Beim heimlichen Tracking ertappt Meta und Yandex spionierten Nutzer aus

Auf frischer Tat erwischt, im großen Stil entblößt? Meta, der Mutterkonzern von Facebook, WhatsApp und Instagram, und das russische Tech-Unter­nehmen Yandex stehen unter Verdacht, die Nutzer im großen Stil zu de-anonymisieren und im Netz auf Schritt und Tritt zu verfolgen — selbst im Inkognito-Modus, ohne Anmeldung im Browser und nach dem Löschen von Cookies & Co. Das war jetzt nicht die Idee...

Die beiden Konzerne sollen anonyme Webkennungen von mobilen Browsern auf Android mit realen Nutzeridentitäten ihrer jeweiligen Apps verknüpft haben. Durch ihren Missbrauch legitimer Internetprotokolle auf Android (und potenziell iOS) und eindeutige Identifikatoren in Apps seien sie in der Lage, mobile Besucher unbemerkt zu enttarnen.

Die Erkenntnisse entstammen der Forschungsarbeit einer internationalen Gruppe von Sicherheitsspezialisten der Internet Analytics Group von IMDEA Networks unter der Leitung von Dr. Narseo Vallina-Rodriguez, Prof. Gunes Acar (Radboud University, Niederlande) und Tim Vlummens (KU Leuven, Belgien).

Eine Untersuchung der 100.000 beliebtesten Websites des Internets offenbarte das enorme Ausmaß dieses Trackings. Auf 17.223 Websites in den Vereinigten Staaten und 15.677 Websites in der Europäischen Union versuchte Meta Pixel, mit localhost zu kommunizieren — in mindestens drei Viertel der Fälle (75 bis 78 Prozent) ohne hierfür die Benutzerzustimmung einzuholen.

„Bis zu unserer Offenlegung waren Android-Nutzer, die von Yandex und Metas Pixel verfolgt wurden, dieser Tracking-Methode vollständig schutzlos ausgeliefert,“ offenbart Sicherheits-forscher Dr. Narseo Vallina-Rodríguez, Research Associate Professor bei IMDEA Networks Institute und Leiter der Forschungsgruppe hinter der Entdeckung.

Passwort-Management

Hat es Sie erwischt? Erbeuteten Passwörtern auf der Spur

Meta Pixel und Yandex Metrica

Im Zentrum dieses digitalen Skandals stehen zwei Tracking-Werkzeuge: der Meta Pixel und Yandex Metrica. Es handelt sich in beiden Fällen um Schnipsel von JavaScript-Code, die millionenfach in Webseiten unterschiedlicher Drittbetreiber eingebettet sind. Überall dort, wo sie vorkommen, kann Meta bzw. Yandex aus dem Datenstrom der Nutzerinteraktionen verwertbare Erkenntnisse ausschnüffeln.

Die offizielle Daseinsberechtigung für Meta Pixel ist die Bereitstellung von datengetriebenem Marketing durch Facebook und Instagram mit Features wie Conversion-Tracking und Retargeting.

Yandex Metrica legitimiert seine Präsenz durch diverse SEO-Funktionalitäten. Yandex erstellt anhand der Daten von Metrica Visualisierungen wie Heatmaps und liefert Session-Replays. Website-Betreiber verschaffen sich mit dem Skript Zugriff auf detaillierte Analysen zur Nutzung ihrer Online-Präsenz — nicht viel anders als im Falle von Google Analytics.

Beide Anbieter haben es jedoch nicht dabei belassen. Ihre raffinierten Tracking-Methoden, die darauf aufbauen, sind mit der Absicht entstanden, zentrale Datenschutzmechanismen von Android und modernen Browsern auszuhebeln.

JavaScript-Code, das auf den ersten Blick wie eine technisch unvermeidbare Notwendigkeit wirkt, offenbart sich im breiteren Kontext sonstiger Aktivitäten der Plattformanbieter als ein systematischer Versuch, in die digitale Privatsphäre von Milliarden mobiler Nutzer weltweit einzugreifen.

1,2 Milliaden Datensätze im Darknet

Milliarden-großes Datenleck bei Facebook

Meta Pixel findet sich laut Analysen auf über 5,8 Millionen Webseiten weltweit, Yandex Metrica immerhin auf rund 3 Millionen. Durch diese allgegenwärtige Präsenz konnten die Unternehmen über besuchte Webseiten hinweg Aktivitätsprofile der betroffenen „Internauten“ erstellen. Sobald sie diese Profile mit Social-Media- oder App-Konten der Betroffenen verknüpfen, eröffnen sie insgeheim die Jagdsaison auf digitale Anonymität.

Meta ist das Unternehmen hinter Facebook, Instagram, WhatsApp und weiteren Plattformen. Yandex hat sich nach Google und Bing als die drittbeliebteste Suchmaschine der Welt etabliert. Die Relevanz der Plattform mag jedoch im Westen gering sein; sie hat einen globalen Marktanteil von mageren 2,8% (und eine erdrückende Marktdominanz in Russland). Meta konnte im ersten Quartal 2025 über alle Apps hinweg auf 3,43 Milliarden täglich aktiver Nutzer verweisen.

Datenschutz im freien Fall

In Androids Sandbox kann eine App nicht einfach mal eben in den Speicher einer anderen hineingreifen; dafür sorgt Isolation mittels Linux-Namensräume, SELinux-Labels und eigener UID. Jede App wird in einem eigenen Prozessraum hinter einer verriegelten „Brandschutztür“ ausgeführt. Öffnet eine App einen Socket auf 127.0.0.1, baut sie damit selbst eine neue Tür ins gemeinsame Treppenhaus: die Loopback-Schnittstelle.

Direkte Datenwege zu anderen Apps sind nicht erlaubt; Datenpakete müssen erst ins Treppenhaus und von dort gezielt zur Port-Nummer der betreffenden Türe der Empfangsadresse. Ein UDP- oder TCP-Paket landet im Normalfall nur bei dem Prozess, der den entsprechenden Port bereits exklusiv gebunden hat (mit UDP ließe sich diese Beschränkung allerdings mittels SO_REUSEPORT umgehen). Ist TCP-Port 12580 von der Facebook-App belegt, kann keine zweite App denselben Port parallel öffnen und die Pakete abfangen – das wird der Kernel verhindern. Darum nutzen Facebook, Instagram und WhatsApp separate Portnummern.

Die Loopback-Schnittstelle bildet den Dreh- und Angelpunkt der Schnüffelmethode. Jeder Browser darf nämlich JavaScript gestatten, die eigene „Brandschutztür“ zu passieren und Daten an die Loopback-Adresse zu senden. Jede App mit der Berechtigung INTERNET darf auf dem Weg zur Außentür in das „Treppenhaus“ hineinschauen, um eigene Pakete abzufangen, wenn sie an ihrer Türe (Portnummer) klingeln. (Um fremde Pakete passiv mitzulesen, bräuchte eine App vom Prinzip her Roh-Socket- oder Paket-Capture-Fähigkeiten — BPF, pcap, VPN-Service — oder root-Zugriff. Da mobile Apps von Meta die Pakete von Meta Pixel aus dem Browser empfangen, kommen sie problemlos ohne solche gehobenen Rechte aus.)

Genau diese „Backdoor-by-Design“-Vorrichtung scheint das Skript im Browser zu missbrauchen.

Genau hier setzt der Abhörtrick an. Ein Browser-Skript – etwa Meta Pixel oder Yandex Metrica – sendet Datenpakete an die Loopback-Adresse und Portnummer, auf der die zugehörige App der betreffenden Plattform lauscht. Die zugehörige App öffnet ihre Tür (die Portnummer) und nimmt das Datenpaket (etwa das _fbp-Cookie) in Empfang. Bingo! So wird ein flüchtiges Web-Cookie mit einer dauerhaften Geräte-ID verknüpft.

„Das Grundproblem ist die fehlende Kontrolle [des Betriebssystems] über lokale Port­kommunikation“, warnt Sicherheits­forscher Narseo Vallina-Rodríguez, Research Associate Professor bei IMDEA Networks und Forschungsleiter. Solange jeder Prozess mit der Berechtigung INTERNET einen lokalen Server starten dürfe, bleibe das Versprechen der Isolation blanke Theorie.

In der Proof-of-Concept-Phase im September 2024 schickte Meta eine HTTP-GET-Anfrage an den Port 12387 der Loopback-Adresse. Klar lesbare URL-Parameter verrieten den _fbp-Cookie (Lebensdauer: 3 Monate). Mixed-Content-Warnungen und bald verpflichtende Private Network Access-Preflights (ab Chrome 94) drohten, solche Loopback-Requests zu blockieren, also beschloss Meta, über ein WebSocket (ws://127.0.0.1:12387) eine persistente Datenleitung zu öffnen. Die Umstellung wurde zwischen Oktober 2024 und Januar 2025 abgeschlossen.

Die Web-Sockets-Implementierung hatte den Stealth-Faktor. Der Cookie, umgewandelt in Binärframes, fiel nicht mehr auf. Der Ansatz hat es Meta außerdem erlaubt, Hürden der Browser-Richtlinie Same-Origin-Policy zu umgehen. Denn ein Skript von einer beliebigen Domain darf eine lokale Verbindung herstellen, solange die App das Origin-Header ignoriert — über Letzteres hatte Meta ja die volle Kontrolle. Ein einziger Handshake und schon ging es los.

Diese Technik funktioniert auch im Inkognito-Modus und sogar nach dem Löschen von Cookies.

Ein zusätzlicher Bonus war der PNA-Bypass (also das Umgehen der Sicherheitsmechanismen von Private Network Access). Chrome blockiert seit Version 94 unverschlüsselte HTTP-Zugriffe auf private Netze, doch die WebSocket-Implementierung (insbesondere ws:) konnte durch die frühen PNA-Filter hindurch. Und Meta spielte das Katz-und-Maus-Spiel weiter.

Die Umstellung auf WebSockets ebnete Meta den Weg zur Tarnung der Machenschaften via WebRTC. Ab etwa November 2024 begann Meta, den _fbp-Cookie im ICE-Ufrag-Feld von STUN-Paketen zu verstecken.

26 Milliarden Datensätze geleakt!

So schützen Sie sich vor dem größten Datenleck aller Zeiten

WebRTC nutzt die sogenannten STUN-Pakete, um zwei Endpunkte einander bekannt zu machen. In STUN-Paketen steckt ein kleiner Auth-Datenschnipsel namens ICE-Ufrag (kurz für „username fragment“). Normalerweise ist es ein zufälliger, wertloser String, der lediglich die aktuelle Sitzung kennzeichnet.

Bevor der Browser den Verbindungsaufbau startet, legt er eine SDP-Beschreibung (Session Description Protocol) an. Meta manipuliert diese SDP mit einem JavaScript, der das _fbp-Cookie in das Feld a=ice-ufrag: hineinkopierkopiert. Damit wandert das Cookie völlig unsichtbar in jedem STUN-Paket, das der Browser anschließend versendet. Diese Praxis – das manuelle Umbauen der SDP (im Fachjargon: SDP-Munging) — gilt seit Jahren als unsauber. Es hebelt nämlich die Sicherheits­garantien des Browsers unsichtbar auf.

Der Pixel-Code initiiert nun eine „Peer-Connection“ zu der Loopback-Adresse 127.0.0.1 und wählt dabei die UDP-Ports 12580-12585, auf denen die Facebook- und/oder Instagram-App eben im Hintergrund lauscht. Die STUN-Bindungsanfrage fliegt als UDP-Datagramm an diese Ports – inklusive des präparierten ICE-Ufrag-Felds.

Die App zieht den Cookie-Wert aus dem ICE-Ufrag-Schnipsel, kombiniert ihn mit der internen Nutzer-ID (die sie sei der Anmeldung des Benutzers in der mobilen App ja gut kennt) und schickt das Paket an Metas Back-End-Server. Damit ist die Brücke zwischen einem scheinbar anonymen Web-Besuch und einem spezifischen Facebook- oder Instagram-Konto geschlagen – völlig ohne klassische Cookie-Synchronisation und sogar dann, wenn der Browser im Inkognito-Modus läuft. (Wofür gibt es denn den Inkognito-Modus?)

Die Facebook- und Instagram-Apps lauschen im Hintergrund. Wann immer der Nutzer eine Website mit dem Meta Pixel besucht, stellt der Code dieser Tracking-Skripte WebRTC-Verbindungen her, um das "_fbp"-Cookie – einen First-Party-Identifier – direkt an die nativen Apps zu übermitteln. So hebelt Meta die Trennung zwischen Web- und App-Daten auf Android-Geräten aus. Volltreffer!

Nutzer haben die Kontrolle über ihre Daten verloren

Wie wir getrackt werden!

Yandex-Apps wie Maps, Browser oder Navigator horchen schon seit Februar 2017 auf TCP-Ports :29009/30102 und HTTPS-Ports :29010/30103 — ein siebenjähriges Schattennetz. Das Metrica-Skript sendet HTTP-Aufrufe an diese Ports oder an yandexmetrica.com, das sich lustigerweise zu 127.0.0.1 auflöst. Die App antwortet mit einem Base64-Block; darin steckt u.a. die Android-Advertising-ID. Danach wandert der Datensatz zurück ins Web-Skript und von dort zu Yandex – komplett unbemerkt vom Betriebssystem. Wie trickreich.

Der Vorfall wirft schwerwiegende datenschutzrechtliche Fragen auf, sowohl in Bezug auf ungewollte Überwachung als auch auf die kommerzielle Verwertung von Nutzerdaten, die sich die betreffenden Anbieter anscheinend ohne die informierte Einwilligung der Betroffenen und im Widerspruch zu den vom Betriebssystem auferlegten Einschränkungen erschlichen haben konnten.

Das Schweigen der Schnüffler

Es gebe derzeit keine Hinweise darauf, dass Meta oder Yandex diese Tracking-Funktionen den Websites, die die Tracker hosten, oder den Endbenutzern, die diese Websites besuchen, offengelegt haben. Informationen aus Entwicklerforen deuten darauf hin, dass Meta und Yandex dieses Verhalten den Website-Entwicklern nicht mitgeteilt haben.

Tatsächlich waren viele Website-Betreiber, die Meta Pixel nutzen, überrascht, als das Skript begann, sich mit lokalen Ports zu verbinden, wie mehrere Forenbeiträge nahelegen. Nicht nur habe es Meta unterlassen, die Website-Betreiber über diese Tracking-Methode in Kenntnis zu setzen, sondern habe auch ihre Beschwerden und Fragen ignoriert, kommentierte Güneş Acar, Assistenzprofessor an der Radboud University, der die Untersuchung mitleitete und die erste Entdeckung machte. Diese Art des plattformübergreifenden Trackings sei aus seiner Sicht „beispiellos“ – und „besonders überraschend, da sie von zwei Unternehmen kommt, die Milliarden von Nutzern weltweit bedienen“.

Meta zeigte sich zunächst trotzig – man stehe „in Gesprächen mit Google, um ein mögliches Missverständnis über die Anwendung ihrer Richtlinien auszuräumen“, hieß es. Nach einer gewissen Denkpause lenkte Meta plötzlich ein und habe die „Funktion“ zum 3. Juni 2025 „pausiert“, während man gemeinsam mit Google an einer „Lösung“ arbeite. Jemand hat sich offenbar erschrocken.

Yandex wies alle Vorwürfe mit den Worten zurück: „Yandex hält sich strikt an Datenschutzstandards und de-anonymisiert keine Nutzerdaten“; die betreffende Funktion würde „keine sensiblen Informationen“ sammeln. Forschende fanden indes klare Hinweise, die dieser Darstellung widersprechen.

„Datenschutzfreundliche Werbe-Messung“

Mozilla trackt heimlich Firefox-Nutzer

Browser-Hersteller zeigen sich ihrerseits bestrebt, sich jeglichen Schuldzuweisungen zu entziehen. Chrome ab Version 137 (vom 26. Mai 2025) blockiert die missbrauchten UDP-Ports und unterbindet SDP-Munging. Brave war zu keinem Zeitpunkt betroffen, da man strenge Regeln für Localhost-Zugriffe bereits in 2022 implementiert habe. DuckDuckGo hat nach der Offenlegung der Spionage Yandex-Domains geblockt.

Firefox arbeitet seit mehreren Jahren an der Eindämmung von Metas Appetit auf Nutzerdaten mit Features wie Enhanced Tracking Protection (ETP) und Query Parameter Stripping. Firefox hat in der Version 139 die eigenen Tracking-Schutzmaßnahmen verbessert, aber es gibt keine eindeutige Bestätigung, dass ein spezifischer Fix für Facebook Pixel Tracking oder das _fbp-Cookie vollständig implementiert wurde.

Wie dem auch sei: Solange Googles Android jede App ohne Rückfrage einen lokalen Server starten ließe, würde das Risiko von Schnüffeleien weiterhin bestehen bleiben, glauben die Sicherheitsforscher.

Das grundlegende Problem, das diesen Angriff ermögliche, bestünde demnach in der fehlenden Kontrolle über die lokale Host-Kommunikation auf den meisten modernen mobilen Plattformen, glaubt Professor Vallina-Rodríguez.

Um diesen Missbrauch zu verhindern, müssten mobile Plattformen und Browser den Zugriff auf lokale Ports von Grund auf überarbeiten. Bis dahin bestehe die einzige Möglichkeit, diesen Missbrauch zu verhindern, darin, Apps wie Facebook, Instagram und jene von Yandex nicht herunterzuladen.

Möglicherweise hätten die meisten Browserhersteller und Plattformbetreiber diesen Missbrauch in ihren Bedrohungsmodellen gar nicht auf dem Radar gehabt, spekuliert Professor Vallina-Rodríguez.

Technische Abwehrmaßnahmen sollten jedoch die legitime Nutzung von Localhost-Sockets, wie Betrugsschutz- oder Authentifizierungsmethoden, nicht beeinträchtigen, glaubt Professor Vallina-Rodríguez. Daher sei es aus seiner Sicht notwendig, jede technische Lösung wie neue Sandboxing-Prinzipien und mehr Testmodelle durch strengere Plattformrichtlinien und Store-Überprüfungsprozesse zu ergänzen, um „Missbrauch einzuschränken und so andere Tracking-Dienste davon abzuhalten, in Zukunft ähnliche Methoden zu verwenden.“

Alternativen zu Cookies, aber nicht zum Datenschutz

Online-Tracking in Zeiten der DSGVO

Obwohl diese Tracking-Methode technisch auch unter iOS möglich wäre – Entwickler können dort ebenfalls Localhost-Verbindungen aufbauen und Apps könnten „mithören“ –, fanden die Forschenden keinerlei Hinweise darauf, dass Meta oder Yandex sie auf iOS-Geräten eingesetzt hätten. Dies dürfte daran liegen, dass Apples strikte Beschränkung von Hintergrundprozessen persistentes Belauschen der Kommunikation verhindern würde. Apple hat in der Vergangenheit Meta unter anderem daran gehindert, über eine eigene VPN-App systemweit Daten zu sammeln. Im Gegenzug hat Meta selbst in seinen eigenen iOS-Apps bestimmte Apple-Intelligence-Technologien deaktiviert.

In der EU versucht Meta aktuell, über den Digital Markets Act (DMA) weitreichende Interoperabilitätsrechte zu erzwingen, die Meta-Apps mehr Zugriffsrechte auf Systemdaten unter iOS verschaffen würden.

Der Digital Markets Act (DMA) sollte Marktmacht der sogenannten „Gatekeeper des Internets“ zügeln. Stattdessen versucht Meta, das Gesetz als Türöffner zu missbrauchen. Laut Reuters hat Meta bereits 15 Interoperabilitätsanträge gestellt – mehr als jede andere Firma. Apple warnt, die geforderten Schnittstellen könnten Meta theoretisch Einblick in Nachrichten, E-Mails, Telefonate, Fotos, Kalendereinträge, Passwörter und mehr verschaffen. Da Apple laut DMA bei „berechtigten“ Anträgen mit Bußgeldern rechnen muss, spricht Cupertino von „Overreach“, während Meta auf dem Standpunkt steht, man würde ja lediglich Gleichbehandlung einfordern. Na sowas!

Fazit

Laut Sicherheitsforschern nutzen Meta (Facebook) und Yandex eine Lücke in Androids Sicherheitsarchitektur aus, um Web- und App-Identitäten heimlich zusammenzuführen. So entstanden detaillierte Surf-Profile, die an Facebook- oder Yandex-Konten gekoppelt sind. Selbst im Inkognito-Modus bleiben die Nutzer vor den Schnüffeleien nicht verschont.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

Google und Co. contra Marktregulierung

Der richtige Umgang mit Gatekeeper-Plattformen

(ID:50453600)