26. Januar 2012
Posted in Internet News

Kunden des Mobilfunk-Anbieters O2 in Großbritannien wurden gestern auf eine unerwünschte Ergänzung ihrer HTTP-Header aufmerksam gemacht. Die Header enthielten unter anderem die Mobilfunknummer des benutzten Gerätes. Was einige Betreiber von Websites sicher als dauerhafte Einrichtung sehr praktisch fänden, was aber auch gewisse datenschutzrechtliche Fragen aufwirft.

Unter lew.io/headers.php, wo die jeweils übertragenen Header durch ein Script sichtbar gemacht werden, findet sich inzwischen eine Erfolgsmeldung sowie ein Link zu einer Stellungnahme von O2. Daraus geht allerdings lediglich hervor, dass diese Übertragung nicht ungewöhnlich ist. Die Rufnummern werden regelmäßig im Header übertragen. Allerdings bleiben sie den Servern üblicherweise verborgen und werden nur an "wenige, ausgesuchte Partner" übertragen.

Diese benötigen diese Informationen etwa im Zusammenhang mit der Altersverifikation, als Identifizierung bei der Nutzung kostenpflichtiger Dienste - wozu der Dienst Klingeltöne als typischen Fall angibt sowie für die Identifiation der Kunden, wenn sie Dienste des Mobilfunkanbieters nutzen.

Die Rufnummern werden demnach nur übertragen, wenn eine O2-Datenverbindung genutzt wird. Innerhalb eines WLAN unterbleibt die Übertragung.

Ob sich die Kunden mit diesen Informationen abspeisen lassen, bleibt abzuwarten. O2 gibt zwar an, dass dieses Verfahren branchenüblich sei. Doch selbst wenn diese Angabe richtig ist, so stellt das noch lange keine Legitimation dar. In Kommentaren wird daher die nachvollziehbare Frage gestellt, ob sich diese Übertragung nicht abschalten lässt. Man nähme dafür als Kunde gerne in Kauf, keine Altersverifikation und keinen Premium-Download in Anspruch nehmen zu dürfen. Und auf die Weitergabe dieser Informationen an die Web-Angebote des Providers kann sicher auch manch ein Kunde verzichten. Vor allem, wenn er bislang nichts davon wusste-