Also ich hab mir das jetzt mal angeschaut und finde das gar nicht so schlimm, was da drinnen ist. Es gibt 2 Dinge, die meiner Meinung nach etwas fragwürdig sind. Der Rest - sofern ich nichts übersehen habe, also gerne korrigieren - scheint mir normaler Standard zu sein. Und wenn wir über so einen Standard diskutieren, können wir das über nahezu jedes Spiel und jede App.
Das Erste, wo sich in deinem Link ja beschwert wird, ist die Einbindung von Crashlytics in den Launcher. Crashlytics ist aber absolut harmlos. Wir binden das Ganze in den Apps, die wir bauen, auch ein. Crashlytics registriert, wenn die bestehende Applikation abstürzt. Es sendet dann die vom Entwickler angegebenen Daten und einen Stacktrace an Crashlytics. Ein Stacktrace ist für einen Entwickler zum Fixen von Crashes absolut notwendig. Ansonsten ist das Fixen solcher Fehler wie die Suche der Nadel im Heuhaufen. Es können auch nicht x-beliebige Daten mitgesendet werden, sondern nur die, die im Rahmen der Applikation - hier scheinbar der Launcher - wirklich irgendwie zur Verfügung stehen. Ein einfaches Crawlen des ganzen Rechners mit eventueller Erkennung sensibler Daten ist nicht möglich. Was natürlich sein kann ist, dass der Pfad der Applikation mitgesendet wird und da der Rechner-Name mit drinnensteht - wie in deinem Link auch erwähnt wird. Das kann man sicherlich hinterfragen. Der relative Pfad ab dem Ordner, wo alles installiert ist, hätte wahrscheinlich gereicht. Vielleicht aber auch nicht ganz möglich, sofern Windows-Eigene Dienste verwendet werden und Teil des Stacktrace sind. Das lässt sich aber dann leider nicht schwärzen.
Die sendrpt.exe tut Ähnliches. Dabei handelt es sich um Doctor Dump. Dass tut Ähnliches. Wenn man das mal googled wird es auch als problemlos eingestuft. Entsprechend verstehe ich auch nicht, warum er das in deinem Link als Problem ansieht.
Der Xsolla Launcher: Hier ist das einzige Problem, dass scheinbar der Rechnername als UserId genommen wird. Eine ID braucht es einfach, damit entsprechende Tools funktionieren. Und sie wollten wohl vermeiden, dass bei einer Neuinstallation quasi in deren Tools ein neuer Nutzer angelegt wird. Deswegen der Rechner Name. Den hätten sie aber wenigstens Hashen können, damit es unkenntlich ist. Man sollte sich aber mal angucken was da wirklich gesendet wird. Das was er da schreibt, klingt nämlich schlimmer, als es ist. Beispiel: Er sagt "Chat und Freunde" werden gesendet. Klingt so als wären da jede Menge Chatverläufe und Freundesdaten drinnen. Stimmt aber nicht. Ist ein einfaches Flag, ob das Feature an oder aus ist. Die Daten zu Amazon und Konsorten sind auch gar nicht wild. Bei Amazon werden nur Daten an der Stelle aus S3 geladen, was ein einfacher File-Server ist um beispielsweise Assets zur Verfügung zu stellen. Zusätzlich muss man eindeutig sagen, dass an diese URL von Xsolla nichts gesendet wird, sondern es wird etwas abgerufen. Man kann die URL, die er da nennt, einfach im Browser öffnen und sieht das auch. Diese Daten sind einfache Konfigurationsdaten, durch die sich der Launcher erst aufbauen kann. Und das über eine Web-Konfiguration zu machen, ist total sinnvoll. Wenn sich irgendwann mal etwas ändert, kann man das direkt aktualisieren, ohne dass gleich Patches nötig sind.
Der nächste Xsolla Link, den er da nennt, ist recht ähnlich. Auch hier werden scheinbar Daten abgerufen, die für den Launcher nötig sind und nichts gesendet. In den Steam Daten, die er da nennt, ist z.B. absolut nichts drinnen ausser die Steam App ID und ein paar technische Konfigurationsdaten, damit die Applikation weiß, was gewisse Daten sind und wie damit umgegangen wird. Sieht man auch, wenn man seine URL im Browser aufruft.
Den Xsolla Login Call, den er nennt, beschreibt er - so wie ich das sehe - aber auch falsch. Einfach mal den Link, den er da nennt, im Browser aufrufen. Diese ganzen Social Links sind beispielsweise Links um sich mit den entsprechenden Accounts einloggen zu können. Kann man auch probieren, indem man einfach mal einen dieser Links dann im Browser ausführt. Bei Facebook kommt die normale, bekannte Abfrage, ob Xsolla Daten abrufen darf. Was die damit machen, weiss man noch nichts. Aber auch hier wird erstmal wieder nur abgerufen und nicht zurückgesendet und auch nicht von den sozialen Medien irgendwelche Daten. Er sagt auch, dass Mail-Daten mitgesendet werden. Scheint auch nicht zu stimmen. Es werden weiterhin nur Daten abgefragt und nicht zurückgesendet. Und was in dem von ihm beschriebenen Link als Einziges zur Mail steht, ist ein Flag, ob die Mail-Addresse eines registrierten oder im Hintergrund registrierten Nutzers auch dem Nutzernamen entspricht. Das ist unter Umständen für die Applikation wichtig um zu entscheiden, ob z.B. ein Nutzernamen-Feld o.ä angezeigt werden muss. Wenn der Login eben der Mail-Addresse entspricht, würde das Feld reichen. Wenn nicht, dann nicht. Auch der Paypal Link und so sind alles nur Authorisierungslinks, wo gar nichts automatisch zurückgesendet wird und ohne Freigabe auch nicht zurückgesendet werden kann. Er sagt auch, dass Passwörter enthalten sind. Nochmal: Hier wird nur abgerufen und nicht zurückgesendet und das Einzige, was zum Passwort in diesen Links steht ist:
"proxyResetPassword": false
Da wird nichts an Passwörtern gesendet, es gibt nur so einen Konfigurationsparameter.
Bei Google Analytics ist es durch seine Schwärzungen etwas schwieriger zu erahnen, wie detailliert die Daten wirklich sind. Die ID ist jedenfalls nur dann wieder fragwürdig, wenn das der Name des Rechners ist. Die cd Parameter sind custom dimensions. Da könnte man eintragen, was man will - theoretisch auch fragwürdige Daten - aber wenn die so granular wären, dass sie gefährlich sind, hätte man in Analytics ein riesen Durcheinander. Deswegen würde ich daran zweifeln. Der Rest sind alles normale Parameter für gewöhnliches Tracking. Wenn man das diskutieren möchte, dann bitte für nahezu jede App und nahezu jede Website.
Er geht dann nochmal wieder auf Amazon ein:
Hier handelt es sich wieder nur um S3 also den simplen File-Server. Und in seinen Beispielen werden da einfach mal Bilder runtergeladen. Siehe:
https://cdn3.xsolla.com/img/misc/images/0d5a61938256785d6fbeaa77ff37bad0.png <- das kommt aus seinem Beispiel, einfach mal im Browser öffnen.
Bei seinem Epic-Eintrag sehe ich auch wieder nur die User-ID als unter Umständen fragwürdig.
Zum Heartbeat: Wieso der wirklich benötigt wird, keine Ahnung. Aber in seinem Screenshot sieht man auch nichts, was fragwürdig ist. Den Bereich der POST-Daten hat er ja leider ausgeblendet. Maximal da wäre irgendwas spannendes noch zu sehen.
TLDR: Keine Ahnung, ob ich irgendwas übersehen hab, aber ich sehe da jetzt nicht viel Datenkrake. Das sieht für mich nach nem recht minimalen Standard aus, wo man einzig die User-ID mit dem Rechnernamen hinterfragen sollte und eigentlich müsste die Datenschutz-Akzeptanz natürlich vor allem kommen. Bei Crashlytics würde das vielleicht noch mit ner komplett anonymen ID durchgehen, bei Analytics spätestens eigentlich nicht mehr. Aber nach ner Datenkrake sieht mir das nicht aus.
