Facebook: „Project Ghostbusters“ spionierte Snapchat-Traffic eigener User aus

Im Jahr 2016 startete Facebook ein geheimes Projekt, um den Netzwerkverkehr zwischen den Usern der Snapchat-App und den eigenen Servern abzufangen und zu entschlüsseln. Das Ziel war es, das Nutzerverhalten zu verstehen und Facebook dabei zu helfen, mit Snapchat zu konkurrieren. Dies geht aus kürzlich entsiegelten Gerichtsdokumenten hervor. Facebook nannte es das „Project Ghostbusters“, eine klare Anspielung auf das geisterhafte Logo von Snapchat.

Am Dienstag veröffentlichte ein Bundesgericht in Kalifornien neue Dokumente, die im Rahmen einer Verbraucher-Sammelklage gegen Meta, der Muttergesellschaft von Facebook, entdeckt wurden (via TechCrunch). Die neuen Dokumente zeigen, wie Meta versucht hat, sich einen Wettbewerbsvorteil gegenüber seinen Konkurrenten, einschließlich Snapchat und später Amazon und YouTube, zu verschaffen, indem man den Netzwerkverkehr von eigenen Usern mit Metas Konkurrenten analysiert hat. Da diese Apps eine Verschlüsselung verwenden, musste Facebook eine spezielle Technologie entwickeln, um diese zu umgehen.

In einem der Dokumente wird Facebooks „Project Ghostbusters“ beschrieben: Das Projekt war Teil des In-App Action Panel (IAPP)-Programms des Unternehmens, das eine Technik zum „Abfangen und Entschlüsseln“ des verschlüsselten App-Verkehrs von Snapchat und später von YouTube und Amazon einsetzte, schreiben die Verbraucher-Anwälte in dem Dokument. Das Dokument enthält auch interne Facebook-E-Mails, in denen das Projekt diskutiert wurde. Meta-Chef Mark Zuckerberg schrieb unter anderem in einer E-Mail vom 9. Juni 2016:

„Wann immer jemand eine Frage zu Snapchat stellt, lautet die Antwort in der Regel, dass wir keine Analysen über sie haben, weil ihr Datenverkehr verschlüsselt ist. In Anbetracht der Tatsache, dass sie so schnell wachsen, scheint es wichtig zu sein, einen neuen Weg zu finden, um zuverlässige Analysen über sie zu erhalten. Vielleicht müssen wir Panels machen oder eine eigene Software schreiben. Sie sollten herausfinden, wie man das macht.“

Die Lösung des Facebook-Ingenieurteams bestand in der Nutzung von Onavo, einem VPN-ähnlichen Dienst, den Facebook im Jahr 2013 übernommen hatte. Im Jahr 2019 schaltete Facebook Onavo ab, nachdem eine TechCrunch-Recherche ergeben hatte, dass Facebook Jugendliche heimlich für die Nutzung von Onavo bezahlt hatte, damit das Unternehmen auf alle ihre Webaktivitäten zugreifen konnte.

Programm wurde später auf Amazon und YouTube ausgeweitet

Nach Zuckerbergs E-Mail nahm sich das Onavo-Team des Projekts an und schlug einen Monat später eine Lösung vor: Sogenannte Kits, die auf iOS und Android installiert werden können und den Datenverkehr für bestimmte Subdomains abfangen, „so dass wir den ansonsten verschlüsselten Datenverkehr lesen und die In-App-Nutzung messen können“, heißt es in einer E-Mail vom Juli 2016. „Dies ist ein ‚Man-in-the-Middle‘-Ansatz.“

Letzterer bezeichnet einen Angriff, bei dem Hacker den Internetverkehr abfangen, der über ein Netzwerk von einem Gerät zu einem anderen fließt. Wenn der Netzwerkverkehr unverschlüsselt ist, ermöglicht diese Art von Angriff den Hackern, die darin enthaltenen Daten, wie Benutzernamen, Passwörter und andere In-App-Aktivitäten, zu lesen. Da Snapchat den Datenverkehr zwischen der App und seinen Servern verschlüsselt hat, wäre diese Technik der Netzwerkanalyse nicht effektiv gewesen. Aus diesem Grund schlugen die Facebook-Ingenieure die Verwendung von Onavo vor, das, wenn es aktiviert ist, den gesamten Netzwerkverkehr des Geräts auslesen kann, bevor er verschlüsselt und über das Internet gesendet wird.

„Wir sind jetzt in der Lage, detaillierte In-App-Aktivitäten zu messen“, heißt es in einer anderen E-Mail, und zwar durch die Analyse von Snapchat-Traffic, der von Teilnehmenden des Onavo-Forschungsprogramms gesammelt wurden. Später, so heißt es in den Gerichtsdokumenten, weitete Facebook das Programm auf Amazon und YouTube aus.

Innerhalb von Facebook herrschte keine Einigkeit darüber, ob das Projekt Ghostbusters eine gute Idee war: Einige Mitarbeiter äußerten ihre Bedenken. Im Jahr 2020 reichten Sarah Grabert und Maximilian Klein eine Sammelklage gegen Facebook zu den Datenerhebungsaktivitäten des Unternehmens ein. Sowohl Meta, als auch die betroffenen Konzerne Snap, Google und Amazon, äußerten sich bislang nicht zu den neuen Erkenntnissen. Wie der noch andauernde Gerichtsprozess um die Verbraucher-Sammelklage gegen Facebook ausgehen wird, wird die Zukunft zeigen.