Wenn digitales Vertrauen an der Systemgrenze scheitert…

Die Schweizer Post und ihre digitalen Angebote sind auf DNIP ja ein schon mehrmals beleuchtetes Thema, so haben wir dieses Jahr schon über IncaMail und Google Cloud geschrieben und einen Blick auf die Datenschutz-Odyssee bei SwissID geworfen. Heute geht es um ein Angebot der Swisspost-App (und -Webseite) mit welchem vermutlich schon viele Kontakt hatten: “Meine Sendungen”, womit sich Sendungen tracken und steuern lassen.

Vor einigen Wochen hab ich von der Post Email-Werbung für eines ihrer Post-Produkte erhalten. Das alleine wäre nicht weiter bemerkenswert, unerwartete Email-Werbung gehört heute leider einfach dazu. Bemerkenswert war es allerdings insofern, als dass ich mich ein paar Tage zuvor in der Post-App vergewissert hatte, dass sämtliche dort sichtbaren Optionen “zur Verbesserung des Kundenerlebnisses” (was je nach Kontext jeweils Cookies oder Werbung (oder beides) bedeutet) abgeschaltet waren. Das ist insofern relativ einfach, da es in der App dazu gar keine Optionen gibt. Die einzige halbwegs passende Option steuert die Zustellung von Swiss Post-Events via Push (also keine Email), und die war ausgeschaltet.

Warum jetzt also trotzdem diese Werbemail?

Das Rätsel löst sich, wenn man sich die Account-Einstellungen direkt im Webportal anschaut, dort findet sich die relevante Option für die Zustellung “vieler spannender Informationen und Dienstleistungen der Post”.

Nun kann es natürlich sein, dass ich das aus reiner Neugier mal eingeschaltet und anschliessend schlicht vergessen habe. Andererseits brauch ich die Webseite praktisch nie und arbeitet ausschliesslich mit der App. Ich habe daher die Probe aufs Exempel gemacht und auf dem Smartphone für “Meine Sendungen” ein neues Post-Login inklusive SwissID erstellt. Und siehe da, selbst bei einem neu angelegten Post-Login ist die “Get to know Swiss Post Services”-Option standardmässig aktiviert, notabene ohne dass die Benutzerin sich dessen bewusst ist oder ihre Einwilligung dazu gibt.

Natürlich kann man jetzt achselzuckend zur Tagesordnung übergehen, schliesslich sind solche Methoden zum Sammeln von bewerbbaren Adressen gang und gäbe. Allerdings machen zwei Faktoren den konkreten Fall etwas interessanter:

• das schweizerische Digital Trust Label hat das Post-Angebot “Meine Sendungen” zertifiziert, sowohl das label wie auch die Post bewerben diese Zertifizierung prominent auf den entsprechenden Webseiten,
• die Post hält in Kapitel 4 ihrer Datenschutzbestimmungen fest, dass die Nutzung der Kundendaten zu Werbezwecken nur erfolgt, sofern der Kunde nicht widerspricht

Digital Trust Label

Das Digital Trust Label wurde Anfang 2022 von der in Genf angesiedelten Swiss Digital Initiative lanciert und hat zum Ziel, die Vertrauenswürdigkeit von digitalen Anwendungen zu zertifizieren, Nutzerinnen die Vertrauenswürdigkeit zu bestätigen und Unternehmen bei der Entwicklung von digitalen Angeboten einen Anreiz zu geben, grundlegende Vertrauenskriterien zu erfüllen. Die Erteilung des Labels erfolgt nach einem mehrstufigen Audit-Prozess, vorgesehen sind anschliessend auch regelmässige Überprüfungen (mit denen sichergestellt werden soll, dass die Kriterien auch einige Jahre später noch eingehalten werden).

Der Kriterienkatalog enthält in der Version von 2023 insgesamt 35 Kriterien in den Kategorien “Security”, “Data Protection”, “Reliability” und “Fair User Interaction”. Letzteres fokussiert vor allem auf Barrierefreiheit und dem Vermeiden von Dark Pattern, im aktuellen Fall relevant ist primär die Kategorie “Data Protection”.

Kriterien 14 und 16 sind für den konkreten Fall relevant:

• Der Benutzer ist über die Zweck der Datenverarbeitung zu informieren (14).
• Es braucht einen klaren Opt-In/Out, und Opt-in darf nicht der Default sein (16).

Wir haben beim Digital Trust-Label nachgefragt, wie diese Kriterien zu interpretieren sind und wie sie das Verhalten der Post-App einschätzen. In der Antwort schränkt das Label die Zertifizierung auf die eigentliche Applikation “Meine Sendungen” ein, dies sei auch entsprechend auf dem ausgestellten Zertifikat vermerkt (dieses gilt für “Meine Sendungen Portal”). Das SwissID-basierte Login sei nicht Teil des für die Zertifizierung relevanten Audits gewesen, hier wäre gegebenenfalls eine separate Prüfung notwendig.

Relevant in diesem Zusammenhang dürfte sein, dass der Umfang des zu zertifizierenden Angebots durch den Anbieter (in diesem Fall also durch die Post) festgelegt wird. Das ist grundsätzlich sicher das sinnvolle Vorgehen (schliesslich weiss der Anbieter ja, was er zertifiziert haben möchte), öffnet hier aber (bewusst oder ungewusst) ein Hintertürchen, durch welches Teile einer Anwendung quasi ausgeklammert werden können. Hier könnte das Label mit einer klareren Definition des Zertifikat-Umfangs das Vertrauen ins Produkt deutlich erhöhen. Denn es scheint eigenartig, wenn bei der Zertifizierung der Umgang mit Kundendaten anhand mehrerer Kriterien geprüft wird, dann aber das Login (welches prinzipbedingt immer Kundendaten enthält) von der Prüfung ausgenommen wird.

Dass die Argumentation nicht nur aus Kundensicht arg spitzfindig ist, zeigt sich auch darin, dass sowohl das Digital Trust Label wie auch die Post auf den jeweiligen Webseiten klar vom Login für “Meine Sendungen” sprechen.

Bezüglich Opt-Out/Opt-In hält Nicolas Zahn vom Digital Trust Label in seiner Anwort fest, dass sie automatische Opt-Ins tatsächlich als problematisch ansehen. Da ist es dann gleich doppelt schade, dass der Login, d.h. der dafür relevante Teil von “Meine Sendungen”, gerade eben nicht zertifiziert wurde.

Und was meint die Post dazu?

Wie erwähnt formuliert die Post in Kapitel 4 der Datenschutzbestimmungen, dass die Nutzung der Kundendaten zu Werbezwecken nur erfolgt, sofern der Kunde nicht widerspricht. Abgesehen vom kundenunfreundlichen impliziten Opt-In ist ein Widerspruch durch den Kunden natürlich nur möglich, wenn er überhaupt weiss, dass er dieser Nutzung explizit widersprechen kann/muss. In der App selbst ist das ja wie eingangs erläutert eben genau nicht möglich.

Wir wollten von der Post wissen, ob dieser etwas lockere Umgang mit Kundendaten der Geschäftspolitik entspricht und wie denn nun ein App only-Kunde diese Optionen abwählen kann

Nicht ganz unerwartet sieht die Post kein direktes Problem, sondern verweist auf die Möglichkeit, die Zustellung von Werbung via Web oder Kundendienst. Mediensprecherin Denise Birchler schreibt konkret: “Wenn Privatkunden ihre Einstellungen zu Präferenzen oder Datenschutz anpassen wollen, müssen sie das direkt in ihrem Profil unter «Einstellungen» auf der Website anpassen. Das Profil kann in der Post-App stand heute tatsächlich nicht angepasst werden.”

Im weiteren hält die Post (wie schon das Digital Trust Label) fest, dass das Post-Login generell den Zugang zu allen digitalen Post-Dienstleistungen öffne, die Zertifizierung von «Meine Sendungen» durch Digital Trust Label sich aber nur auf die Sendungen beziehe, nicht aber auf das Login selbst…

Fazit

Bei der Zertifizierung des Digital Trust Label zwischen Login und eigentlicher App zu unterscheiden, ist gelinde gesagt schlitzohrig. Wie soll ich mich als Anwender auf ein Label verlassen können, wenn ich zuerst im Detail herausfinden muss, wo genau jetzt die Systemgrenze gezogen wurde und welcher Teil der Lösung vertrauenswürdig ist. Bei Applikationen mit “Meine Sendungen” ist die Unterscheidung geradezu sinnfrei, ohne Login ist diese schlicht nicht nutzbar. Digital Trust Label wäre gut beraten, bei zukünftigen Zertifizierungen auf Systemgrenzen zu bestehen, welche der Wahrnehmung der Anwenderin entsprechen. Der auf der Webseite formulierte Anspruch “Wir wollen Nutzer:Innen ein sicheres Gefühl bei der Nutzung digitaler Anwendungen geben” ist sonst schlicht nicht einzuhalten.

Erfreulicherweise ist aber der Post bewusst geworden, dass Handlungsbedarf besteht. Jedenfalls kündigt Denise Birchler auf Nachfrage an, dass die App-Entwickler momentan prüfen, ob in der App ein Hinweis oder sogar ein Link auf die nur via Web zugänglichen Werbe-Einstellungen integriert werden kann. Das wäre dann gegenüber heute zumindest ein kleiner Fortschritt bezüglich Transparenz. Aus Nutzersicht noch besser, und auch eher im Einklang mit den Digital Trust Label-Kriterien, wäre natürlich ein explizit notwendiger Opt-Out. Vielleicht kommt der ja dann im übernächsten Release…