRUSTe, eine private, nichtkommerzielle Organisation der Industrie zur Selbstregulation in Bezug auf den Schutz der Privatsphäre. Diese Mitgliedschaft ist nach dem Prinzip der "Safe Havens", das als Kompromiss zwischen EU und USA in der Datenschutzfrage ausgehandelt worden war, Voraussetzung, dass US-Firmen im EU-Raum Nutzerdaten sammeln dürfen.
Auch wenn die Behauptung RealNetworks wahr sein sollte, dass keine auf individuelle Nutzer bezogenen Daten gespeichert wurden, so kann dieses Sonderfeature ihrer Software mit gutem Grund als Big-Brother-Software bezeichnet werden, da sie über das Internet den Einzelnen erreicht und dessen Musikvorlieben aushorcht. Der Nutzen einer besseren Individualisierung vernetzter digitaler Dienstleistungen - nicht nur via Internet sondern z.B. auch DigitalTV- bringt potentiell den trojanischen Pferdefuß mit sich, dass wir damit zugleich unsere intimsten Vorlieben mit global operierenden Unternehmen teilen. Die Informationsrevolution geht langsam ganz schön unter die Haut.
Sind mit diesem Patch, der die GUID unwirksam macht, nun alle Fragen geklärt? Nein, lautet die Antwort, wenn man sich die Vorgeschichte ansieht. Schon im März hatte die c't herausgefunden, dass auch andere Produkte von RealNetworks, der beliebte ReaulAudio-Player und dessen Luxusvariante, der G2-Player, einen GUID erzeugen. Das heisst also, dass beim Abhören von Live-Streams potentiell die Gefahr besteht, dass auch solche Nutzerinformationen an RealNetworks verschickt werden. Laut Heise-Ticker gibt es keine Informationen darüber, ob auch für den RealAudio-Player ein Anti-GUID-Patch bereitgestellt wird. Dazu passt dann noch die Nachricht, dass RealNetworks sich als Musik-Portal positionieren wollen. Das Geschäft mit Nutzerinformationen zu Marketingzwecken ist bei allen Portal-Sites wichtiger Teil des Business-Plans. Zieht man die Reaktionen von RealNetworks auf die Enthüllungen vom März in Betracht, die auch von der US-Presse aufgegriffen wurden, so besteht zumindest Anlass zur Vermutung, dass das Versteckspiel weitergeht.
Doch es wäre unsinnig, RealNetwork als einzelnes Unternehmen an den Pranger zu stellen. Auch Microsofts MediePlayer erzeugte einen GUID. Bei anderen Abspiel- und Streamingprogrammen wäre es zumindest eine Überprüfung wert. Was unter dem Strich herauskommt, ist, dass die Konzeption der sicheren Häfen so wie sie von TRUSTe exemplarisch vorgeführt wird, dass die Selbstregulation der Industrie nicht funktioniert (siehe auch: Microsofts sicherer Hafen). Zuviel steht auf dem Spiel bei den Börsenlieblingen des Internet-Booms, als sich von Bedenken über den Schutz der Privatsphäre behindern zu lassen. Das Konzept der personalisierten Dienstleistungen, Entertainment- und Informationsangebote wird als unumgänglich und innovativ in der Internet-Ökonomie erachtet.
Eine in diesem Sinne fortschrittliche Haltung nimmt auch Orson Swindle ein, Mitglied der US-Federal Trade Commission (FTC) und dort für den Datenschutz zuständig. In einer Rede vor Silicon Valley-Anwälten warnte er vor allen Maßnahmen, welche die Internet-Ökonomie bremsen könnten, wie zum Beispiel Steuern auf Internet-Transaktionen. Konkret zum Fall RealNetworks angesprochen, sah er keinerlei Handlungsbedarf. Der Konsument sei letztlich für den Schutz seiner Privatsphäre selbst verantwortlich. Von der FTC sind also keinerlei Schritte hin zu einem besseren rechtlichem Schutz der Privatsphäre in den USA zu erwarten.
Wozu auch dieses ganze Gerede vom Datenschutz. Eigentlich, liebe Nutzerinnen und Nutzer, ist es doch eine feine Sache, wenn ein Server in Seattle über Ihre Musikinteressen Bescheid weiß. Wenn er Sie ersteinmal ganz genau kennt, sind die Zeiten vorbei, da Sie sich mühevoll in einen Plattenladen begeben mussten, um sich über Neuerscheinungen in Ihrem Lieblingsbereich zu informieren. Keine peinlichen Gespräche mit pickligen Verkäufertypen mehr. Auch keine stressigen Mausklicks auf CD-Verkaufssites im WWW. Sie wachen auf und zum Frühstück hören Sie bereits die neue CD von Popsister Sowieso, welche die Jukebox Ihnen über Nacht zugestellt hat. Oh, himmlische Jukebox! Man stelle sich nur die Ausdehnung des Systems auf andere Medien vor: Der aktuelle Lieblingsfilm, automatisch zugestellt, das neue Buch des Lieblingsautors ebenso lautlos auf Ihr elektronisches Buch übertragen. Natürlich wird auch gleich abgebucht, ebenso automatisch. Aber was solls, man hat eben seine Vorlieben und die sollten einem schon was wert sein...