Dass unsere Desktop-Lösungen vieler eBanking-Lösungen bereits munter unsere IP-Adressen an Google und Adobe weiterplaudern wenn wir Zahlungen tätigen, haben wir bereits aufgezeigt. Wir haben uns nun die Banking-Apps auf Android vorgeknöpft. Die Apps analysierten wir mit dem Tool Exodus Privacy.

Dabei zeigt sich: Die Banken leisten sich teils fragwürdige Tracker obwohl sie deren primären Verwendungszweck (Analytics, Datenerhebung zwecks Werbung) gar nicht benötigen. Raiffeisen Bank hat den Tracker Google AdMob implementiert, die auch Funktionen des umfassenden Werbesystems DoubleClick enthält. Die Schwyzer Kantonalbank-App enthält wiederum viel Amazon-Code, die Migrosbank nutzt ebenfalls ein Analysetool aus den USA für die Nutzung ihrer eBanking-Anwendung. Geben diese Banken nun das Bankgeheimnis preis? Fakt ist: Raiffeisen, SZKB und Migrosbank haben diese Pakete installiert, brauchen jedoch kaum deren ganze Funktionspalette.

Die erste gute Nachricht: es gibt auch einige tracking-freie Apps (einige Kantonalbanken). Und die zweite: einige der von uns gefundenen Bibliotheken von amerikanischen Unternehmen werden ersetzt oder deaktiviert. Daher: Es lohnt sich also immer genauer hinzuschauen.

Ein Hinweis vorab: nur weil wir mithilfe von externen Analysetools einige umstrittene Funktionen im Code-Paket gefunden haben, bedeutet dies noch lange nicht dass diese auch effektiv aktiv im Einsatz sind und es zum Datentransfer zum Anbieter kommt. Wir haben daher immer explizit nachgefragt wozu welche Funktionen genutzt werden und ob die Daten auch zur Anbieterin (oftmals in den USA sitzend) fliessen (was gemäss des invalidierten Privacy Shield-Abkommens Schweiz-USA vermutlich problematisch wäre).

1. Google-Identifier für Raiffeisen

Der auf den ersten Blick brisanteste Fund ist die Mobile Banking App der Raiffeisen Bank. Hier scheint die SDK Library von Google AdMob implementiert worden zu sein gemäss Exodus. Nach Eigenbeschreibung sollte AdMob – wie der Name “Ad” schon bereits verrät – den Entwicklern passende Informationen für Werbungsauslieferung übermitteln. Kurz: es handelt sich um ein datenbasiertes Advertising-Produkt. Google schreibt dazu:

“AdMob uses the Google Mobile Ads SDK which helps app developers gain insights about their users and maximize ad revenue. To do so, the default integration of the Mobile Ads SDK collects information such as device information.”

Oder:

“Google AdMob ist eine mobile Werbeplattform, mit der Sie mit Ihrer App Einnahmen erzielen können.” Es geht darum “Einblicke in ihre Nutzer zu gewinnen“.

Monetarisiert hier die Raiffeisen Bank die Daten seiner KundInnen? Wozu genau verwendet die Bank diese heiklen Tracker? Die Antwort verblüfft:

“GoogleAdMob ist Teil des Schutzframeworks für Kundinnen und Kunden und wird weder für Werbe- noch für Analytik-Zwecke eingesetzt. Die Raiffeisen Gruppe legt grossen Wert auf den Schutz von Kundendaten und stellt diese durch geeignete Massnahmen sicher. Aus sicherheitstechnischen Gründen gibt Raiffeisen keine Auskunft zu konkret getroffenen Schutzmassnahmen ihrer Applikationen.”

Raiffeisen-Sprecher Joël Grandchamp

Ein Schutzframework? Wovor genau? Dazu wollte die Bank keine genauere Auskunft geben. Die Antwort ist banal wie Recherchen von DNIP.ch zeigen: Die Raiffeisen braucht einen Identifier -also eine eindeutige Kennung um ihre Nutzerinnen zu identifizieren- um sicherzugehen dass verschiedene Apps zum selben Gerät gehören, etwa die PhotoTan-App und die eBanking-App der Raiffeisen. Mit diesem Google Identifier ist eine geräte/app-übergreifende Identifizierung möglich.

Kurz: Die Bank will mit dieser Korrelation lediglich wissen dass es sich bei der Nutzung um denselben Bankkunden handelt. Doch weil die Raiffeisen nur die Betrugsbekämpfung als einziges Einsatzszenario vorsieht und keine Werbefunktionen aktivierte, fliessen keine neuen Informationen zu Google, die nicht sonst schon bereits bekannt sind aufgrund des reinen Downloads einer Raiffeisen-App. Oder anders gesagt: eine Kundenbeziehung aus Sicht von Google zwischen der Android-Besitzerin und der Raiffeisenbank ist infolge der Installation höchst wahrscheinlich anzunehmen. Ob nicht zusätzliche personenbezogenen Daten in die USA fliessen und ob Google neben dem Identifier noch weitere Details erfährt (Geräteinformationen, IP Adressen), konnten wir jedoch bis zum jetzigen Zeitpunkt nicht überprüfen.

2. Amazon-Analytics bei der Schwyzer Kantonalbank

Über die Schwyzer Kantonbank haben wir bereits in einem anderem Zusammenhang bei der Republik.ch berichtet. So hatte sie sich bereits aus dem Kontoverzeichnis der Postfinance bedient – um fair zu sein: völlig legal, denn dieses Register stand jahrelang allen fremden Banken “zur Selbstbedienung” offen. Eine Kundin der Schwyzer Kantonalbank hätte demnach ohne Weiteres die Namen der Postfinance-Kunden mit einem technischen Skript oder simplem Durchprobieren eruieren können. Das Kontoverzeichnis wurde eine Woche vor Veröffentlichung des Artikels vom 24. Februar 2022 von der Postfinance eingestellt.

Nun stellt sich heraus: die Schwyzer Kantonbank greift in ihrer Banking-App auf Tracker von Amazon zurück. Darunter die Pakete “Amazon Insights” und “Amazon Amplify/Pinpoint”. Was bedeuten diese Pakete?

“Amazon Pinpoint hilft Ihnen, das Nutzerverhalten zu verstehen und festzulegen, welche Nutzer sie ansprechen und welche Nachrichten Sie senden sollten, den besten Zustellungszeitpunkt für Ihre Nachrichten zu planen und dann die Ergebnisse Ihrer Kampagne zu verfolgen.

Die Kategorie Analytics ermöglicht es Ihnen, Analysedaten für Ihre App zu sammeln. Die Analytics-Kategorie verfügt über integrierte Unterstützung für Amazon Pinpoint und Amazon Kinesis (Kinesis-Unterstützung ist derzeit nur in der Amplify JavaScript-Bibliothek verfügbar).
Ziel. Einrichten und Konfigurieren Ihrer Anwendung mit Amplify Analytics und Aufzeichnen eines Analyseereignisses.“

Wir haben bei der Bank gefragt weshalb man sich für Amazon entschieden hat?

Die Antwort: Die Bank hat sich mit den Codepaketen des Cloud-Giganten quasi ein “trojanisches Pferd” im Rahmen einer Standardlösung vom Anbieter Finnova eingefangen, das sie nicht zwingend wollte. Oder anders gesagt: “Amazon Pinpoint”-Nachrichtenversandfunktion ist zwar in der App drin, werde aber nicht genutzt, wie Sprecher Matthias Zettel bestätigt.

“Die Mobile Banking der Schwyzer Kantonalbank (SZKB) ist eine Standardlösung von Finnova. Diese Lösung bietet die kanalübergreifende Option “Notification Hub” an, mit welchem Endkunden via Push-Benachrichtigungen über Ereignisse in den mobilen Kanälen informiert werden können – in Ergänzung zu den Kanälen E-Mail und SMS. Die SZKB hat den Notification Hub nicht in Betrieb und hat diesen auch aktuell nicht lizenziert.“

SZKB-Sprecher Matthias Zettel

Weil diese Libraries von Amazon implementiert aber nicht genutzt werde, komme es folglich auch nicht zum Datenabfluss in die USA, so Zettel.

3. Migrosbank operiert mit externem Analysetool

Bei der Migrosbank fanden wir Dynatrace im Einsatz. Ein Sprecher bestätigt dass das SDK aktiv genutzt wird und begründet auch weshalb:

“Wir verwenden diese Applikation, um die Nutzung unserer mobile Apps zu analysieren, die Leistung zu optimieren und Fehler zu beheben. Die Daten werden ausschliesslich zur Analyse der Nutzung und Leistung der Apps verwendet.”

Migrosbank-Sprecher Urs Aeberli

Auch beliebt bei Banken wie ZKB, Postfinance, UBS und Credit Suisse ist “Google Firebase”, das ein multifunktionales Paket mit Analytics, Tracking und Push-Notifications enthält. Aus Gesprächen mit App-EntwicklerInnen geht hervor: Google ist in Sachen Push-Notifications unumgänglich bei einer Android-App. Welche Optionen jeweils effektiv zum Einsatz kommen, ist unklar.

(Hier noch ein Disclaimer, damit die Glashaus-Thematik geklärt ist: auch die Republik nutzt Google Firebase in ihrer App. Dabei geht es um die Nutzung der Push-Benachrichtigungen, Analytics und Tracking sind expliziert deaktiviert. Zwar wird die Analytics-Signatur angezeigt, es handelt sich aber um “stillgelegten Code”.)

Rechtlich genug sauber?

Wie sieht es nun rechtlich bei der Integration der Libraries von Drittanbietern in Banking-Apps aus? Wir klopfen wieder mal in Bern (Eidgenössischen Datenschutzbeauftragten, EDÖB) an, um mehr zu erfahren. Die Antwort: Alles in Ordnung, solange transparent ausgewiesen.

“Die Verwendung der unterschiedlichen Tracker unterliegen – soweit sie beispielsweise die IP-Adresse und somit Personendaten übermitteln – den Regeln des Datenschutzgesetzes. D.h. die Nutzer einer mobile App müssen transparent über die Datenbeschaffung und den Zweck der Bearbeitung informiert werden, also die Grundsätze der Erkennbarkeit und der Zweckbindung der Datenbearbeitung einhalten. Eine Einwilligung zur Datenbearbeitung bzw. eine Möglichkeit zum Opt-Out sollte auf der Grundlage angemessener Information angeboten werden.“

Hugo Wyler, Eidgenössischer Datenschutzbeauftragter

Eine Kennzeichnung gleich vor Download ist also erforderlich.

Nun ist es bekannt dass Apple mit Privacy-Labels in seinem App Store arbeitet. Dabei werden Tracker transparent gemacht und können sogar abgelehnt werden von der Userin. Google hat im Play Store eine ähnliche Offensive gestartet, die aber weniger Transparenz und weniger Autonomie verspricht als beim Konkurrenten (und noch gar nicht richtig umgesetzt ist). Bei unseren untersuchten Fällen geht es um Android. Lasst uns also anschauen inwiefern nun im Play Store vor Installation der App informiert wird. Ein kurzer Check zeigt: eigentlich gar nicht.

Reicht so eine pauschale Erklärung? Nochmals Nachfrage beim EDÖB. Bis dato haben wir noch keine Antwort erhalten (wird nachgereicht im Update).

Immerhin hat die Raiffeisen überhaupt einen Hinweis auf den Datenabfluss zu anderen Unternehmen direkt im App Store von Google platziert. Bei der Migrosbank findet man nichts Entsprechendes vor dem Download bei Google Play. Die Bank weist dafür transparenter und vorbildlicher als alle anderen auf ihrer Website zum Einsatz von Dynatrace hin. Dabei wird auch gleich die Frage der Datenspeicherung und des Datenabflusses geklärt. Immerhin, auch wenn das nicht der Ort ist wo man Datenschutzbedingungen einer Mobile App intuitiv nachlesen würde.

“Wir verwenden die Software «Dynatrace APM» des Herstellers Dynatrace LLC, 1601 Trapelo Road, #116 Waltham, MA 02451, USA, auf Grund unserer berechtigten Interessen, die Nutzung der App zu analysieren, die Leistung zu optimieren und Fehler im Zusammenhang mit der App zu beheben. Auch können Fehlermeldungen und Stack-Traces bei Abstürzen zu uns übermittelt werden. Dabei ist es möglich, dass auch personenbezogene Daten erfasst werden.

Die von Dynatrace APM erhobenen Daten werden ausschliesslich bei uns lokal gespeichert und ausgewertet. Es erfolgt keine Weitergabe der Daten an externe Dienstleister oder an den Hersteller. Die Daten werden nach der Auswertung innerhalb von 90 Tagen automatisch gelöscht.”

Datenschutzbedingungen zum Einsatz von eBanking-Apps Migrosbank

Nichts dergleichen findet man bei der Schwyzer Kantonalbank, weder im App-Store noch auf der Website, was vermutlich auf den Fakt des “nicht aktiven Betriebs” zurückgeht.

Der Vollständigkeit halber sollen auch Banken lobend erwähnt werden, die sich “im grünen Bereich” befinden. Sämtliche Kantonalbanken scheinen bei ihren eBanking-Apps ohne Datenabfluss-Tracker auszukommen. Die “Hall Of Fame” der von uns untersuchten Apps heisst: Kantonalbanken Thurgau, Bern, Appenzell, Zug, Genf und auch die Bank Valiant.

Warum brauchen die einen Tracker von Drittanbietern, die anderen nicht? Die Thurgauer Kantonalbank etwa macht eigene Messungen, wie sie auf Anfrage von DNIP.ch mitteilte:

“Richtig; die TKB setzt im Mobile Banking keine Webanalytik-Software ein. Wir messen lediglich die Anzahl der Logins, um sie mit der Anzahl der Zugriffe via Kundenwebportal (Desktop-Version unseres E-Bankings) zu vergleichen. Was die ausgeführten Transaktionen (Zahlungen, Börsenaufträge, Produkteröffnungen usw.) betrifft, führen wir aggregierte Auswertungen in unserem Kernbankensystem durch (aggregiert = nicht auf den einzelnen Kunden bezogen).”

TKB-Sprecherin Tina Helfenberger

Offenbar fallen gewisse einige eBanking-Apps bei “Exodus Privacy” durch die Maschen, weshalb auch die obige “Hall of Fame” mit Vorsicht zu geniessen ist (und ausserdem kein Anspruch auf Vollständigkeit hat). Bei der Luzerner Kantonalbank etwa wird ebenfalls ein grünes Rating angegeben. Doch: die Bank arbeitet durchaus mit Code-Paketen von Apple und Google, wie eine Anfrage von DNIP.ch ergeben hat.

Was seit unseren Recherchen geschah

Anscheinend möchte man bei der Raiffeisen vom AdMob-Tracker wegkommen und die von Google (Android) offerierten privatsphärefreundlicheren Alternativen verwenden, wie wir herausgefunden haben. Und: die Migrosbank entledigt sich eines anderen Trackers, welchen wir noch nicht erwähnten. Die Bank hatte neben Dynatrace auch ein anderes Paket im Einsatz. Es geht um das SDK (Software Development Kit) von Countly für die Videoidentifikation. Auch hier handelt es sich offenbar um tote Funktionen, die nicht im aktiven Betrieb waren.

“Countly Tracker: Es handelt sich um eine Restanz aus der Einführung der Videoidentifikation; das Tracking ist jedoch nicht aktiviert und leitet keine Daten weiter. Wir werden den Tracker im nächsten Release entfernen.”

Urs Aeberli, Migrosbank-Sprecher

Fazit: Die Banken scheinen unterschiedliche Bedürfnisse bezüglich Datenanalysen zu haben und auf verschiedene Sicherheitskonzepte zurückzugreifen. Manche implementieren dabei potenziell invasive Drittpartei-Tracker von externen Firmen, andere gar nicht.

Immerhin: offenbar nehmen einige Banken unsere Fragerei zum Anlass, ihre Apps von stillgelegtem Code und nicht benötigen Optionen zu säubern und sich nach Alternativen umzuschauen. Um auch nur die Daten zu erheben und zu messen, die sie tatsächlich benötigen.

Update 11.5.2022 um 18:00: Die Postfinance benutzt laut Exodus Privacy ein Tool von SPLUNK. Auch hierbei handelt es sich um ein Paket einer amerikanischen Firma, das für Absturzberichte, Performance und Analytics eingesetzt werden kann. Postfinance-Sprecher Rinaldo Tibolla dazu:

“Ja, PostFinance setzt aktuell Splunk MINT ein, nutzt es für das Logging von technischen Events (beispielsweise Errors, Networkcalls, Crashes etc.). Hauptsächlich dient es für das Troubleshooting von Problemen und Incidents in der Produktion. Splunk-Events sind alle mit einer Splunk-UUID versehen, dieselbe UUID zeigt die PostFinance App bei Kontakt & Support an. Über diese ID kann PostFinance Probleme identifizieren. Es werden keine kundenidentifizierende Daten verwendet. PostFinance nutzt eine sogenannte On-Premise-Lösung für das Sammeln der Events, d.h. der Splunk-Collector wird in-house betrieben und alle Daten werden bei PostFinance gesammelt. Es fliessen also keine Daten in die USA.“

Update, 11.05.2022 um 23:00: Auf Hinweis von Martin Steiger ein kleines Korrigenda: die Verlinkung zur Datenschutzerklärung bei der Migrosbank ist tatsächlich vorhanden beim Google Play Store, allerdings muss man sich zu dieser je nach Betriebssystemversion vorkämpfen, mehrere Boxen aufklappen und Sub-Menüs durchklicken.

Upate, 13.5.2022 um 15:50: Wegen eines kommunikativen Missverständnisses ging die Email an die MediensprecherInnen des EDÖB unter. Hier nun endlich die Antwort von Silvia Böhlen, Sprecherin EDÖB, bezüglich der Frage ob die Deklaration der Raiffeisen genügend ist. (Spoiler: Ja).

“Die Nutzung der Dienstleistungen der Raiffeisen werden im Basisreglement geregelt. In diesem werden in Ziffer «13. Datenschutz / Bankkundengeheimnis» der AGB Ausführungen zum Datenschutz gemacht, unter anderem ist hier ein Verweis auf www.raiffeisen.ch/rechtliches, wo weitere Dokumente für das E-Banking verfügbar sind «Bedingung Raiffeisen E-Banking», «Allgemeine Datenschutzerklärung», «Cookie Policy» und «Datenschutzerklärung für Webseiten und Apps». Was wir nicht gesehen haben, ist die explizite Nennung von AdMob, jedoch sind die Zwecke der Datenbearbeitungen mehrfach in den erwähnten Dokumenten aufgeführt, auf welche übrigens mittels Link direkt von App Store und GooglePlay zugegriffen werden kann. Hierzu muss man nach unten scrollen um zur Information über die App zu kommen.

Unsere Einschätzung: Es gibt mehrere Dokumente der Raiffeisen, welche die Datenbearbeitungen erklären. Diese sind einfach erreichbar und werden im Rahmen der Kundenbeziehung aktiv erwähnt. Es fehlt zwar eine explizite Nennung von AdMob, dieser Dienst kann jedoch unter den Ausführungen zu Analytics und Tracking, Cookies subsumiert werden.“