MAC-Randomisierung: was sie behoben hat, und was sie nie konnte
Die Randomisierung hat zweierlei verändert: was WLAN-Signale über ein Handy verraten und was ein Zählsystem korrigieren muss.
Auf dieser Seite
Durch MAC-Randomisierung zeigt ein Handy statt seiner dauerhaften Hardware-Adresse randomisierte Adressen, die im Lauf der Zeit und von Netz zu Netz wechseln. Sie hat beiläufiges Tracking verringert, doch ein fähiger Angreifer mit Zugang zu Rohsignalen kann sie oft umgehen. Der Datenschutz beruht deshalb auf der Architektur des empfangenden Systems.
Was ändert MAC-Randomisierung an einem Handy?
Vor etwa einem Jahrzehnt begannen Handyhersteller, die MAC-Adresse zu randomisieren, also den dauerhaften Hardware-Identifikator, den ein Handy mit jeder WLAN-Übertragung sendete. Das war eine echte Verbesserung für den Datenschutz, gerichtet gegen einen Missbrauch, den es bereits gab: das stille Protokollieren dauerhafter Identifikatoren, während sich Menschen durch Städte bewegten. Ein Handy mit Randomisierung zeigt beim Scannen eine Adresse und typischerweise eine weitere für jedes Netz, dem es beitritt. Wie oft eine Adresse wechselt, hängt von Hersteller und Betriebssystem ab. Die Plattformdokumentation nennt das Ziel klar: Die Adresse, die ein Netz sieht, soll kein stabiler, universeller Identifikator sein, der dem Gerät überallhin folgt. Gegen den groben Tracker, auf den sie zielte, wirkt die Randomisierung tatsächlich: einen Adress-Logger, der eine dauerhafte ID über Standorte hinweg abgleicht.
Was sagt die Forschung zum Umgehen der Randomisierung?
Bei entschlossenerer Analyse sieht es anders aus, und die Sicherheitsforschung ist sich darin einig. Studien zu Randomisierungsimplementierungen haben praktische Wege gezeigt, sie auszuhebeln, und Analysen von Probe-Request-Verkehr zeigen, dass Timing, Sequenz und Inhaltsmuster der Übertragungen eines Geräts einen Fingerabdruck bilden, der Adresswechsel übersteht. Spätere Arbeiten, die zeitliche und inhaltsbasierte Fingerabdrücke kombinieren, berichten von Erfolgsraten beim Aufheben der Randomisierung, bei denen Anonymität über die Adresse keine sichere Annahme mehr ist.
Das sollten Sie im Blick behalten, wenn Sie ein System bewerten, das WLAN-Signale empfängt, Zählsysteme eingeschlossen. Ein Anbieter, dessen Datenschutzargumentation auf „Adressen sind ohnehin randomisiert“ hinausläuft, stützt sich auf kein eigenes Design und macht Ihre Compliance vom unvollständigen Schutz des Handyherstellers abhängig.
Worauf beruht der Datenschutz eines Zählsystems?
Ein für Datenschutz entworfenes Messsystem hängt nicht davon ab, was das Handy tut, weil sein Schutz auf der eigenen Seite liegt. Personenbezogene Daten werden am Anfang der Verarbeitungskette unwiderruflich gelöscht (niemals gehasht und aufbewahrt, niemals gespeichert), und übrig bleibt nur anonyme, aggregierte Statistik. Damit gibt es kein Adressprotokoll, dessen Randomisierung sich aufheben ließe, und kein Rohsignal-Archiv für Fingerabdrücke, also auch nichts, was bei einem Datenleck abfließen oder per Gerichtsbeschluss herausverlangt werden könnte.
Unsere Wi-Fi-Methode ist so aufgebaut, und die DSFA-Fragen eines Datenschutzbeauftragten suchen nach dieser Art von Design.
Bumbee Labs ist das Unternehmen hinter der einzigen Methode zur Besuchermessung in Europa, die von einer Datenschutzbehörde genehmigt wurde.
Warum hat MAC-Randomisierung das Zählen schwieriger gemacht?
Ein Zähler, der Adressen vertraut, zählt dasselbe Handy mehr als einmal. Deshalb erkennt seriöse Messung Randomisierungsmuster, filtert Spoofing und stationäre Geräte heraus und kalibriert das statistische Modell gegen manuelle Kontrollzählungen. Diese Korrekturebene bestimmt die Qualität einer Zählung. In der ganzen Branche hat die Randomisierung die Anbieter dazu gebracht, ihre Zählmethoden ebenso zu verbessern wie ihren Umgang mit Datenschutz. Wie die Signale überhaupt erst zu Statistik werden, erklärt der Begleitartikel was ist ein Probe Request.
Quellen
- Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
- Apple. Use private Wi-Fi addresses on Apple devices. Apple Support. https://support.apple.com/en-us/102509
- Android Open Source Project. MAC randomization behavior. https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior
- Vanhoef, M., Matte, C., Cunche, M., Cardoso, L. S., & Piessens, F. (2016). Why MAC address randomization is not enough: An analysis of Wi-Fi network discovery mechanisms. Proceedings of the 11th ACM Asia Conference on Computer and Communications Security (ASIA CCS ‘16), 413–424. https://doi.org/10.1145/2897845.2897883
- Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
- Uras, M., Ferrara, E., Cossu, R., Liotta, A., & Atzori, L. (2022). MAC address de-randomization for WiFi device counting: Combining temporal- and content-based fingerprints. Computer Networks, 218, article 109393. https://doi.org/10.1016/j.comnet.2022.109393
Neugierig, wie das für Ihren Standort aussieht?
Häufig gestellte Fragen
Was ist MAC-Randomisierung?
Statt seine dauerhafte Hardware-Adresse zu senden, zeigt ein modernes Handy eine randomisierte MAC-Adresse, die sich im Lauf der Zeit ändert und in jedem Netz anders ausfällt. Die großen mobilen Plattformen haben die Randomisierung im Lauf des letzten Jahrzehnts eingeführt, um die gröbste Form des WLAN-Trackings zu stoppen: das Protokollieren eines dauerhaften Identifikators, sobald er wieder auftaucht.
Macht MAC-Randomisierung WLAN-Tracking unmöglich?
Nein, und das ist gut dokumentiert. Wissenschaftliche Arbeiten haben gezeigt, dass sich Geräte trotz Randomisierung anhand von Timing-, Sequenz- und Inhaltsmustern in ihren Übertragungen per Fingerabdruck wiedererkennen lassen. Die Plattformdokumentation selbst beschreibt Randomisierung, die pro Netz bestehen bleibt und sich nicht ständig ändert. Randomisierung hat Tracking erschwert, aber nicht unmöglich gemacht.
Wenn MAC-Randomisierung unvollständig ist, was schützt dann die Besucher?
Die Architektur des empfangenden Systems. Ein für Datenschutz entworfenes System löscht personenbezogene Daten unwiderruflich am Anfang seiner Verarbeitungskette (niemals gehasht und aufbewahrt, niemals gespeichert), sodass nur anonyme, aggregierte Statistik übrig bleibt. Rohe Signaldaten werden nicht aufbewahrt, und so hat selbst ein geschickter Angreifer, der im Prinzip etwas mit Rohsignalen anfangen könnte, nichts, woran er ansetzen kann.
Wie wirkt sich MAC-Randomisierung auf die Zählgenauigkeit aus?
Ein naiver Zähler, der Adressen vertraut, zählt dasselbe Handy mehr als einmal. Seriöse Messung erkennt und korrigiert Spoofing, stationäre Geräte, Personalmuster und die Randomisierung selbst und kalibriert dann gegen manuelle Kontrollzählungen. Über die Zählqualität entscheidet diese Korrekturebene, deshalb wiegt die Reife der Methode schwerer als die Wahl des Sensors.