App-Entwickler geraten ungewollt in Datenschutzverletzungen hinein: Eine gründliche Studie aus den USA belegt, dass zahlreiche Werbe-SDKs (Software Development Kits) standardmässig Standortdaten von Nutzern an Werbenetzwerke und Datenbroker weitergeben, ohne dass Entwickler dies explizit in der Anwendung einschalten müssen. Dieser Standard-Verhalten ist oft nicht transparent dokumentiert oder wird im Kleingedruckten versteckt.
Die Forscher identifizierten mehrere Ursachen für dieses Sicherheitsleck. Zum einen sind die technischen Dokumentationen der SDKs häufig unklar oder unvollständig. Entwickler verstehen nicht, welche Berechtigungen und Datenströme automatisch aktiviert sind. Zum anderen üben die SDK-Anbieter impliziten Druck aus: Wer möchte, dass seine App durch Werbeeinnahmen finanziert wird, muss sich oft mit vorgegebenen Datenschutz-Standards arrangieren.
Für KMU-Kunden und ihre IT-Abteilungen hat dies erhebliche Konsequenzen. Wenn Unternehmen eigene Apps entwickeln oder externe Entwickler beauftragen, müssen sie jedes einzelne verwendete SDK auditieren. Dies ist zeitaufwendig und erfordert tiefes technisches Verständnis. Gleichzeitig kann die unbewusste Nutzung solcher SDKs zu Datenschutzverletzungen führen, was Compliance-Probleme mit DSGVO oder vergleichbaren Regulierungen mit sich bringt.
Best-Practice für Entwickler ist daher: Alle SDKs vor Integration prüfen, Standort-Berechtigungen explizit deaktivieren, wenn nicht notwendig, und Nutzerdaten-Richtlinien in Datenschutzerklärungen aktualisieren. Unternehmen sollten ihre Entwickler zu diesem Thema schulen und eine Policy etablieren, welche SDKs zulässig sind und welche nicht.