QR-Code statt Adressabfrage: Was Spotifys neue Familien-Verifizierung über Identitätsprüfung verrät

Hallo, hier ist wieder Kora. Eigentlich ist Musikstreaming nicht unser Kernthema – aber was Spotify da gerade beim Familienabo ausrollt, ist aus Sicht von Authentifizierung und Missbrauchserkennung durchaus interessant. Deshalb schauen wir heute mal über den Tellerrand.

Von der Adressabfrage zum Näherungsnachweis

Bisher lief die Prüfung beim Premium-Familienabo denkbar entspannt: Wer mitgenutzt hat, musste lediglich bestätigen, unter derselben Anschrift wie der Abo-Verwalter zu wohnen, und die Adresse eintippen. Eine Standortverfolgung fand laut Spotify nicht statt. Das Ergebnis kennen viele: Formal war die Hürde da, praktisch hat sie niemanden aufgehalten – wer am anderen Ende der Welt saß, konnte genauso gut Teil der „Familie“ sein.

Jetzt kommt die sogenannte QR-Code-Verifizierung. Der Abo-Verwalter bekommt in der Mitgliederverwaltung der App einen QR-Code angezeigt, das Mitglied scannt ihn mit der Handykamera. Beide müssen sich dafür am selben Ort befinden. Aus einer Datenangabe wird damit ein Proof of Proximity – ein Nachweis räumlicher Nähe. Das ist technisch ein deutlich anderer Ansatz: Statt eine Behauptung zu prüfen, die man beliebig behaupten kann, verlangt man eine Handlung, die physische Nähe voraussetzt.

Rotierende Codes: der Klassiker gegen Replay

Damit niemand einfach einen Screenshot per Messenger an die halbe Verwandtschaft schickt, erneuert sich der Code laut Spotify alle paar Sekunden. Wer schon einmal mit TOTP-Verfahren oder kurzlebigen Session-Tokens gearbeitet hat, erkennt das Muster sofort: Man verkürzt das Zeitfenster so stark, dass ein abgefangenes Artefakt wertlos wird, bevor es weitergereicht werden kann. Klassischer Replay-Schutz, nur eben visuell verpackt.

Dazu kommt eine Frist mit Zähnen: Nach der Benachrichtigung bleiben sieben Tage zum Scannen. Wer das verstreichen lässt, darf zwölf Monate lang keinem anderen Family- oder Duo-Abo beitreten. Bleibt die Möglichkeit, ein eigenes Abo abzuschließen oder die Gratisvariante zu nutzen. Das ist weniger Technik als Policy-Design – und zeigt gut, dass Missbrauchsbekämpfung fast nie allein aus Code besteht, sondern immer aus Technik plus Regelwerk plus Konsequenz.

Die Lücke: Nähe lässt sich simulieren

Ganz dicht ist das Verfahren aber nicht. Ein Nutzer berichtet, die Prüfung schlicht per Bildschirmfreigabe in Microsoft Teams bestanden zu haben. Genau das ist der Haken an rein optischen Näherungsnachweisen: Der Kanal zwischen Anzeige und Kamera lässt sich verlängern. Ein kurzlebiger Code schützt gegen asynchrones Weitergeben, nicht gegen eine synchrone Live-Übertragung. Wer wirklich Nähe erzwingen will, braucht Verfahren, die physikalisch gebunden sind – NFC, Bluetooth-Laufzeitmessung, gemeinsame Netzwerkmerkmale. Alles mit eigenen Nachteilen, vor allem bei Datenschutz und Nutzerfreundlichkeit.

Übrigens scheint das Feature noch nicht überall auszurollen; in einer aktuellen Android-App taucht es nicht zwingend auf. Gestaffelte Rollouts sind bei solchen Maßnahmen Standard – man will sehen, wie viele Support-Anfragen und False Positives entstehen, bevor man das auf die gesamte Nutzerbasis loslässt.

Was wir daraus für eigene Projekte mitnehmen

Auch wenn wir hier Server und Netzwerke betreiben statt Playlists: Die Fragestellung kennen wir aus jedem Lizenz-, Account- und Zugriffsmodell.

• Verifizierung ist immer ein Kompromiss. Je härter die Prüfung, desto mehr legitime Nutzer fallen durchs Raster. Plant Ausnahmepfade und einen funktionierenden Support ein.
• Kurzlebige Tokens helfen – aber nur gegen bestimmte Angriffe. Überlegt beim Design konkret, welches Angriffsszenario ihr ausschließt und welches eben nicht.
• Sanktionen gehören ins Threat Model. Eine zwölfmonatige Sperre ist eine harte Konsequenz. Wer so etwas einführt, sollte sehr sicher sein, dass die Erkennung zuverlässig ist und Benachrichtigungen auch wirklich ankommen.
• Datensparsamkeit zahlt sich aus. Spotify betont, keinen Standort zu tracken. Ein Näherungsnachweis ohne dauerhafte Standortdaten ist aus Datenschutzsicht die elegantere Lösung – auch wenn sie löchriger ist.

Unterm Strich finde ich den Ansatz technisch nachvollziehbar und in der Umsetzung typisch: gut genug, um den bequemen Missbrauch spürbar zu erschweren, nicht gut genug, um motivierte Umgeher aufzuhalten. Genau diese Abwägung treffen wir im Hosting-Alltag ständig, wenn es um Rate Limits, Geo-Regeln oder Account-Bindung geht.

Bis demnächst, eure Kora

Quelle: heise online