Erstkontakt: 35C3

Erstkontakt: 35C3

Das traditionell zwischen Weihnachten und Neujahr veranstaltete Treffen des Chaos Communication Clubs fand wie bereits im Vorjahr vom 27.  bis zum 30. Dezember in Leipzig statt. Für die 35. Ausgabe des Hackerkongress (35C3) wurde fast die gesamte Leipziger Messe von einer Unzahl an freiwilligen Helfern in ein digitales Wunderland verwandelt.

Unter dem Motto Foundations kamen etwa 16 000 Menschen zusammen. An dieser Stelle muss betont werden, dass die gesamte Veranstaltung von Freiwilligen und zum Selbstkostenpreis organisiert und durchgeführt wird, eine unglaubliche Leistung. Neben den technisch sehr anspruchsvollen Vorträgen fanden auch eine ganze Reihe von Grundlagentalks ihren Weg auf die Bühnen. Dies kam Neulingen wie mir natürlich entgegen. Auch dem Vorsatz der digitalen Aufklärung war dieser Schwerpunkt sehr zuträglich. Gerade die gegenwärtige Debatte um Datensicherheit zeigt aufs Neue, dass noch viele Missverständnisse darüber herrschen, wie dieses „Internet“ eigentlich funktioniert.

Durch den 35C3 wurde mir wie erhofft vor Augen geführt, welches Potenzial für tiefgreifende gesellschaftliche Veränderungen viele Entwicklungen im digitalen Raum haben. Es lohnt sich also aus soziologischer Perspektive einen genaueren Blick auf einige Tendenzen zu werfen. Zu den Themen Tracking & Profiling und Gesundheitsdaten habe ich versucht einige Vorträge inhaltlich zu verbinden und frage mich im folgenden der Bedeutung für unser Zusammenleben.

Tracking & Profiling  – Was denn nun?

Seit Jahren ist eine der wichtigsten Fragen im digitalen Raum: Welche Daten sammeln Unternehmen wie Facebook und Amazon über uns und was stellen sie damit an? Es ist also nicht überraschend, dass sich eine Reihe von Vorträgen dieser Thematik angenommen haben. Sehr ernüchtert musste ich feststellen, dass viel mehr Daten gesammelt werden als gedacht (Vorträge dazu: Amazon und Facebook) und gleichzeitig die Verarbeitung viel schwerer zu durchschauen ist als erhofft (Facebook Algorithmus Vortrag).

So weit so gut. Aber was passiert denn da nun und warum sollten wir uns damit beschäftigen? Das Tracking findet prinzipiell zum Zwecke des Profilings statt. Sehen kann man dabei mit dem nötigen technischen Know How, welche Daten an ein Unternehmen gesendeten werden. Wie aus all diesen Daten ein Nutzerprofil wird und welche Faktoren darauf Einfluss nehmen kann nur vermutet werden. Klar ist jedoch, dass diese beiden Elemente zusammenhängen. Je mehr der Anbieter einer Ware oder Dienstleister über seinen Kunden weiß, desto besser kann er sein Angebot personalisieren. Man könnte also argumentieren, dass die Sammlung der Daten nur der Zufriedenheit des Kunden dient. Also eigentlich eine Win-Win Situation, oder? Viele der erfassten Informationen geben allerdings einen detaillierten Einblick in private Angelegenheiten des Nutzers.

Grundlegend geht es hier also um das Recht der informationellen Selbstbestimmung. Besonders brisant sind dabei Informationen die auf sehr private Sachverhalte hinweisen wie etwa Schlafstörungen, Schwangerschaft oder Krankheiten, um nur einige zu nennen. Über hinterlassenen Datenspuren können genau solche intimen Details jedoch vermutet werden. Gewisse Merkmale lassen es sogar zu, festzustellen, ob wirklich der Besitzer des Accounts zu einem Zeitpunkt die Plattform bedient hat oder jemand anders. Es gibt also auch Anzeichen, die klar auf eine Person verweisen. Spätestens hier wird die Frage relevant, wie Daten aufbereitet, verknüpft und abgeglichen werden. Denn dieser Fingerabdruck, den wir durch die Art der Verwendung unserer Geräte hinterlassen ist auf allen Plattformen gleich. Um zu verdeutlichen an welchem Verhalten sich ein solcher Fingerabdruck ablesen lässt einige mögliche Beispiele: Die Zeit die jemand benötigt um auf der Tastatur von einem Buchstaben zum nächsten zu kommen (etwa von A zu T). Oder wie lange es dauert bis man auf einen Button klickt, nachdem man diesen mit der Maus erreicht hat. Auch Auffälligkeiten in der Rechtschreibung von einzelnen Begriffen könnten dazu dienen.

Aus welchem Zweck eine gewisse Suche erfolgt – ob es sich um ein Buch für die Schwiegermutter, eine berufliche Recherche oder ein eigenes Hobby handelt – ist aus den Daten nicht eindeutig ersichtlich, das individuelle Nutzerverhalten jedoch schon. Man könnte hier also zwischen einer harten und einer weichen Personalisierungsmöglichkeit oder Identifizierungsmöglichkeit sprechen. Umso umfangreicher die gesammelten Daten sind umso klarere Schlüsse lassen sich auf diesen beiden Ebenen ziehen. Wie jüngst deutlich wurde schrecken Unternehmen selbst vor Sprachaufzeichnungen nicht zurück, was für beide Arten der Personalisierung einen großen Schritt nach vorne bedeutet.

Immer genauere Profile unserer Persönlichkeit dienen dazu uns immer besser angepasste Angebote zu machen oder unsere Aufmerksamkeit möglichst lange auf einer Plattform zu halten. Das alles geschieht mit der Hilfe dieses mysteriösen Algorithmus, welcher die gesammelten Daten in Verbindung zu dem vorhandenen Angebot setzt. So unbegrenzt der Wissensdurst der großen Internetdienstleister wie Amazon und Facebook auch ist, genauso geheim ist das Herz ihrer Maschinerie: der Algorithmus. Wie in dem oben verlinkten Vortrag scheint momentan die beste Methode dessen Funktionsweise zu verstehen trial and error zu sein. Klar ist jedoch, dass das durch die Anpassung der Inhalte an den Nutzer jeder ein Stück weit in seiner eigenen unsichtbaren Internetwelt lebt.

Auch in der Soziologie gibt es eine kontroverse aber lebhafte Diskussion darüber, was solche Filterblasen – diese sind ja schlussendlich das Ziel einer jeden nutzerbasierten Angebotsauswahl – mit unserer Gesellschaft anstellen. Die Relevanz zeigt sich etwa durch die Idee, dass der Protest der Gelbwesten mit auf eine Umstellung des Facebook-Algorithmus zurückzuführen ist, durch welchen bevorzugt Nachrichten bzw. Gruppen aus der eigenen Region angezeigt wurden (Kontrovers dazu der DLF). Das bedeutet, dass wer unsere digitale Filberblase beeinflusst auch eine erhebliche Macht über das politische Leben hat.

Das ist es also, was passieren kann, wenn die Gewichtung des Algorithmus verändert wird. Wie verhält es sich jedoch, wenn sich das Gegenstück, also der Mensch, verändern möchte? Wie schnell kann eine jahrelang trainierte Filterblase aufgebrochen werden? Was passiert, wenn der Nutzer seine Ernährung, politische Einstellung, Mobilitätsgewohnheiten oder auch nur das musikalische Spektrum verändern oder erweitern möchte? Gibt es durch die Zeit die ein Algorithmus für die Anpassung an veränderte Nutzungsgewohnheiten benötigt eine art Fixierungsfunktion der Persönlichkeit? Jemand der Jahre lang online Sportwetten getätigt hat und beschließt dies zu unterlassen könnte durch einschlägige Werbeanzeigen oder antrainierte Präferenzen der Suchmaschine größere Probleme haben sein Vorhaben umzusetzen. Treibt man diesen Gedanken ins Extrem kommt man dazu, dass eine Veränderung des Algorithmus in dieser Hinsicht eher eine Veränderung in unserem Leben bewirken könnte, als ein bewusster Vorsatz.

Über viele Details lässt sich in diesem Kontext nur spekulieren. Was allerdings immer deutlicher wird ist die Tatsache, dass ein gesteigertes öffentliches Interesse an der Funktionsweise und der Datengrundlage dieser Algorithmen besteht. Die Politik zeigt sich gegenwärtig nicht im Stande die Interessen der Bürger angemessen zu vertreten, deshalb ist hier ist die Arbeit der Hacker so wichtig. Durch die Aufklärung über die technischen Hintergründe unserer im Alltag verwendeten Technik wird das Gemeinwohl und die Gestaltbarkeit von Gesellschaft befördert.

Die digitale Gesundheitsakte: Ein Trade-off und seine Folgen

Es gibt beim Umgang mit unseren Gesundheitsdaten wohl eine Realität auf die wir uns einstellen müssen (Vortrag zu Gesundheitsdaten): Früher oder später werden diese in einer digitalen Gesundheitsakte gebündelt, um das Gesundheitssystem effizienter und Behandlungen sicherer zu gestalten. In Deutschland sind bei einigen Krankenversicherungen bereits die ersten Apps in Gebrauch mit denen der Zugriff zur elektronischen Gesundheitsakte möglich ist. Das wird mit vielen Vorteilen begründet, etwa dem Verhindern von Doppelmedikation oder der Sichtbarkeit der Gesundheitshistorie für Ärzte.

Die dort hinterlegten Patientendaten sind gegenwärtig jedoch alles andere als gut gesichert und es ist zu erwarten, dass sich die Sicherheit auch in Zukunft nicht gewährleisten lassen wird. Jedenfalls nicht in dem Maße, wie es mit der dezentralen Speicherung gegenwärtig der Fall ist. Eine zentrale Datenquelle bietet an sich bereits viel mehr Möglichkeiten und Anreize zum Missbrauch, als es eine dezentrale Speicherung tut. Außerdem verlieren viele Informationen unserer Gesundheitsbiographie ihren Wert über die Zeit nicht. Wer als Kind etwa eine Diagnose erhält, für den ist es sehr wahrscheinlich, dass diese für das restliche Leben relevant bleibt. Mit dieser Eigenschaft stehen Gesundheitsdaten zwar nicht prinzipiell alleine, aber im Vergleich zu anderen digitalen Spuren scheint dieses Problem deutlich verschärft.

Verschärft auch deshalb, weil die Anwendung gesetzlich verpflichtend wird und die Verantwortung für die Sicherheit so auf mehreren Schultern verteilt ist. Ärzte, Versicherte, App-Entwickler, Speicherorte oder Versicherungen, wenn nur ein Glied dieser Kette unsicher ist – sei es durch fahrlässige Nutzung oder Lücken im System –  liegen sämtliche Daten offen. Wer Angst davor hat, dass private Daten aus einem Cloudspeicher in die Öffentlichkeit gelangen, der kann im Zweifelsfall davon absehen einen solchen Dienst zu nutzen. Eine Option, die der Gesetzgeber für Gesundheitsdaten auf Dauer nicht vorsieht. Darum bedeuten mehrere Verantwortliche hier auch mehr Einfallstore und gleichzeitig mehr Raum für gegenseitige Schuldzuweisungen.

Technische und gesetzgeberische Details zur digitalen Gesundheitsakte könnten hier noch weiter ausgebreitet werden, doch das entscheidende ist gesagt: Wir werden uns mit der neuen Form der Speicherung der Gesundheitsdaten abfinden müssen, auch aufgrund der Vorteile. Dabei wird die Sicherheit ein ständiges Problem bleiben. Nun zur spannenden Frage: Was bedeutet das für uns?

Bereits heute ist die Frage höchst relevant, wie ein Datendiebstahl rechtlich behandelt wird. Das Veröffentlichen von privaten Informationen stellt uns vor eine besonders schwierige Aufgabe, wenn es um die Frage der Wiedergutmachung geht. Bei gestohlenen Bankdaten etwa ist im schlimmsten Fall ein Konto leer. Dabei kann der Schaden sehr genau beziffert werden. Sollten meine Gesundheitsakten öffentlich werden, dann gibt es dafür keine angemessene Kompensation. Mein Leben kann davon dauerhaft beeinträchtigt sein: Berufsoptionen, Partnerwahl, Versicherbarkeit uva. sind davon betroffen. Selbst wenn diese Trennung nicht absolut ist können wir zwischen materiellen Schäden und Schäden an der Person unterscheiden. Zweitere zeichnen sich durch eine Einschränkung der Lebensführung als Folge eines Diebstahls bzw. dem unautorisierten Zugang von persönlichen Daten aus.

Generell ist die Veröffentlichung von privaten Daten ein immer brisanteres Thema. Bisher existiert noch keine klare Linie im öffentlichen Umgang bei solchen Verbrechen. Deshalb stellt sich die Frage, ob sich in Zukunft eine ethisch reflektierter Vorgehensweise bei Datenleaks durchsetzt. Diese könnte etwa beinhalten solche Inhalte kollektiv zu ignorieren und die Sichtung auf gesellschaftlich relevante Informationen etwa einer kleinen Gruppe von Journalisten anzuvertrauen. Beiden Ebenen müssen bei einer vertieften Diskussion auf jeden Fall getrennt bleiben. Ohne in eine Debatte zur Frage der moralischen und rechtlichen Bewertung von veröffentlichen Privatdaten einzusteigen kann für Gesundheitsdaten festgehalten werden: Nur in den extremsten Ausnahmefällen weisen diese eine gesellschaftspolitische Relevanz in einer Höhe auf, die den damit verbundenen Eingriff in die auch nur Privatsphäre auch nur ansatzweise rechtfertigen kann. Anders etwa als bei E-Mail-Verkehr von hochrangigen Politikern.

Es ist die Verantwortung des Staates das Gesundheitssystem vertrauenswürdig zu halten. Was bedeutet es für dieses Gesundheitssystem, wenn es keine Garantie dafür gibt, dass unsere Gesundheitsdaten geheim bleiben? Lässt man gewisse Krankheiten lieber gar nicht mehr diagnostizieren? Entwickeln sich Systeme, die abseits des offiziellen Gesundheitssektors existieren und die keine Verpflichtung zur Aufzeichnung haben? Lassen sich etwa alternative medizinische Angebote in dieser Nische nieder, dann könnte es ihnen extremen Aufwind, gerade bei der Behandlung von schwerwiegenden Krankheiten, verschaffen und somit die medizinische Grundversorgung negativ beeinträchtigen. Wir werden sehen, ob das Argument „Ich möchte nicht, dass das in meine Gesundheitsakte kommt, deshalb wende ich mich an einen Alternativmediziner.“ eine Konsequenz der unbefriedigenden Sicherheitslage ist, denkbar wäre es jedenfalls.

Eine der wichtigsten Fragen für die Zukunft könnte in diesem Zusammenhang lauten: Wie ist es um die Sicherheit unseres Genoms bestellt? Die Informationen über unsere Erbanlage lassen sich in ihrer Relevanz und ihrer Bedeutung erst nach und nach beurteilen und bieten daher einen starken Unsicherheitsfaktor für die Zukunft. Wir haben folglich keine wirkliche Bewertungsgrundlage für die Auswirkungen einer Auswertung durch Unbefugte in der Zukunft. Bereits heute taucht dieses Argument in der Debatte um die Registrierung für eine Knochenmarkspende auf.

Um noch einen Schritt weiter in das Reich der Spekulationen einzudringen geraten wir in ein fast schon dystopisch anmutendes Szenario, wenn man die Informationen der Erbanlage auch noch mit dem Profiling der sozialen Medien und gleichzeitig der von staatlicher Seite erhobenen Bewegungsdaten (etwa Gesichtserkennung durch Kameraüberwachung oder Kennzeichenerkennung) oder der gerade für den Testlauf des Zensus 2021 Angelegten Zentraldatenbank aller Bürger verbindet. Aber gut, dass unser Staat kompetent darauf aufpasst, dass wenigstens die Infrastruktur zur öffentlichen Überwachung ein so geringes Risiko wie möglich für die Privatsphäre darstellt, richtig? Naja, fast.

Was aus der Betrachtung übrig bleiben sollte sind drei Punkte. Erstens sind Gesundheitsdaten weit mehr als nur irgendwelche Daten. Sie können in den Faschen Händen entscheidenden Einfluss auf unser Leben haben und das sowohl auf privater, als auch auf gesellschaftlicher Ebene. Zweitens haben wir gegenwärtig und in Zukunft mit dem Problem der Datensicherheit von Gesundheitsdaten zu kämpfen. Die Politik scheint momentan nicht in der Lage zu sein die Rechte der Versicherten in angemessener Art und weise zu schützen. Deshalb dürfen wir uns drittens bei dem Trade-off zwischen Datensicherheit und einem effizienteren Gesundheitssystem nicht dem falschen Argument der Sachzwänge beugen. Es gibt an vielen Stellen bessere Lösungen, welche die Vorteile erhalten und die Nachteile minimieren können.

Die Realität holt alle ein

Während der Arbeit an diesem Artikel wurden private Daten diverser Politiker und Künstler unrechtmäßig beschafft und via Twitter veröffentlicht. Im Kontrast zu den Erkenntnissen über Datensicherheit während des 35C3  und der breiten Kritik an der staatlichen Strategie beim Thema Datensicherheit wirkt dies gereadezu ironisch.

Wie eine Karikatur aller Vorurteile über inkompetente Politiker fordert etwa der CDU Generalsekretär Thorsten Frei weitere offensive Möglichkeiten wie einen Hackback (Artikel in der StZ). Es gibt eine ganze Reihe digitaler Neandertaler die mit kalter Krieg Rhetorik aufwarten, anstatt sich der Verantwortung für Datensicherheit anzunehmen.

So lange in der Politik die Vorstellung herrscht, dass durch einen digitalen Gegenschlag Versäumnisse der Systemsicherheit kompensiert werden könnten, werden weiterhin die falschen Prioritäten gesetzt werden. Die Notwendigkeit einer verstärkten Defensive beim Schutz von privaten Daten wird durch die Irreversibilität in den beiden Beispielen deutlich. Für Gesundheitsdaten sollte dies intuitiv einleuchten. Der Lerneffekt für Soziale Medien etwa muss dagegen bei vielen erst noch einsetzen. Doch wie weit muss der Einfluss auf gesellschaftliche Veränderungen steigen, bis auch der Politik klar wird, welche eigenständige politische Macht soziale Medien haben? Der permanente Versuch Nutznießer dieser Veränderung zu sein wird den Prozess der Einsicht gewiss nicht beschleunigen. Social Media ist seit Jahren eines der entscheidenden Mittel beim politischen Machtkampf und ist dadurch für viele gefühlt unverzichtbar geworden. Die Abhängigkeiten und Verschiebungen die damit einhergehen werden daher bestenfalls wiederwillig registriert. Wer ein System nutzt, das von der Profilierung der Nutzer lebt wird sich nicht mit der Forderung nach Datensparsamkeit hervortun, in der Angst sich selbst zu beschädigen.

Der 35C5 hat mir sehr deutlich gezeigt, dass es jedoch ein starkes Engagement für Datensparsamkeit und Datensicherheit gibt. Der Einfluss solcher Initiativen ist mittlerweile teilweise institutionalisiert und hat den Anschluss an wichtige stellen des politischen Systems gesucht und gefunden. Neben all den unappetitlichen Tendenzen ist dies ein Grund zum Optimismus.