Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von Trint und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/1180 Danke!
Gut, dann beginnen wir mit dem nächsten
Vortrag Check
me if you.
Oh,
wer von euch kennt die Bluthunde
MAC-Adresse seines Telefons
auswendig?
Ha, wer von euch
weiß nicht, ob die sich ändert?
Ein, zwei.
Wer von euch kennt die WLAN MAC-Adresse
seines Telefons auswendig?
Keiner. Wer von euch ändert die
gewohnheitsmäßig?
Keiner oder so gut wie keiner.
An der Stelle kommen Clemens
Hopfner und Jinx Claudia
ins Spiel.
Die beiden werden uns jetzt erklären, was
große Firmen mit diesen Daten
machen, die man aus Mobilfunk
Geräten, zum Beispiel Handys.
Manche nennen sie auch liebevoll
persönliche Wanze daraus gewinnen
kann und was man daraus für
monetäre Vorteile ziehen kann.
Ein Applaus für die beiden bitter.
Hallo!
Schönen guten Abend!
Hallo!
Ja, das ist denn Typekit.
Wir erzählen uns ganz kurz, warum wir
hier sind und warum wir das sagen können,
was wir hier sagen.
Mein Name ist Claudia Koch.
Ich habe unter anderem auch den
Datenschutz Podcast.
Macht ein bisschen was zum Thema
Datenschutz.
Und ansonsten habe ich mich knapp
sechs Jahre in der als Projektmanager
in der Webentwicklung verbracht und habe
da viele Dinge gesehen, was so
an Tracking auf verschiedenen Seiten
eingebaut wurde für verschiedene
Gerätschaften.
Und ja, ich bin jetzt
seit 2016 beim Chaos Computer Club
und sehe jetzt gerade noch
viel mehr davon.
Und das ist ganz schön fucking gruselig.
Ja und mein Name ist Clemens
Opfer. Ich bin schon länger
beim Wiener Freifunk Funkfeuer
ist das bei uns
tätig und beschäftigt
mich auch beruflich mit Samwer
Entwicklung Richtung Open Werte
embedded Entwicklungen kommen eigentlich
aus der Elektrotechnik und irgendwie
hat's mich in die Netzwerke und Software
China verschlagen.
Und wir machen
zusammen auch seit 2016
die Privacy Week in Wien
als Karlsruhe oder Wien.
Und irgendwie wollten
wir schon länger mal was machen zum Thema
Offline Tracking, weil es gibt dazu
relativ wenig Informationen
und das mal zusammentragen.
Ähm und
bei mir ist das Thema auch beruflich mal
aufgekommen und ich habe
mich damit auch schon näher beschäftigt.
Deshalb, gerade weil man
so wenig dazu findet,
dachten wir, wir haben interessant.
Ich hatte halt auch beim vorletzten
Job wurde ich gezwungen
mich mit ja werbetechnisch
im Web Bereich näher auseinanderzusetzen,
Werbebanner und so weiter.
Was einer der Gründe ist, warum es auch
jetzt nicht mehr mein Job ist
ja offline Tracking
bei
Spoiler unter
offline verging, findet man quasi
nix.
Also wenig Trigger Warning.
Es wird jetzt gleich ganz viel Marketing,
sprich
was man halt tatsächlich findet oder
worunter man halt entsprechende
Technologien findet.
Seht ihr hier Location based Services,
Big Data Location
Analytics for retailer.
Das ist der Marketing Sprech
von Cisco
Consumer Data Industrial
Cross, die weiß diese Identifikation.
Mobile Opportunities, das ist das von
Google.
Mal hier noch Data Mining
Mobil über Typekit
Data Treffen Marketing
was haben wir noch da oben?
The Rise of Geo Local and
Hyperloop Core war eine hübsche
Zwischenüberschrift in einem Artikel.
Das heißt, wenn man sich mit dem Thema
auseinandersetzt, braucht man
eine gewisse Stressresistenz,
was Marketing Sprech angeht.
Man findet tatsächlich relativ viele
Informationen in Werbebroschüren
von Werbe Anbietern,
also was sie tatsächlich tun wollen.
Und aus meiner Erfahrung jetzt vom
vorletzten Job weiß das tatsächlich
auch nicht sehr von dem ab, was
sie dann letztendlich tatsächlich tun.
Und das Interessante dabei ist auch,
dass Print Broschüren von den Firmen
üblicherweise wesentlich mehr
Informationen beinhalten, als was sie auf
der Homepage steht.
Seht gerade auf der Homepage des
üblicherweise ja bla irgendwas
mit Location in den Werbebroschüren
steht dann doch noch ein bisschen genauer
drin, wie das tatsächlich funktioniert.
Gut, damit uns jetzt nicht völlig
schlecht wird, sagen wir weiter offline
Tracking am
und dem begegnet man üblicherweise
in Shops, also wo auch immer ihr halt
in so einen Laden reingeht, auf
Einkaufsstraßen, Straßenverkehr,
tatsächlich durch Verkehrsbetriebe,
Bahnen etc.
und an ganz vielen anderen Stellen.
Gut.
Genau wer oder was
wir haben.
Fangen wir mal ganz außen an, wer oder
was trägt euch?
Natürlich einmal die Mobilfunker, wo ihr
jetzt mit eurem Telefon in deren Netz
euch aufhält, hat da
jetzt nicht so viel ein zweites
Geräte und oder Betriebssystem Hersteller
nach ERP Hersteller
ähm WiFi.
Wenn ihr WiFi aktiv nutzt, also
aktiv anschaltet, irgendwo ein
öffentliches Netzwerk nutzt,
WIFI passiv.
Das heißt, wenn ihr das weiter
aktiviert habt, aber euch nicht in
irgendein Netz eingeloggt.
Lotus Kartenzahlung, Kundendaten,
Video-Überwachung und alle möglichen
Dinge, von denen wir jetzt noch nicht
wissen, dass wir sie auf dem Schirm haben
sollten.
Für Mobilfunkbetreiber gibt es gerade
eine Studie von diesem Jahr, dass es in
dem Fall eine für Österreich
die Kurzfassung ist.
Österreichische Mobilfunker benutzen und
vermarkten die Bewegungsprofile der
Kundinnen.
Ob dort Möglichkeiten so
mittel bis
nicht vorhanden ist, glaube einer von
denen lässt es tatsächlich zu.
Alle anderen nicht, die
die URLs bzw.
Adressen von den einzelnen Studien und
was wir so zitieren, haben wir in den
Slides unten drin.
Die können wir dann auch gerne zur
Verfügung stellen. Dann könnte ihr alles
auch noch mal selber nachlesen.
Ich empfehle vorher einen Schnaps.
Google Standortdaten
Wer hat es noch nicht mitgekriegt dieses
Jahr?
So ganz neu ist jetzt noch nicht.
Google trägt Standorte
der Nutzer ihrer Services,
völlig egal ob Android und iOS.
Auch wenn es,
wenn es keine bzw.
wenn es eine App, einen aktiven
Widerspruch dazu gab.
Da gibt es einen längeren Artikel
bei der futurezone und einen
auf netzpolitik.org.
Ähm. Wie gesagt, Mails sind
dann auch da.
Kann man sich dann noch mal in Länge
durchgeben.
Ähm, wir gehen jetzt kurz über solche
Sachen drüber, weil wir dann nachher zu
WiFi und Bluetooth noch mal im Detail
kommen.
Apple wichtige Orte.
Wer hat hier ein iPhone?
Se Hände?
Gut, wer hat wichtige Orte
ausgeschaltet?
Okay,
deutlich weniger.
Wir haben 100 Leute gefragt,
um genau zu sein. Eigentlich primär die
Menschen, die gerade am Tisch saßen, als
wir das Licht ausgemacht haben.
Sag mal, hast du eigentlich diese
wichtigen Orte bei dir an?
Antwort war Ich habe ja kein Problem,
wenn Apple weiß wo ich mich aufhalte.
Aber ich will jetzt echten Problemen dir
diesen Screenshot zu geben,
sollte man mal drüber nachdenken.
Also das ist ein Screenshot eines
befreundeten Hackers.
Treibt sich halt auch um.
Na ja.
Komm wir jetzt mal zu allen anderen, was
sie sonst so machen.
Oh Wunder, Reklame,
Reklame.
Ganz kurz nur drei Zitate, einmal von
der Zeit.
Der Artikel ist von 2017.
Da wurde das schon mal aufgenommen mit
Ultraschall, Bluetooth und Sensoren.
Immer mehr Tracking Technologien
in diversen
Einkaufszentren und so weiter.
Es gab das ganze auch im ZDF,
das es ebenfalls September 2017
ausgesprochen spät im Supermarkt.
Also das Thema ist offensichtlich
ausreichend groß, dass es auch in die
Medien so kommt.
Und dann hätten wir noch auch Tracking
im Supermarkt. Der ist jetzt von Februar
2018,
wie Händler ihre Verkäufe durch
Kunden Ortung ankurbeln wollen.
Das heißt, Sie haben ein ziemliches
Interesse daran zu sehen, wer
steht wie lange vor welchem
Regal und
rechnen dann halt auch zurück.
Sind die Leute kaufkräftige oder nicht
so? Wollen wir die jetzt vielleicht
irgendwie in die Abteilung für die
teureren Lebensmittel schicken oder
eher in die Diskonter Abteilung?
Da ist schon recht viel
wollen dahinter.
Katalogisieren.
Wer hat schon von Data Logic gehört?
Ich sehe eine Hand.
Wer von euch hat eine Kundenkarte?
Ich habe eine zweite.
Ich sehe tatsächlich sehr wenige Hände.
Diese.
Okay, gut.
Data Logic ist ein Anbieter.
Die machen primär.
Also es steht ja da auch schon ganz schön
Latex Connect Offline Purchasing
Data tötet Code Media
Plus Audience Targeting and
Sales Impact Data
Logic Aggregate Sample Schweiz
Insights an Uwe Timm
Trillion Dollars in Consumer
Spending Wir
haben das jetzt mal kurz übersetzt 2
Trillionen sind 2 Billionen
Dollar, sind 2000 Milliarden
Dollar und die
diese Einkäufe in diesem
Segment mappen Sie jetzt
auf einzelne
Konsumenten Ströme
am Data Logic
2014 von Oracle gekauft worden.
Das heißt, wenn man jetzt ein Oracle
Tracking in seinem Laden einsetzen
möchte, hat man diese Technologie,
die Data Logic zur Verfügung stellt,
quasi direkt mit dabei.
Genau und
im selben Artikel das ist übrigens
eine Presseerklärung auf der Oracle
Webseite zum Kauf von Data Logic.
Es geht um Personalfluktuation Across
Digital, mobil, offline
and TV
with Data Matrix Oracle Data
Cloud will be live
the request understanding aus konsumierst
across the Bild dazulernt
kritisch channels based on what
do what we say
ahnt what dabei.
Das heißt, sie führen mal einfach alles
zusammen, was Sie irgendwie kriegen
können.
Also nicht nur alles, was wir
halt im Netz so tun, sondern auch alles,
was wir sonst so tun.
Und auch interessant, was jetzt nicht
Teil des Tags sein wird.
Aber nur um noch mal darauf hinzuweisen
Smart TVs werden natürlich auch.
Und was man öfter sieht, ist zum
Beispiel da to major man
sich immer hinter Aktion.
Einige Hersteller versprechen tatsächlich
ein wirklich sehr hoher Prozentsatz
der Leute zu tracken.
Wie gut das funktioniert, ist immer
fraglich, aber vom Fall,
vom Marketing her, meiner Meinung nach
kann das auch schon gefährlich sein.
Eigentlich.
Facebook spielt natürlich auch mit.
Kennen wir das?
Ein Artikel von 2016.
Wie gesagt, nichts Neues.
Facebook weiß, wo man sich aufhält.
2 2 18 Mai war jetzt gerade
Anfang Dezember
der Artikel.
Es gibt neue Patentanmeldungen
von Facebook, die halt aufgrund
3 dreier Technologien,
die sie jetzt patentiert haben,
vorhersagen wollen, wo man sich
aufhalten wird.
Das heißt, da ist ein Teil mit NFC,
einer mit halt auch andere
Leute vielleicht, mit dem man befreundet
ist oder wo jetzt gerade ein großer
Menschenstrom ist.
Das wird eben auch alles direkt
mit verwertet.
Und wer kennt die Seite mobil?
Ich sehe noch keine Hand.
Keiner kennt.
Okay, das ist eine ziemlich coole
Webseite. Ist der Punkt Mobile Flash
Panoptikum funktioniert leider nicht
gut mobil, weil sie sehr viel Ressourcen
braucht.
Man hat aber schön raus, wenn man in
dieses Suchfeld eingibt eine Android
App. Ja, man gebe Android
App Name in dieses Suchfeld
ein und bekommt dann angezeigt, welche
Tracker eingebaut sind.
Im Falle von Swift Key ist
eingebaut Crash Lütkes Okay.
Und Facebook Tracking.
Das heißt, wer die Android App
Swift Key benutzt, um schneller
zu tippen, sendet halt ständig Daten
an Facebook,
Pinterest, ebenfalls Facebook,
Twitter, Brand, Crash,
just.
Facebook Messenger Facebook
teilen nicht gern.
Tatsächlich erstaunlich Daten sparsam
Wanderwitz.
Meine Vermutung ist jetzt auch aus.
Wie gesagt mit Entwicklungs
Erfahrung.
Wenn man jetzt diese Tracker in die
Android-Version einbaut,
werden sie wahrscheinlich in der iOS
Version nicht fehlen.
Ja, my Brutus.
Worüber wir eigentlich reden wollen,
also quasi das war mal!
Was gibt es allgemein als Location
Tracking?
Vor allem aktives.
Ähm.
Daneben hat sich noch ein ganz anderer
Markt entwickelt, der eigentlich mit
im Endeffekt euren Kommunikationsdaten
arbeitet.
Zur Frage Was ist eigentlich alles
betroffen?
Wir haben uns mal aufgeschrieben, was
darunter fällt.
Die Liste geht vor allem mit
der mit IoT noch
ins Unendliche weiter.
Da könnte man problemlos Kühlschränke,
Kaffeemaschinen, Schlüsselbund,
Anhänger hier diese Dinger
genau Zahnbürsten etc.
weiterführen.
Einhörner ist die Barbara da mit ihrem
gehackten Einhorn
ist gerade nicht okay.
Und zwar basiert
das auf einer.
Also wir schauen uns vor einem
speziellen WLAN Tracking an.
Weil ich mich damit beschäftigt habe.
Und WLAN Tracking hat sich eigentlich in
den letzten Jahren ziemlich durchgesetzt.
Davor gab es ein bisschen Bluetooth
Tracking, das halt auf Bluetooth Hello
Messages.
Im Endeffekt passiert sehr ähnlich,
wie sich Geräte als Luxus Geräte finden.
Ähm. Nachdem
immer mehr Smartphones im Endeffekt im
Umlauf sind, hat sich
WLAN Tracking relativ stark durchgesetzt,
weil das im Endeffekt in
jedem Access Point geht.
Und nachdem so
ca. jeder Shop aktuell
sowieso gerne einen Kunden WLAN hätte,
dann ist das halt ein Abfallprodukt.
Also dass Kunden WLAN.
Ähm,
beides zusammen ist wahrscheinlich schon
über 10 Jahre alt.
Also so Bluetooth Tracking
habe ich mir mal, ist mir das erst
einmal untergekommen bei Festivals.
Das ist wahrscheinlich so ca.
15 Jahre her, als es die
ersten Telefone Feature für uns mit Luxus
gab.
WLAN Tracking ist sicher
auch schon gute 10
Jahre in den Anfängen.
Ähm, wie funktioniert das
Ganze? Und zwar
nicht exakt im technischen Detail jetzt,
sondern eigentlich wollen.
Möchten wir mal erklären, wie das ein
bisschen funktioniert.
Wir haben im WLAN Standards,
sogenannte Requests.
Das ist ein Management Paket,
das jeder Client daraus checkt.
Im Endeffekt um aktives Screening zu
machen.
Das ist eine Broadcast Anfrage
und heißt im Endeffekt nichts anderes als
bin ich zu Hause.
Also ich frage meine Umgebung bin ich
gerade zu Hause? Und wenn mir ein
bekanntes Gerät antwortet, dann weiß
ich okay.
Ich bin offensichtlich zu Hause und kann
mich in meinen Access Point einloggen.
Grund dafür ist, dass
es definitiv Stromsparen da.
Als wenn ich jetzt eine Sekunde zum
Beispiel in jedem WLAN Kanal reinhauen
reinhören muss, um
ein Access Point Beacon
zu empfangen haben, weil
Narayen direkt auf Prop Request
schicken. Die Access Points halte ich
direkt ihre Beacons.
Das heißt, innerhalb von einer
Millisekunde oder zwei Millisekunden weiß
ich Okay, in meinem Umkreis ist
kein Access Point, der für mich
interessant ist. Das heißt, ich kann mein
WLAN wieder schlafen legen.
Gleichzeitig wird es verwendet zwischen
Access Point im Wechsel.
Wenn ich nämlich am Rande einer Access
Point Zelle bin, dann
möchte ich eigentlich als
als Gerät bzw.
als WLAN Chip schon wissen, mit welchem
Access Point ich mich demnächst verbinden
kann.
Roaming funktioniert im WLAN nämlich
auf kleinen und nicht auf Access Point.
Es gibt so einen Trick oder ein paar
Tricks, wie man das ein bisschen auf das
Prinzip steuern kann.
Aber eigentlich sagt der Client, weil ich
ein Access Point als nächstes
gerne hätte.
Und der letzte
Punkt Weshalb ist dieser Request
auch? Gibt es versteckte Smilies,
also Access Point, die keine
Bitcoins aussenden?
Da muss der Client halt aktiv fragen
Ist der Access Point gerade da?
Also bin ich zu Hause.
Und wenn der Exponent sagt Ja, du bist zu
Hause, darf sich bei mir einloggen.
Am Anfang kommt eigentlich
erst diese Verbindung zustande,
was es in so einem Frame enthalten,
dass das grundsätzlich die MAC-Adresse
des anfragenden Clients Billets.
Also was unterstütze ich?
Eventuell Kanäle
von 2,4 GHz unterschiedlicher
Client, aber auch
welche Modulationen 812
I, BG oder was
auch immer unterstützt.
Und wenn das
fehlt, was oft auch noch drin ist, das
Gesuchte, es ist dies dann weiß.
Und dann wissen die Access Points
nämlich, womit
sich der Client eigentlich verbinden
möchte und brauchen nicht mal Antworten,
wenn ich als nächstes.
Dieser CD oder dieses Netz gar nicht
ausstrahle ähm,
es ist ganz interessant, die meisten
Kleinen zu machen, das ist halt ein
massives Privacy Leak, weil
die WLAN Geräte einfach permanent
ihre mehr oder weniger
ihre WLAN Liste Brotkasten
und
die ist soweit ich weiß eigentlich pro
Gerät auch unique.
Also selbst wenn wir jetzt viel zusammen
unterwegs sind, es ist halt doch nicht 24
Stunden die wir so rumrennen und immer im
selben WLAN und bei uns einloggen,
sondern letztendlich lässt sich
dadurch durch eine solche Liste halt
wieder auf ein spezielles Gerät und
dadurch halt auch durch ab oder auf eine
spezielle Person zurückführen.
Genau, vor allem auch im Zusammenhang mit
den, wenn das wegfällt.
Das heißt, ich habe eventuell Felder, die
kann ich nicht dekodieren.
Aber ich weiß, wenn ein Gerät
mit ähnlichen Daten wiederkommt, dann
ist die Chance groß, dass es dasselbe
ist.
Diese Prob Requests werden je nach
Client Implementierung und je nach Power
Saving mehrmals die Minute ausgestrahlt,
zum Teil sogar mehrmals innerhalb von 10
Sekunden.
Und das, obwohl der Client nicht
verbunden ist mit einem Access Point.
Das kommt darauf an, sehr stark auf die
Geräte.
Smartphones verhalten sich da anders als
Laptops.
So ziemlich das Schlimmste, was ich
gesehen habe, war glaube ich an eine
Switch, die alle 2 3 Sekunden
so gut 5 Pakete rausgeschmissen hat
und einfach mal nachgefragt, ob
irgendwo ein Exponent im Umkreis des
Velos mit einem Nintendo Switch durch die
Gegend.
Ich sehe keine anderes gut.
Gleichzeitig wird es auf
mehreren Kanälen oder allen Kanälen der
Broadcast. Natürlich möchte ich die
Access Point zu erreichen haben zu
Themen, zu denen ich mich hin connecten
möchte. Das heißt, der Client geht
üblicherweise in seine Kanal Liste durch
und fragt bei jedem Kanal an.
Das heißt aber gleichzeitig, wenn ich
Tracking aufgrund der diesen
diesen Request machen möchte,
dann brauche ich nicht nur einen Haufen
Access Point, sondern dann reicht mein
Eignern ein einziger auf einem Kanal.
Weil die Chance ist sehr groß, dass sich
das der Client auf dem Kanal einfach mal
Props senden wird.
Was noch dazu kommt ist Management Frames
werden immer mit sehr niedriger
Bandbreite gesendet, damit sie einfach
Kommunikation sauber und sicher
statt sicher im Sinne von
mit hoher Reichweite und wenig
Verlust stattfinden kann.
Das heißt auch die, die
selbst wenn euer WLAN zu Hause nur
20 Meter weit geht, weil er danach keine
Bandbreite mehr habt, Management Frames
ein paar Hundert Meter.
Das heißt, das kann, selbst wenn man
in der Straße eventuell nicht direkt an
einem Geschäft vorbeigeht, geht nur, wenn
man daran schräg vorbeigeht oder so
im Umkreis von ein paar Hundert Metern
ist das sehr leicht da aufgeschnappt
zu werden.
Also das auch als Hinweis, dass es ein
Produkt, was man als Shop Anbieter.
Wenn ich jetzt so eine Filiale von
irgendwas habe,
kann ich mir jetzt tatsächlich einen
Anbieter suchen und sagen Hey, ich würde
ganz gerne wissen, wie viele Leute stehen
da jetzt draußen bei mir auch an diesem
Schaufenster und welche
von denen kommen hinterher rein ins
Geschäft?
Das kann man tatsächlich normal buchen.
Das ist dann halt meistens so eine WLAN
Tracking, dass man sagt Okay, anhand
von abgeschalteten WLAN
Geräten können wir jetzt halt rausfinden,
wie viele Leute stehen denn da wie lange
vor diesem Geschäft?
Wie oft kommen sie da vorbei und welche
von denen kommen später rein?
Und vor welchem Regal stehen sie dann für
wie lange und kaufen sie hinterher dann
tatsächlich auch was?
Also letzteres wird dann halt auf
Kundenkarte gemappt.
Ja, oder? Oder
Kartenzahlung erniedrigen von Zahlen.
Kannst du das auch mit Timestamp machen?
Ähm.
Was in den letzten Jahren sich dann
durchgesetzt hat, war die Idee Dann
machen wir doch Reklame, denn dann machen
wir doch weg.
Das heißt, die MAC-Adresse, mit der wir
Frames ausschicken, wird einfach
regelmäßig gewechselt und wir verwenden
nicht die MAC-Adresse, die unser Gerät
eigentlich hat.
Das wird seit Android 6.0
unterstützt. Windows 10 und Linux
318 hat es grundsätzlich
drinnen. Bei uns ist es auch schon länger
drinnen.
Es ist aber relativ
klar, schon durch einige Studien,
dass sich das vergleichsweise easy
umgehen lässt.
Als Einzelner als einfaches Beispiel Die
meisten Geräte antworten mit ihrer echten
MAC-Adresse, wenn man auf ihre falsche
MAC-Adresse eine Antwort
Paket schickt.
Das ist dann zwar nicht mehr passiv, aber
wenn ich eh schon ein Access Point bin,
der beliebige Pakete schicken kann,
dann kann ich auch einfach auf Clients,
die mich interessieren, antworten und
sagen Hey, vielleicht möchtest du dich
bei mir einloggen und das Gerät antwortet
dann mit seiner MAC-Adresse, die
im Gerät eingebrannt ist
wird.
Das stellt dann eine Frage Wer trägt mich
jetzt eigentlich genau?
Die Antwort ist
also einmal sind
es Infrastruktur, Anbieter,
Shopping Malls, Einzelhandel, Hotellerie,
Tourismus, Gebiete, Werbe,
Dienstleister, davon sehr viele
Verkehrsbetriebe.
Erschreckend viele sind Städte
und Verwaltungen tatsächlich
arm.
Die Frage ist, wer steckt
dahinter? Das heißt, es kommt
ja jetzt nicht irgendwie eine
Stadtverwaltung und sagt
Wir haben jetzt gerade mal so ein paar
Millionen, aber wir entwickeln so was
selber, sondern
normalerweise wird das halt an Dollar
Dienstleister rausgegeben und dollar
Dienstleister sind dann so
vorhin genannt Oracle IBM.
Da gibt es dieses tolle Watson,
Personality Insight,
Cisco, Facebook, Apple, WiFi,
Google an Wert
und ja, noch so ein paar.
Ähm. Grundsätzlich
ist das Problem vieler von den
Firmen, die sich als
von einer Dritt Firma vor
einer Lösung einkaufen, wissen
selber nicht wie es funktioniert.
Die wissen nicht, dass da tatsächlich
offline Tracking so passiert, sondern
location based Services.
Das ist grundsätzlich was,
womit die Leute halt nicht wirklich
DDoS das Einkaufen ein Gefühl haben,
wie so was passiert, welche Daten da
verarbeitet werden und wie das
Privatsphäre Privatsphäre
mäßig aussieht.
Ein gutes, ein
ein gutes Merkmal, wie man so was auch
erkennt. Erst alle diese Firmen, die
checken. Wir haben nachher noch ein paar
Beispiele, schreiben sich sehr stark
drauf, dass die DSGVO kompatibel sind.
Und zwar ausschließlich.
Vor allem je stärker die Firmen das
machen, umso stärker werben sie damit
um.
Zum Thema Städte und Verwaltung Die
wollen eventuell gar nicht wissen,
wie es hinter Besucherströme oder so,
da geht es zum Teil auch einfach um
Erkennung. Da haben wir nachher noch ein
Beispiel.
Oft geht es tatsächlich nicht um
Tracking, aber die Methode, die verkauft
wird, ist halt dieselbe.
So, jetzt gucken wir mal, ob das mit
diesem Video funktioniert.
Ähm, ein Kommentar davon.
Das ist ein Anfang eines Werbevideos von
Cisco am.
Das fand ich relativ schön.
Als Beispiel, wie sich solche Firmen
das eigentlich vorstellen,
was sie da eigentlich verkaufen.
Geht das was nicht?
Sollte das nicht spielen
im.
Also wir sehen normalerweise etwas
Großes.
Es ist natürlich genau.
Williams stieg sofort ins
Licht.
Dinge mit real time interaktion mit denen
genau wisse die Experience will never be
the same gern.
Ähm. Fand ich relativ schön, weil
er so schön zeigt.
Vor allem mit diesem ist es gut.
Danach ist es gut danach, dass wir
anonym und in öffentlichen Räumen bewegen
können.
Die Frage finde ich von einer Firma
relativ, die so was, die
das als Frage stellt, relativ
interessant.
Vor allem weil es eine sehr große Firma
ist, die halt wirklich einen sehr
großen Marktanteil in dem Bereich hat.
Also wenn man sich halt jetzt ein
bisschen darauf einlässt und nicht nach
Offline Tracking sucht, sondern nach den
vorhin genannten Buzzwords, findet man
eine ganze Reihe an genau solchen
Werbevideos von Anbietern,
die genau so etwas tun.
Und zwar nur als Hinweis.
Wir haben uns nicht,
weil wir Cisco nicht mögen, Cisco
rausgesucht.
Cisco hat tatsächlich dazu relativ
schöne, bunte Dinge, die man
nicht herzeigen kann.
Das ist natürlich Marketing.
Für die andere sind wir ein bisschen
heikler mit Ihren Daten.
So Tesco mehr Raki, das
ist die Cloud-Lösungen, Francesco.
Das heißt, da gibt es keinen Controller,
den ich seit habe.
Da bietet das natürlich auch an.
Das heißt, wenn jetzt Disco mehr Raki hat
und dieses Feature eingeschalten hat,
dann steht in eurer Datenschutzerklärung
hoffentlich auch drinnen, dass ihr
die Daten auch an Cisco weitergibt.
Natürlich bieten alle Hersteller
von Infrastruktur die,
die sowas grundsätzlich unterstützen,
Episoden um, dass
auch um diese Daten noch abzugreifen.
Und zwar mit voller MAC-Adresse und
mit voller Empfangs Stärke.
Das Interessante daran ist In der
Datenschutzerklärung von Cisco steht
drinnen, dass sie meckert, nur
anonymisiert und es jetzt speichern
und nicht vorher und auch Teile der
MAC-Adresse entfernen.
Über das API bekomme ich die MAC-Adresse
trotzdem raus, als Hinweis,
dass es einfach nur ein Cisco Narayen.
Das ist einfach nur ein Screenshot
von mir.
Raketentest kommen und zwar Location
Analytics API heißt das,
das ist ein öffentlicher, eine
öffentliche Website.
Ein anderer Hersteller hat da eine
sehr nette Übersicht
über Firmen.
Die Location, mit der die Daten
von Location Tracking verarbeiten,
werden die meisten von euch kennen.
Ich glaube, der Großteil des
Kongresses wird mit der Rubrik Sessions
abgedeckt und
erklärt es mir ein bisschen auf der
Website ins Auge gestochen,
weil da steht nämlich.
Dabei werden ausschließlich anonyme,
nicht personenbezogene Daten erhoben.
Zeigt man diese anonymen, nicht
personenbezogenen Daten.
Das sieht man auf der Rückseite Carsons.
Also wir haben Emailadresse im Overlay,
die Name, Alter,
Leitwert und wir selbst haben
und offline Testreihe.
Also quasi das Ganze einmal
zusammengefasst
und erklärt, dass auch ein relativ großer
Anbieter, der
in seiner Datenschutzerklärung drin
steht, hat, dass
er natürlich auch Daten von anderen
Firmen einkauft und zusammenführt.
Bei Cisco kann man ein Opt
out machen zum WLAN Tracking, das heißt,
man gibt es da auf einer Maske seiner
WLAN MAC-Adresse ein
und muss dann Captcha lösen.
Bei Euclid geht das Update natürlich
auch. Man muss allerdings zwingend seine
E-Mail-Adresse angeben,
was ich auch unschön finde.
Das Problem ist jetzt erst mal, um
überhaupt bis dahin zu kommen als
Kunde.
Also woher soll ich wissen,
dass jetzt das ich bei Euclid
updaten könnte oder sollte,
wenn ich einfach nur mal eine
Einkaufsstraße lang gegangen bin?
Genau das Problem ist halt, es gibt
hunderte von diesen Firmen, die genau
diese Dinge machen.
Und das ist als Kunde oder auch als
Privatperson einfach, selbst wenn man
nicht in Shops geht, nicht möglich
festzustellen von wem werde
ich gefragt? An welche Firmen wird es
weitergegeben?
Was passiert damit eigentlich?
Und eventuell sogar mit welchen Apps,
die auf meinem Handy laufen?
Werden die Daten abgeglichen?
Weil diese Daten kommen natürlich zum
Teil auch aus
anderen Datenbanken oder von Handy
Apps.
Eine Handy-App kann möglicherweise die
MAC-Adresse je nach Typ Geräte Typ
auslesen und deshalb weiß ich dann
relativ sicher Okay,
Person hat Facebook installiert mit der
Facebook, die hat die MAC-Adresse
und die war genau zu den Zeiten
in welchem Shop.
Dann haben wir noch ein
Video von Cisco und
zwar.
Tu das!
Stores, Shops,
Hotels, Airports
und du bist dieses Jahr beim Projekt
United Make the most Outer
Space Revenge ein
sein drei Sterne
Business bei Batterien Dallinger
Behavior UK Gleiche
Stärke hast du mit
Cisco Connected Experience Experiences
Typekit Sensei bei Detektivin
Nano Mystery Tracking, WiFi Signal
from Smartphones und Tablets
und den Kärcher
kann man z.B.
nur Weltnetz.
Des Römischen Reiches
Disco und Kita Kopenhagen Airport
using ActionScript Fragen
der Credit Threat Maps
and Francisco
Overlay Hamburg-Mitte
Terminals.
Das Diskos Röhrchen ist heute
anders als
lose Movements.
Der Termin der Most Carmelo ist Rilke
and Welty Primarius.
Wer von Kanada der jeweiligen Person
ein Trikot Aggregat der Mouvement air
force to the terminal Karnevals
and realtime areas.
In einer Disco in CETA
Kopenhagener Index des Historical
Dada Tuvalu stand
Whitmore den Toni Million Traveler
US-Präsident vor Kopenhagen
Airport NC kleidete wie Trans
Tropical Seasons
in den Hahn der
Impuls gepasst.
Management by Justin
Myers.
Jene Storen, Securitys, Tafeln.
Einladende der Bitte gegen Barlachs.
Das Ressort der Polizei wurde service
später einmal
Kostenfaktor bei.
Cisco Connected Experience ist
der Tower Wells Junior, WiFi
Network to Customer
Behavior
ist und wird es in
Relation
verlieren.
Ein Happy
End Zwilling des Band
Cisco Connected Mobile Experience
ist am Magic Notice der
Information Wir sind
gut.
Es wird nicht besser, wenn man es länger
guckt.
Also ähm.
Noch ein kurzes, oder?
Meine Überlegungen, die ich dabei hatte
bei dem Video ist Es wird am Anfang
erklärt, das sind anonyme Daten.
Gleichzeitig kommt später, dass es
historische Daten gibt und dass die
Personen genau tracken können.
Die zwei Dinge passen halt nicht
zusammen.
Viele von diesen Herstellern werben
damit, dass es anonyme Daten sind.
Wenn man halt im Zweifelsfall was dazu
kauft und das Ganze auf Kartenzahlung.
Im besten Fall sind es Pseudonyme Daten.
Weil selbst wenn ich nur einen Teil der
MAC-Adresse spreche, ich speichere es
irgendwie Herrscher oder so.
Die Chance ist groß, dass ich es eben
wieder zurückführen kann.
Es gibt ein Paper zum Problemen mit
MAC-Adresse.
Das ist auch ganz interessant, wenn man
sich das durchlesen möchte, falls man
seinen Fall tatsächlich hat, wo man so
etwas implementieren muss.
TLDR Das Papers ist.
Es gibt nur sehr, sehr wenige Wege, das
tatsächlich gut zu machen.
Und die meisten machen es falsch.
Er hat schon von Bonds Bluetooth
Strategien gehört.
A paar Hände.
Das ist ein Screenshot der Website,
das heißt, die Stadt wirbt, er wirbt
aktiv damit.
Ja, also mittels Bluetooth
Technologie gibt es im
Freisprecheinrichtung Audio, Radios,
Navi Systeme, Laptops, Notebooks,
Tablet-PCs, iPods, Smartphones
und so weiter.
Hier die beliebten Bluetooth Kopfhörer
würde ich da jetzt gleich noch mal mehr
dazu tun.
Wer hatte das Autoradio auf dem Schirm?
Ha, per Handy.
Okay, gebe ich zu, hatte ich vorher
nicht. Das war so stimmt Machers.
Was das heißt?
In der Stadt Bonn wird man oder die
machen mal Stau, Messung oder
Verkehrsfluss Messung anhand von
Bluetooth Geräten.
Der oder die Website ist jetzt schon ein
paar Jahre alt.
Ich glaube, dass 2012 oder 13.
Als das in Betrieb gegangen ist, waren es
18 prozent der Verkehrsteilnehmer,
die dadurch identifiziert wurden
bzw.
die dank Bluetooth
erfasst werden konnten.
Das was wird wahrscheinlich mittlerweile
gestiegen sein.
Was man hier in Grau noch nicht
so gut sieht ist, dass
da steht.
Geschieht dies an mindestens zwei
Messstellen, ist bekannt, wie lange das
Gerät und damit das Fahrzeug benötigt
hat und die Strecke zwischen den
Messpunkten zurückzulegen.
Das heißt allerdings insofern,
dass zwischen den Messpunkten gespeichert
wird und zumindest abgeglichen wird.
Das ist nicht nur eine reine Statistik.
Wie viele Geräte fähig Ihnen in der
letzten Minute, zum Beispiel an diesem
meinem Standort, was eine Metrik
ist ein einziger Wert, der komplett
anonym ist, sondern dass es
ein Abgleich über mehrere Locations
gibt.
Die Kurzfassung ist, was wir schon gesagt
haben Wir können alle
nicht wissen, wer uns
trägt und welches Ausmaß das Ganze
hat, weil wir einfach
Es ist halt eine Verbindung lose
Technologie.
Also zumindest kabellos.
Es gibt eine unbestimmte Anzahl
gesichtslose Anbieter,
die halt von irgendwelchen Firmen
eingekauft werden und
die Shopbetreiber selber wissen meistens
nicht, was sie da eigentlich
eingekauft haben.
Das heißt für uns ist halt das Problem
ist vorhin schon sagte wir können
nicht wissen, wem wir eine Anfrage
schicken müssen, um unsere Daten
überhaupt jemals löschen zu lassen.
Auf die Idee sind übrigens mittlerweile
sogar die Amerikaner gekommen.
Das ist eine Stellungnahme
der Big Data Privacy Working Group
noch unter Obama.
Die ist von der jetzigen White House
Seite schon verschwunden, man findet
sie aber noch im Archiv.
Das heißt, da kommst du dann halt drauf
zu hinterfragen, ob das
nach Grundprämisse
Permission Forest Service Cycle leckt
and information, das heißt
dieses einem Service
tatsächlich die die Erlaubnis
geben, ob dieses Modell überhaupt noch
relevant ist, ob das überhaupt noch
angewendet angewendet werden kann
von 2014.
Es gibt übrigens nicht nur Firmen in
Amerika, die sowas anbieten,
auch als größtes ist das
Modell im Endeffekt, sondern auch relativ
viele in Europa.
Genau da haben wir nämlich auch noch zwei
G'ttes rausgesucht.
Genau.
Es gab in der EU bereits
zwei Fälle, die wir als Beispiel
hergenommen haben, wo sowas
von Wir werden
verboten oder eingedämmt
wurde dann 2015 in
Frankreich.
Da gibt es eine relativ große Firma,
die für Billboards herstellt und die
wollten einen Access Point an ihre
Straßenschilder montieren, also quasi
Straßen Werbung montieren, damit sie
wissen, im Umkreis von 20 Meter
wäre es da vorbeigegangen und
ähm hat möglicherweise dieses
Schild gesehen und ist später dann
in der Einkaufsstraße tatsächlich in den
dazugehörigen Shop gegangen.
Das ist so eine Art
Erfolgsmeldung, dass in
Werbung hin und wieder angeboten wird.
Ähm,
wurde damals von der
Frankreich von der französischen
Datenschutzbehörde gekippt, und zwar
obwohl sie Teile der MAC-Adresse
und zwar wenn ich mich richtig erinnere,
die ersten drei Bytes, also im Endeffekt
der Hersteller nur die letzten drei
Prozent übrig geblieben.
Obwohl sie nur das verwendet
haben, hat die Datenschutzbehörde
trotzdem gesagt, dass es noch immer ein
zu großer Wiedererkennens Bereich.
Das ist so legal nicht
machbar.
Das Projekt wurde dann gekippt.
In Schweden gibt es eine
Firma, die so.
Flow auch anbietet.
Die hatte auch 2015 das Problem,
dass die Datenschutzbehörde darauf
aufmerksam wurde und die dürfen
zwar noch arbeiten,
aber nurmehr rein statistisch.
Das heißt, sie dürfen keine MAC-Adresse
speichern von Nummer eigentlich die
Statistik. Wie viele Geräte
sind an meinem Gerät oder meinem
Ex-Freund gerade vorbeigegangen?
Das war noch vor DSGVO Rechtsprechung.
Genau DSGVO.
Nach welchem Paragraphen kann das noch
gehen? Artikel 6 1
F Berechtigtes
Interesse. Das ist eh das, wonach
sich jetzt alle Advertising
Anbieter quasi darauf rausreden.
Sie haben ja ein berechtigtes
Interesse des Verantwortlichen oder eines
Dritten.
Ähm, die Sache ist
ähm. Da kommt jetzt eigentlich der zweite
Teil ins Spiel,
wenn eben diese
zur Wahrung der berechtigten Interesse
des Verantwortlichen und eines Dritten
erforderlich ist. Sofern nicht die
Interessen oder Grundrechte
und Grundfreiheiten der betroffenen
Person, die den Schutz personenbezogener
Daten erfordern, überwiegen.
Insbesondere dann, wenn es sich bei der
betroffenen Person um ein Kind handelt.
Wer hat schon Kinder mit Smartphones
oder Bluetooth Kopfhörern oder sonstigen
Bluetooth Geräten in Einkaufsstraßen
gesehen,
wo praktisch niemand.
Also eigentlich.
Eigentlich
wäre dem so, wenn rund 47
die Verarbeitung personenbezogener Daten
zum Zwecke der direkten Werbung
kann als einer einem berechtigten
Interesse dienende Verarbeitung
betrachtet werden.
Die Frage ist aber auch Gilt das als
direkt Werbung?
Ja, das ist die große Frage.
Es gibt von
sind jetzt hier gerade machen.
Wir gehen da jetzt mal schnell drüber,
weil sonst kämen sie uns ja gleich von
der Bühne.
Die Improvisation
also grundsätzlich,
dass die Artikel 29
Working Group, die mittlerweile in
dem Wie heißt die Organisation
ist, also die Artikel 29 Working
Group hat einige von der
Europäischer Datenschutz
Ausschuss genau die Artikel 29
bis jetzt zum Europäischen Datenschutz
Ausschuss aufgegangen.
Wir haben einige Dokumente zum Thema
Datenschutz und wie die DSGVO auszulegen
ist geschrieben und auch sehr viel zu der
Privacy Regulation und
haben unter anderem geschrieben,
wie denn genau das in der DSGVO
auszulegen ist.
Und das als Beispiel.
Schreiben Sie rein, dass das
sein dürfte.
In gewissen Rahmen
rein statistisch als Accounting
Limited in time and Space.
Und nur für den Papers und
die Letter dann meist
wie After Work und
effektiv, ob dort ausgebildet ist.
Und Sie werden da gerade die nur Minuten
gezeigt zum flink sein.
Also es gibt da noch ein bisschen mehr
dazu. In der Realität sieht das leider
halt alles noch ganz traurig.
Das ist auch ein Screenshot von Euklid,
da steht
Dave.
Also quasi, wenn er ein paar Tage später
in irgendeinem anderen Job, der auch als
Drittanbieter oder als als Subunternehmer
diese Firma verwendet, dann wissen die
natürlich, von welchem zu welchem Shop
ihr wann geht.
Es gibt dann noch ein paar anwendbare
Gesetze abseits der DSGVO,
weil nicht nur die DSGVO beschäftigt sich
mit Privacy.
In Deutschland gibt es das Telekommunikationsgesetz
und das hat das Abhör
Verbot geheim die Geheimhaltungspflicht
der Betreiber von Anlagen
drinnen.
Das regelt eigentlich, dass
wenn ich Dinge
empfange, die nicht für mich bestimmt
sind, dann darf
ich sie auch nicht weitergeben und darf
eigentlich auch nicht die Tatsache
aufschreiben, dass ich so was empfangen
habe.
Das ist nicht ganz so genau geregelt.
Das österreichische österreichische
Telekommunikationsgesetz geht da ein
bisschen weiter.
Das geht nämlich im Speziellen aber schon
zur Überwachung von Kommunikation
ein und sagt
dem Kommunikations Geheimnis unterliegen
Inhalts, Daten, Verkehrsdaten,
Standortdaten und auch Daten aufgrund
erfolgloser Verbindungs Versuche
und dann pro Request zählt eigentlich
als einfallslose Verbindung, weil ich
versuche mich mit meinem Heim-EM Access
Point zu verbinden.
Das weitere ist
ebenfalls Weitergabe von Standortdaten
ist unzulässig und im
genauen Funkanlage lagen die Dinge im.
Für die sie nicht die
unabsichtlich oder für die Informationen
nicht bestimmt war, dürfen diese Daten
auch nicht übermittelt werden
und auch nicht festgeschrieben werden,
dass man so was überhaupt empfangen hat.
Also theoretisch mit
exakter Auslegung des Gesetzes dürfte ich
nicht mal mitschreiben, wie viele
Geräte oder wie viele Requests
statistisch ich gerade empfangen haben.
Empfangen habe.
Selbst wenn ich davon nichts
Mitschreiber, also keine Daten,
Mitschreiber und
dann.
Eigentlich ist das Ganze nämlich noch
viel schlimmer.
Es gibt nämlich auch noch diese
sogenannten Data Broker,
die machen nichts anderes, als mit Daten
zu handeln, diese irgendwo einzukaufen,
zusammenzuführen, wieder zu verkaufen.
Das heißt, selbst wenn wir jetzt wissen,
dass man bei Euclid ein Opt out machen
könnte und sich seine Daten dort
löschen lassen könnte, ist völlig
unklar. Ob die nicht die unsere Daten,
unsere Bewegungsprofile schon an
irgendwen anderen weiter verscherbelt
haben.
Das heißt, an Data Broker
gibt es eine ungenannte Anzahl.
Ich glaube das letzte was ich grob hörte
war über 6000
unsicher. Wie gesagt wieder
Geschäftsmodelle dahinter sind und wer
mittlerweile alles Zugriff auf die
so gesammelten Daten hat.
Ja Frage wie kann man
sich überhaupt selber schützen?
Es gibt ein paar Möglichkeiten, um
sicher zu gehen Fotos aus
Wählern aus Zahlungen und
Kreditkarten, Zahlungen vermeiden,
Kundenkarten
und Kundenkarten und WLAN
und Plautus am besten immer auslassen,
auch zu Hause, weil ihr wisst nicht in
welchem Umkreis von ein paar Hundert
Meter eventuell Jobcenter, die das noch
verwenden.
Für Android gibt es eine App, für die das
Programm macht, zumindest für WiFi.
Die ist aus dem Store,
die macht einen Dreck.
Die deaktiviert
im Android nämlich alle
WLAN, alle gespeicherten
Profile, die gerade nicht passiv in
Reichweite erkannt wurden.
Das heißt,
das funktioniert tatsächlich relativ gut,
auch mit Testen.
Ich habe von meinem Handy da tatsächlich
nur Props gesehen.
Wenn ich tatsächlich in einem WLAN mich
eingebracht habe, hat auch
ein paar andere Tricks, nämlich dass das
erkennt, welche MAC-Adresse da jetzt ist.
Aber das Gerät schon empfangen hat.
Und wenn die Seite jetzt irgendwo
auftaucht, was ja nicht sein sollte,
fragt mich das Gerät.
Bist du dir sicher, dass du eigentlich
gerade zu Hause bist oder das dieses WLAN
gerade Empfang empfangen werden sollte?
So, und bevor Sie uns jetzt hier von der
Bühne scheuchen, sagen wir
erst mal ganz herzlichen Dank für eure
Aufmerksamkeit.
Immer das WLAN aus drin
und möglichst
keine Plutos Kopfhörer.
Ja, herzlichen Dank Claudia und Clemens.
Leider sind wir echt ordentlich über
der Zeit, deswegen ist leider keine Zeit
mehr für Fragen und Antworten.
Aber sie sind auch noch da.
Also die beiden sind tatsächlich noch
zwei Tage da.
Wollt ihr vielleicht einfach hier vorne
noch ein paar Minuten stehen bleiben?
Dann könnten Menschen, die sich
die noch mal dringende Fragen haben, sich
vielleicht mit den beiden kurz
kurzschließen, noch mal bei einem
Getränk treffen oder so was.
Ich hätte mir eigentlich noch eine ganz
kurze Bitte ans Publikum,
aber wenn ihr öffentliches WLAN benutzt,
falls er das tut,
dann stellt doch hin und wieder den
Firmen, der das zur Verfügung stellen
Datenschutz, seine Daten, Auskunfts,
Anfrage.
Ich sind das nämlich überhaupt nicht
gewohnt und er hat
das Recht eigentlich
solche Daten zu bekommen, auch WLAN
Props, weil das zählt unter dem unter
dem unter den Information Standortdaten
und wahrscheinlich bei öffentlichem WLAN
ist gerade dort in der
Datenschutzerklärung, wenn es überhaupt
festgeschrieben ist, dort drin
festgeschrieben, dass WLAN Tracking
gemacht wird.
Danke schön.
Sehr schön.
Danke noch mal an Claudia und Clemens.
Und.