Eine Familien-App ohne Konto und ohne Server

Das Anliegen

Wohin gehen die Informationen einer Familie eigentlich?

Eine App für ein Kind zu installieren wirft eine Frage auf, die die meisten Apps nie wirklich beantworten: Sobald die Einrichtungsfragen beantwortet und die Aufgaben eingerichtet sind, wo lebt das alles, und wer sonst kann es sehen. Das ist keines der acht Probleme auf dem eigenen Einrichtungsbildschirm von Reward Study, aber es steckt unter den meisten davon: Ein Elternteil, der "Schlafenszeit und Morgen sind ein Kampf" oder "Taschengeld verursacht Streit" wählt, vertraut der App ein ziemlich detailliertes Bild vom Alltag eines Haushalts an.

Die ehrliche Antwort für Reward Study ist, dass fast nichts davon irgendwohin geht. Es gibt kein Kontosystem, in dem es gespeichert würde, und von vornherein keinen dem Entwickler gehörenden Server, auf dem es liegen könnte.

Dieses Vertrauen lässt sich leise brechen, auf Wegen, die ein Elternteil nie sehen würde: ein SDK, das Abstürze an Dritte meldet, eine Analysebibliothek, die protokolliert, welche Bildschirme ein Kind öffnet und wie lange, ein Werbenetzwerk, das einen Haushalt profiliert, ohne dass jemand vorher zugestimmt hat. Nichts davon ist ungewöhnlich bei Apps, die für Kinder gebaut werden. Die Antwort von Reward Study ist keine Richtlinie, die Zurückhaltung dabei verspricht, sondern dass sie keins davon überhaupt einbaut.

Was die App macht

Keine Konten, kein Server, und iCloud, die der Familie gehört

Es gibt keine Anmeldung jeglicher Art: keine E-Mail, kein Passwort, kein irgendwo angelegtes Konto. Die Daten des Haushalts, seine Kinder, Aufgaben, Belohnungen und der Verlauf, werden in der eigenen iCloud der Familie gespeichert, über Apples NSPersistentCloudKitContainer, denselben privaten Raum, durch den schon die Fotos oder Notizen einer Familie synchronisieren. Reward Study kommt mit null Drittanbieter-SDKs aus, und null Analyse-, Absturzbericht-, Werbe- oder Tracking-Code, der innerhalb der App selbst läuft. Die Einrichtungsantworten auf "Was ist gerade schwierig?" verlassen nie das Gerät, auf dem sie beantwortet wurden. Nichts davon ist ein Versprechen, das über ein System gelegt wird, das trotzdem anderswo Daten sammeln könnte: Es gibt im eigenen Design der App kein Anderswo.

Das eigene Datenschutz-Label des App Store spiegelt das direkt wider: Es liest 'Keine Daten erfasst', Apples eigene Worte, keine Behauptung, die der Entwickler über die eigene App geschrieben hat. Dieses Label wird aus den Antworten erzeugt, die ein Entwickler zu dem einreicht, was die App tatsächlich tut, und für Reward Study ist die ehrliche Antwort auf fast jede Frage darin: nichts.

Nichts davon verlangte einen Kompromiss beim Komfort an anderer Stelle. Die Familienfreigabe-Gruppe deckt weiterhin jedes Produkt ab, ob Abo oder Einmalkauf, sodass ein einziger Kauf automatisch die ganze Apple-Familiengruppe erreicht, ohne dass jemand eine E-Mail-Adresse herausgeben oder ein Login anlegen muss, damit diese Freigabe funktioniert.

Die PIN

Wie die Eltern-PIN selbst geschützt ist

Die Eltern-PIN, die Bestätigungen, den Verlauf und das Verlassen des Kindermodus absichert, wird nicht so gespeichert, wie sie eingetippt wird. Sie wird gesalzen und zu einem Hash gestreckt, der nur im eigenen Schlüsselbund des Geräts liegt, demselben sicheren Speicher, den Apple jeder App für Zugangsdaten gibt, und es gibt keinen Rückfall auf den eigenen Code des Geräts. Ein Kind, das zufällig den Entsperrcode des Telefons kennt, kann ihn trotzdem nicht nutzen, um an der Eltern-PIN vorbeizukommen, weil beide gegen völlig unterschiedliche Dinge geprüft werden.

Die PIN schützt überall dieselben Handlungen: eine Aufgabe bestätigen, eine CSV-Datei exportieren, den Kindermodus verlassen, von Hand aus dem Verlauf ausgeben. Face ID oder Touch ID stehen als alltägliche Sperre vor der PIN, mit der PIN selbst als Rückfall, wenn Biometrie nicht verfügbar oder nicht eingerichtet ist.

Die eine ehrliche Ausnahme

Die Website ist nicht die App, und sagt das auch

Das Nicht-Erfassungs-Versprechen der App und die Website reward.study, auf der du das gerade liest, sind nicht dieselbe Behauptung, und diese Seite wird nicht so tun, als wären sie es. Die Website selbst betreibt Google Analytics, für einen schlichten Besucherzähler, und nur nachdem ein Besucher zugestimmt hat: Das Zustimmungsbanner fragt zuerst, und Ablehnen wird respektiert. Das steht auf einer eigenen Datenschutzseite der Website, getrennt von der eigenen Datenschutzseite der App, weil eine Marketing-Website, die ihre eigenen Besuche zählt, und eine App, die die Hausarbeit eines Kindes speichert, zwei verschiedene Fragen mit zwei verschiedenen Antworten sind, und das eine in das andere zu falten beide Behauptungen weniger wahr machen würde.

Ein Besucherzähler ist eine kleine Sache neben der Hausarbeits-Historie eines Kindes, und diese Seite behauptet nichts anderes. Sie stellt die beiden Tatsachen absichtlich nebeneinander, weil eine Marketing-Website, die leise Analysen laufen ließe, während ihr eigener Blogbeitrag kein Tracking irgendwo behauptet, genau die Art kleiner Widersprüchlichkeit wäre, die eine viel größere und viel wahrere Behauptung über die App selbst untergräbt.

Wo sich das anderswo zeigt

Dieselbe Haltung zieht sich durch einzelne Features

Das ist keine separate Richtlinie, die an die App angeflanscht wurde, sie zeigt sich darin, wie einzelne Features gebaut sind: Der Textaufgaben-Generator auf dem Gerät, beschrieben in Textaufgaben als Geschichte, schickt nie einen Prompt, eine Antwort oder den Namen eines Kindes irgendwohin, aus genau demselben Grund, aus dem der Haushaltsverlauf nie iCloud verlässt. Ein Feature, das einen Server bräuchte, um zu funktionieren, wäre ein Feature, das diese App unter ihrem eigenen Datenschutz-Label nicht ehrlich ausliefern könnte.

Nichts davon ändert, wofür ein Abo bezahlt. Pro geht weiterhin darum, was ein Haushalt innerhalb der App tun kann, nicht um Daten, und die Pläne selbst sind genauso dargestellt, unabhängig davon, wie die Datenfrage beantwortet wird.