Avast ist ein Anbieter von Sicherheitssoftware. Vor allem die kostenfreien Antivirenprogramme, u.a. Avast Free Antivirus werden weltweit und von Millionen Nutzern heruntergeladen. Niemand fragte bisher danach, wie diese Unternehmen ihren kostenfreien Service finanzieren – bis jetzt.

Übereinstimmend berichten die Magazine PCMag und Motherboard über den Verkauf von Nutzerdaten an internationale Kunden, wie Unilever, Nestle Purina und Kimberly-Clark und sicher auch Internetriesen, wie Google. Als Händler wird nicht vorrangig Avast, sondern die Tochtergesellschaft Jumpshot genannt. Der Vorwurf: Jumpshot verkauft Browserverläufe der Nutzer von Avast Antivirenprogrammen und macht damit Millionengewinne

Nutzerdaten nicht vollständig anonymisiert

Die Magazine schreiben in ihren Berichten, dass die Benutzerverläufe vor dem Verkauf „de-identifiziert“ werden. Diese Anonymisierung ist rechtlich wahrscheinlich sicher aber nicht vollständig, da die sogenannte Geräte-ID als Benutzerkennung aktiv bleibt, bis das Antivirenprogramm wieder deinstalliert wird. Der Käufer kann also die Geräte ID samt Installationsdatum des Antivirenprogramm sehen. Sichtbar sind auch Suchanfragen zur Software und die Domain, von der das Programm heruntergeladen wurde.

Gunes Acar, ein bekannter Datenschutzforscher schreibt dazu: „Vielleicht identifizieren die (Jumpshot-)Daten selbst keine Personen. Vielleicht handelt es sich nur um eine Liste von gehashten Benutzer-IDs und einigen URLs. Aber es kann immer mit anderen Daten von anderen Vermarktern, anderen Werbetreibenden, kombiniert werden, die im Grunde zu der wirklichen Identität gelangen können. Die meisten Bedrohungen, die von der Deanonymisierung ausgehen – wo man Menschen identifiziert – ergeben sich aus der Möglichkeit, die Informationen mit anderen Daten zusammenzuführen.“

Durch die Auswertung der Profile und Zusammenführung mit weiteren Daten, wie z.B. der Erkenntnis, dass diese Person ein Amazon- oder Facebook-Konto führt, lassen sich ausführliche Nutzer- und Käuferprofile erstellen, die sehr aussagekräftig und für die Unternehmen als Käufer sehr wertvoll sind.

Verkauf von Daten im großen Stil

Jumpshot bietet die Browserverläufe von Avast als Pakete in unterschiedlichen Größen an. Einer der Großkunden soll Omnicon sein, die diese Daten direkt an den Sub-Dienstleister Annalect weitergibt. Unbestätigte Gerüchte sprechen von einem Drei-Jahres-Vertrag zwischen Jumpshot und Omnicon, der auch die Erfassung und den Verkauf der Click-Rate in 14 Ländern beinhaltet. IBM und Microsoft haben eine Geschäftsbeziehung zu Jumpshot verneint, Google antwortete nicht auf eine entsprechende Anfrage. Andere große Unternehmen sind direkt als Referenz auf der Domain von Jumpshot gelistet. Ob dieses Millionengeschäft schädlich für das Image von Avast ist, wird die nahe Zukunft zeigen.