Italien verhängt Geldbuße von 805 Millionen Euro gegen Meta wegen Zugriffs der Facebook-Android-App auf Fotobibliotheken

Die italienische Datenschutzbehörde hat gegen Meta Platforms Ireland Limited eine Geldbuße von 805 Millionen Euro verhängt. Grund dafür ist eine Funktion der Facebook-App für Android, die ohne hinreichend konkrete und informierte Einwilligung auf die Fotobibliotheken der Nutzer zugriff.

Die am 14. November bekannt gegebene Entscheidung betrifft eine Funktion, die beim Durchsuchen von Facebook Vorschläge aus der Galerie des jeweiligen Geräts anzeigte. Nach den Feststellungen der Behörde war sie seit 2023 standardmäßig aktiviert und konnte auf Fotos, Videos sowie die zugehörigen Metadaten auf den Geräten italienischer Nutzer zugreifen.

Für Krypto-Nutzer verdeutlicht der Fall ein Risiko, das weit über soziale Medien hinausgeht: Die Fotobibliothek eines Smartphones kann Informationen enthalten, die den Zugriff auf Wallets, Transaktionsaktivitäten oder die Identität einer Person offenlegen. Eine App muss keine Krypto-Wallet sein, um mit sensiblen kryptobezogenen Informationen in Berührung zu kommen – es genügt, wenn sie die Mediendateien des Geräts auslesen kann.

Was die italienische Aufsichtsbehörde festgestellt hat

Die Behörde kam zu dem Schluss, dass die Berechtigungsabfrage der Facebook-App für Android den Nutzern keine ausreichend klare Wahl hinsichtlich der Galerie-Vorschläge ließ. Statt einer gesonderten, informierten Entscheidung über genau diese Nutzung wurde eine weitreichende Berechtigung für die gesamte App eingeholt.

Darüber hinaus stellte die Behörde fest, dass diese Ausgestaltung einen fortlaufenden Zugriff auf die Gerätegalerie ermöglichte. Weder die Nutzer noch die Aufsichtsbehörde konnten unabhängig überprüfen, in welchem Umfang die Inhalte tatsächlich verwendet wurden.

Die Entscheidung stützt sich auf Artikel 122 des italienischen Datenschutzgesetzes, mit dem die Schutzvorschriften der europäischen ePrivacy-Richtlinie umgesetzt werden. Die Behörde betonte, dass die auf einem Smartphone gespeicherten Informationen zur Privatsphäre des Einzelnen gehören. Ihrer Einschätzung nach war für den Zugriff eine wirksame Einwilligung erforderlich – unabhängig davon, ob die Daten an anderer Stelle übermittelt wurden oder bereits ein konkreter Schaden entstanden war.

Meta vertrat die Auffassung, für die Angelegenheit sei die irische Datenschutzbehörde zuständig. Die italienische Behörde wies dieses Argument zurück und stellte fest, dass der grenzüberschreitende „One-Stop-Shop“-Mechanismus der EU auf dieses Durchsetzungsverfahren nach den ePrivacy-Vorschriften nicht anwendbar sei.

Warum die Geldbuße so hoch ausfiel

Bei der Festsetzung der Geldbuße von 805 Millionen Euro berücksichtigte die Behörde mehrere Faktoren:

• Potenziell waren rund 20 Millionen Android-Nutzer in Italien betroffen.
• Das beanstandete Verhalten erstreckte sich über einen längeren Zeitraum.
• Gegen Meta waren bereits seit 2019 aufsichtsrechtliche Maßnahmen ergriffen worden.
• Die Behörde bewertete die Zusammenarbeit des Unternehmens während der Untersuchung als unzureichend.

Laut der behördlichen Bewertung entsprach die Geldbuße etwa 0,47 % des weltweiten Umsatzes von Meta.

Meta wurde angewiesen, die Funktion innerhalb von 60 Tagen standardmäßig zu deaktivieren, ihren Zweck sowie die Möglichkeit zur Abschaltung zu erläutern und vor einer Aktivierung eine gesonderte, ausdrückliche Einwilligung einzuholen. Zudem muss das Unternehmen nach 30 und nach 90 Tagen über die Fortschritte bei der Umsetzung der Abhilfemaßnahmen berichten.

Das Verfahren stellte nicht fest, dass die Inhalte der Galerie zum Trainieren von KI-Modellen verwendet wurden; Meta bestritt eine solche Nutzung. Eine separate cloudbasierte Funktion zur Verarbeitung von Fotos, die für 2026 eingeführt wurde, soll gesondert geprüft werden.

Warum Fotozugriffsrechte für Krypto-Nutzer wichtig sind

Eine Galerie mag wie eine Sammlung gewöhnlicher Bilder wirken, kann aber auch Einzelheiten über die digitalen Vermögenswerte einer Person preisgeben. Screenshots, heruntergeladene Dateien und Fotos können unter anderem Folgendes enthalten:

• Wiederherstellungsphrasen oder private Schlüssel, die bei der Einrichtung einer Wallet erfasst wurden.
• Wallet-Adressen, Transaktionsverläufe oder Kontostände.
• QR-Codes für den Zugriff auf Wallets, für Zahlungen oder zur Kontowiederherstellung.
• Ausweisdokumente, die im Rahmen der Identitätsprüfung bei einer Kryptobörse eingereicht wurden.
• In Bildmetadaten eingebettete Reise-, Standort- oder Kontaktinformationen.

Nicht jede dieser Informationen ermöglicht unmittelbar die Kontrolle über Vermögenswerte. Eine Wallet-Adresse ist beispielsweise in der Regel öffentlich. Wird eine solche Adresse jedoch mit einem Namen oder anderen identifizierenden Angaben verknüpft, lassen sich On-Chain-Aktivitäten leichter einer realen Person zuordnen. Eine Wiederherstellungsphrase oder ein privater Schlüssel ist weitaus sensibler: Wer in deren Besitz gelangt, kann unter Umständen die damit verbundenen Vermögenswerte kontrollieren.

Diese Unterscheidung ist wichtig, denn Blockchains schaffen Transparenz, aber keine automatische Anonymität. Die Erläuterung der Ethereum Foundation zu Konten beschreibt, dass die Kontrolle über ein Konto von den privaten Schlüsseln abhängt. Der Schutz dieser Schlüssel ist unverzichtbar. Ebenso wichtig ist es jedoch, die unnötige Offenlegung der damit verbundenen persönlichen Informationen zu begrenzen.

So lässt sich das eigene Risiko verringern

Die Entscheidung erinnert daran, regelmäßig zu überprüfen, worauf Apps zugreifen können – insbesondere auf Geräten, die für Krypto-Transaktionen genutzt werden.

1. Berechtigungen für Fotos und Videos prüfen. Kontrollieren Sie, welche Apps auf Ihre Medien zugreifen dürfen, und entziehen Sie nicht benötigte Berechtigungen. Sofern möglich, sollten Sie nur den Zugriff auf ausgewählte Bilder statt auf die gesamte Bibliothek erlauben. Android erläutert die verfügbaren Optionen in seiner Dokumentation zur Fotoauswahl.
2. Wiederherstellungsphrasen nicht in der Galerie speichern. Fotografieren Sie Ihre Seed-Phrase nicht, erstellen Sie keinen Screenshot davon und speichern Sie sie weder in einer Notizen-App noch in einer cloudbasierten Fotobibliothek. Legen Sie stattdessen eine Offline-Sicherung an und bewahren Sie diese sicher auf.
3. Screenshots mit Bedacht verwenden. Prüfen Sie vor dem Speichern oder Teilen eines Bildes, ob darauf Kontostände, Adressen, QR-Codes, Kontokennungen oder personenbezogene Daten zu sehen sind.
4. Cloud-Backups kontrollieren. Wird ein sensibles Bild vom Smartphone gelöscht, verschwinden möglicherweise nicht sofort alle synchronisierten Kopien. Prüfen Sie daher die verbundenen Sicherungsdienste und deren Einstellungen zum Löschen von Dateien.
5. Berechtigungen nach Updates erneut prüfen. Funktionen und Berechtigungsabfragen können sich ändern. Eine regelmäßige Kontrolle hilft sicherzustellen, dass eine früher erteilte Freigabe weiterhin der gewünschten Nutzung der App entspricht.

Die übergeordnete Lehre für die Sicherheit digitaler Vermögenswerte

Die Entscheidung gegen Meta verdeutlicht eine Grenze, mit der Krypto-Nutzer täglich konfrontiert sind: Die Zustimmung zur Nutzung einer App ist nicht zwangsläufig eine informierte Entscheidung über jede Art und Weise, in der diese App auf Gerätedaten zugreifen kann.

Bei der Selbstverwahrung tragen Nutzer selbst die Verantwortung für ihre Schlüssel. Praktische Sicherheit umfasst jedoch auch die gesamte Umgebung, in der diese Schlüssel verwendet werden. Eine Hardware-Wallet wie OneKey kann dabei helfen, private Schlüssel im normalen Gebrauch vom Smartphone oder Computer getrennt zu halten. Sie kann allerdings weder verhindern, dass andere Apps auf Fotos zugreifen, für die eine entsprechende Berechtigung erteilt wurde, noch eine Wiederherstellungsphrase schützen, die fotografiert und in der Galerie gespeichert wurde.

Den besten Schutz bietet daher eine Kombination aus sicherer Schlüsselverwahrung, sorgfältig vergebenen Geräteberechtigungen und einer offline aufbewahrten Sicherung der Wiederherstellungsphrase.