Was sendet die Analyse-Einstellung einer VPN-App eigentlich?
Der Analyse-Schalter deckt einen anderen Datenfluss als den Tunnel ab. Lesen Sie die Kategorien, Kennungen und Empfänger, bevor die Datenschutzseite darauf eingeht.
Ihr Tunnel ist verschlüsselt, die Datenschutzseite spricht von keinen Protokollen, und die App liefert trotzdem eine Diagnosebibliothek mit, die meldet, welche Bildschirme Sie öffnen. Das sind unterschiedliche Datenflüsse mit unterschiedlichen Richtlinien. Ein Verbindungsprotokoll hält fest, wohin der Tunnel ging; ein Analyseereignis hält fest, wie Sie die App genutzt haben. Das eine zu lesen und anzunehmen, es decke das andere ab, ist genau der Fehler, zu dem die Einstellung verleitet.
Was der Schalter üblicherweise steuert
Die meisten Clients trennen optionale Berichte von der Verarbeitung, ohne die ein Dienst nicht arbeiten kann. Der Schalter regelt üblicherweise Absturzberichte, Nutzungsereignisse und Leistungsmessungen, während Authentifizierung, Abrechnung und Missbrauchsabwehr unabhängig von seiner Stellung weiterlaufen.
Absturzberichte enthalten einen Stack-Trace, das Gerätemodell, die Betriebssystemversion und die App-Version. Nutzungsereignisse nennen Bildschirme und Funktionen, manchmal mit Dauer. Leistungsereignisse erfassen Verbindungszeiten, Protokollwahl und Fehlercodes. Support-Diagnosen sind eine vierte Kategorie, werden meist manuell ausgelöst und können Protokolle und Konfiguration bündeln.
Der Absender ist nicht immer die Marke auf dem Icon. Ein in die App eingebettetes SDK kann an den eigenen Endpunkt senden, und ein Absturzdienst kann ein separates Unternehmen sein. Deshalb ist die Empfängerliste der Mitteilung ebenso wichtig wie das Etikett des Schalters.
Die Felder, die einen Bericht identifizierend machen
Die Kategorie allein entscheidet die Datenschutzfrage nicht; das tut die Kennung, die an das Ereignis gehängt wird. Ein harmlos wirkender Bericht kann zu einer Historie werden, wenn dieselbe Installations-ID in jeder Zeile steht.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
Eine Kontoverknüpfung ist der stärkste Verbindungsschlüssel, weil sie eine Gerätehistorie in eine Personenhistorie verwandelt. Eine IP-Adresse ist in vielen Rechtsordnungen personenbezogen, selbst wenn der Bericht keinen Namen enthält, und eine stabile Kennung kann auf manchen Plattformen Neuinstallationen überleben.
Aggregation ist keine Anonymisierung, wenn die rohe Kennung beim Absender bleibt. Behauptet eine Mitteilung anonyme Statistiken, suchen Sie die Methode: was verworfen wird, in welcher Stufe, und ob der Empfänger Ereignisse erneut verknüpfen kann.
Wer den Bericht erhält
Verfolgen Sie die Empfänger statt der Marke. Der App-Entwickler kann den Endpunkt betreiben oder die Marke an einen anderen Betreiber lizenzieren; der Analyseanbieter und der Absturzdienst sind weitere Parteien. Die Datenschutzmitteilung sollte diese Rollen benennen und die Kategorien, die jede erhält. Mozillas Datenschutzhinweis für Abonnements trennt Kontodaten von technischen und diagnostischen Kategorien, und genau diese Art der Trennung sollten Sie suchen.
Die Aufbewahrung wird an jeder Station festgelegt. Ein Entwickler kann Ereignisse kurz halten, während der Analyseanbieter sie nach seiner eigenen Richtlinie länger hält, und ein per E-Mail versandtes Support-Paket kann beide überleben. Fragen Sie, welche Partei die Daten hält, nicht nur welche sie erhoben hat.
Die grenzüberschreitende Übermittlung gehört in dieselbe Prüfung. Ein Diagnose-Endpunkt in einer anderen Region erzeugt eine Übermittlung, die die Verschlüsselung des Tunnels nicht berührt, weil der Bericht nie durch den Tunnel reiste.
Was das Abschalten bewirkt und was nicht
Der Schalter stoppt künftige optionale Berichte. Er ruft bereits gesendete Berichte nicht zurück und löscht sie nicht beim Empfänger. Löschung ist eine eigene Anfrage im Datenprozess des Anbieters, und dafür kann die Konto-Kennung statt der Geräteeinstellung nötig sein.
Auch die wesentliche Verarbeitung läuft weiter. Anmeldung, Abo-Verlängerung, Betrugsprüfungen und Dienstzustand können auf anderer Grundlage protokolliert werden, und das Betriebssystem hat eigene Absturz- und Analysefunktionen, die der App-Schalter nie kontrollierte. Prüfen Sie die Einstellung auf Betriebssystemebene, wenn das Ziel ist, die Gerätediagnose zu beenden.
Nutzen Sie die Einstellung bewusst zur Fehlersuche: Diagnose einschalten, den Fehler reproduzieren, das Paket sammeln, dann die Berichte abschalten und das Paket löschen, sobald das Ticket geschlossen ist. Manuelle Anhänge verdienen dieselbe Prüfung wie automatische, denn eine Protokolldatei kann mehr enthalten, als das Analyseereignis je tat.
Vergleichen Sie die Mitteilung mit dem, was das Gerät verlässt
Sie können Ziele sehen, ohne Inhalte zu entschlüsseln. Unter macOS und Linux zeigen Verbindungslisten, mit welchen entfernten Adressen der Client spricht:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS verbirgt die Nutzlast, die Ausgabe belegt also ein Ziel und ein grobes Timing, nicht die Felder darin. Das reicht dennoch, um eine Behauptung zu prüfen: Wenn die Mitteilung einen Analyse-Empfänger nennt und die App auch eine nicht gelistete Domain kontaktiert, fragen Sie danach, bevor Sie die Richtlinie für bare Münze nehmen.
Notieren Sie die Kategorien, die Sie akzeptieren, die daran gehängten Kennungen und die Empfänger, die sie halten. Diese kurze Notiz ist nützlicher als eine mentale, wenn die App ihr SDK aktualisiert oder der Anbieter den Eigentümer wechselt.