Was ist Google Push und welche bedenken ergeben sich daraus

Heute stellen wir uns die Frage: Was ist Google Push und welche bedenken ergeben sich daraus, welche Folgen haben sie und welche Daten Big-Tech dadurch über uns gewinnen. Smartphone-Apps wie E-Mail Clients, Messenger und Banking-Anwendungen sollen Benutzer effizient über Neuigkeiten informieren, ohne dabei exzessiven Energie- oder Datenvolumenverbrauch zu verursachen. Hier kommen Push Services ins Spiel, welche von Google und Apple entwickelt wurden und diese Anforderungen erfüllen.

Was ist Push und wofür wird es verwendet

Eine App, die über Server-Updates informiert werden soll, fordert ein Push-Token von den Push Services (APN für Apple, FCM für Google) an. Nach der Registrierung dieses Tokens beim entsprechenden Server (z.B. Whatsapp Server), befindet sich die App in einem „Schlafmodus“ und wird erst bei neuen Nachrichten wieder aktiviert. Die neue Nachricht erscheint dann auf den Benachrichtigungsscreen.

Wenn der Server Nachrichten senden will, verschickt er den Token mit einer kurzen, verschlüsselten Information an APN oder FCM. Diese leiten die Nachricht weiter, woraufhin das Smartphone die App aktiviert und die Nachricht übermittelt. Dies ermöglicht zeitnahe Benachrichtigungen mit minimalem Energieverbrauch.

Für Android gibt es auch Push-Service-Projekte, die unabhängig von Google funktionieren. Apple-Nutzer sind allerdings auf den APN-Dienst angewiesen.

Einfaches Beispiel um zu verstehen wie Push funktioniert

Stellt euch vor, Push-Benachrichtigungen sind wie ein Postbote, der spezielle Nachrichten, also genauer gesagt, Benachrichtigungen, direkt zu eurem Handy bringen.

Beispiel mit einem Messenger:

1. Die App auf eurem Handy: Ihr habt eine Messenger-App auf eurem Handy installiert. Diese App hat sich bei einem Dienst (zum Beispiel Google Firebase Cloud Messaging, kurz FCM) angemeldet, um Push-Nachrichten zu empfangen. Dabei bekommt euer Handy eine spezielle "Adresse" (einen Token), die nur für dieses Gerät gilt.
2. Euer Freund schreibt eine Nachricht: Jetzt stellt euch vor, euer Freund sendet euch über den Messenger eine Nachricht, zum Beispiel „Hallo, wie geht's?“.
3. Die Nachricht geht auf die Reise: Anstatt dass die Nachricht direkt an euer Handy geschickt wird, geht sie zunächst an den Server des Messenger-Dienstes. Der Messenger-Server erkennt, dass ihr aktuell nicht in der App seid, und übergibt die Nachricht an Googles FCM-Server, der für die Push-Benachrichtigungen zuständig ist.
4. FCM als Postbote: Der FCM-Server erhält die Nachricht und weiß durch die spezielle Adresse (den Token), dass diese Nachricht für euer Handy bestimmt ist. Er schickt die Benachrichtigung (nicht unbedingt den vollständigen Nachrichtentext, sondern möglicherweise nur eine Information darüber, dass eine neue Nachricht da ist) an euer Gerät.
5. Ihr bekommt die Nachricht: Euer Handy empfängt die Benachrichtigung vom FCM-Server und zeigt euch an, dass eine neue Nachricht eingetroffen ist. Sobald ihr auf die Benachrichtigung klickt, öffnet sich die Messenger-App und lädt den vollständigen Nachrichteninhalt vom Server des Messengers.

Also, zusammengefasst: Wenn jemand euch eine Nachricht über einen Messenger schickt, geht diese Nachricht zuerst an den Server des Messengers. Wenn die App geschlossen ist, sendet der Messenger-Server eine Benachrichtigung an einen Dienst wie Google FCM. Dieser Dienst fungiert als „Postbote“ und stellt die Benachrichtigung an euer Handy zu. Der komplette Nachrichteninhalt wird aber erst geladen, wenn ihr die App öffnet.

Welche Probleme entstehen im Bezug auf die Privatsspähre

Push Benachrichtigungen bergen allerdings auch Datenschutzprobleme: Push-Dienste können die Häufigkeit der Benachrichtigungen protokollieren, was Rückschlüsse auf die Nutzungshäufigkeit zulässt. Zwar sind die Inhalte verschlüsselt, doch können Behörden gemäß Bestandsdatenauskunft in Deutschland und weiteren EU Ländern Push-Tokens und andere Informationen abfragen.

Wie das genau funktioniert, erfahrt Ihr in einem aktuellen Computerbase Beitrag.

Wie erfolgt die Deanonymsierungen mit Push Nachrichten

Die Implikationen für die Privatsphäre sind ziemlich weitreichend. Damit lassen sich umfassende Bewegungsprofile erstellen, es kann bei schlecht programmierten Apps protokoliert werden mit welchen anderen Nutzern man wie oft in Kontakt ist und welche Arte der Kommunikationswege genutzt werden. So lassen sich einfach Verbindungenswege herleiten, eventuelle Zugehörigkeiten festlegen und somit ziemlich genau nachverfolgen mit welchen Clients ihr wie oft irgendwelche Nachrichten erhaltet. Die Inhalte je sind je nach Push-Implementationen und App nicht lesbar für Google sowie die Behörden, für Behörden ist es nicht unbedingt wichtig über was ihr euch unterhaltet, sondern über welchen Kommunikationswege, wie oft, wann, und wo. In Zusammenarbeit mit den Behörden und den jeweiligen Providern, kann dann auch meisst herausgefunden werden, wer mit wem in Verbindung steht.

• Bei Verwendung von Push Benachrichtigungen kann der Push Service (APN oder FCM) protokollieren, wieviel Benachrichtigungen ein Nutzer für eine bestimmte App bekommt, also wie intensiv die App genutzt wird. Die konkreten Inhalte der Nachricht sind i.d.R verschlüsselt.
• Behörden zur Strafverfolgung und Geheimdienste haben gem. Bestandsdatenauskunft in DE des Recht, alle Informationen abzufragen, die ein Provider (E-Mail, Messenger, Cloud…) im Rahmen der Bereitstellung des Dienstes über einen Nutzer gespeichert hat. Dazu zählen auch die Push-Token, die von einem Nutzer auf dem Server registriert wurden.
• Mit diesen Push Token könnten sich die Behörden an Google (FCM) oder Apple (APN) wenden und weitere Informationen aus den Datensammlungen der Smartphone Hersteller abrufen: Telefonnummer, IMEI des Gerätes, MAC- und IP-Adressen, SIM Nummer, Cloud Daten… iPhones senden außerdem alle 5min die MAC Adressen aller Geräte im gleichen WLAN an Apple. Das ermöglicht u.U. erweiterte Auswertungen der sozialen Kontakte.
• Mit diesen Daten könnten sich die Behörden an die Mobilfunkprovider wenden und bekommen dort Namen, Adressen, Kontonummern… der gesuchten Personen. Mit Push Token der APN und FCM Services können praktisch ALLE Anonymisierungsversuche ausgehebelt werden.

Hier kann ein VPN, ein Tor Onion Router gewissermassen Verschleiern wer gerade Push verwendet, jedoch erhält der Push Dienstleister immer noch das volle Programm an Daten was für Messenger oder Dienste verwendet werden und über welche Plattformen der Nutzer unterwegs ist. Ohne VPN ist euer Threema Account dann auch nicht mehr anonym. Die Kombination vieler dieser Daten ist der Tod der Anonymität.

Wie kann ich mich besser vor herausgabe solcher Daten schützen

Die Antwort ist eigentlich ganz einfach, aber dennoch ziemlich unbequem: kein Google oder Apple Push verwenden! Hat man noch kein Privcacy orientiertes Phone with GrapheneOS oder CalyxOS ohne Micro-G bleibt einem nur die Möglichkeit FOSS Apps aus dem F-Droid Store zu installieren. Die Datenammelstelle bzw. die Wanze Google Play ist dann aber immer noch auf dem Smartphone. Die Herausgabe eurer persönlichen Daten durch die Verwendung von F-Droid Apps reduziert sich aber bereits erheblich.

Es gibt verschiedene Konfigurationsoptionen bei der Nutzung von Push und Poll in Apps. Während iPhones immer Push via APN nutzen, existieren für Android privacy-freundliche Messenger, die ohne Google Push Services funktionieren. Dafür müssen den Apps allerdings Hintergrundaktivitäten und -datenverkehr erlaubt werden.

E-Mail Server sind nicht auf Push angewiesen, daher können Nutzer meisst zwischen Push und Poll wählen. Bei speziellen Apps variieren die Push-Service-Nutzungen: Tutanota nutzt beispielsweise keine, während Protonmail ausschließlich auf Push setzt. Auf K-9 Mail kann man die Poll Rate setzen indem man den Aktualisierungsinterval ändert.

Banking-Apps und Bezahl Services wie Twint nutzen meistens Push Services, da Alternativen selten implementiert werden. Google-freie Android-Alternativen wie GrapheneOS unterstützen kein Push via FCM standardmäßig, obwohl MicroG bei CalyxOS und Sandboxed Google Play bei GrapheneOS dies nachträglich ermöglicht.

Privacy optimierte Messenger

Für Android gibt es angepasste Messenger, die ohne Google Push Services arbeiten. In der Regel sind ausserdem alle Apps im F-Droid Store pushfreie Varianten der Apps die ihr im Aurora Store findet.

• In Threema 4.71+ für Android kann man unter "Einstellungen → Über Threema → Fehlerbehebung → Threema Push benutzen" auf den Push Service von Threema umschalten.
• Signal App bietet auf der Webseite ein APK zum Download für Nutzer mit hohen Sicherheitsanforderungen, welche keine Google Services benötigt. Alternativ gibt es Molly Foss mit Unified Push Unterstützung um Push auch ohne Google zu ermöglichen.
• Nur die Telegram FOSS Variante aus dem F-Droid Store verwendet keine Google Push Services (FCM). Die Telegram FOSS Variante Mercurygram mit Unified Push Unterstützung kann auch direkt von Github heruntergeladen werden
• Im Session Messenger kann man die Google Push Services deaktivieren und statt dessen Polling aktivieren. Dann kann man aber nicht mehr angerufen werden.
• Matrix bzw den dazugehörigen Messenger Element gibt es ebenfalls ohne Push, den Push-freien Messenger könnt ihr ebenso bei F-Droid herunterladen. Matrix gibt es auch mit Unified Push, einem alternativen Push Distributor
• Atox - eine eher unbekanntere Messaging App, unterstützt von Haus aus eine proprietären Push-Dienste von Google oder Apple, dafür kommt Atox standardmässig mit Unfied Push Unterstützung.

Nochmals sollte erwähnt werden, verzichtet ihr auf die Push Services, müsst ihr in die App gehen um jeweils die neusten Nachrichten angezeigt zu bekommen.

CalyxOS Push entfernen

Auf CalyxOS mit installiertem Micro-G kann man den Push-Dienst sehr einfach komplett deaktivieren. Dazu müsst ihr im App Drawer in die Micro-G Einstellungen und die Push Dienste komplett aktivieren.

Beachtet dabei dass ihr den kompletten Push Service deaktiviert. Ihr könnt auch einzelen Apps ausschliessen indem ihr den Cloud Messeging Einstellungen der jeweiligen App die Push Erlaubnisse enzieht. Dort deaktiviert ihr einfach die Einstellung Regisitrierung erlauben.

Bei der Installation von neuen Apps die Push verwenden, fragt euch MicroG sowieso standardmässig ob Push benutzt werden darf: Allow for Push Notifications dann entsprechend erlauben oder abwählen.

GrapheneOS

Erlaubt kein Push Benachrichtigungen von Haus aus. Habt ihr Sandboxed Google Play installiert, könnt ihr einfach die Google Play Einstellungen über das App Icon öffnen von Google Play und deaktiviert den Dienst komplett. Muss Sandboxed Google Play aus einem bestimmten Grund aktiviert bleiben, bleibt euch nichts anderes übrig, als die Benachrichtigungen für jede problematische App in den App Einstellungen zu deaktivieren.

Alternative Pushsysteme

Gibt es eigentlich viele, wie z.B unfied.push leider müssen diese Systeme aktuell noch auf eigenen Servern betrieben werden, und es bedingt eine Anpassung der jeweiligen App an das Pushsystem.

Eine schnelle Abkehr von Googles FCM bietet die App ntfy für Android. Jedoch ist es immer noch so, dass die jeweilige Messenging App ntfy als Push-Gateway unterstützen muss.

Welche Apps ntfy unterstützen

• Element ⭐ - Matrix client
• SchildiChat ⭐ - Matrix client
• Tusky ⭐ - Fediverse client
• Fedilab - Fediverse client
• FindMyDevice - Smartphone wiederfinden mit unified.push
• Tox Push Message App - Tox Push Message App

Eine komplette Liste findet ihr hier:

https://unifiedpush.org/users/apps

In den jeweiligen App Einstellungen muss dann ntfy als Push-Service ausgewählt werden. In den Standard-Einstellungen verwendet ntfy den offiziellen ntfy.sh Push-Server. Ihr könnt aber auch gern unseren ntfy Server verwenden mit der Adresse: https://ntfy.yourdevice.ch

Die Integrierung von Unified Push auf neue Apps bedeutet Aufwand für App Entwickler und wird deshalb aktuell nur zaghaft benutzt. Googles Push Dienst ist schnell und einfach zu integrieren, und die Entwickler verlassen sich häufig auf eine ready-to-use Lösung anstatt wieder was neues lernen zu müssen. Eine Umstellung ist jedoch langsam aber sicher im Gange. Unserem Matrix Server steht zum Beispiel auch ein eigener Pusher Server zur verfügung.

Ein Denkanstoss

Push-Benachrichtigungen sind heutzutage omnipräsent, bieten uns ständige Updates und scheinbare Konnektivität. Doch vielleicht ist es mal an der Zeit, diese ständige Erreichbarkeit und sofortige Reaktionsbereitschaft zu hinterfragen.

Wir sind in eine Komfortzone der Bequemlichkeit gerutscht, in der die kontinuierlichen Pings und Alerts unsere Aufmerksamkeit fragmentieren und unsere Daten oft unbemerkt an große Tech-Giganten fließen. Jede Benachrichtigung hinterlässt eine Spur, die Informationen über uns preisgibt, und bindet uns ungewollt an Systeme, die mit unserer Privatsphäre flexibel umgehen.

Indem wir bewusst auf Push-Services verzichten, setzen wir ein starkes Zeichen für Datenschutz, digitale Autonomie und eine gesündere Technologienutzung. Es ist ein Schritt zurück zu mehr Kontrolle über unsere Daten und Aufmerksamkeit, weg von der Bequemlichkeit, aber hin zu mehr Selbstbestimmung und -reflexion in der digitalen Landschaft.