Anonymisierte Daten gibt es nicht

■ Eine Studie des Bundesforschungsministeriums belegt Bedenken der Volkszählungskritiker / Wirklich anonymisierte Daten statistisch unbrauchbar / Zusatzwissen der Interessenten sehr hoch

Von Götz Aly

Berlin (taz) - Als Spielereien von Hackern und praktisch kaum machbar haben Volkszählungsbefürworter bisher die Äußerungen des Hamburger Informatik–Professors Brunnstein abgetan, der an seinem Fachbereich nachgewiesen hat, daß die angeblich anonymen Volkszählungsdaten ohne großen Aufwand wieder einzelnen Personen zugeordnet werden können. Jetzt belegt selbst eine vom Bundesforschungsministerium in Auftrag gegebene Studie, wie recht die Hamburger Informatiker mit ihrem Re–Identifizierungsnachweis haben. Unter der Förderungskennziffer IT 31051 hatte das Bundesforschungsministerium 1983 nach dem Debakel der gescheiterten Volkszählung die „Gesellschaft für Mathematik und Datenverarbeitung“ beauftragt zu überprü fen, „unter welchen Umständen statistische Einzelangaben ohne Identifikationsmerkmale wie Name und Adresse als anonym betrachtet werden können“. Dabei sollten die Forscher im Ergebnis zur „Konstruktion und Erprobung eines anonymisierten integrierten Mikrodatenfiles der bundesdeutschen Privathaushalte“ gelangen. Doch, so zeigt der jetzt in der neuesten Ausgabe der Zeitschrift Allgemeines Statistisches Archiv veröffentlichte Zwischenbericht dieser Studie, diese völlige Anonymisierung statistischer Daten gibt es nicht. Der Autor der Studie, Gerhard Paass, belegt, daß das Risiko der Zuordnung statistischer Daten zu einzelnen Personen insbesondere vom Zusatzwissen des „Angreifers“ auf diese statistischen Datenbestände abhängt. Ist das Zusatzwissen dieser „Angreifer“, wie Paass die möglichen Interessenten nennt, hoch - wie etwa bei Polizei, Staatsanwaltschaft oder Arbeitgebern -, wäre eine Anonymisierung nur möglich, wenn die Aussagekraft der Daten drastisch eingeschränkt wird. Um wirklich anonym zu sein, müßten statistische Daten so zergliedert werden, daß sie für komplexere Fragestellungen unbrauchbar wären. Die vom Bundesforschungsministerium in Auftrag gegebene Studie basiert auf Experimenten, die mit den Datensätzen des Mikrozensus von 1978 gemacht wurden. Bei einem bestimmten Zusatzwissen über Personen wie z.B. Telefon– oder Autobesitz, Beruf, Familienstand oder Religion sei „in Public–use–Files die Anonymität der Datensätze nicht mehr gewährleistet“, so das Fazit der Studie. Fraglich sei auch, ob in „naher Zukunft entscheidende Verbesserungen“ bei der Anonymisierung solcher Datenbestände möglich seien.