Aarau
Das städtische Gratis-WLAN ist eine Datenkrake – und das ganz legal

Das Gratis-WLAN «AarauFreenet», welches die ganze Aarauer Altstadt und den Bahnhofbereich abdeckt erfasst auch die Daten nichtregistrierter Nutzer – ohne deren Wissen. Ein ehemaliger Datenschutzbeauftragter des Bundes kritisiert das.

Nadja Rohner
Drucken
Teilen
Ob der Nutzer registriert ist oder nicht: «AarauFreenet» hat ihn auf dem Radar.

Ob der Nutzer registriert ist oder nicht: «AarauFreenet» hat ihn auf dem Radar.

Mario Heller

Gegen 5000 Personen surfen bereits mit «AarauFreenet» im Internet. Das WLAN-Netz deckt nahezu die ganze Altstadt und den Bahnhofbereich ab. Getragen wird das seit 2013 bestehende Angebot von einer Interessengemeinschaft aus Gewerbe und Verkehr, Netzbetreiberin ist die IBAarau AG.

Die Nutzung ist kostenlos. Aber: Selbst Gratis-WLAN-Angebote bezahlen wir – mit unseren Daten. Das gilt auch für «AarauFreenet». Um es nutzen zu können, muss man sich registrieren.

Damit sendet man gemäss den Allgemeinen Geschäftsbedingungen (AGB) seine Mobilnummer und die MAC-Adresse des Geräts. Letztere gehört zum WLAN-Modul auf dem Smartphone und ist bei jedem Gerät einzigartig, wie ein Fingerabdruck.

Vorratsdatenspeicherung – Passanten sind keine Nutzer

Die IBA ist als Betreiberin eines öffentlichen WLAN-Netzes verpflichtet, die Daten ihrer Nutzer während sechs Monaten aufzubewahren und auf Verlangen der Behörden unverschlüsselt herauszugeben. So will es das Bundesgesetz zur Überwachung des Post- und Fernmeldeverkehrs (Büpf). Wer allerdings nur an einem WLAN vorbeilaufe, sich aber nicht einlogge, sei «kein Nutzer», sagt Caroline Sauser, Sprecherin des Bundesamts für Kommunikation. Die IBA sei also «nicht verpflichtet, die Daten von unregistrierten Personen, die das Netz nicht nutzen, aber in dessen Reichweite sind, zu speichern.» (NRO)

Was wohl nicht jedem Nutzer klar ist: «AarauFreenet» registriert seine Bewegungen in der Stadt. Man nennt das Tracking. Smartphones senden auf der Suche nach einem WLAN-Netz ein Funksignal und die eindeutig identifizierbare MAC-Adresse.

Aus diesen Daten kann eruiert werden, wo genau sich ein Nutzer in Aarau bewegt. «Wie bei jedem WLAN und Mobilfunknetz werden auch bei ‹AarauFreenet› Bewegungsprofile aufgezeichnet und archiviert», bestätigt Harriet Moser, Leiterin Kommunikation der IBAarau.

Aus der Summe dieser Profile lassen sich Besucherströme messen und beispielsweise zu Marketingzwecken verwenden. Eine Arbeitsgruppe prüfe zurzeit, welche Nutzungsmöglichkeiten sich für das lokale Gewerbe ergeben, sagt denn auch Harriet Moser.

Auch Nichtnutzer erfasst

Wer nun glaubt, nur Nutzer von «AarauFreenet» würden «getrackt», liegt falsch. Es werden auch Bewegungsprofile von Personen aufgezeichnet, die sich gar nicht registriert haben. Harriet Moser bestätigt entsprechende Recherchen der az.

Wenn ein Passant den WLAN-Empfang auf seinem Handy aktiviert hat, sich aber nie bei AarauFreenet registriert hat, sendet sein Handy trotzdem die MAC-Adresse an die Hotspots.

Er kann dann zwar AarauFreenet nicht aktiv nutzen, das Netz erkennt aber, wo er sich befindet, zeichnet seine Bewegungsdaten auf und archiviert sie anonym. Wer das nicht wünsche, müsse seinen WLAN-Empfang ausschalten, sagt Harriet Moser.

So gehen andere WLAN-Anbieter vor

Die Stadt St. Gallen betreibt ein kostenloses WLAN. Wer es nutzen will, erklärt sich bereit, telefonisch oder per SMS für Umfragen kontaktiert zu werden. Die Nutzerdaten werden für Statistiken anonymisiert gesammelt.
Die SBB bieten ebenfalls ein Gratis-WLAN an 80 Bahnhöfen an, darunter Aarau und Lenzburg. Der eidgenössische Datenschützer beanstandete Anfang Jahr, dass die SBB die dabei aufgezeichneten Kundendaten für Marketing benutzen dürfen, bei dem der Kunde individuell auf ihn zugeschnittene Werbebotschaften erhält. Die SBB strichen diesen Passus in den AGB, verwenden die Daten aber nach wie vor zur Messung der Pendlerströme, allerdings anonymisiert.
«Die Daten werden erst erhoben, wenn sich eine Person registriert», sagt Sprecherin Lea Meyer. «Wenn eine Person mit eingeschaltetem WLAN durch den Bahnhof läuft, sich aber nicht registriert, erheben die SBB keine Daten.» (NRO)

Datenschützer fordern Hinweis

Das rät auch der Aarauer Hanspeter Thür, bis vor kurzem Datenschutzbeauftragter des Bundes. Er schaltet sein WLAN in der Regel aus, wenn er unterwegs ist. Denn ihm zufolge ist «AarauFreenet» kein Einzelfall: «Es gibt immer mehr öffentlich Netze – zum Beispiel in Kaufhäusern – wo man sich nicht registrieren muss, um sie zu nutzen. Da wird man schon erfasst, wenn man das Gebäude betritt.»

Dass man sich bei «AarauFreenet» zwar registrieren muss, um es zu nutzen, aber auch ohne Registrierung aufgezeichnet wird, findet Thür «wenig elegant». «Es wäre sicher korrekter, die Infos gar nicht erst aufzuzeichnen, wenn jemand ‹AarauFreenet› nicht nutzt.»

Heikel wäre laut Thür, wenn die Daten zur Erstellung eines Benutzerprofils personenbezogen ausgewertet würden. Das heisst: Wenn die IBA zum Beispiel wissen will, ob sich eine bestimmte Person beziehungsweise ihr Handy von der Igelweid zum Rathaus bewegt hat.

Dazu bräuchte sie die ausdrückliche Einwilligung des Handybesitzers. «Wenn die Daten aber anonym und aggregiert ausgewertet werden, braucht sie die Einwilligung nicht», sagt Thür.

Das wäre beispielsweise der Fall, wenn die IBA lediglich weiss, dass sich zwischen 11 und 12 Uhr hundert namentlich nicht identifizierbare Personen von der Igelweid zum Rathaus bewegt haben.

Francis Meier, Sprecher des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, stimmt Thür zu. Das Datenschutzgesetz komme nur zur Anwendung, wenn personenbezogene Daten erhoben würden.

«Die IBA darf Daten nur personenbezogen bearbeiten, wenn die Smartphonebesitzer nach vorgängiger Information eingewilligt haben.» Für die Erfassung von individuellen Bewegungsprofilen genüge die Annahme der AGB nicht. «Hier braucht es die ausdrückliche Einwilligung der Nutzer.»

Die IBA müsse dafür sorgen, dass die Daten von nichtregistrierten Personen gar nicht erst gespeichert werden, so Meier. «Wer sich im öffentlichen Raum bewegt, muss nicht in Kauf nehmen, dass Angaben wie die MAC-Adresse des Geräts von Dritten zu Trackingzwecken erfasst werden», betont er.

«Der Dienstleister muss die Handynutzer bei Betreten der WLAN-Zone deutlich darauf hinweisen, dass ihre Daten aufgezeichnet werden.» Bei Personen, die das WLAN-Angebot nicht nutzen wollen, sollte laut Meier keine Speicherung erfolgen.

«Da sich aber nicht ausschliessen lässt, dass einzelne Anbieter diese Regel missachten, raten wir, die WLAN-Funktion nur zu aktivieren, wenn man sie tatsächlich benötigt.»

Im Klartext: Dass die IBA die Bewegungsdaten von zufällig vorbeilaufenden Personen erfasst und anonymisiert verwendet, um beispielsweise Bewegungsströme zu messen, ist nicht verboten – auch dann nicht, wenn diese Personen nicht bei «AarauFreenet» registriert sind.

Die Passanten sollten aber darauf hingewiesen werden, damit sie ihr WLAN ausschalten können, falls sie nicht «getrackt» werden wollen. Umgekehrt darf die IBA ganz persönliche Bewegungsprofile nur bei registrierten «AarauFreenet»-Nutzern anlegen – und nur dann, wenn diese ausdrücklich zugestimmt haben.

Die IBA sei sich der Sensibilität des Themas Datenschutz bewusst, sagt Sprecherin Moser. Die Daten würden nach der gesetzlichen Aufbewahrungsfrist (siehe Box oben) wieder gelöscht. «AarauFreenet» befinde sich in einer Pilotphase.

«Sollten Bewegungsprofile künftig genutzt werden, wird sich ‹AarauFreenet› selbstverständlich an die gesetzlichen Vorschriften und Empfehlungen halten.»

Lesen Sie hier den Kommentar zum Thema.

Aktuelle Nachrichten