Profil, Auffindbarkeit und Kontaktgraph getrennt absichern

Kontozugang und reale Identität auseinanderhalten

Notieren Sie zunächst, was für Anmeldung und Wiederherstellung tatsächlich benötigt wird. Anzeigename, Login-Adresse, Telefonnummer, Foto, Gerätekennung und interne Konto-ID sind verschiedene Identifikatoren. Ein Feld wird besonders aussagekräftig, wenn es bereits in einem beruflichen Profil, einem öffentlichen Verzeichnis oder anderen Diensten auftaucht. Apples Erläuterungen zu App-Datenschutzangaben unterscheiden Daten, die über Konto, Gerät oder weitere Angaben mit einer Identität verbunden sind. Sie zeigen außerdem, dass ein direktes Kennzeichen vor der Erhebung zu entfernen etwas anderes ist, als eine bestehende Verbindung später nur in der Oberfläche zu verbergen.

Prüfen Sie bei einer Anmeldung über einen anderen Anbieter jedes freigegebene Feld. Eine bequeme Schaltfläche kann Namen, Hauptadresse und Bild übernehmen, obwohl die Begleitfunktion nur eine eindeutige Anmeldung braucht. Wählen Sie, sofern verfügbar, die kleinste Feldmenge und einen Anzeigenamen, der für diesen Kontext passt. Erfinden Sie keine ausführliche falsche Lebensgeschichte; reduzieren Sie vielmehr konsistent die verknüpfbaren Merkmale. Im Protokoll stehen danach Pflichtfeld, optionales Feld, Wiederherstellungsmerkmal und öffentliches Feld in getrennten Zeilen.

Auffindbarkeit mit einem fremden Blick testen

Auffindbarkeit beschreibt, was jemand aus einer bereits bekannten Information ableiten kann. Google erklärt beispielsweise, dass Einstellungen zur Profilsuche beeinflussen, ob Personen mit Ihrer Telefonnummer oder E-Mail-Adresse Namen und Profilbild sehen. Für die untersuchte App erfassen Sie deshalb Suche nach Name, Telefon und E-Mail ebenso wie Einladungslink, QR-Code, Gruppenansicht und automatische Vorschläge. Stellen Sie das gewünschte Publikum ein und verwenden Sie anschließend ein zweites Konto ohne bisherigen Austausch, gemeinsame Gruppe oder gespeicherten Verlauf.

Vergleichen Sie das Ergebnis mit der Bezeichnung des Schalters. „Privat“ kann Beiträge schützen und trotzdem den Anzeigenamen in einer Einladung zeigen. Deaktivieren Sie die Suche über Kontaktdaten, ändern Sie ein optionales Profilmerkmal und wiederholen Sie jeden Test. Öffnen Sie auch alte Links und achten Sie auf Benachrichtigungen oder Vorschaubilder. Vermerken Sie Verzögerungen und alte Werte. Diese Außenprüfung trennt eine gewünschte Einstellung von der tatsächlich sichtbaren Oberfläche.

Kontakte gezielt statt vollständig freigeben

Ein Adressbuch besteht nicht nur aus engen Freunden. Darin stehen Familie, Kolleginnen und Kollegen, Lieferdienste, Handwerksbetriebe, frühere Bekannte und möglicherweise persönliche Notizen. Apple ordnet eine Kontaktliste im Telefon, ein Adressbuch oder einen Social Graph der Kategorie Kontakte zu. Auf unterstützten iPhone-Versionen lässt sich auswählen, auf welche Kontakte eine App zugreifen darf, und die Auswahl kann später geändert werden. Wenn Sie nur eine Person einladen möchten, genügt daher oft ein ausgewählter Kontakt, ein Code oder ein bewusst versandter Link.

Suchen Sie vor der Freigabe nach einer konkreten Erklärung: Welche Eigenschaften werden gelesen? Verlässt die Liste das Gerät? Wie lange bleibt ein Abgleich bestehen? Verschwindet ein entfernter Kontakt aus Vorschlägen? Widerrufen Sie nach der Aufgabe die Systemberechtigung. Dokumentieren Sie jedoch zwei getrennte Zustände. Der Widerruf kann künftiges Lesen verhindern; er beweist nicht, dass eine früher übertragene Kopie gelöscht wurde. Für die zweite Aussage brauchen Sie eine eigene Löschfunktion oder nachvollziehbare Auskunft.

Vorschläge und Gruppen als Beziehungsgraph lesen

Beziehungen können sichtbar werden, obwohl keine Kontaktdaten angezeigt werden. Gemeinsame Kontakte, Einladungsfolgen, Gruppenmitgliedschaft, ähnliche Aktivitätszeiten oder automatische Empfehlungen zeigen, wer vermutlich zu welchem Umfeld gehört. Zeichnen Sie keine Namen ab, sondern halten Sie pro Verbindung nur Quelle, Funktion, sichtbares Publikum und mögliche Entfernung fest. So erkennen Sie, wenn private, berufliche und lose Kontakte durch ein einziges Konto zusammengeführt werden.

Berücksichtigen Sie die betroffenen Dritten. Wer eine Telefonnummer hochlädt oder eine automatische Einladung auslöst, verarbeitet nicht nur eigene Angaben. Deaktivieren Sie Massenbenachrichtigungen, unnötige Empfehlungen und eine automatisch sichtbare Anwesenheit. Das NIST Privacy Framework empfiehlt, Daten, Verarbeitungsschritte, Zwecke, Umgebungen und beteiligte Stellen zu inventarisieren. Für einen Beziehungsgraphen ist diese Perspektive besonders hilfreich, weil die Aussagekraft aus der Kombination vieler kleiner Signale entsteht.

Brücken zwischen Profilen, Geräten und Links prüfen

Eine externe Anmeldung kann Namen, Bild, Adresse oder eine stabile Kennung übernehmen und das App-Profil mit einem bereits erkennbaren Konto verbinden. Prüfen Sie die freigegebenen Felder sowie die Steuerungen auf beiden Seiten. Wird eine Änderung des Anzeigenamens weitergegeben? Entfernt der Widerruf nur einen Anmeldeweg oder auch die Profilverknüpfung? Tragen Sie die Antworten bei Quelle, Verknüpfungsauslöser und Rücknahmeprüfung ein. Es geht um sichtbare Identitätsbrücken, nicht um ein allgemeines Verzeichnis von Dienstleistern.

Prüfen Sie außerdem Geräte und Links. Eine Wiederherstellung oder erneute Anmeldung kann ein altes Bild, die Kontaktsuche oder frühere Vorschläge zurückbringen. Eine Profil- oder Gesprächsvorschau kann bereits vor dem Öffnen eine Zuordnung zeigen. Testen Sie ohne Veröffentlichung: betrachten Sie die abgemeldete Vorschau, ändern Sie ein optionales Feld, entfernen Sie Link oder Gerät und prüfen Sie nach der angegebenen Aktualisierungszeit erneut. Markieren Sie jede Brücke als aktiv, geschlossen oder nicht prüfbar.

Den Widerruf mit einem knappen Prüfbeleg abschließen

Schließen Sie die Schleife, indem Sie einen Weg nach dem anderen zurücknehmen. Entziehen Sie in den Systemeinstellungen den Kontaktzugriff, deaktivieren Sie die Suche über Telefon und E-Mail, widerrufen Sie offene Einladungen und entfernen Sie optionale Profilfelder. Wiederholen Sie vom zweiten Konto aus Suche, Linkaufruf, Gruppenansicht und Vorschläge. Der Prüfbeleg enthält nur Datum, geänderte Einstellung, geprüfte Oberfläche, beobachtetes Ergebnis und verbleibende Unsicherheit. Namen und Nummern gehören nicht hinein.

Formulieren Sie den Zustand genau: „nicht mehr sichtbar“, „Systemzugriff entzogen“, „Löschung angefordert“ oder „Serverkopie nicht prüfbar“. Diese Aussagen sind nicht austauschbar. Wenn Sie den Dienst verlassen, verbinden Sie den Beleg mit einem Datenexport und dem vorgesehenen Kontolöschungsweg sowie mit eigenen Sicherungen. Ziel ist kein unerreichbares Versprechen völliger Unsichtbarkeit, sondern eine kleine Zahl notwendiger, verständlicher und überprüfbar widerrufbarer Verbindungen.

Dieses Thema weiter erkunden