Anonym Periode tracken: was das heißt und was nicht

Anonym ist ein Wort, das drei verschiedene Aufgaben erledigt, und sie sind nicht gleich viel wert. Es kann kein Konto heißen, sodass du nie einen Namen oder eine E-Mail-Adresse eintippst. Es kann entkoppelt heißen: Dein Zyklus wandert weiter auf die Server einer Firma, wird dort aber absichtlich von allem getrennt, was dich identifiziert. Oder es kann nie gesendet heißen: Nichts über deinen Zyklus verlässt überhaupt das Handy. Nur das Dritte ist ein Versprechen, das du selbst in einer Minute prüfen kannst, indem du die Verbindung ausschaltest.

Was folgt, ist: wie du die drei von außen auseinanderhältst, was die Firmen hinter jeder Art von Versprechen tatsächlich dazu veröffentlichen, und das eine, was keines davon abdeckt.

Die drei Bedeutungen, geordnet danach, wie viel Vertrauen sie verlangen

• Kein Konto

  Die App öffnet direkt den Tracker. Keine E-Mail, kein Passwort, keine Anmeldewand. Das ist echt und es ist etwas wert, aber es ist eine Aussage über die Haustür, nicht über das Gebäude.

  Frag: Verlässt trotzdem etwas das Handy?
• Entkoppelt

  Deine Zyklusdaten erreichen einen Server, und die Firma hat etwas gebaut, das verhindern soll, dass diese Daten auf dich zurückgeführt werden. Das ist eine echte technische Disziplin, und es ist zugleich die, die du nicht prüfen kannst.

  Frag: Wer hält welche Hälfte, und wer sagt das?
• Nie gesendet

  Nichts über deinen Zyklus wird irgendwohin geschickt. Es gibt keine Server-Geschichte zu glauben, weil es keine Serverseite gibt.

  Frag: Funktioniert es im Flugmodus?

Fast jede Auseinandersetzung über anonyme Zyklusaufzeichnung ist in Wahrheit eine Auseinandersetzung darüber, welche dieser drei jemandem verkauft wird. Das Wort im Store-Eintrag ist in allen drei Fällen dasselbe.

Kein Konto ist am leichtesten zu prüfen und am leichtesten zu überhöhen

Ein Konto gibt es, damit Daten woanders leben können als auf deinem Handy. Wenn eine App nie eines verlangt, hat sie dir etwas Konkretes gesagt, bevor du ein einziges Datum eingegeben hast — und deshalb ist einen Tracker ohne Konto benutzen die erste Frage, die sich bei jedem von ihnen lohnt.

Es ist nicht die letzte Frage. Keine E-Mail heißt nicht keine Kennung. Software, die mit einem Server spricht, kann an alles, was sie sendet, eine zufällige Installations-ID, ein Gerätemodell, eine Betriebssystemversion und eine IP-Adresse hängen, ohne je deinen Namen zu kennen. Nichts davon ist deine Identität in dem Sinn, in dem eine E-Mail-Adresse es ist. Alles davon ist ein Griff, und Griffe lassen sich mit anderen Griffen verbinden.

„Keine Anmeldung“ beantwortet also eine enge Frage ehrlich und lässt die weite offen. Die weite lautet: Gehen deine Blutung, deine Schmerzen, deine Stimmungen und dein Sexleben überhaupt irgendwohin?

Wie ein Entkopplungs-Design aussieht, in den Worten der Firma

Das klarste veröffentlichte Beispiel für die zweite Art kommt von Flo. Flo beschreibt seinen Anonymous Mode als Funktion, mit der du deine Gesundheit festhalten kannst, ohne dass dein Name, deine E-Mail-Adresse, deine IP-Adresse oder andere Kennungen mit deinen Gesundheitsdaten verknüpft werden. Flo sagt, die Anfragen würden über ein Oblivious-HTTP-Relay geleitet, sodass das Relay die IP-Adresse sieht, aber nicht die Gesundheitsdaten, während Flo die Gesundheitsdaten sieht, aber nicht die Identität, und dass nicht einmal Flo die Nutzerinnen dabei identifizieren kann.

Ohne Fachsprache ist die Idee einfach und ziemlich gut. Zwei Parteien halten je eine Hälfte dessen, was nötig wäre, um auf dich zu zeigen. Der Mittelsmann weiß, woher die Nachricht kam, kann sie aber nicht lesen. Das Ziel kann sie lesen, weiß aber nicht, woher sie kam. Keiner von beiden hält beide Hälften, also kann keiner sie zusammenfügen.

Das ist ein echtes Design, kein Werbespruch, und es ist mehr, als die meisten Apps dieser Kategorie versuchen. Das gehört klar gesagt, denn die ehrliche Kritik, die jetzt folgt, lautet nicht, dass die Idee schlecht wäre.

Der Teil, den du nicht prüfen kannst

Du bist draußen. Von dort kannst du die Beschreibung einer Architektur lesen; du kannst die Server nicht sehen, nicht den Code, der tatsächlich auf ihnen läuft, nicht, wer das Relay betreibt, nicht, was an welchem Ende protokolliert wird, und nicht, was sich nächstes Jahr ändert. Jede Aussage der zweiten Art ist eine Aussage über Software, die du nie ausführen und nicht beobachten wirst. Wir können das nicht prüfen, und du auch nicht.

Deshalb stellen Menschen diese Frage überhaupt. Im Januar 2021 gab die US-Behörde Federal Trade Commission einen Vergleich mit der Entwicklerfirma einer weit verbreiteten Fruchtbarkeits-App bekannt; die FTC warf der Firma vor, versprochen zu haben, die Gesundheitsdaten der Nutzerinnen privat zu halten, sie aber an externe Analyseanbieter weitergegeben zu haben, und die Firma schloss den Vergleich, ohne die Vorwürfe einzuräumen oder zu bestreiten. Das ehrliche Gegengewicht gehört in denselben Atemzug: Als die britische Datenschutzbehörde Information Commissioner's Office 2024 Perioden- und Fruchtbarkeits-Apps prüfte, berichtete sie, es seien keine gravierenden Verstöße und keine Belege für Schäden festgestellt worden — und forderte die Entwicklerfirmen zugleich auf, dem Datenschutz Vorrang zu geben.

Keines von beidem sagt dir, was ein bestimmter Server heute tut. Genau das ist der Punkt. Einem Design, das du nicht prüfen kannst, vertraust du oder nicht, und Vertrauen zu geben ist vernünftig — es ist nur eine andere Art von Sache als ein Beweis.

Ein Versprechen darüber, wie mit Daten umgegangen wird, hält nur so lange wie die Firma, die damit umgeht. Ein Design, in dem die Daten nie gewandert sind, braucht keine Firma, die ihr Wort hält.

Nie gesendet, und die Erklärungen, die das beschreiben

Die dritte Art ist am einfachsten auszusprechen und am einfachsten zu testen. Zwei veröffentlichte Datenschutzerklärungen beschreiben so gebaute Apps.

Die Datenschutzerklärung von drip sagt, es würden keine Nutzungsdaten oder persönlichen Informationen erhoben, es gebe keine Werbung und keine Spyware; Zyklusdaten würden lokal auf dem Gerät gespeichert und könnten von anderen Apps nicht gelesen werden; und das Löschen der App-Daten in den Einstellungen oder das Deinstallieren entferne sie. Sie trägt außerdem eine Einschränkung, die mehr wert ist als die meiste Datenschutzwerbung: Je nach Geräteeinstellungen könne trotzdem ein automatisches Cloud-Backup stattfinden. Die Erklärung ergänzt, dass sich der Quellcode lesen lässt, um all das zu überprüfen.

Die Datenschutzerklärung von Euki sagt, es würden keine persönlichen oder sonstigen Informationen von Nutzerinnen erhoben, auch nicht durch die Nutzung der App, außer den Angaben, die jemand freiwillig beim Kontakt mit dem Support schickt, und dass die App ihre Nutzerinnen nicht für zielgerichtete Werbung trackt.

Die Einschränkung von drip ist das, was du mitnehmen solltest, denn sie gilt für jede rein lokale App, diese eingeschlossen. Das Backup deines eigenen Handys kann eine lokale Datenbank vom Gerät holen, auch wenn die App selbst nie etwas sendet. Das Design der App ist nicht das Ende der Geschichte; die Backup-Einstellungen deines Betriebssystems gehören dazu, und in die kannst du selbst schauen. Das ist ein Strang eines größeren Tauschs, und es lohnt sich, ihn ordentlich zu lesen, bevor du dich für eine Seite entscheidest: was du aufgibst, wenn es keine Cloud-Synchronisierung gibt.

Was ein Store-Label dir sagt und was nicht

Beide App-Stores veröffentlichen inzwischen eine Datenschutz-Zusammenfassung, und das Vokabular ist wirklich nützlich. Apple beschreibt den Datenschutzabschnitt im App Store als ein System, in dem die Angaben von der Entwicklerin oder dem Entwickler selbst gemacht werden. In Apples eigenen Worten heißt „Mit dir verknüpfte Daten“ Daten, die so erhoben werden, dass sie mit deiner Identität verknüpft sind, etwa mit deinem Account oder Gerät, und „Zum Tracking deiner Person verwendete Daten“ heißt Daten aus der App, die mit Daten aus Apps, Websites oder Offline-Quellen anderer Firmen verknüpft und für Werbung verwendet oder an einen Datenhändler weitergegeben werden.

Genau dieser Unterschied ist das Thema dieses Artikels, gedruckt im Eintrag, bevor du installierst. Eine App, die Anonymität behauptet und zugleich Gesundheitsdaten als mit dir verknüpft angibt, hat sich öffentlich selbst widersprochen, und das zu bemerken kostet dich nichts.

Die Grenze steckt in Apples eigener Formulierung: selbst gemacht. Ein Label ist die Erklärung einer Entwicklerin, keine Prüfung. Es ist ein schneller Filter und ein schlechter Beweis, und deshalb gehört es früh in eine Zehn-Minuten-Prüfung jedes Trackers und nicht an deren Ende.

Was Anonymität dir nicht kauft

Keines der drei Versprechen schützt das Handy in deiner Hand. Der wahrscheinlichste Weg, auf dem jemand anderes deinen Periodenverlauf liest, ist kein Datenleck und keine gerichtliche Anordnung. Es ist eine Person, die ein entsperrtes Handy in die Hand nimmt.

Was auf dieser Entfernung zählt, ist also langweilig und lokal. Ob die App eine eigene PIN oder eine eigene Gesichtsentsperrung hat. Was deine Mitteilungen auf dem Sperrbildschirm sagen, denn eine hilfreiche Erinnerung ist auch eine Ansage an alle, die danebenstehen. Ob das Handy geteilt wird oder je auf einem Computer gesichert wurde, den jemand anderes benutzt. Und ob eine Kopie deines Verlaufs schon in einer anderen App liegt, bei der du dich vor Jahren angemeldet hast — daran ändert Anonymität in einer neuen App nichts; diese Kopie muss dort gelöscht werden, wo sie liegt.

Wenn sich nichts davon sicher machen lässt, gibt es eine Möglichkeit ganz ohne Software. Der Periodenkalender zum Ausdrucken gibt dir ein Blatt Papier, das sich nicht synchronisieren, nicht abgreifen, nicht beschlagnahmen und nicht wieder verknüpfen lässt und das du aufbewahren kannst, wo du Dinge aufbewahrst. Und wenn du von einer App eigentlich die Rechnerei wolltest und nicht die Speicherung: Der Zykluslängen-Rechner rechnet dir aus ein paar Startdaten deinen Durchschnitt aus und wie stark er schwankt, ohne Konto. Die ausführlichere Begründung, warum Architektur mehr zählt als Erklärungen, steht in was einen Tracker wirklich privat macht.

Wo Athena steht

Athena ist die App hinter dieser Seite. It is on the App Store and Google Play. Auf dieser Seite steht nichts zum Verkauf, und es gibt nichts, wofür du dich anmelden musst. Was folgt, ist eine Beschreibung davon, wie sie gebaut ist; prüfen kannst du das an der App selbst.

Sie ist die dritte Art. Perioden, Symptome, Notizen und Temperaturen werden in eine private Datenbank auf dem Handy geschrieben, Vorhersagen werden auf dem Gerät berechnet, und es gibt kein Konto — also gibt es auf keinem Server etwas, das sich auf dich zurückführen ließe. Eine ehrliche Ausnahme, genannt, weil diese Seite sonst genau das wäre, was sie kritisiert: Die App schickt anonyme Diagnosedaten an Firebase — welche Funktionen genutzt werden, Absturzberichte, Gerätemodell, nie etwas, das du einträgst. Nichts, was du über deinen Zyklus festhältst, ist darin. Die Aussage prüfst du so, wie dieser ganze Artikel es empfiehlt: Schalte die Verbindung aus und sieh nach, ob etwas aufhört zu funktionieren.