Microsoft entfernt Datensammel-App von AVG aus Windows Marketplace

AVGs Antiviren-App erkennt eine EICAR-Testdatei als „bösartig“ (Bild: Rafael Rivera).

Microsoft hat eine Antiviren-App des Sicherheitsanbieters AVG aus dem Windows Marketplace entfernt, weil sie unerlaubt Nutzerdaten an den Hersteller zurückschickte. Das bestätigte Brandon Watson, Direktor für Developer Experience für Windows Phone, via Twitter. Zwei externe Experten, Ex-Mitarbeiter Justin Angel, und Windows-Hacker Rafael Rivera, hatten das Unternehmen auf die Daten sammelnde App hingewiesen. Watson erklärte, Microsoft werde eine eigene Untersuchung durchführen und erwarte sich wenigstens Funktionalität von der App.

AVG hatte seine Antiviren-App für Windows Phone erst Anfang der Woche verfügbar gemacht. Dem Blog WinRumors zufolge gab es rasch Bedenken bei Nutzern, die sich auch bestätigten.

Rivera fand heraus, dass die App lediglich Werbung anzeigt und nach EICAR-Testdateien sucht – die lediglich dazu dienen, zu überprüfen, ob ein Antivirenprogramm funktioniert. Offenbar gebe es „ganz einfach keine Malware, nach der es sich unter Windows Phone zu suchen lohnt“, witzelte Rivera und bezeichnete die Anwendung schlicht als „AVG-eigene Scareware“.

Angel nahm sich laut WinRumors die Codebasis vor und entdeckte, dass die App eine Geodatenfunktion dazu nutz, Windows-Phone-Geräte zu tracken und Daten zurück zu AVG zu senden – etwa Modell und Ausführung sowie E-Mail-Adresse und Standort des Nutzers. In einer Twitter-Nachricht bezeichnet Angel den „Missbrauch“ der Standortfunktion als Verletzung von Microsofts Zertifikationsrichtlinien für Windows Phone 7 und forderte das Unternehmen auf, die Anwendung aus dem Marketplace zu entfernen.

In einem Blogeintrag, der offensichtlich vor Entfernen der Anwendung geschrieben worden war, meldete sich AVG bezüglich der Kritik zu Wort. Darin heißt es, „alle Daten, die wir sammeln, dienen nur dazu, Nutzern einen außergewöhnlichen Sicherheitsdienst mit State-of-the-Art-GPS-Tracking zu liefern“. Der Sicherheitsanbieter versprach, dass er die Daten ohne Zustimmung der Nutzer weder verkaufen noch mit Dritten teilen würde und dass es ohne Einwilligung auch nicht auf die Standortdaten eines Anwenders zugreifen würde.

AVG wies zudem darauf hin, dass es bei der Entwicklung der Software mit Microsoft zusammengearbeitet hatte. „Unsere Teams sind von Microsoft geschult worden, und wir haben dem Unternehmen unsere Software vor Veröffentlichung vorgelegt“, heißt es in dem Blogeintrag. „Wir haben auch einige Änderungen übernommen, die uns Microsoft nahegelegt hat.“