Jeder Klick im Browser

Virenscanner verkauft Daten seiner Nutzer weiter

Schwerer Vorwurf gegen Avast: Der tschechische Anbieter von Antivirus-Software soll Daten über das Surfverhalten seiner Nutzer über eine Tochterfirma weiterverkauft haben. Betroffen sind Hunderte Millionen Nutzer.

Avast, bei vielen für seinen kostenlosen Virenscanner Avast Free Antivirus bekannt, zählt laut eigenen Angaben jeden Monat mehr als 435 Millionen aktive Nutzer. Daten über ihr Surfverhalten sollen im großen Stil an Werbekunden weiterverkauft worden sein, wie jetzt PCMag und Vice unter Berufung auf Insider berichten.

Verantwortlich für den Weiterverkauf der Daten zeichnet demnach die Avast-Tochterfirma Jumpshot. Sie wirbt damit, jeden Klick der Nutzer auf die Millisekunde genau aufzuzeichnen. Gesammelt werden neben Angaben über die Internetadresse (darunter auch aufgerufene Porno-Websites) etwa auch Google-Suchen, gesuchte Orte auf Google Maps, angesehene YouTube-Videos und ähnliches.

Dem Unternehmen nach werden diese Daten anonymisiert. Nutzer eines Avast-Produktes bekommen den Berichten nach bis zu dessen Deinstallation jedoch eine individuelle Geräte-ID zugewiesen, mit deren Hilfe sich Nutzer identifizieren ließen. Jumpshot gibt an, diese ID nicht an seine Werbekunden weiterzugeben, PCMag und Vice wollen jedoch einen Beleg dafür haben, dass die Avast-Tochterfirma sämtliche Surfdaten inklusive Geräte-ID an eine Marketing-Firma namens Omnicon verkauft haben soll. Beiden Medien liegt laut eigenen Angaben ein entsprechender Vertrag vor.

(Bild: Avast)

Prominente Werbekunden
Besonders kritisch: Omnicon soll die Daten wiederum an eine eigene Tochterfirma weiterleiten, die sich darauf spezialisiert hat, Kundeninformationen mit zugekauften Daten zu verknüpfen. „Der Dreijahresvertrag trat im Jänner 2019 in Kraft und ermöglicht Omnicom den Zugang zu den täglichen Klick-Daten von 14 Märkten, darunter die USA, Indien und Großbritannien. Im Gegenzug erhält Jumpshot 6,5 Millionen Dollar“, schreibt PCMag.

Wer sonst noch Zugriff auf die Daten der Avast-Kunden haben könnte, ist derzeit unklar. Jumpshot listet auf seiner Website unter anderem Microsoft, IBM, Google, Unilever oder Nestlé als prominente Kunden. Gegenüber PCMag gab Microsoft an, derzeit keine Geschäftsbeziehungen zu Jumpshot zu unterhalten. IBM leugnete, jemals Kunde von Avast oder Jumpshot gewesen zu sein. Google ließ die Anfrage dem Bericht nach unbeantwortet.

Aufgedeckt hatte die Datensammelei der Sicherheitsforscher Wladimir Palant. Er bemerkte, dass die Browser-Erweiterungen von Avast jede besuchte Website zusammen mit einer Benutzer-ID protokollierten und diese Informationen an das Unternehmen schickten. Die Ergebnisse veranlassten ihn, die Erweiterungen als Spyware zu bezeichnen, woraufhin Google und Mozilla die Plug-ins vorübergehend aus ihren Browsern entfernten, bis Avast neue Datenschutzmaßnahmen einführte.

„Möchten Sie ein paar Daten mit uns teilen?“
Avast betonte gegenüber PCMag in einer Erklärung, „die Praxis, Daten aus den Browser-Erweiterungen für andere Zwecke als die Kernsicherheits-Engine zu verwenden, einschließlich der Weitergabe an Jumpshot, vollständig eingestellt“ zu haben. Dennoch, so PCMag, könne Jumpshot weiterhin über die wichtigsten Antiviren-Anwendungen von Avast auf dem Desktop und auf mobilen Geräten Browser-Historien sammeln. Dazu gehöre auch das Antivirenprogramm AVG, das sich ebenfalls im Besitz von Avast befinde.

Die Datenerfassung erfolgt dem Bericht nach über die Softwarekomponente „Web Shield“, die URLs im Browser scannt, um bösartige oder betrügerische Websites zu erkennen. Nutzer werden demnach per Pop-up gefragt, ob sie optional „ein paar Daten“ teilen möchten. Jumpshot könne seinen Kunden „vielleicht“ Einblick in diese anonymisierten Informationen geben.

PCMag wird seinen Lesern das vermeintlich kostenlose Avast Antivirus Free jedenfalls nicht länger empfehlen. Denn sie bezahlten in Wirklichkeit mit ihren Daten, so das Magazin.