WhatsApp ist eine Erfolgsgeschichte: Aktuell zählt der Dienst über zwei Milliarden Nutzer weltweit. Demnach nutzt mehr als jeder vierte Mensch den kostenlosen Messaging-Dienst. Doch seit Ende 2020 gibt es Unruhe und Verunsicherung unter den WhatsApp-Anwendern. Schuld sind neue Datenschutz- und Nutzungsrichtlinien, die der Anbieter seinen Nutzern aufzwingen will. Unser Sicherheits-Experte Stefan Achleitner hat sich angeschaut, was sich tatsächlich ändert.

Autor: Stefan Achleitner; Aufmacherbild: Pixabay/LoboStudioHamburg

Seit Ende 2020 taucht ein Popup-Fenster in WhatsApp auf, das die Nutzer auffordert, den neuen Datenschutz- und Nutzungsrichtlinien des Dienstes zuzustimmen. Nicht zuletzt, da der Dienst seit 2014 zum Facebook-Konzern gehört, ist das Misstrauen ausgeprägt.

Überraschend ist dies nicht. Denn Facebook hat seinerzeit stolze 19 Milliarden US-Dollar für den Messaging-Dienst bezahlt. Übrigens landeten davon 7 Milliarden direkt in den Taschen des WhatsApp-Gründers Jan Koum. Gründe für Investitionen in dieser Höhe finden sich schnell: Täglich laufen rund 100 Milliarden Nachrichten über die WhatsApp-Server. Im Schnitt verbringt jeder Nutzer 36 Minuten am Tag in der App.

Facebook will mit WhatsApp endlich Geld verdienen

Trotz dieses Mega-Erfolgs verdient Facebook mit WhatsApp so gut wie kein Geld. Eine Ausnahme machen lediglich einige für Unternehmen angebotene Zusatzdienste im Rahmen von “WhatsApp Business“.  Daher liegt auf der Hand, dass Facebook mit den neuen Datenschutz- und Nutzungsbedingungen daran grundsätzlich etwas ändern will.

Brancheninsider vermuten, dass die neuen Richtlinien die Schaltung von Werbung innerhalb von WhatsApp ermöglichen sollen – oder andere Erlösmodelle wie etwa den Verkauf von Nutzerprofilen an Werbetreibende. Und genau hier wird es natürlich kritisch. Allerdings muss man auch sagen, dass bislang noch völlig unklar ist, welche Pläne Facebook zur Monetarisierung von Whatsapp tatsächlich konkret verfolgt.

Deutliche Unterschiede zwischen EU und dem Rest der Welt

Wirft man einen genaueren Blick in die neuen Datenschutz-Richtlinien von WhatsApp, fällt eines sofort auf: Es gibt zwei Versionen – eine für Länder der Europäischen Region, welche die EU sowie Großbritannien umfasst, und eine für den Rest der Welt. 

Ein signifikanter Unterschied beider Fassungen findet sich im Absatz “Verwendung von Informationen durch uns”. In der EU-Version heißt es: 

Wir verwenden uns zur Verfügung stehende Informationen, um unsere Dienste zu betreiben und bereitzustellen; dazu gehören auch das Anbieten eines Customer Supports, die Abwicklung von Käufen oder Transaktionen, die Verbesserung, Instandsetzung und Individualisierung unserer Dienste.

In der Version für andere Länder ergänzt der Anbieter diesen Absatz noch mit dem folgenden Passus:

…und Individualisierung unserer Dienste und das Verbinden unserer Dienste mit Produkten von Facebook-Unternehmen, die du möglicherweise benutzt.

Es fällt also auf: Von einer Verbindung von WhatsApp mit anderen Facebook-Diensten (wie etwa dem Facebook-Messenger), ist in der EU-Version keine Rede

Ein weiterer signifikanter Unterschied zwischen EU- und Nicht-EU-Version: Eine Opt-Out-Möglichkeit für WhatsApp-Nutzer – also ein Widerrufsrecht über die Nutzung persönlicher Daten. In der EU wird sie von der Datenschutzgrundverordnung (DSGVO) zwingend vorgeschrieben. Daher heißt es im Absatz “So übst du deine Rechte aus” der Datenschutz-Richtlinien für EU:

Gemäß den geltenden Datenschutzgesetzen hast du das Recht auf Auskunft, Berichtigung, Übertragbarkeit bzw. Löschung deiner Informationen sowie das Recht, bestimmte Verarbeitungen deiner Informationen einzuschränken bzw. ihnen zu widersprechen.

Dieser Absatz fehlt in der weltweiten Version komplett. Die in anderem Zusammenhang viel gescholtene DSGVO scheint also europäischen WhatsApp-Nutzern einen klaren Vorteil gegenüber Usern im Rest der Welt zu bringen.

Welche Daten werden gesammelt?

Die grösste Unsicherheit unter WhatsApp-Nutzern besteht aber zu einer anderen Frage: Welche Daten werden denn tatsächlich durch den Dienst gesammelt? Ein Albtraum für die meisten Anwender wäre wohl, wenn Mitarbeiter von WhatsApp oder Facebook private Nachrichtenverläufe mitlesen bzw. analysieren würden. Doch in dieser Hinsicht geben die von WhatsApp veröffentlichten Richtlinien Entwarnung: Sowohl die EU- als auch die weltweite Version der Datenschutzrichtlinien versichert, dass WhatsApp die zugestellten Nachrichten nicht auf seinen Servern speichert.

Was der Dienst jedoch sammelt – und auch hier decken sich die EU- mit den weltweiten Richtlinien –, sind Metadaten. Also die Verwaltungsdaten, die bei der Nachrichtenübertragung anfallen. Zu ihnen gehören unter anderem:

• Nutzungs- und Protokollinformationen wie Häufigkeit und Dauer von Aktivitäten, sowie Status oder Name und Profilbild von Gruppen
• Geräte- und Verbindungsdaten wie Hardware-Modell und Betriebssystem, Batteriestand, Signalstärke, App-Version oder Mobilfunknetz
• Standort-Informationen wenn der Nutzer standortbezogene Funktionen nutzt, zum Beispiel seinen Standort mit einem Kontakt teilt. Des Weiteren werden Standortinformationen auch für Diagnose- und Fehlerbehebungszwecke verwendet.

Analysen auch zum Schutz vor Missbrauch

Als einen wichtigen Grund, warum diese Daten gesammelt werden, verweist WhatsApp auf die Sicherheit seiner Dienste. Die Analyse der Metadaten solle dazu beitragen, die Nutzer vor Spam und Malware oder der Ausnutzung von Schwachstellen in App und Dienst zu schützen. Auch unbefugte Zugriffe auf die Dienste und die in ihnen gespeicherten Daten sollen durch eine Analyse der Metadaten erkannt und verhindert werden. 

Diese Argumente kann man nicht völlig von der Hand weisen. Ohne ständige Analysen auf möglichen Missbrauch ließe sich ein komplexes System wie WhatsApp kaum vor Cyberkriminellen oder anderen Angriffen schützen.

Darüber hinaus ist das Teilen bestimmter Informationen und Daten technisch notwendig, um bestimmte Dienste anbieten zu können. Teilt ein Nutzer zum Beispiel seinen Standort mit einem Kontakt in WhatsApp, ist es bei der bestehenden Architektur unumgänglich, dass die Standortdaten über die Server von WhatsApp laufen.

Wenn das Misstrauen überwiegt: WhatsApp-Alternativen

Die Analyse zeigt also: Vor allem für Nutzer in der Europäischen Union sind die Änderungen überschaubar.

Dennoch muss wohl jeder Nutzer selbst entscheiden, ob er WhatsApp mit den neuen Richtlinien weiter nutzen möchte. Dazu ist allerdings auch zu betonen: Nimmt man es mit der Privatsphäre wirklich ernst, dürfte man konsequenterweise auch Dienste wie Facebook, Instagram, Twitter, Googlemail, LinkedIn und viele ebensowenig verwenden.

Dennoch gibt es mittlerweile recht gute Alternativen zu WhatsApp – zu nennen sind hier vor allem die Dienste Signal und Threema. Sie verfolgen im Hinblick auf die Privatsphäre andere Modelle als WhatsApp. Die Hürde für einen Umstieg liegt immer wieder darin, alle relevanten Kontakte auf die neue Plattform hinüberzuziehen. Denn die Verbreitung von WhatsApp dürften diese Alternativ-Dienste wohl so schnell nicht einholen können.