Wie ernst nimmt Amazon den Datenschutz bei Alexa? Alexa Datenschutz: Wie viel Sicherheit bietet Amazon Alexa?

Viele Technikfans sind sich bei der Anschaffung eines smarten Echo-Lautsprechers nicht bewusst, dass Alexa überhaupt Daten sammelt und abspeichert. Manche glauben, ihre Privatsphäre werde von der Verfassung beziehungsweise der Rede- und Meinungsfreiheit ohnehin geschützt, andere machen sich einfach keine Gedanken über die Funktionsweise ihrer Sprachsoftware, der sie bedenkenlos fast jede Frage stellen.

Fragt man die intelligente Sprachassistentin direkt, ob sie heimlich mithört, antwortet sie diplomatisch: „Nein, ich spioniere dich nicht aus, ich respektiere deine Privatsphäre.“ Soll heißen: Die Mikrofone des Amazon Echo Lautsprechers sind zwar permanent aktiv, übertragen Datenströme aber erst dann ins Netz, wenn zuvor ein bestimmtes Aktivierungswort genannt wurde. Je nach persönlichen Vorlieben muss das Aktivierungswort jedoch nicht zwingend „Alexa“ heißen. Wer mag, kann stattdessen auch „Echo“, „Computer“ oder „Amazon“ als Aktionswort festlegen. Das ist besonders dann sinnvoll, wenn verhindert werden soll, dass Alexa auf Amazon Werbeclips reagiert. Außerdem haben Freunde oder Verwandte so nicht die Möglichkeit mit der intelligenten Sprachassistentin Unfug zu treiben und z. B. heimlich Onlinebestellungen zu tätigen.

Bei der Einrichtung ihres Echo Lautsprechers achten nur die wenigsten Nutzer auf die voreingestellten Funktionen. Doch nur wer in der Rubrik ‚Alexa Datenschutz‘ auf ‚ihre Alexa Daten verwalten‘ klickt, kann dort die standardmäßig aktivierte Auswertung der Sprachbefehle ausschalten. Denn das, was Amazon scheinbar harmlos als „Hilfe zur Verbesserung von Alexa“ betitelt, ist letzten Endes eine Analysefunktion. Mit dieser räumt sich Amazon das Recht ein, stichprobenartig Sprachsequenzen auch an Amazon-Mitarbeiter weiterzugegeben. Dies bedeutet jedoch nicht, dass Alexa sich heimlich selbst einschaltet oder jeder Nutzerbefehl automatisch weitergegeben wird.

Im home&smart-Interview klärte Alexa-Manager Dr. Philipp Berger das Missverständnis von der permanenten Datenübertragung in die Cloud auf. So würden das Aktivierungskennwort betreffende Sprachmuster zuerst nur in einem kleinen Zwischenspeicher des Echo-Geräts analysiert. Erst wenn Aktivierungsworte wie Alexa, Echo, Computer oder Amazon erkannt werden, würden Informationen in die Cloud gesendet. Dieses Vorgehen wird dann vom Echo-Lautsprecher mit dem blau aufleuchtenden Lichtring signalisiert.

Für eine kurzzeitige Unterbrechung der Zuhörfunktion gibt es übrigens an jedem Echo-Gerät einen Mute-Knopf. Wird dieser aktiviert, leuchtet der Smart Speaker rot und signalisiert so, dass die Mikrofone vom Strom getrennt wurden. Alexa dauerhaft auszuschalten macht jedoch keinen Sinn, da ihr kompletter Funktionsumfang auf der Sprachsteuerung basiert.

Als moderne Sprachsoftware hat auch Alexa eine Cloudanbindung, die durch regelmäßigen Datenabgleich mit Amazon-Servern automatische Updates, ständiges Dazulernen und eine permanente Verbesserung des Spracherkennungsalgorithmus ermöglicht. Sie gewöhnt sich daher nicht nur an die Aussprache und die Bedürfnisse ihrer Nutzer, sondern kann auch aus den Anfragen und Dialekten tausender anderer Echo-Nutzer neue Erkenntnisse ziehen.

Verwendet werden die Daten, die Nutzer via Alexa in die Amazon-Cloud senden auf zwei verschiedene Arten: zum einen für die Auswertung des Alexa-Sprachbefehls und der Formulierung der dazugehörigen Antwort und zum anderen um Alexas Machine Learning Algorithmen weiterzuentwickeln. Dies ist wichtig, damit die Sprachassistentin den Nutzer besser verstehen und richtig auf Anfragen reagieren kann.

Welche Anfragen zuletzt an den eigenen Lautsprecher gestellt wurden und wie genau Alexa diese verstanden hat, lässt sich übrigens in der eigenen Suchhistorie nachvollziehen. Diese ist in der Alexa App zu finden und kann auf Wunsch relativ einfach vom eigenen Konto gelöscht werden. Wie das genau funktioniert, erklären wir später.

Während die Amerikaner bereits seit Jahren verschiedene Varianten der Echo-Lautsprecher in großem Stil nutzen, gab es in Deutschland von Anfang an Datenschutzbedenken. Viele deutsche Technikfans waren zwar von der Sprachsteuerungs-Option fasziniert, fürchteten sich aber vor massiven Hacker-Angriffen auf ihre Privatsphäre und permanenter Überwachung durch heimliches Mithören. Doch wie leicht ist es tatsächlich extern auf die Alexa-Sprachsoftware zuzugreifen? Auf welche Datenschutzmankos verweisen die Amazon.de-Datenschutzerklärung und die Alexa Nutzungsbedingungen nicht explizit?

Aktuell sehen Technik- und Onlinesicherheitsexperten ein potenzielles Datenleck in Bezug auf Alexa vor allem in den Daten, die Amazon selbst auswertet und in den Alexa-Skills verschiedener Hersteller.

Als im September 2020 neue, kugelrunde Echos auf den Markt kamen, verkündete Amazon zeitgleich seine Datenschutzbestrebungen für Alexa deutlich ausbauen zu wollen. Dadurch ist es nicht nur möglich Suchanfragen nach 30 Tagen automatisch löschen zu lassen, sondern auch deren Speicherung grundsätzlich zu verbieten.

Abgesehen davon können Nutzer angeben, dass Sprachaufzeichnungen einzeln, nach Datumsangabe oder nur von einzelnen Alexa Geräten gelöscht werden sollen. Zudem besteht für alle, die sich nicht regelmäßig mit dem Datenschutz beschäftigen wollen, eine universelle Löschoption für alle Inhalte, sowie die Möglichkeit Inhalte nach drei- oder 18-Monaten automatisch zu entfernen. 

Diese Funktionen haben jedoch einen Nachteil: Alexa kann so weniger personalisierte Informationen liefern und weniger oder gar nicht aus den Sprechgewohnheiten ihres Besitzers lernen. 

In der Praxis ist es meist deutlich einfacher und lukrativer ein Smartphone zu knacken als die professionelle Sprachsoftware von Amazon. Es gibt jedoch ein Einfallstor, das viele Nutzer unwissentlich selbst öffnen. Dabei handelt es sich um die kostenlos aktivierbaren Zusatzfunktionen der smarten Sprachassistentin.

Forscher des Security Research Labs (SRLabs) haben durch einen Praxistest bewiesen, wie es möglich ist über solche Extrafunktionen Schadsoftware heimlich zu installieren. Sie programmierten einen scheinbar harmlosen Horoskop-Skill, dessen Code sie nach der Freigabe durch Amazon um eine Schadsoftware ergänzten. Aktivierte ein Nutzer den Skill und glaubte ihn mit dem Befehl „Stopp“ zu beenden, blieb die Anwendung weiterhin aktiv, wie folgendes Video zeigt:

AV-Test empfiehlt daher, jeden neuen Skills, genauso wie normale Apps, vor Installation im Store zu prüfen und nachzuschauen, ob dafür eine Datenschutzerklärung des Anbieters vorliegt. Ansonsten könnte es möglicherweise passieren, dass Malware-verseuchte Skills einen Echo als Datenspion nutzen.

Die Datenschutzkritik an Alexa entbehrt also nicht jeglicher Grundlage, oft entsteht das größte Risiko jedoch erst durch den zu sorglosen Umgang jedes Einzelnen mit seinen Geräten.

Neben der Nutzung von fehlerhaften Skills unseriöser Anbieter stellt die größte Schwachstelle das WLAN-Netzwerk dar, das Alexa zur Interaktion mit der Cloud nutzt. Folgende Tricks helfen dabei, die Alexa-Nutzung sicherer zu machen und einen potenziellen Fernzugriff zu verhindern.

• Ein sicheres WLAN-Passwort, bestehend aus mindestens 20 Zeichen anlegen (am besten aus zufällig gewählten Zahlen, Buchstaben und Sonderzeichen).
• Das Admin-Passwort für die WLAN-Konfiguration niemals standardmäßig mit "passwort" oder "123" benennen.
• Die WLAN-Verschlüsselungsmethode WPA2 PSK statt einer WEP-Verschlüsselung nutzen.
• Regelmäßige Router-Updates durchführen.
• Bei neueren Firmware-Versionen ist häufig ein automatischer Fernzugriff auf Drucker oder vernetzte PCs bei den Werkseinstellungen vorgesehen, diesen manuell deaktivieren.

Weitere Tipps dazu liefert unser Expertenratgeber: Smart Home Datenschutz: Wanzenfallen gezielt vermeiden

Zahlreiche Datenschutzskandale haben in den letzten Jahren für Verunsicherung bei Verbrauchern gesorgt und viele fragten sich daher, ob es nicht die beste Lösung sei, ihren Amazon Account komplett zu löschen. Wer jedoch genauer hinsieht, erkennt schnell, dass oft abstrakte Versuche aus Forschungslaboren öffentlichkeitswirksam zu Alltagskatastrophen gepusht werden. So ist z. B. kein einziger Fall bekannt, in dem die von Forschern durchgeführte Alexa-Manipulation per Laser in einem Privathaushalt vorkam. Denn dafür wäre eine sehr teure technische Ausstattung nötig, vor allem aber müsste das zu manipulierende Gerät im richtigen Winkel an einem Fenster stehen. Sonst könnte der Laser nicht die MEMS-Mikrofone des Smart Speakers erreichen.

Daher macht es Sinn, den gesunden Menschenverstand einzusetzen und verantwortungsbewusst mit der eigenen Sprachsteuerung umzugehen. Für noch mehr Sicherheit sorgen außerdem folgende Expertentipps:

• Datenschutzeinstellungen in der Alexa App anpassen: Dort lässt sich z. B. die Funktion „Löschen per Sprachbefehl“ aktivieren oder die automatische Löschung der Daten nach einem bestimmten Zeitraum festlegen
• Skills vor Aktivierung prüfen: Seriöse Anbieter veröffentlichen umfassende Informationen zu den Funktionen ihres Skills und geben an, wo weitere Angaben zum eigenen Unternehmen zu finden sind.

Völlige Sicherheit gibt es nicht. Der Wissenschaftliche Dienst des Bundestags hat in einem Gutachten zu Alexa mögliche Risiken festgestellt, kommt in seinem Fazit aber zum Schluss, dass Amazon seiner Pflicht zur Informationsvermittlung gemäß Art. 13 I und Art. 14 I DSGVO in hinreichendem Maß nachgekommen sein dürfte.

Wie lassen sich Fragen an Alexa oder ganze Aktionsverläufe löschen? Dazu geht man wie folgt vor:

1. Auf dem Smartphone die Amazon Alexa App öffnen
2. Rechts unten auf "Mehr" tippen
3. Den Menüpunkt "Einstellungen" und dort "Alexa-Datenschutz" öffnen
4. In dem darauffolgenden Menüeinstellungen können Nutzer den Verlauf der Smart-Home-Geräte verwalten, den Sprauchaufnahmen-Verlauf überpfügen, Skill-Berechtigungen verwalten oder Alexa-Daten verwalten.

In den jeweiligen Menüs können Berechtigungen vergeben, Daten eingesehen oder Verläufe gelöscht werden

Die in einem Echo verbauten Mikrofone sind immer aufnahmebereit. Eine Verbindung mit der Alexa-Cloud kommt aber erst zustande, wenn der Nutzer ein Aktivierungs-Kennwort ausspricht. Dies ist in der Regel "Alexa", gefolgt von einem Sprachbefehl. Mit der Mute-Taste am Alexa-Lautsprecher kann die Mikrofon-Aufnahme ausgeschaltet werden.

Ja. Nutzer können einen Alexa Lautsprecher als Babyphone nutzen. Dazu wird die Telefonie-Funktion eines Echos genutzt. Anwender stellen abei eine Verbindung zwischen einem im Raum befindlichen Echo mit der auf dem Smartphone befindlichen Alexa-App her.

Damit ein Täter diesen Weg für einen Abhörmißbrauch nutzen könnte, müsste er sich zuerst Zugung zur Wohnung verschaffen.

Nein. Derzeit ist es in Deutschland nicht möglich aus der Entfernung auf eine Echo Show Kamera zuzugreifen. In den USA steht allerdings mit Alexa Guard ein Diesnt bereit, mit sich ein Echo zur Raumüberwachung einsetzen lässt. Damit können Anwender dann einen Echo Show auch als Überwachungskamera einsetzen.