Die jüngsten Enthüllungen legen nahe, dass ein technischer Kniff im Mittelpunkt steht, der HTML-Code von Webseiten mit lokal installierten Apps auf Android-Geräten verbindet. Technologien wie „Meta Pixel“ und „Yandex Metrica“ nutzen dabei interne Netzwerkpfade (localhost), um unauffällig Identifikatoren aus dem Webbrowser an Anwendungen wie Facebook, Instagram oder Yandex Maps zu übermitteln. Diese Informationen werden dann mit Benutzerkonten oder Geräte-IDs zusammengeführt und an die Server der Unternehmen gesendet.

Besonders hinterlistig an dieser Methode: Sie funktionierte auch im Inkognito-Modus, bei gelöschten Cookies oder deaktivierter Werbung. Statt auf konventionelle Tracking-Cookies zurückzugreifen, wurde die interne IP-Adresse 127.0.0.1 verwendet – ein Bereich, der eigentlich dem Schutz der Privatsphäre dienen sollte. Über diese Schnittstelle konnten Apps die Daten abgreifen und weiterleiten.

Laut den Sicherheitsexperten von „Local Mess“ wurden mehr als 5 Millionen Webseiten mit Meta-Skripten und rund 3 Millionen mit Yandex-Code entdeckt. In zahlreichen Fällen geschah dies ohne das Einverständnis der Nutzer – ein klarer Verstoß gegen die geltenden Datenschutzbestimmungen.

Google hat schnell reagiert: Diese Praktiken verstoßen gegen die Play-Store-Regeln und die Datenschutzrichtlinien für Android. In der Folge stoppten sowohl Meta als auch Yandex ihre Aktivitäten vorübergehend. Sie erklärten jedoch, dass es sich um ein Missverständnis handle und keine sensiblen Informationen gesammelt worden seien.

Browseranbieter wie Chrome, Firefox, Brave und DuckDuckGo haben bereits mit Updates und Blocklisten reagiert. Chrome wird künftig missbrauchte Ports blockieren, Brave unterbindet standardmäßig den lokalen Datenverkehr, und Erweiterungen wie uBlock Origin oder AdGuard filtern die betroffenen Domains zuverlässig heraus.

Um auf der sicheren Seite zu sein, sollten Nutzer verdächtige Apps deinstallieren oder zumindest ihren Zugriff einschränken, WebRTC im Browser deaktivieren und regelmäßig Sicherheitsupdates durchführen. Denn solange Android keine gezielten Maßnahmen gegen lokale Verbindungen ergreift, bleibt das Risiko bestehen.