1. Datenhandel
Wir alle kennen sie: Die Datenkraken Google und Facebook. Sie sammeln Unmengen an Informationen über uns, durchleuchten unser Leben und kennen uns oftmals besser als unsere Freunde. Ihnen in der digitalen Welt zu »entkommen« ist schwierig und mit einem hohen Aufwand verbunden.
Datenkraken wie Google und Facebook kennt heute jeder. Doch hinter den Kulissen haben sich über Jahrzehnte weitere Datenhändler formiert, die nicht weniger bedrohlich für unsere Privatsphäre sind. Das Brisante: Die Datenhändler kooperieren zunehmend miteinander und führen die digital erfassten Daten mit den Analogen zusammen. Mittels immer neuen Big-Data Algorithmen entsteht daraus der »gläserne Mensch«.
Niemand von uns weiß, wer, wie und zu welchem Zweck Daten von uns erhebt, speichert, Berechnungen durchführt und ob diese gehandelt werden. Es wird Zeit den Spotlight auf die Datenhändler zu richten – denn sie wissen nahezu alles über uns, wir hingegen fast nichts über sie.
2. Das Problem: Daten sind wie Radioaktivität
Noch immer regt sich kaum Widerstand gegen das Eindringen in die Privatsphäre durch staatliche und private Akteure. Das Problem: Die Vermessung unserer Person erfolgt »nicht fühlbar« – kein Datenhändler steht mitten bei uns im Wohnzimmer und fragt uns bspw. nach unserem Gesundheitszustand. Die wenigsten von uns würden einem unbekannten Dritten vermutlich bereitwillig Auskunft über aktuelle Wehwehchen oder lebensbedrohliche Krankheiten geben. Wer in der digitalen Welt hingegen nach »Blutdrucksenkern« recherchiert oder seine Arztrechnung mit der Kreditkarte bezahlt, der fühlt sich sicher und unbeobachtet – genau hier liegt allerdings der Trugschluss: Wir werden auf Schritt und Tritt von Datensammlern verfolgt. Dieser Vorgang ist allerdings so intransparent, dass wir davon in den meisten Fällen nichts erfahren – bzw. erst dann, wenn die Daten bspw. genutzt werden, um den Kunden vor dem Abschluss einer neuen Versicherung zu »durchleuchten«.
Daten, die Unternehmen von uns sammeln, sind wie Radioaktivität: Wir fühlen, schmecken und riechen sie nicht – dennoch sind sie alles andere als ungefährlich, wie die nachfolgenden Beispiele demonstrieren.
2.1 Was wissen Datenhändler?
Unser Leben wird heute in einem Ausmaß digital erfasst und verarbeitet, wie es bis vor wenigen Jahren niemand für denkbar hielt. Unternehmen wissen längst mehr über uns, als Informationen wie Name, Adresse oder demographische Daten wie Alter, Tätigkeit und Bildungsstand:
- Konsumentendaten: Der US-Datenbroker Datalogix gehört zu Oracle. Er sammelt und verarbeitet unter anderem die Daten über Treuekarten von Läden – bspw. vergleichbar mit der Payback-Karte in Deutschland. Nach eigenen Angaben verfügt das Unternehmen über die Transaktionsdaten von mehr als zwei Billionen Dollar Einkaufsvolumen. Das bedeutet: Datalogix kennt die Einkaufsgewohnheiten von sehr vielen Konsumenten.
- Kreditwürdigkeit: Das US-Unternehmen zest finance und das Hamburger Unternehmen Kreditech beurteilen anhand von Daten aus den unterschiedlichsten Quellen die Kreditwürdigkeit von Personen. Kreditech greift dafür unter anderem auf Daten aus Facebook und Bewertungen bei eBay zurück.
- Krankheitsprognose: Über Fitnesstracker lassen sich Prognosen über mögliche Krankheiten bzw. den Gesundheitszustand von Personen treffen. Es ist daher wenig verwunderlich, dass auch deutsche Krankenkassen damit begonnen haben, Fitnesstracker zu subventionieren. Noch beteuern die Krankenkassen, dass die erhobenen Daten beim Patienten verbleiben sollen – in Anbetracht des Kostendrucks wird sich dies vermutlich in den nächsten Jahren ändern. Der US-Versicherer Aviva ist hier schon einen Schritt weiter und erstellt aus Daten über Lebensstil, Konsumverhalten oder Einkommen bereits Risikoprognosen für Krankheiten wie hoher Blutdruck, Depressionen oder Diabetes. Durch diese Entwicklungen droht das Solidaritätsprinzip im Gesundheitssystem zu kollabieren.
- Preisdiskriminierung: Es macht schon heute einen Unterschied, ob ein Online-Shop vom Smartphone oder dem Desktop aufgerufen wird – anhand von Merkmalen wie Browser, Gerät oder Standort-Informationen werden Produkte und Dienstleistungen zu unterschiedlichen Preisen angeboten. Und Mac-User schlafen auch gern mal teurer. Der Konsument hat keine Möglichkeit zu erkennen, wie der individuelle Preis zustande kommt.
- Personalentscheidungen: Personalabteilungen entscheiden nicht mehr allein über Einstellung und Kündigung, sondern lassen sich durch People Analytics Algorithmen unterstützen – womöglich treffen Maschinen auch schon ganz alleine diese Entscheidungen. Möglich wird dies durch Unternehmen wie SOMA Analytics oder Evolv. Diese bieten unter anderem ein Frühwarnsystem für Burn-out und Depressionen an, das die Stimme bzw. Tonlage während eines Telefonats analysiert und aus der Modulation Stressindizien erkennt.
Diese kleine Auswahl von Beispielen zeigt, dass Menschen schon heute auf Basis der von ihnen erfassten Daten diskriminiert, Vor-Vermessen oder in »Schubladen gesteckt« werden. In Zukunft wird sich das auf weitere Teile unseres Lebens erstrecken. Doch dann können wir nicht mehr behaupten, dass dieser Trend nicht absehbar war.
2.2 Die Akteure
Der Markt der Big-Data Akteure wird von vielen Unternehmen bevölkert. Einige davon agieren global, wie bspw. Acxiom, Datalogix oder Core Logic. In Deutschland erfassen, verarbeiten oder handeln unter anderem folgende Unternehmen mit persönlichen Daten:
- Acxiom Deutschland GmbH
- Bertelsmann SE & Co. KGaA (Arvato, AZ Direct)
- Otto GmbH & Co KG
- Deutsche Post AG (ABIS, adress research)
- Schober Information Group
- Schufa Holding AG
- Hubert Burda Media Holding
- Creditreform
- Present-Service Ullrich GmbH & Co. KG
- IMS Health
- [Liste nicht vollständig]
Die genannten Unternehmen sammeln unsere Daten nicht nur für eigene Zwecke, sondern bieten diese oftmals auch zum Verkauf an. So kauft bspw. Facebook Acxiom-Datensätze dazu, um das Facebook-Profil eines Nutzers mit weiteren Informationen anzureichern. Das Ziel: Je mehr man über eine Zielperson weiß, desto besser kann sie bspw. über Werbung manipuliert werden.
Schon allein aufgrund der Auswertung von Facebook-Likes weiß Facebook schon eine ganze Menge über eine Person:
2.3 Pseudonym ist nicht anonym
»Die Daten sind ja anonymisiert« ist ein Lieblingssatz der Datenhändler. In Wirklichkeit ist dies nichts weiter als eine Beruhigungspille, die uns glauben lässt, dass dadurch kein Rückschluss auf einzelne Personen möglich ist. Doch das stimmt so nicht. Wie etliche Beispiele belegen, lassen sich Personen anhand von wenigen Datenpunkten deanonymisieren. Das Problem: Die Datenhändler pseudonymisieren die Daten lediglich – sie tauschen einzelne Attribute eines Datensatzes einfach durch ein Pseudonym aus. Dabei wird bspw. der Name einer Person einfach durch eine Nummer ersetzt und schon sind die Daten nach Auffassung der Big-Data Branche »anonymisiert«.
Allerdings beinhalten diese pseudonymisierten Datensätze noch immer genügend Informationen, um sie einzelnen Personen eindeutig zuzuordnen:
- 2012: Big Brother Award (2012) für IMS Health für »Die vollständige Analyse und Vermarktung des gläsernen Patienten«. Begründung der Jury:
Da es sich um Daten wie Geschlecht, Geburtsjahr, Krankenscheinart, Diagnose, Medikamente, Dosierung, Therapie oder Laborwerte handelt, die »anonymisiert« an IMS Health geliefert werden, lassen sich allein damit Rückschlüsse auf einzelne Personen ziehen.
- 2013: Die Studie »Re-Identifies Anonymous Volunteers In DNA Study« zeigt, dass sich allein aus der Kombination aus Geschlecht, Geburtsdatum und der Postleitzahl zwischen 84 und 97% der Teilnehmer eines DNA-Projekts identifizieren lassen.
- 2013: In der Studie »Riding with the Stars: Passenger Privacy in the NYC Taxicab Dataset« zeigt ein Master Student, wie Personen anhand von der Taxinummer, Koordinaten von Anfangs- und Endpunkt, Datum, Uhrzeit und Preis der Fahrt, unter Verwendung von Zusatzinformationen aus Presse oder Facebook, deanonymisiert werden können.
- 2016: Der vom NDR aufgedeckte Datenskandal »Nackt im Netz« demonstriert, wie Millionen von Internet-Nutzern, darunter Manager, Richter und Journalisten, im Netz ausgespäht wurden. Das Browser-Addon WOT (Web of Trust) hat die gesammelten Surf-Daten nicht ausreichend anonymisiert und dennoch weiterverkauft.
Wie schwierig es ist Daten korrekt zu anonymisieren, zeigt unter anderem der EU-Bericht »Opinion 05/2014 on Anonymisation Techniques«. Darin wird auch deutlich herausgestellt, dass Pseudonymisierung ungleich Anonymisierung ist. Das bedeutet: Selbst wenn Datenhändler beteuern, sie würden personenbeziehbare Daten vor der Speicherung bzw. Weitergabe ausreichend »anonymisieren«, so sieht die Realität oftmals wohl ganz anders aus.
3. Mein Anliegen
In den vergangenen Jahren habe ich mich neben meiner Tätigkeit als IT-Security Berater insbesondere auf die Analyse und Beurteilung von Daten spezialisiert. Dabei wurde mir immer wieder vor Augen geführt, wie Unmengen an Daten von uns gesammelt und maschinell ausgewertet werden. Auf die Privatsphäre wird dabei kaum bzw. keine Rücksicht mehr genommen. Es gilt die Devise: Gemacht wird, was technisch möglich ist.
In Anbetracht dieses respektlosen Vorgehens habe ich bereits diverse Beiträge und Artikelserien verfasst, die euch dabei helfen, die Datensammelwut einzudämmen:
- »Not my data!«: Spurenarm surfen (Artikelserie)
- »Your phone – your data«: Android ohne Google (Artikelserie)
- uBlock Origin: Schutz gegen Tracker und Werbung
- Tschüss Datenkrake: Ein Leben ohne Google
- Digitaler Minimalismus: Ein Weg zu mehr Datenschutz und Zeit
3.1 Ein Bewusstsein schaffen
Mit der neuen Artikelserie »Datenhändler: Wir sind gläsern« möchte ich die Datensammler in den Fokus der Aufmerksamkeit rücken, die ihre »Machenschaften« gerne im Dunkeln verstecken. Wir als Kunde oder Bürger sind fast vollständig transparent, wohingegen die Methoden und Algorithmen der Datensammler völlig intransparent sind. Dieses Ungleichgewicht können wir vermutlich nicht von heute auf morgen beseitigen. Doch eines können wir: Ein Bewusstsein dafür schaffen, wer diese Unternehmen sind, was sie von uns sammeln und wie unsere Daten gegen uns verwendet werden können.
Hilf mit die Spendenziele zu erreichen!
Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.
Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.
3.2 Wie schütze ich mich?
Unter anderem muss das Thema Datenschutz stärker in das Bewusstsein der Bevölkerung rücken, damit sich langfristig etwas ändert. Nur wenn wir selbst sensibel mit unseren Daten umgehen, das Geschäftsmodell Big-Data bzw. Data-Mining kritisch hinterfragen und auch unser Recht auf die informationelle Selbstbestimmung konsequent einfordern, werden Unternehmen und Politik reagieren. Böse Zungen behaupten ja, dafür sei es längst zu spät. Algorithmen werden aufgrund von Daten in Zukunft unser Leben bestimmen – bis zu einem gewissen Grad mag dies stimmen, aber niemand kann behaupten, dass wir diesem Treiben hilflos ausgeliefert sind.
Ein Teil der Artikelserie wird sich daher auch mit Tipps und Maßnahmen beschäftigen, was man gegen die Datensammelei tun kann.
4. Fazit
Eine weit verbreitete Reaktion auf den Wert der Privatsphäre ist noch immer: »Ich habe doch sowieso nichts zu verbergen«. Jeder hat etwas zu verbergen, die meisten Leute wissen es nur nicht. Das Hauptproblem liegt vor allem darin, dass Leute sich immer noch nicht darüber bewusst sind, was heute technisch möglich ist und auch schon gemacht wird.
Mit der Artikelserie »Datenhändler: Wir sind gläsern« richtet sich der Spotlight auf die Datenhändler – schauen wir doch mal, was sie mit unseren Daten anstellen und mit wem sie kooperieren. Eventuell bekommen wir dann eine Vorstellung davon, wie weit die Überwachungsgesellschaft vorangeschritten ist und was wir dagegen tun können.
Bildquellen:
Erfolgsraten bei der Prognose von Persönlichkeitseigenschaften aus Facebook-Likes, CC BY-SA 3.0, Cracked Labs
Über den Autor | Kuketz
In meiner freiberuflichen Tätigkeit als Pentester / Sicherheitsforscher (Kuketz IT-Security) schlüpfe ich in die Rolle eines »Hackers« und suche nach Schwachstellen in IT-Systemen, Webanwendungen und Apps (Android, iOS). Des Weiteren bin ich Lehrbeauftragter für IT-Sicherheit an der Dualen Hochschule Karlsruhe, sensibilisiere Menschen in Workshops und Schulungen für Sicherheit und Datenschutz und bin unter anderem auch als Autor für die Computerzeitschrift c’t tätig.
Der Kuketz-Blog bzw. meine Person ist regelmäßig in den Medien (heise online, Spiegel Online, Süddeutsche Zeitung etc.) präsent.
Unterstützen
Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.
Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:
Facebooks Daten-Blowouts: Eine Verständnisbrücke Teil1
Das Fediverse: Social Media losgelöst von den Fesseln kommerzieller Interessen
Die Risiken von anlasslosen Datenspeicherungen
Die deutsche Datenpolitik der CDU/CSU Teil 2: »Jeder ist auf sich gestellt«
Das in der Corona-Pandemie viel zitierte Beispiel Südkorea – eine Datenschutz-Analyse
14 Ergänzungen zu “Datenhändler: Wir sind gläsern – Datensammler Teil1”
Wenn du konkrete Fragen hast oder Hilfe benötigst, sind das offizielle Forum oder der Chat geeignete Anlaufstellen, um dein Anliegen zu diskutieren. Per E-Mail beantworte ich grundsätzlich keine (Support-)Anfragen – dazu fehlt mir einfach die Zeit. Kuketz-ForumAbschließender Hinweis
Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.
Interessante Artikelserie Mike,
ich würde zu gern wissen von welcher Quelle du deine Informationen beziehen willst, um diese versteckten Missstände ,,investigativ“ aufzudecken.
Weiter so, diese Artikelserie könnte andere Artikelserien übertreffen.
Einer der Quellen dürfte wohl die c’t sein:
https://www.heise.de/select/ct/2017/01/1483617936750509
Ein sehr empfehlenswerter Artikel.
Finde ich auch so, aber ohne internen Leaks, ist dieses Thema nur halb so effektiv.
Klar sieht man, dass Daten abgegriffen werden und wohin diese auch fließen,
aber was wirklich damit passiert, ist nur einer kleinen Gruppe von Menschen bekannt.
Echte Beispiele, wie das jetzt Menschenleben beeinflusst (hat) oder was für ein Markt und Preise dahinter stecken, wären sehr interessant zu erfahren.
Nur solche Informationen zeigen die echten Absichten von Firmen mit datenschutzunfreundlichen Bedingungen.
Vielen dank für den Artikel. Das Sammeln und der Verkauf von persönlichen Daten, und Profilen sowie die Manipulation sind die eine, wenn nicht wesentliche Seite des Internets als Verkaufs- und Kontrollportal. Aber auch das Speichern von persönlichen Daten in Bildungsinstitutionen wird zunehmend als „softe “ Kontrolle eingesetzt.. So werde ich bei einer Kursanmeldung von dem Mitarbeiter darauf hingewiesen, daß ich ja schon viele Kurse gebucht hätte, diese storniert und jetzt endlich mal den Kurs machen soll. Ich glaube die Kontrolle durch Speicherung von Daten führt zu einer Bevormundung und Überwachung auf der zwischenmenschlichen Ebene, z.B. am Telefon und erzeugt Druck und behindert die freie Entscheidung. Es war unangenehm plötzlich von jemandem Fremden erinnert zu werden wieviele Kurs ich noch nicht gemacht habe.
Äußerst wichtiger Artikel!
Für alle die z.B. mit der Otto GmbH & Co. KG nur Otto Versand verbinden hier eine Auflistung (beim Abschnitt „Konzerngesellschaften“) und ein Erfahrungsbericht eines bereits „gläsernen Menschen“ http://juergenvielmeier.de/2016/11/woher-haben-sie-meinen-namen/ möglich gemacht durch die Otto GmbH & Co. KG.
Jetzt solltest du uns hier aber auch beraten, wie man sich aus den Klauen der Datenhändler befreit, wenn man bei denen bereits ein Konto hat. So einfach ist das nicht mehr. Selbst nach dem Ableben lassen die einen nicht einfach los ;(
Schöne Neuland Welt!
Vielen Dank, ich freue mich schon auf diese schöne Artikelserie.
Sicherlich lässt sich die Freigabe persönlicher Daten, in einzelnen Bereichen wie Internet, Socialmedia, installierte Apps und Software, etc.) bis zu einem gewissen Grad minimieren.
Wie sieht das Ganze jedoch bei EC-/ Kreditkarten, Schufa, Krankenversicherung, usw. aus? Bis zu welchem Maß ist es dort möglich, Einfluss auf nicht gewollte Datenweitergabe zu nehmen?
Die Widerrufserklärungen einzelner Unternehmen, sind ein Witz.
Du sprichst einen wichtigen Punkt an: Die Verknüpfung digitaler Datenspuren mit Daten aus der „analogen“ Welt (Krankenversicherungen, Kreditkartenunternehmen usw.) – wobei es ja eine rein analoge Welt nicht mehr gibt. Ich habe beispielsweise meinem zuständigen Einwohnermeldeamt die Weitergabe meiner Daten zu werblichen Zwecken untersagt – aber dafür muss man eben erst einmal wissen, dass auch solch staatliche Institutionen im Geschäft sind.
Bei den Kreditkartenunternehmen kooperiert MasterCard mit dem Data Broker VisualDNA (Quelle: Wolfie Christl, Sarah Spiekermann „Networks of Control“, sehr empfehlenwertes Buch zum Thema). Ich kann mir nicht vorstellen, dass Visa da zurückhaltender ist. Die europäische Finanzbranche hat es ja nicht fertiggebracht, den USA bei den Kreditkarten Konkurrenz zu machen, also sind wir hier dem mangelhaften amerikanischen „Datenschutz“ ausgesetzt.
Gesetzliche und private Krankenversicherungen sind hierzulande (zur Zeit noch) datenschutzsensitiv. Einige Krankenkassen bezuschussen zwar schon die Anschaffung von Fitnesstrackern, aber dabei geht es nicht darum, dass hinter dem Rücken der Versicherten mit ihren Daten gedealt wird.
Vielen Dank für deine Artikel! Ich würde dich aber bitten für „Datenkrake“ ein anderes Wort in Zukunft zu wählen.
Das wird wieder eine sehr interessante Artikelserie, Danke!
Wie John, bin ich auch sehr auf Handlungsempfehlungen (auch im Offlinebereich) gespannt.
Es kommen spannende Zeiten auf uns zu. Die Daten sind den Händlern bares Geld wert. Ich frage mich, welches Zukunftsszenario wahrscheinlicher ist:
1. Werden wir, die wir unsere Daten behalten später einmal davon finanziell profitieren, weil Unternehmen/Händler auf meine unsere verzichten mussten?
2. Oder werden wir bestraft? Eine Versicherung, die uns nicht so gut kennt wie andere, wird unser Risiko schlechter einschätzen können und dies mit höheren Gebühren ausgleichen wollen, vermute ich.
Ich fürchte leider Variante 2.
naja…kommt drauf an was deine Daten so aussagen…vielleicht sind deine zahlreichen Daten auch so ungünstig dass deine Versicherung noch wesentlich teurer wird als wenn sie praktisch nichts über dich hätten ;-)
Eine besondere Gefahr sehe ich, wenn US-Datenkraken ihre Dienste auch kriegsführenden Parteien verkaufen wollen:
https://derstandard.at/2000033389905/Syrien-Google-entwickelte-Software-um-Opposition-zu-unterstuetzen
Glaubt du denn im Ernst, dass deine Email vom 2.4.2016 17:45:34 UTC an xyz nicht darunter wäre, wenn sie aufgrund einiger #tags „einfach dazugehört“?
Und man sollte auch erwähnen, dass Merkel 100 (einhundert!) US-Datenanalyseunternehmen IN Deutschland privilegiert. Wer glaubt, dass die nur damit beschäftigt sind, wie Heise zu glauben scheint, Drohnenopfer zu analysieren, der glaubt auch dass man sich an Schnittblumen verletzten kann …. ;-)
https://www.heise.de/newsticker/meldung/NSA-Skandal-US-Unternehmen-duerfen-in-Deutschland-ueberwachen-2428984.html
Um auf einige Kommentare einzugehen. Es gibt ein recht gutes Buch einer Insiderin (von Yvonne Hofstetter) „Sie wissen alles: Wie Big Data in unser Leben eindringt und warum wir um unsere Freiheit kämpfen müssen“. Warum gerade eine solche Frau so ein Buch schreibt, bleibt mir weiterhin schleierhaft, sie wird doch nun sicher als Nestbeschmutzerin in der Branche angesehen.
Zum Thema „Ich habe nichts zu verbergen“ ziehe ich immer das Beispiel von der amerikanischen Target Supermarktkette hinzu. Sie wussten per Algorithmus noch vor vielen Kunden dass sie schwanger waren, blöd nur wenn es eine minderjährige ist und eine solche Kette es vor dem eigenen Vater weiß (also dem des Mädchens).
Fazit 1)
Wer will schon dass irgendeine Organisation, Staat, Wirtschaftsunternehmen ALLES von einem weiß? Komischerweise regen sich aber diese „Ich habe nichts zu verbergen Menschen“ über die ehem. Stasi auf, die IMHO fast wie ein Kindergarten neben Big Data aussieht.
Fazit 2)
Häfuig wissen schon Big-Data-Player mehr was wir zu verbergen haben als wir selbst
Das Buch (und andere von Hofstetter) dient einzig dem Zweck der Selbstinszenierung von Frau Hofstetter – ich kann es nicht empfehlen. Eine Struktur und ebenso technisch tieferes Verständnis (was bei diesem Thema unabdingbar ist) sucht man hier vergebens.
Der Erkenntnisgewinn und damit der Nutzwert ist insgesamt gering.