Verraten und verkauft: Russische Apps melden VPN-Nutzer selbst

Eine im Frühjahr veröffentlichte Untersuchung hat 30 weitverbreitete russische Anwendungen geprüft – darunter Schwergewichte wie Yandex und VKontakte. 22 dieser Apps stellten fest, ob ihr Nutzer über ein VPN verbunden war. Einige erkannten sogar, ob ein VPN auf dem Gerät installiert war, ohne dass es aktiv lief. Das ist die Zahl, die zählt. Nicht die Sperrwelle, sondern das, was sie speist.

Was hier beschrieben wird, ist kein einzelner Spion im Netz. Es ist eine Architektur. Banking-Apps, Kartendienste, Alltagssoftware – sie alle können lesen, ob das Gerät einen verschleierten Zugang nutzt. Die Information kommt direkt vom Endgerät, nicht erst vom Internetknoten. Wer ein VPN einschaltet, hinterlässt in den parallel laufenden Anwendungen einen Abdruck. Der Tunnel ins offene Netz und die App, die ihn meldet, wohnen im selben Gehäuse. Buchstäblich.

Man muss den Mechanismus schrittweise durchgehen, damit er nicht im technischen Jargon untergeht. Eine App kann auf einem modernen Telefon viele Dinge abfragen: installierte Pakete, aktive Netzwerkverbindungen, DNS-Einstellungen. Die Anwesenheit eines VPN lässt sich auf mehreren Wegen feststellen – über die Konfiguration des Routings, über typische Serveradressen, über das Vorhandensein bestimmter Profile. Das ist nicht geheim. Die Android- und iOS-Dokumentation beschreibt diese Wege offen. Was die Untersuchung dokumentiert, ist, dass 22 von 30 beliebten russischen Apps genau diesen Weg gehen. Das ist der Punkt.

Was geschieht mit der Information? Die Studie spricht von „Datensammlung vom Gerät des Nutzers", auf deren Grundlage Entscheidungen über Sperrung oder Durchleitung getroffen werden. Banksysteme, so heißt es in weiteren Berichten, gehören zu den Akteuren, die VPN-bezogene Daten erfassen. Damit verschiebt sich die Frage: Es geht nicht mehr nur darum, was der Provider am Netzknoten sieht. Es geht darum, was die App auf dem eigenen Gerät preisgibt.

Die offizielle Begründung klingt vertraut. Betrugsprävention. Sicherheit. Regionale Compliance. Das sind die Worte, mit denen jede Datenerhebung in jedem App-Store dieser Welt gerechtfertigt wird. Es mag sogar einzelne Funktionen geben, die tatsächlich dem Schutz des Kontos dienen. Was die Untersuchung aber offenlegt, ist nicht die Existenz solcher Mechanismen, sondern ihre Breite. Wenn 22 von 30 geprüften Apps dieselbe Information sammeln, spricht man nicht von Einzelfällen. Dann spricht man von einer Praxis.

Hier liegt das Paradox, über das zu reden sich lohnt. Die VPN-Sperre wird üblicherweise als staatliche Maßnahme erzählt – Filterlisten, Aufrüstung der Telekommunikationsinfrastruktur. Das stimmt, und es ist wichtig. Aber die Sperre ist nur die Spitze des Stapels. Darunter liegen Millionen installierter Anwendungen, die dem Nutzer gehören und gleichzeitig gegen ihn arbeiten. Die Sperre von außen kann ohne die Mithilfe von innen nicht funktionieren. Sie braucht die Daten, die nur die App auf dem Gerät liefern kann.

Das verschiebt auch die Frage nach der Verantwortung. Üblicherweise wird der Staat als Akteur benannt und die Industrie als Lieferant von Werkzeugen. In diesem Fall liefert die Industrie mehr als Werkzeuge. Sie liefert Informationen. Das Wie ist dokumentiert. Das Wer fragt sie ab, wird in den nächsten Wochen zu klären sein. Was bleibt, ist der Vorgang selbst: eine Mainstream-Industrie, deren Produkte den Nutzer klassifizieren, ohne dass er davon erfährt.

Was bleibt dem Nutzer? Technisch einiges. VPN-Clients, die ihre Spuren besser verwischen. Browser, die DNS-Leaks minimieren. Aber das sind Basteleien. Das eigentliche Problem ist nicht technisch, es ist vertraglich. Wer auf „Installieren" tippt und „Ich stimme zu" antippt, gibt die Kontrolle ab. Danach entscheidet die App, was sie mitteilt – und an wen.

Die kommenden Wochen werden zeigen, ob die Sperrwelle sich ausweitet, ob neue Apps in den Befund rutschen, ob Behörden reagieren oder schweigen. Die interessantere Frage ist eine andere: Wann beginnen die App-Entwickler selbst, ihre Praxis zu erklären? Solange sie es nicht tun, bleibt der Befund der Untersuchung das beste Dokument, das wir haben.

Ada Voss, Terminal Tribune. Ich höre Frequenzen, die anderen zu hoch sind. Heute liegt eine davon direkt in Ihrer Hosentasche.