Das Cybersicherheitssoftwareunternehmen Avast muss mit einer Geldstrafe von 16,5 Millionen US-Dollar rechnen, nachdem die Aufsichtsbehörden herausgefunden haben, dass das Unternehmen Kundendaten ohne deren Zustimmung gespeichert und verkauft hat. Die US-amerikanische Federal Trade Commission (FTC) gab am Donnerstag die Strafe bekannt und sagte, sie verbiete Avast den Verkauf von Benutzerdaten zu Werbezwecken.
Laut der Untersuchung der FTC sammelte Avast von mindestens 2014 bis 2020 mithilfe seiner Antivirensoftware und Browsererweiterungen die Webbrowserinformationen der Benutzer, was es dem Unternehmen ermöglichte, Daten über religiöse Überzeugungen, Gesundheitsbedenken, politische Meinungen, geografische Lage und Finanzstatus zu sammeln. Anschließend speicherte das Unternehmen die Informationen „auf unbestimmte Zeit“ und verkaufte sie ohne Wissen der Kunden an mehr als 100 Dritte, heißt es in der Beschwerde.
Im Jahr 2020 machte eine gemeinsame Untersuchung von Motherboard und PCMag erstmals auf die Datenschutzpraktiken von Avast aufmerksam. Kurz nachdem die Berichte bekannt wurden, schloss Avast seine Datenerfassungseinheit namens Jumpshot. Obwohl Avast angab, Benutzerdaten vor dem Verkauf anonymisiert zu haben, stellte die FTC fest, dass es „nicht gelungen sei, die Surfinformationen der Verbraucher angemessen zu anonymisieren“. Stattdessen werden Daten mit einer eindeutigen Kennung für jeden Browser verkauft, die die besuchten Websites, Zeitstempel, den Typ des verwendeten Geräts und Browsers sowie den Standort anzeigt.
Die FTC behauptet außerdem, dass Avast Benutzer getäuscht habe, indem es behauptete, seine Software habe dazu beigetragen, das Online-Tracking zu eliminieren, obwohl es sich in Wirklichkeit selbst verfolgte. Zusätzlich zur Strafe in Höhe von 16,5 Millionen US-Dollar verbietet die von der FTC vorgeschlagene Anordnung Avast, falsche Angaben zu den von ihm erfassten Daten zu machen. Das Unternehmen muss aufhören, „Browsing-Daten von Avast-Produkten zu verkaufen oder zu lizenzieren“ an Werbetreibende und alle von Jumpshot erhaltenen Web-Browsing-Daten löschen. Avast muss betroffene Kunden außerdem darüber informieren, dass ihre Daten unwissentlich verkauft wurden.
Als Reaktion darauf sagte Avast-Sprecherin Jess Monney in einer Erklärung: „Wir fühlen uns unserer Mission verpflichtet, das digitale Leben der Menschen zu schützen und zu stärken. Obwohl wir mit den Vorwürfen der FTC und der Charakterisierung der Fakten nicht einverstanden sind, freuen wir uns, diese Angelegenheit zu klären und freuen uns darauf, unsere Millionen von Kunden auf der ganzen Welt weiterhin zu bedienen.“
Die Federal Trade Commission hat in den letzten Wochen hart gegen schlechte Datenschutzpraktiken vorgegangen. Im Januar einigte sich die Federal Trade Commission mit Outlogic (früher bekannt als X-ModeSocial) auf einen Vergleich und untersagte dem Datenbroker den Verkauf von Informationen, die zur Verfolgung der Standorte von Benutzern verwendet werden könnten. Es verbietet InMarket außerdem, genaue Benutzerstandorte zu verkaufen.