Tracking: Xiaomi verteidigt Überwachung von Smartphonenutzern

"Es ist eine Hintertür mit Telefonfunktion", beschreibt der Sicherheitsforscher Gabi Cirlig sein Redmi Note 8 von Xiaomi. Zuvor hatte Cirlig entdeckt, dass sein Smartphone Unmengen an privaten Daten sammelt und an Server des chinesischen Herstellers sendet. Darunter befindet sich beispielsweise jede mit dem Browser des Betriebssystems besuchte Webseite, wie das Onlinemagazin Forbes berichtet. Das Problem betrifft jedoch nicht nur das Redmi Note 8, sondern auch andere Xiaomi-Geräte. Der Hersteller bestätigte die Datensammlung in einer Stellungnahme, erklärte jedoch, sich an Datenschutzstandards zu halten.

Neben den besuchten Webseiten wird laut Cirlig auch jede Suchanfrage, egal mit welcher Suchmaschine, an Xiaomi übertragen. Dies sei selbst im Inkognito-Modus des Browsers der Fall, betont der Sicherheitsforscher. Darüber hinaus zeichne Xiaomi die Ordner auf, die ein Benutzer öffnet, die Bildschirme, die ein Benutzer betrachtet, und die gesetzten Einstellungen. Diese Daten würden an Server in Singapur und Russland gesendet, die Domains würden in Peking registriert.

In der Stellungnahme bestätigt Xiaomi, umfangreiche Daten über das Smartphone und dessen Nutzer zu sammeln: Demnach würden unter anderem Informationen zu gesetzten Einstellungen, der Nutzung der Benutzeroberfläche, Leistung, Speichernutzung, Absturzberichte und allgemeine Systeminformationen erfasst. Die besuchten URLs werden laut Xiaomi gesammelt, um langsame Webseiten zu identifizieren. Mit diesen lässt sich jedoch das komplette Surfverhalten der Nutzer nachvollziehen, zudem enthalten URLs auch immer wieder persönliche Daten wie E-Mail-Adressen.

Die Daten würden jedoch nur in Form von aggregierten Nutzungsstatistiken gesammelt und könnten nicht mit dem einzelnen Nutzer in Verbindung gebracht werden, erklärt Xiaomi. Dem widerspricht Cirlig: "Meine größte Sorge für die Privatsphäre ist es, dass die gesendeten Daten sehr leicht mit einem Benutzer korreliert werden können." Dies sei allein schon durch die Sammlung eindeutiger IDs zur Identifizierung eines spezifischen Gerätes möglich, die wiederum leicht mit einer realen Person in Verbindung gebracht werden könnten.