Der Benachrichtigungsverlauf ist die heikelste Datei auf deinem Handy

Öffne deinen Benachrichtigungsverlauf für eine einzige Woche, und du siehst mehr als nur Alarme. Da ist die Apotheke, die ein Rezept bestätigt, die Bank, die einen Überweisungsbetrag nennt, ein Lieferdienst mit deiner Adresse in der Vorschauzeile, eine Nachricht von jemandem, von dem deine Familie noch nichts weiß, und ein Zwei-Faktor-Code, der noch funktioniert, wenn ihn jemand schnell genug liest. Nichts davon war für ein Publikum gedacht. Es sollte dich für eine Sekunde erreichen und dann verschwinden. Eine Verlaufs-App bewahrt es stattdessen auf, und genau deshalb ist Benachrichtigungsverlauf Datenschutz keine Randnotiz zur Funktion, sondern die Funktion selbst.

Die meiste Aufmerksamkeit bei Verlaufs-Apps gilt dem, was sie erneut senden oder wie weit sie zurück suchen können. Die schwierigere Frage ist, wo diese Daten liegen, sobald sie existieren, und wer außer dir sie je lesen kann.

Was eine Woche Benachrichtigungen verrät

Eine einzelne Benachrichtigung sagt wenig. Eine Woche davon, nach App und Zeit sortiert, liest sich wie ein loses Tagebuch: wann du wach bist, welche Bank du nutzt, welche Apotheke, welche Lieferdienste, mit wem du sprichst und ungefähr wie oft, und welche Apps du stummschaltest, weil du ohnehin schon weißt, was sie sagen. Keiner dieser Schlüsse verlangt, eine Nachricht zweimal zu lesen. Sie ergeben sich allein aus Titeln und Vorschauzeilen, genauso wie eine Telefonrechnung ein Leben offenlegt, ohne ein einziges Gespräch aufzuzeichnen.

Deshalb haben wir auch zuerst darüber geschrieben, was eine App mit Benachrichtigungszugriff wirklich lesen kann, bevor wir diesen Beitrag geschrieben haben. Die Berechtigung, die eine App einen nützlichen Verlauf bauen lässt, ist dieselbe, die ihr erlaubt, ein Profil zu bauen. Beides lässt sich auf Android-Ebene nicht trennen. Was die beiden trennt, ist, was die App mit der Kopie macht, sobald sie sie hat, und das ist eine Entscheidung, die jede Verlaufs-App einmal, früh, trifft und dann trägt.

Die Frage nach der Cloud, und warum wir Nein gesagt haben

Ein durchsuchbarer Verlauf, der einen Werksreset überlebt, ist ein vernünftiger Wunsch, und der naheliegende Weg dahin ist ein Server: Daten hochladen, auf dem nächsten Gerät wiederherstellen, fertig. Wir haben uns dieses Design angesehen und es nicht gebaut. Ein Server bedeutet, dass irgendwo eine Kopie deines Benachrichtigungsverlaufs liegt, die wir kontrollieren, und das bedeutet, dass sie irgendwo liegt, wohin eine Vorladung, ein Datenleck oder ein Fehler eines Mitarbeiters reichen kann. Zu versprechen, nie hinzusehen, ist nicht dasselbe wie gar nicht hinsehen zu können, und bei derart persönlichen Daten ist genau das der entscheidende Unterschied.

Benachrichtigungen lokal speichern bedeutet das zweite Versprechen statt des ersten. ReNotify bewahrt den Verlauf in einer Datenbank auf, die ausschließlich auf deinem Gerät liegt. Es gibt kein Konto anzulegen, nichts, bei dem du dich anmeldest, und keine Kopie irgendwo sonst, die geschützt, verloren oder herausgegeben werden könnte. Deinstallierst du die App, verschwindet die Datenbank mit ihr, so wie eine Schublade leer ist, wenn du sie ausräumst. Wir können einen Verlauf nicht lesen, den wir nie erhalten, und das ist eine stärkere Zusage als eine Richtlinie, die verspricht, einen Verlauf nicht zu lesen, den sie durchaus hat.

Was lokal seinen Preis hat

Diese Entscheidung kostet etwas, und das sollte man benennen, statt es zu verschweigen. Ein Verlauf, der nur auf dem Gerät liegt, folgt dir nicht automatisch auf ein neues Handy. Wechselst du das Gerät, bleibt der alte Verlauf auf dem alten Gerät, es sei denn, du exportierst ihn vorher selbst. Den Moment, in dem man sich auf dem neuen Handy anmeldet und alles einfach da ist, gibt es nicht, denn dieser Moment braucht einen Server, der die Daten dazwischen hält, und genau den haben wir nicht gebaut.

Der Export zählt noch aus einem zweiten Grund. Willst du irgendwann eine eigene Kopie außerhalb der App, als Nachweis oder einfach als Sicherung, die du selbst kontrollierst, muss sie als Datei herauskommen, die du angefordert hast, nicht als Login, das du dir merkst. Das ist mehr Aufwand als ein Cloud-Abgleich bietet. Wir finden, dieser Aufwand lohnt sich, denn die Alternative verschiebt die Entscheidung darüber, wo deine Daten liegen, von dir zu uns.

Backups gehören zum Bedrohungsmodell

Die Daten von unseren eigenen Servern fernzuhalten, deckt nur die halbe Frage ab, denn Android hat sein eigenes Sicherungssystem, das im Hintergrund läuft. Bei vielen Apps werden die Daten automatisch zum Google-Konto des Nutzers gesichert, sofern die Entwickler das nicht ausdrücklich abschalten. Eine Datenbank, die nie unsere Server berührt, könnte also trotzdem in einem Cloud-Konto landen, über einen Mechanismus, der mit uns gar nichts zu tun hat. Diese Kopie würde dieselben Benachrichtigungsdaten tragen, nur durch eine andere Tür.

ReNotify schaltet dieses System vollständig ab. Seine Daten sind von Androids automatischer Sicherung ausgeschlossen, sodass die einzige Kopie deines Verlaufs, die existieren kann, die auf deinem Gerät ist, es sei denn, du exportierst selbst eine. Benachrichtigungen lokal speichern heißt wenig, wenn Android den Verlauf anschließend trotzdem in ein Cloud-Konto kopiert. Ein Bedrohungsmodell für Benachrichtigungsdaten-Datenschutz, das nur die eigenen Server der App betrachtet und das Sicherungssystem des Handys ignoriert, deckt nur die Hälfte des Problems ab. Die andere Hälfte ist eine Einstellung, und die muss von den Entwicklern richtig gesetzt sein, nicht einfach vorausgesetzt werden.

So prüfst du jede App, die diese Daten aufbewahrt

Du musst keinen Quellcode lesen, um zu prüfen, ob eine App, die deine Benachrichtigungen speichert, ehrlich darüber ist, wohin diese Daten gehen, auch wenn du bei uns genau das kannst, denn ReNotify ist Open Source, und der Listener-Dienst, der deine Benachrichtigungen berührt, ist ein paar Hundert Zeilen, die jeder nachlesen kann. Ohne das funktionieren vier Prüfungen bei jeder App dieser Art.

• Lies die Datenschutzerklärung auf das Wort „Server” oder „Abgleich”, nicht auf das Wort „Datenschutz”. Eine Richtlinie kann das zweite Wort großzügig verwenden und trotzdem das erste tun.
• Prüfe, ob die App ein Konto verlangt. Eine Verlaufs-App, die wirklich alles nur auf dem Gerät hält, braucht selten eines, weil es auf einem Server nichts gibt, an das sich ein Konto hängen könnte.
• Suche nach einer Exportfunktion. Eine App, die dir deine eigenen Daten als Datei überlässt, die du selbst kontrollierst, behauptet etwas anderes als eine, die sie dir nur innerhalb der App zeigt.
• Prüfe, was passiert, wenn du sie deinstallierst. Würde der Verlauf danach noch irgendwo existieren, lag er nie nur auf deinem Gerät.

Dieselben vier Prüfungen gelten nebenbei auch für das Durcheinander auf deinem Bildschirm. Nutzt du Regeln, um ein lautes Handy zu beruhigen, denk daran, dass Regeln und der Statusleisten-Filter Anrufe, Wecker, Navigation, Mediaplayer und laufende Dienste niemals ausblenden, ganz gleich, wie aggressiv du sie konfigurierst. Lärm zu reduzieren und den Inhalt darunter zu schützen sind zwei verschiedene Aufgaben, und eine Verlaufs-App erfüllt die zweite nur gut, wenn sie von Anfang an für genau diese Aufgabe gebaut wurde, statt einem Produkt hinzugefügt zu werden, das zuerst etwas anderes mit deinen Daten vorhatte.