Schattenprofile: Facebook und Co. kennen dich – auch ohne Account

Social-Media-Unternehmen wie Facebook können sogenannte Schattenprofile von Personen erstellen, die gar nicht dort angemeldet sind. Grundlage sind private Daten, die andere Nutzer:innen über die betreffende Person angeben.

Wer glaubt, man könne seine Daten vor Facebook und Co. schützen, indem man keine Social-Media-Profile anlegt, irrt. „Jedes soziale Netzwerk, das Kontaktinformationen sammelt, kann potenziell Schattenprofile erzeugen“, warnt David Garcia, Professor für Social and Behavioural Data Science von der Universität Konstanz, gegenüber der Taz.

Von Schattenprofilen ist die Rede, wenn Social-Media-Anbieter persönliche Daten ohne die Zustimmung der jeweiligen Person sammeln. Dies kann sowohl Nutzer:innen betreffen (partielles Schattenprofil), als auch Personen, die nicht mal einen Account bei der entsprechenden Plattform haben (volles Schattenprofil). Facebook-Mutterkonzern Meta hat in einem Blog-Post bereits bestätigt, auch Daten von Nichtnutzer:innen zu sammeln, ohne dabei aber den Begriff Schattenprofil zu verwenden.

Wie Facebook und Co. an fremde Daten kommen

In dem Blog-Post heißt es: „Wenn du eine Website oder App besuchst, die unsere Dienstleistungen nutzt, erhalten wir Informationen, selbst wenn du ausgeloggt bist oder keinen Facebook-Account hast.“

Zu den Dienstleistungen, die Meta nennt, zählen zum Beispiel der Facebook-Like-Button, der auf manchen Seiten angezeigt wird. Um diesen in der korrekten Sprache auszuspielen, benötigt Meta die IP-Adresse von Nutzer:innen und kann so auf das Herkunftsland schließen. Das 2021 eingestellte Facebook Analytics analysierte außerdem Cookies, um etwa das Alter, Geschlecht und weitere Informationen über die User:innen herauszufinden. So ganz ohne Einwilligung geschah dies aber nicht. Schließlich sind Website-Betreiber verpflichtet, neuen Nutzer:innen beim Besuch der Website bezüglich der Nutzung der Daten aufzuklären und um Einwilligung zu bitten.

Nutzer:innen teilen Daten von Nichtnutzer:innen

Doch Facebook kann auch ganz ohne Einwilligung an Daten von Unbeteiligten kommen, wenn etwa Nutzer:innen dazu aufgerufen werden, ihr Adressbuch mit der Plattform zu vernetzen. „Je mehr Nutzer:innen das machen, desto exakter können die Merkmale einer nicht registrierten Person vorhergesagt werden“, erklärt Garcia gegenüber Taz.

Der Datenwissenschaftler und seine Kolleg:innen untersuchten in einer 2018 veröffentlichen Arbeit über 150 Millionen Tweets und über tausend Nutzer:innen. Basierend auf denjenigen Tweets, die gepostet wurden, bevor die jeweiligen Personen ein Profil anlegten, konnten die Forschenden den Wohnort der Person relativ genau vorhersagen. Der Fehler-Median lag bei 68,7 Kilometern. Das heißt, die Hälfte der Vorhersagen wich nur weniger als 68 Kilometer vom tatsächlichen Ort ab. Soziale Medien können also den ungefähren Wohnort oder andere sensible Daten von Menschen kennen, die sich noch nie dort eingeloggt haben.

Kein reines Facebook-Problem

Zwar ist Facebook der bekannteste Name, wenn es um das Thema Schattenprofile geht. Doch „es ein Facebook-Problem zu nennen, wäre unfair“, betont Garcia gegenüber Taz. Auch andere soziale Netzwerke können Schattenprofile erzeugen. Garcia nennt neben Instagram und WhatsApp, die ebenfalls zu Meta gehören, auch X (ehemals Twitter), Telegram, Signal und LinkedIn. Der X-Konkurrent Bluesky besitze die Funktion das Adressbuch zu teilen zwar noch nicht. Doch ob sie bewusst vermieden wurde oder nur noch nicht an sie gedacht wurde, wisse Garcia nicht.

Ob und inwiefern die genannten Anbieter Schattenprofile erstellen würden, könne der Wissenschaftler jedoch nicht nachweisen, da er keinen Zugang zu den Daten habe.

Ein blinder Fleck im Datenschutz

Strafrechtlerin Liane Wörner erklärt der Taz, dass sich die bestehenden deutschen Gesetze nicht auf Schattenprofile anwenden ließen. Sie selbst forscht zu Schattenprofilen und leitet das Centre for Human Data Society an der Universität Konstanz. Es handele sich weder um eine strafbare Datenveränderung noch um ein Ausspähen von Daten. Zwar seien gemäß Datenschutzgrundverordnung (DSGVO) Bußgelder gegen die Verantwortlichen möglich, „dafür muss man es ihnen aber erst nachweisen“, erklärt die Datenrechtsexpertin. Da Schattenprofile aber, wenn sie existieren, nicht öffentlich gemacht werden, ist dies in der Regel nicht möglich.

Betroffene haben außerdem kaum Möglichkeiten, die Erstellung eines Schattenprofils zu verhindern. Zwar bietet Facebook eine Removal-Funktion an, mit der man seine Kontaktdaten sperren kann, um zu verbieten, dass andere sie hochladen. Doch damit Facebook weiß, welche Daten gesperrt werden müssen, muss man sie erstmal selbst eingeben. So oder so kommt der Konzern also an die Daten.

Verwendete Quelle: Taz, Meta, EPJ Data Science