Datenschutzkennzahlen

Android bietet Nutzern Transparenz, indem Datenschutzindikatoren für die folgenden Arten von Zugriff angezeigt werden:

• Kamera- und Mikrofonzugriff: Die Anzeige wird eingeblendet, wenn eine App über App-Op-Berechtigungen eine private Datenquelle über die Kamera und das Mikrofon verwendet. Die zugehörige CDD-Anforderung finden Sie unter 2.2.5. Sicherheitsmodell

• Standortzugriff: Die Anzeige wird eingeblendet, wenn eine App auf den Standort des Geräts zugreift. Die entsprechende CDD-Anforderung finden Sie unter 9.8.8. Standort.

Nutzer tippen auf eine Anzeige, um zu sehen, welche Apps auf ihre Daten zugegriffen haben.

Aktive und letzte Nutzungen

Die Android-Benutzeroberfläche unterscheidet zwischen laufenden und letzten Verwendungen:

• In Android 17 oder höher gelten Standortverwendungen als aktiv, wenn sie vom System als laufend markiert sind oder weniger als 10 Sekunden alt sind. Für den Standortpunkt gilt der Zugriff als aktiv, wenn die Nicht-System-App im Vordergrund ausgeführt wird.

• Unter Android 12 oder höher gelten Mikrofon- und Kameranutzungen als aktiv, wenn sie entweder vom System als laufend markiert sind oder weniger als fünf Sekunden alt sind.

In der Statusleiste werden Symbole angezeigt, wenn eine App auf das Mikrofon, die Kamera oder den Standort zugreift. Nutzer können auf diese Symbole tippen, um zu sehen, welche Apps auf das Mikrofon, die Kamera, den Standort oder eine Kombination dieser Elemente zugreifen. Hier ein Beispiel für Indikatoren für die Verwendung:

Abbildung 1. Anzeigen für die Nutzung, die aktiven Zugriff signalisieren (oben rechts).

Der Zugriff gilt als aktiv, solange die entsprechenden Anzeigen zu sehen sind. Zuerst wird ein Symbol angezeigt, das dann in einen Punkt übergeht, der so lange zu sehen ist, bis die App geschlossen oder beendet wird. Wenn ein Nutzer die Schnelleinstellungen öffnet und dann auf die Anzeigen tippt, wird ein Dialogfeld angezeigt, in dem zu sehen ist, ob die App das Mikrofon, die Kamera, den Standort oder eine Kombination dieser Elemente verwendet.

Abbildung 2 zeigt aktive Zugriffsindikatoren, wenn innerhalb des aktiven Zeitfensters durch eine laufende App auf Daten zugegriffen wurde.

Abbildung 2: Indikatoren für aktiven und kürzlichen Zugriff.

Die Indikatoren für den letzten Zugriff zeigen an, dass eine App in den letzten 15 Sekunden (oder 20 Sekunden bei Standortdaten) auf Daten zugegriffen hat, die App aber nicht aktiv ist. Im Dialogfeld werden alle aktiven Apps angezeigt, aber nur eine App wird als Quelle des letzten Zugriffs angezeigt, auch wenn in den letzten 15 oder 20 Sekunden mehrere Apps auf Daten zugegriffen haben. Im Dialogfeld werden alle Apps angezeigt, die im aktiven oder letzten Zeitfenster auf Standortdaten zugegriffen haben. Die Zugriffsansicht bleibt so lange erhalten, bis der Nutzer das Benachrichtigungsdialogfeld schließt.

Bereitstellen und aktivieren

Die Klasse PermissionManager bietet eine Methode zum Einblenden des Dialogfelds (das sich in der System-UI befindet). Die System-UI reagiert auf den Schalter für die Gerätekonfiguration privacy/mic_camera_indicators_enabled. Dieser Schalter ist erforderlich, da es zwei separate Bereitstellungsmethoden gibt: (1) Bereitstellen und dann (2) Aktivieren.

Prozessablauf

Die Funktion „Berechtigungsanzeige“ besteht aus drei Hauptteilen:

• Die Apps
• Die Indikatoren (von der System-UI verarbeitet)
• Eine Möglichkeit, um festzustellen, welche Apps die Daten verwenden

PermissionController bietet den Mechanismus, um zu ermitteln, welche Apps Daten verwenden. Die System-UI überwacht Apps, die private Daten verwenden. In der System-UI wird in der oberen Navigationsleiste ein Symbol für die verwendeten Berechtigungen angezeigt. PermissionController enthält Daten zur Nutzung, wenn ein Nutzer auf ein Symbol klickt.

Abbildung 3: Systemkomponenten und (UI-)Übergänge.

• 1 Eine App fordert private Daten vom System an.

• 2 Das System prüft die Berechtigungen. Wenn die Berechtigungen zulässig sind, benachrichtigt das System den Datenanbieter und protokolliert die Verwendung in App Ops.

• 3 Der Datenanbieter stellt der App Daten zur Verfügung.

• 4–5: Der Nutzer klickt auf die Symbole. Die System-UI fordert Daten von PermissionManager an und präsentiert dem Nutzer das Dialogfeld.

Prozessdetails

App-Vorgänge zeichnen Zugriffe auf APIs auf, die durch Laufzeitberechtigungen geschützt sind. Dabei werden der Aktivitätsstatus und die Anzahl der einzelnen API-Aufrufe erfasst. Außerdem wird mit der Kamera, dem Mikrofon und den Anzeigen interagiert, um Nutzern zu zeigen, wann Apps auf Audio- und Kameradaten auf ihren Geräten zugegriffen haben.

1. Apps verwenden das Mikrofon, die Kamera oder den Standort durch Aufrufen von AppOpsManager.startOp, stopOp oder noteOp. Dadurch werden App-Vorgangsdatensätze auf dem Systemserver erstellt. In Version 17 und höher werden diese App-Vorgangsaufzeichnungen auch für die Standortanzeige verwendet.

2. Die System-UI überwacht neue App-Vorgänge mit den Listenern AppOpsManager.OnOpActiveChangedInternalListener und OnOpNotedListener. Wenn eine neue Nutzung eingeht (durch einen Aufruf von startOp oder noteOp), prüft die System-UI, ob die Nutzung durch eine System-App erfolgt:

   • Wenn die System-UI die Nutzung von System-Apps überprüft und die Nutzung für das Mikrofon erfolgt, prüft die System-UI, ob das Mikrofon stummgeschaltet ist.

   • Wenn die System-UI die Nutzung von Apps, die keine System-Apps sind, überprüft (und bei der Mikrofongnutzung das Mikrofon nicht stummgeschaltet ist; bei der Kameranutzung die Kamera aktiviert ist), wird ein Symbol für diese Nutzung angezeigt.

   • Wenn die System-UI die Nutzung von Apps, die keine System-Apps sind, überprüft, wird ein Symbol angezeigt, das diese Nutzung widerspiegelt, sofern die entsprechenden Ein/Aus-Schalter aktiviert sind:

     • Mikrofon: Das Mikrofon ist eingeschaltet.
     • Kamera: Die Kamera ist aktiviert.
     • Standort: Die App wird im Vordergrund ausgeführt.

Wenn die System-UI ein noteOp ohne Dauer empfängt, wird das Symbol mindestens 5 Sekunden lang angezeigt (10 Sekunden für den Standort). Andernfalls wird das Symbol entweder bis zum Empfang von stopOp oder für die Mindestdauer von 5 oder 10 Sekunden angezeigt, je nachdem, welcher Zeitraum länger ist. Wenn der Nutzer auf ein Symbol klickt, wird eine Intent ausgelöst, die an PermissionController gesendet wird, um den Dialog zu starten.

PermissionController lädt alle Informationen zur kürzlichen Verwendung von Mikrofon, Kamera und Standort. Es wird geprüft, ob eine dieser Funktionen ausgeführt wird oder innerhalb des von der System-UI festgelegten Zeitrahmens ausgeführt wurde (15 Sekunden für Mikrofon oder Kamera, 20 Sekunden für Standort). Wenn eine Übereinstimmung gefunden wird, werden der Name der App und die verwendeten Berechtigungen angezeigt.

Die Telefonie muss die Berechtigungsnutzung implementieren (um den separaten Mikrofon-Stack zu berücksichtigen, der bei Telefonanrufen verwendet wird), während sie mit der Android Google Suche App (AGSA) und GMS zusammenarbeitet.