Kommentar Schutz von Kundendaten: Das große Sammeln

Für die meisten Unternehmen sind Daten erst dann persönlich, wenn es einen zugehörigen Namen gibt. Das ist falsch. Und gefährlich für Nutzer.

Der Fingerabdruck ist weniger eindeutig als digitale Metadaten Foto: dpa

So ein Fingerabdruck ist einzigartig. Wie sich die Linien formen, wo Wirbel entstehen, das gibt es kein zweites Mal, nicht einmal bei eineiigen Zwillingen. Und trotzdem ist kein ganzer Fingerabdruck notwendig, um den zugehörigen Menschen zu identifizieren. Zwölf Punkte des Mustergeflechts reichen gemeinhin aus.

Diese Information sollte man im Hinterkopf behalten, wenn es um die Frage geht, wann Daten so individuell sind, dass sie Rückschlüsse auf eine Person zulassen. Unternehmen machen es sich bei dieser Frage meistens leicht: Persönlich wird es erst, wenn ein Name dabeisteht. Umgekehrt heißt das: die Kaufhistorie samt Schuhgröße, Brillenstärke und Lebensmittelunverträglichkeit gespeichert, aber Name gelöscht? Ist doch anonymisiert, also alles super!

Nein, ist es nicht. Denn Daten sind persönlich, lange bevor es um Namen, Adressen oder Kombinationen von Geburtsdaten und Postleitzahlen geht. Und das wird zunehmend zum Problem. Zu sehen ist das aktuell in der Autobranche. Dort geht das große Sammeln gerade los. Das vernetzte Auto macht es möglich, dass Hersteller gigabyteweise Daten speichern, von der Motordrehzahl bis zur GPS-Position, von der Zahl der eingelegten CDs bis zur Tankfüllung. Einfach nur, weil es geht.

Auch BMW sammelt fleißig mit und weil das Unternehmen nicht nur Autos verkauft, sondern über die Beteiligung an dem Carsharing-Dienst DriveNow auch Autos vermietet, hat das kürzlich für größeren Aufruhr gesorgt. Dabei unterliegt auch BMW der bequemen Annahme, dass nicht persönlich ist, was keinen Namen dabeistehen hat. Zwar speichert ein in den Carsharing-Fahrzeugen verbautes Modul diverse Fahrzeugdaten, unter anderem den Standort. Aber Bewegungsprofile zu erheben oder zu speichern bestreitet das Unternehmen. Schließlich habe man keine Namen, die hat nur DriveNow, das wiederum keinen Zugriff auf die Standortdaten habe, abgesehen vom Start- und Endpunkt der Fahrt.

Individuelle Bewegungsmuster

Doch so einfach ist es nicht. Zur Erinnerung: Beim Fingerabdruck sind zwölf Punkte notwendig, um seinen Träger zu identifizieren. Forscher der Harvard-Universität und des Massachusetts Institute of Technology (MIT) haben sich vor drei Jahren angeschaut, wie eindeutig eigentlich Standortdaten sind, also die Kombination von Zeitpunkt und Ort. Sie nahmen sich dafür die Daten von Handynutzern vor, das ist praktisch, weil hier viele Ort-Zeit-Kombinationen vorliegen. Das Ergebnis: Mit vier zufällig ausgewählten Punkten konnten sie 95 Prozent der Nutzer identifizieren. Mit elf Punkten erreichten sie hundert Prozent. Das Muster, in dem wir uns bewegen, ist also noch individueller als unser Fingerabdruck.

Durch die gemeinschaftliche Nutzung des Fahrzeugs könnte eine Identifizierung beim Carsharing etwas schwieriger sein als bei Handynutzern. Andererseits werden vermutlich die gleichen Nutzer häufig die gleichen Strecken zurücklegen, nur eben mit verschiedenen Autos. Und wie lange die Daten gespeichert werden, verrät BMW nicht. Doch je länger die Daten aufgehoben werden, desto mehr Information lassen sich herauslesen, auch ohne Namen.

Wer hat die Anonymen Alkoholiker gesucht, wer verdächtige Halogenlampen gekauft?

Bewegungsdaten haben längst nicht nur Mobilfunkanbieter und Autohersteller. Sondern zum Beispiel auch Fitnesstracker. Sie sammeln Vitaldaten von Herzfrequenz bis Kalorienverbrauch und kombinieren sie mit Geschwindigkeiten und zurückgelegten Strecken, um dadurch das Absolvieren oder Nichtabsolvieren eines Sportpensums zu ermitteln. Die Daten? In der Cloud. Also beim Anbieter. Was der Anbieter damit macht, welche Auswertungen er erstellt, an wen er sie in welcher Form weitergibt und welches Niveau eigentlich der Schutz vor unbefugten Zugriffen auf die Server hat – all das weiß der Jogger mit dem Fitnessarmband nicht. Wenn er Glück hat, hält sich der Anbieter daran, was er in die Allgemeinen Geschäftsbedingungen geschrieben hat. Wenn der Nutzer viel Glück hat, sind diese auch noch verständlich formuliert und eindeutig. Obwohl, das wäre eigentlich schon extrem viel Glück und mithin unwahrscheinlich.

Wie eindeutig individuell selbst Vitaldaten sein können, zeigt ein Produkt aus den USA: Ein Start-up hat dort eine Art Armband entwickelt, das als universeller Türöffner im Alltag – von der digitalen Geldbörse über das Einloggen in einen E-Mail-Account bis zum realen Öffnen von Türen – dienen soll. Der Mechanismus zum Authentifizieren: das Elektrokardiogramm, quasi die Summe der Herzaktivitäten. Die sind bei jedem Menschen unterschiedlich, abhängig unter anderem von der Größe des Herzens und der Physiologie des Körpers. Und wie es aussieht, sind die biometrischen Muster verschiedener Personen ausreichend unterschiedlich, um Nutzer voneinander zu unterscheiden beziehungsweise denselben Nutzer wiederzuerkennen.

Die IP-Adresse verrät alles

Wann Daten persönlich sind, wird in den kommenden Wochen auch der Europäische Gerichtshof beantworten müssen, und zwar für Menschen, die im Internet unterwegs sind. Dabei hinterlassen sie vielfältige Spuren, aber eine, die sie nur unter Aufwand und Komforteinbußen verfälschen können: die IP-Adresse. Die hinterlässt jeder Besucher einer Seite bei deren Betreiber, ähnlich einer Visitenkarte. Ohne den Zugangsprovider – also Telekom, Kabel Deutschland oder Ähnliche – weiß der Seitenbetreiber zwar nicht, wer dahintersteht. Aber es ist eben möglich herauszufinden, wer sich bei den Anonymen Alkoholikern informiert hat, wer über die Fälschungssicherheit von Ausweisdokumenten und wer die Anschaffung eines Halogenstrahlers mit ungewöhnlich hoher Wattzahl plant.

Internetnutzer, Verwender von Fitnesstrackern und -apps, Autofahrer – ihnen allen ist gemein, dass die gesammelten Daten sensibel bis kompromittierend sein können; spezifische Werbung ist dabei noch das Harmloseste. Wenn die Daten erst mal beim Hersteller sind, bei der Versicherung oder bei Unbefugten, die sich in den Server gehackt haben und sämtliche Bewegungsprofile veröffentlichen, dann fragt niemand mehr, ob es stimmt, was das Auto da aufgezeichnet oder die Fitnessapp gemessen hat. Im Zweifel gegen den Nutzer.

Comments

[uvw]

Es ist leider nur die Spitze des Eisbergs.

 

*Alle* Lebensbereiche sind mittlerweile vom tracking betroffen. Verschlüsselung hilft dabei gar nichts, denn es geht um die Metadaten. Die IP-Adresse wird ebenfalls überschätzt, denn wir liefern Geokoordinaten (GPS in Handy und Navi), Zahlungsdaten (Bankdaten, Kreditkarte, Paypal, Kundenkarten, ... wann wie oft was wo), Patientendaten (elektronische Gesundheitskarte), Browserprofile (ein weitgehend eindeutiger Fingerabdruck des verwendeten Browsers), biometrische Daten, die bei Handynutzung anfallen (Stimme, Fotos, Videos) sowie weitere säckeweise Daten über Verhaltensmuster (wann wo wie oft mit wem) und Gruppenzugehörigkeit (Kontakte, Adressbuch, Facebook-Freunde, ...). SmartTVs schneiden Gespräche mit. Da braucht man nicht mal weit auszuholen und Texte auf grammatikalische oder Ausdrucksmuster zu analysieren. In der Summe dürften das pro Person einige hundert, wenn nicht tausend Merkmale sein, von denen 10-20 reichen, um jemanden sicher zu identifizieren. Betrachtet man einen größeren Kreis Merkmale, und eine größeren Zeitraum, findet sich garantiert bei fast allen irgend etwas kompromittierendes. Und diese Daten werden nicht gelöscht, es gibt kein Anrecht auf Löschung und keine Kontrollmöglichkeit, plus das Problem von Backups.

 

Vermutlich hat Google, um nur den größten Sammler hervorzuheben, genügend Daten über einen Großteil der Menschheit, um viele davon in Schwierigkeiten zu bringen, falls nötig. Die Sammlung der Stasi war ein Witz dagegen. Wir haben nur Glück, dass die Daten bisher vorwiegend weiterverkauft und zu Verkaufszwecken genutzt werden.

[uvw]

@uvw:

Was sind die Konsequenzen? Privatsphäre ist ein Luxusgut, das zusehends abgeschafft ist. Brief- und Fernmeldegeheimnis gelten nur noch auf dem Papier. Unsere Daten sind eine Art inoffizielle Internetsteuer in beträchtlicher Höhe. Wir haben immer noch nicht verstanden, dass wir hier zahlen, ohne gefragt worden zu sein, also bestohlen werden. Manchmal wird das sogar offen gehandhabt, bspw wenn die Prophylaxe beim Zahnarzt von der Krankenkasse zur Hälfte (statt gar nicht) bezahlt wird, sofern man einwilligt, dass die eigenen Behandlungsdaten an irgendeinen mit der KK kooperierenden Datensammler weitergegeben werden dürfen. Das gibt einen Eindruck vom Wert der Daten. Wer in Zukunft regelmäßig Daten haben will, hat damit die Beiträge, Gebühren oder den Kaufpreis erhöht.

 

Das alles läuft nur, weil wir den Datensammlern vertrauen und den Wert unserer Daten nicht kennen. Andernfalls müssten wir, reichlich spät, sofort aktiv werden. Es gibt bereits umfangreiche Sammlungen, die nur langsam veralten. Technische Lösungen sind schwierig und nur in Kombi mit einer völlig anderen Gesetzgebung sinnvoll. Solange einige Bausteine eines Handys nicht offengelegt sind, ist unkontrollierbar, was sie übermitteln. Daten sollten ähnlich eingestuft werden wie Geld - wer sie ohne Einwilligung abzieht, macht sich strafbar. Das gleiche gilt für milde Formen von Erpressung, wenn Daten abverlangt werden, die nicht für die Erbringung der angebotenen Leistung erforderlich sind. Ich schreibe hier bewusst nur "Daten" und nicht "persönliche Daten", denn wie oben beschrieben wird jede Kombi aus 10-20 Merkmalen zu persönlichen Daten. Das war schon bei der vergleichsweise harmlosen Volkszählung vor fast 30 Jahren so, damals hat es vielen noch eingeleuchtet.