Was ist Google Push und welche bedenken ergeben sich daraus

Heute stellen wir uns die Frage: Was ist Google Push und welche bedenken ergeben sich daraus, welche Folgen haben sie und welche Daten Big-Tech dadurch über uns gewinnen. Smartphone-Apps wie E-Mail Clients, Messenger und Banking-Anwendungen sollen Benutzer effizient über Neuigkeiten informieren, ohne dabei exzessiven Energie- oder Datenvolumenverbrauch zu verursachen. Hier kommen Push Services ins Spiel, welche von Google und Apple entwickelt wurden und diese Anforderungen erfüllen.

Was ist Push und wofür wird es verwendet

Eine App, die über Server-Updates informiert werden soll, fordert ein Push-Token von den Push Services (APN für Apple, FCM für Google) an. Nach der Registrierung dieses Tokens beim entsprechenden Server (z.B. Whatsapp Server), befindet sich die App in einem „Schlafmodus“ und wird erst bei neuen Nachrichten wieder aktiviert. Die neue Nachricht erscheint dann auf den Benachrichtigungsscreen.

Wenn der Server Nachrichten senden will, verschickt er den Token mit einer kurzen, verschlüsselten Information an APN oder FCM. Diese leiten die Nachricht weiter, woraufhin das Smartphone die App aktiviert und die Nachricht übermittelt. Dies ermöglicht zeitnahe Benachrichtigungen mit minimalem Energieverbrauch.

Für Android gibt es auch Push-Service-Projekte, die unabhängig von Google funktionieren. Apple-Nutzer sind allerdings auf den APN-Dienst angewiesen.

Einfaches Beispiel um zu verstehen wie Push funktioniert

Stellt Euch vor, Push-Benachrichtigungen sind wie ein Postbote, der spezielle Nachrichten direkt zu Eurem Handy bringem.

Beispiel mit einem Messenger:

1. Die App auf Eurem Handy: Ihr habt eine Messenger-App auf Eurem Handy installiert. Diese App hat sich bei einem Dienst (zum Beispiel Google FCM) angemeldet, um Nachrichten zu erhalten. Dabei bekommt Euer Handy eine spezielle "Adresse" (einen Token), die nur zu ihm gehört.
2. Eurer Freund schreibt eine Nachricht: Jetzt stellt Euch vor, Euer Freund sendet Euch über den Messenger eine Nachricht, zum Beispiel "Hallo, wie geht's?"
3. Die Nachricht geht auf die Reise: Anstatt dass die Nachricht direkt an dein Handy geschickt wird, geht sie zuerst zum FCM-Server. Der Server weiß durch die spezielle Adresse (den Token), dass diese Nachricht für Euer Handy bestimmt ist.
4. FCM als Postbote: Der FCM-Server nimmt die Nachricht und schickt sie wie ein Postbote an Euer Handy. Er nutzt die spezielle Adresse, um sicherzustellen, dass die Nachricht auch wirklich bei Euch ankommt.
5. Ihr bekommt die Nachricht: Euer Handy bekommt die Nachricht vom FCM-Server und zeigt sie Euch an. Jetzt könnt Ihr sehen, dass Euer Freund Euch geschrieben hat, auch wenn du die Messenger-App gerade nicht geöffnet hat.

Also, zusammengefasst: Wenn jemand Euch eine Nachricht über einen Messenger schickt, wird diese Nachricht zuerst an einen Server (wie Google FCM) gesendet. Dieser Server weiß, wohin die Nachricht gehen soll, und schickt sie dann an Euer Handy. So könnt Ihr die Nachricht erhalten, auch wenn Ihr die App gerade nicht benutzt.

Welche Probleme entstehen im Bezug auf die Privatsspähre

Push Benachrichtigungen bergen allerdings auch Datenschutzprobleme: Push-Dienste können die Häufigkeit der Benachrichtigungen protokollieren, was Rückschlüsse auf die Nutzungshäufigkeit zulässt. Zwar sind die Inhalte verschlüsselt, doch können Behörden gemäß Bestandsdatenauskunft in Deutschland und weiteren EU Ländern Push-Tokens und andere Informationen abfragen.

Wie das genau funktioniert, erfahrt Ihr in einem aktuellen Computerbase Beitrag.

Wie erfolgt die Deanonymsierungen mit Push Nachrichten

Die Implikationen für die Privatsphäre sind ziemlich weitreichend. Damit lassen sich umfassende Bewegungsprofile erstellen, es kann protokoliert werden mit welchen anderen Nutzern man wie oft in Kontakt ist und welche Arte der Kommunikationswege genutzt werden. So lassen sich einfach Verbindungen herstellen, eventuelle Zugehörigkeiten festlegen und somit ziemlich genau nachverfolgen mit wem Ihr Euch da unterhaltet. Die Inhalte je sind je nach Push-Implementationen nicht lesbar für Google sowie die Behörden, für Behörden ist es nicht unbedingt wichtig über was Ihr Euch unterhaltet, sondern mit wem!

• Bei Verwendung von Push Benachrichtigungen kann der Push Service (APN oder FCM) protokollieren, wieviel Benachrichtigungen ein Nutzer für eine bestimmte App bekommt, also wie intensiv die App genutzt wird. Die konkreten Inhalte der Nachricht sind i.d.R verschlüsselt.
• Behörden zur Strafverfolgung und Geheimdienste haben gem. Bestandsdatenauskunft in DE des Recht, alle Informationen abzufragen, die ein Provider (E-Mail, Messenger, Cloud…) im Rahmen der Bereitstellung des Dienstes über einen Nutzer gespeichert hat. Dazu zählen auch die Push-Token, die von einem Nutzer auf dem Server registriert wurden.
• Mit diesen Push Token könnten sich die Behörden an Google (FCM) oder Apple (APN) wenden und weitere Informationen aus den Datensammlungen der Smartphone Hersteller abrufen: Telefonnummer, IMEI des Gerätes, MAC- und IP-Adressen, SIM Nummer, Cloud Daten… iPhones senden außerdem alle 5min die MAC Adressen aller Geräte im gleichen WLAN an Apple. Das ermöglicht u.U. erweiterte Auswertungen der sozialen Kontakte.
• Mit diesen Daten könnten sich die Behörden an die Mobilfunkprovider wenden und bekommen dort Namen, Adressen, Kontonummern… der gesuchten Personen. Mit Push Token der APN und FCM Services können ALLE Anonymisierungsversuche ausgehebelt werden.

Hier kann ein VPN, ein Tor Onion Router gewissermassen Verschleiern wer gerade Push verwendet, jedoch erhält der Push Dienstleister immer noch das volle Programm an Daten was für Messenger oder Dienste verwendet werden und mit wem der Benutzer in Kontakt ist. Ohne VPN ist dein Threema Account dann auch nicht mehr anonym. Die Kombination vieler dieser Daten ist der Tod der Anonymität.

Wie kann ich mich besser vor herausgabe solcher Daten schützen

Die Antwort ist eigentlich ganz einfach, aber dennoch ziemlich unbequem: kein Google oder Apple Push verwenden! Hat man noch kein Privcacy orientiertes Phone with GrapheneOS oder CalyxOS ohne Micro-G bleibt einem nur die Möglichkeit FOSS Apps aus dem F-Droid Store zu installieren. Die Datenammelstelle bzw Wanze Google Play ist dann aber immer noch auf dem Smartphone. Die Herausgabe Eurer persönlichen Daten durch die Verwendung von F-Droid Apps reduziert sich aber bereits erheblich.

Es gibt verschiedene Konfigurationsoptionen bei der Nutzung von Push und Poll in Apps. Während iPhones immer Push via APN nutzen, existieren für Android privacy-freundliche Messenger, die ohne Google Push Services funktionieren. Dafür müssen den Apps allerdings Hintergrundaktivitäten und -datenverkehr erlaubt werden.

E-Mail Server sind nicht auf Push angewiesen, daher können Nutzer meisst zwischen Push und Poll wählen. Bei speziellen Apps variieren die Push-Service-Nutzungen: Tutanota nutzt beispielsweise keine, während Protonmail ausschließlich auf Push setzt. Auf K-9 Mail kann man die Poll Rate setzen indem man den Aktualisierungsinterval ändert.

Banking-Apps und Bezahl Services wie Twint nutzen meistens Push Services, da Alternativen selten implementiert werden. Google-freie Android-Alternativen wie GrapheneOS unterstützen kein Push via FCM standardmäßig, obwohl MicroG bei CalyxOS und Sandboxed Google Play bei GrapheneOS dies nachträglich ermöglicht.

Privacy optimierte Messenger

Für Android gibt es angepasste Messenger, die ohne Google Push Services arbeiten. In der Regel sind ausserdem alle Apps im F-Droid Store pushfreie Varianten der Apps die Ihr im Aurora Store findet.

• In Threema 4.71+ für Android kann man unter "Einstellungen → Über Threema → Fehlerbehebung → Threema Push benutzen" auf den Push Service von Threema umschalten.
• Signal App bietet auf der Webseite ein APK zum Download für Nutzer mit hohen Sicherheitsanforderungen, dass keine Google Services benötigt.
• Telegram FOSS aus dem F-Droid Store verwendet keine Google Push Services (FCM). Die Telegram FOSS kann auch direkt von der Webseite hier heruntergeladen werden
• Im Session Messenger kann man die Google Push Services deaktivieren und statt dessen Polling aktivieren. Dann kann man aber nicht mehr angerufen werden.
• Matrix bzw den dazugehörigen Messenger Element gibt es ebenfalls ohne Push, den Push-freien Messenger könnt Ihr ebenso bei F-Droid herunterladen. Matrix gibt es auch mit Unified Push, einem alternativen Push Distributor

Nochmals sollte erwähnt werden, verzichtet Ihr auf die Push Services, müsst Ihr in die App gehen um jeweils die neusten Nachrichten angezeigt zu bekommen.

CalyxOS Push entfernen

Auf CalyxOS mit installiertem Micro-G kann man den Push-Dienst sehr einfach komplett deaktivieren. Dazu müsst Ihr im App Drawer in die Micro-G Einstellungen und die Push Dienste komplett aktivieren.

Beachtet dabei dass Ihr den kompletten Push Service deaktiviert. Ihr könnt auch einzelen Apps ausschliessen indem Ihr den Cloud Messeging Einstellungen der jeweiligen App die Push Erlaubnisse enzieht. Dort deaktiviert Ihr einfach die Einstellung Regisitrierung erlauben.

Bei der Installation von neuen Apps die Push verwenden, fragt Euch MicroG sowieso standardmässig ob Push benutzt werden darf: Allow for Push Notifications dann entsprechend auswählen oder abwählen.

GrapheneOS

Erlaubt kein Push Benachrichtigungen von Haus aus. Habt Ihr Sandboxed Google Play installiert, könnt Ihr einfach die Google Play Einstellungen über das App Icon öffnen und Google Play deaktiveren. Versucht das mal auf einem normalen Phone!

Alternative Pushsysteme

Gibt es eigentlich viele, wie z.B unfied.push leider müssen diese Systeme aktuell noch auf eigenen Servern betrieben werden, und es bedingt eine Anpassung der jeweiligen App an das Pushsystem.

Eine schnelle Abkehr von Googles FCM bietet die App ntfy für Android. Jedoch ist es immer noch so, dass die jeweilige Messenging App ntfy als Push-Gateway untersützten muss.

Welche Apps ntfy unterstützen

• Element ⭐ - Matrix client
• SchildiChat ⭐ - Matrix client
• Tusky ⭐ - Fediverse client
• Fedilab - Fediverse client
• FindMyDevice - Smartphone wiederfinden mit unified.push
• Tox Push Message App - Tox Push Message App

In den jeweiligen App Einstellungen muss dann ntfy als Push-Service angewendet werden. In den Standard-Einstellungen verwendet ntfy den offiziellen ntfy.sh Push-Server.

Dies bedeutet erheblichen Aufwand und wird deshalb aktuell nur zaghaft benutzt. Eine Umstellung ist langsam aber sicher im Gange. Unser Matrix Server wird auch bald mit einem eigenen Push Server erweitert, bis es soweit ist, müssen wir uns noch etwas gedulden.

Ein Denkanstoss

Push-Benachrichtigungen sind heutzutage omnipräsent, bieten uns ständige Updates und scheinbare Konnektivität. Doch vielleicht ist es mal an der Zeit, diese ständige Erreichbarkeit und sofortige Reaktionsbereitschaft zu hinterfragen.

Wir sind in eine Komfortzone der Bequemlichkeit gerutscht, in der die kontinuierlichen Pings und Alerts unsere Aufmerksamkeit fragmentieren und unsere Daten oft unbemerkt an große Tech-Giganten fließen. Jede Benachrichtigung hinterlässt eine Spur, die Informationen über uns preisgibt, und bindet uns ungewollt an Systeme, die mit unserer Privatsphäre flexibel umgehen.

Indem wir bewusst auf Push-Services verzichten, setzen wir ein starkes Zeichen für Datenschutz, digitale Autonomie und eine gesündere Technologienutzung. Es ist ein Schritt zurück zu mehr Kontrolle über unsere Daten und Aufmerksamkeit, weg von der Bequemlichkeit, aber hin zu mehr Selbstbestimmung und -reflexion in der digitalen Landschaft.