O-Bike schickt Zürcher Daten an Alibaba in China

Über 700 O-Bikes gibt es in der Stadt Zürich, eine durchschnittliche Fahrt dauert 2 Minuten und 51 Sekunden. Ausserdem gehen die Nutzerdaten nach China – aufgrund einer Schnittstelle im Internet, die für alle offen einsehbar ist, hat der «Tages-Anzeiger» die Standortdaten der O-Bikes zwischen dem 8. und 21. September analysiert.

So war etwa die längste zurückgelegte Strecke 10,7 Kilometer lang, führte vom Hauptbahnhof bis an die Rifertstrasse 32 in Adliswil – und fand um 2.30 Uhr nachts statt. Eines der gelb-grauen Velos hat während dieser zwei Wochen gar 47-mal den Besitzer gewechselt. Das sind mehr als die drei Fahrten pro Tag, die sich O-Bike mit seinen Velos zum Ziel gesetzt hat.

Die Mehrheit der rund 770 Velos stehe aber länger als einen Tag herum, bis sie jemand wieder nutze. Die durchschnittliche Auslastung pro Tag beträgt 0,7 Mieten pro Velo. Weiter soll das Singapurer Start-up während dieser zwei Wochen rund 10'500 Franken in Zürich umgesetzt haben.

Obwohl O-Bike zu Beginn versicherte, dass keine Nutzerdaten an Drittanbieter verkauft würden, hat der «Tages-Anzeiger» herausgefunden, dass in regelmässigen Abständen Informationen an verschiedene Drittanbieter geschickt werden. So auch an die chinesische Datenplattform Umeng, die dem Konzern Alibaba gehört. Laut O-Bike-Sprecher Julian Strassfeld überwache Umeng nur das Herunterladen der App auf Schweizer Handys. Warum die Firma mit Sitz in Peking aber auch nach dem Erstdownload Daten mit dem Handy austauscht, sagt er nicht.

Laut dem «Tages-Anzeiger» sind Bewegungsdaten für Alibaba höchst attraktiv: Der Konzern eröffnet bald richtige Läden und sei der Konkurrenz einen Schritt voraus, wenn er wisse, welche Personen wann und wo unterwegs sind.

In den allgemeinen Nutzungsbedingungen der O-Bike-App ist nichts über den Datentransfer nach China ersichtlich. Die Analyse zeige aber, dass die Kunden dem Singapurer Start-up eine Freikarte ausstellen würden, um mit ihren Daten zu machen, was es wolle. In der Datenschutzerklärung heisst es wörtlich: «Bitte beachten Sie, dass jedes Sicherheitssystem potenzielle und unbekannte Risiken birgt.»

Zudem seien die Sicherheitslücken bei O-Bike besonders gross. Mit wenigen Progammierzeilen sei es beispielsweise möglich, die Standorte der gelb-grauen Velos zu manipulieren. Laut O-Bike-Sprecher Strassfeld werden die Sicherheitslücken derzeit behoben: «Wir konnten nicht feststellen, dass jemand diese Lücke ausgenutzt hat; wir möchten niemandem unterstellen, das tun zu wollen.»

Fazit des «Tages-Anzeiger» zur O-Bike-Analyse: «Wenn die Firma O-Bike personen­bezogene Daten oder Kreditkartennummern so sorglos behandelt wie ihr eigenes System und ihre Velos, haben Kunden allen Grund, sehr beunruhigt zu sein.»