Privacy vs. Obscurity

Heute bin ich über einen äusserst interessanten Artikel im Atlantik gestossen: Obscurity: A Better Way to Think About Your Data Than 'Privacy'. Kurz gesagt, wird dort treffend festgestellt, dass die meisten Probleme, die die Leute heutzutage mit dem Thema "Datenschutz" haben, eigentlich gar nichts damit zu tun haben, sondern mit dem Thema "Obscurity". Ich finde leider keinen passenden deutschen Begriff dafür, deshabl bleibe ich einfach beim englischen Wort.

In dem Artikel wird das am Beispiel Facebook Graph aufgezeigt. Eine Menge Leute regen sich über die Funktion auf, weil sie ihre Privatsphäre verletze. Das tut die Funktion natürlich nicht. In der Tat werden nur bereits öffentliche Informationen zusammengestellt und durchsuchbar. Geheim - im Sinne von "Keiner ausser mir kann das sehen" - war und ist davon gar nichts. Insofern kann man Facebook verstehen, wenn sie ob der Aufregung nur mit den Schultern zu zucken wissen. Immerhin haben sie an sich ja nichts verbrochen.

Das eigentliche Problem dabei ist Obscurity. Unter Obscurity versteht man das Verbergen von Informationen in der Öffentlichkeit. Das heisst, Informationen sind zwar öffentlich, aber entweder schwer zu finden oder nicht so ohne weiteres jemandem zuzuordnen. Das trifft eben zum Beispiel auf öffentliche Informationen bei Facebook zu. Likes, Kommentare von anno dazumal, ein Bild vor 2 Jahren hier, ein Posting vor einem Jahr dort - aus diesen Informationshäppchen eine verwertbare Aussage herauszuholen ist mühselig bis unmöglich. Hinter dieser Obscurity haben sich die Leute anscheinend relativ sicher gefühlt. Weil sie wussten, dass im Grunde nur Vollprofis mit Zugriff auf die Facebook-Datenbanken so etwas tun konnten.

Jetzt nicht mehr. Jetzt kann es jedermann, Graph sei Dank. Auf einmal kann man aus scheinbar zusammenhanglosen - durchaus öffentlichen - Informationen eine Aussage herausquetschen. Mit ein paar Mausklicks. Das erschreckt die Leute und sie haben Recht, es ist erschreckend. Aber mit der Privatsphäre hat das eben nichts zu tun.

Denn was ist eigentlich Privatsphäre, wenn wir über das Internet reden? Nehmen wir ein Beispiel. In einem sozialen Netzwerk taucht ein Foto von einem Arsch auf. Dabei handelt es sich um eine Information. Verletzt dieses Foto die Privatsphäre von jemandem? Nein! Und zwar, weil - wenn man nur das Bild zur Verfügung hat - man es nicht mit der Person in Verbindung bringen kann. Das Bild wurde von einem User namens "Hans" hochgeladen und nehmen wir an, es handelt sich um den Arsch von ebendiesem. Verletzt es seine Privatsphäre, wenn das Bild öffentlich ist? Nein, immer noch nicht. Denn wir wissen nur, dass es "Hans" war, wir können das Bild immer noch nicht einer echten Person zuordnen.

Tatsächlich können wir das erst, wenn wir Zugang zum Logfile des Webservers hätten, über den das Bild hochgeladen worden ist, das sähe dann zum Beispiel so aus:

172.16.1.1 - - [10/Jul/2012:18:41:02 +0000] "POST /media/user/hans/ HTTP/1.1" 345 403 "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)" "http://foo.bar/user/hans/profile/"

Hier haben wir:

Anhand dieser Daten kann man den Vorgang einer lebenden Person zuordnen. "Kann man" ist natürlich einzuschränken. Können kann das nur der Betreiber des Internetzugangs aus dessen Bereich die IP-Adresse kommt. Und Zugriff auf obigen Logeintrag hat nur der Betreiber des Webservers.

Wenn wir also hier über den Schutz der Privatsphäre sprechen, dann meinen wir, wie diese Daten geschützt sind:

Diese Fakten sind der Datenschutz. Und zwar NUR diese. Alles andere betrifft im Grossen und Ganzen das Thema Obscurity. Wenn also jemand sagt, Facebook würde die Privatsphäre der Nutzer verletzen, dann sollte er damit meinen, dass die Logdaten, die bei einem POST- oder GET-Request auf Facebooks Webservern erscheinen, zu lange vorgehalten werden, oder dass Leute auf die Daten Zugriff haben, die das nicht sollten (zum Beispiel externe Entwickler oder Ermittlungsbehörden ohne Gerichtsbeschluss).

Man wird jetzt einwenden können, dass das zu kurz gedachtt ist, denn immerhin verwenden die Leute bei Facebook ja ihren echten Namen, über diesen seien Informationen einer Person zuzuordnen. Das ist theoretisch richtig. Bei Lichte betrachtet jedoch nicht. Zwar schreiben die AGB von Facebook die Verwendung des echten Namens vor, aber AGB haben keinen Gesetzesrang. Mithin zwingt niemand die Menschen, dort ihren echten Namen zu verwenden. Und tatsächlich gibt es genug Leute, die das auch nicht tun. Hinzu kommt der vielleicht nicht unbedeutende Aspekt, dass man aus diesem Grund auch nie ganz genau wissen kann, ob der Facebooknutzer mit dem Namen "Hans Wurst" wirklich DER Hans Wurst, Foostrasse 1, 11111 Bardorf, ist. Es könnte auch dessen Frau sein, oder sein Sohn, ein Nachbar, oder sonstwer, der womöglich zufällig auch so heisst. 100%ig wissen kann man es nicht. Das kann man NUR, wenn man Zugriff auf die PRIVATEN Daten des Nutzers hat, also das Logfile des Webservers bei Facebook.

Davon abgesehen finde ich es immer wieder faszinierend, dass sich Leute über das Thema Datenschutz erregen, die bei Facebook ihren echten Namen verwenden. Völlig freiwillig. Aber nur weil sie das tun, heisst das nicht, dass es dadurch automatisch Facebooks Schuld ist, wenn private Details über deren Leben ans Tageslicht geraten. Es handelt sich um eine persönliche Entscheidung, die man so oder so fällen kann. Dies impliziert somit, dass die Verantwortung bei demjenigen liegt, der die Entscheidung getroffen hat.

Teil dieser Entscheidung, für die es durchaus akzeptable Gründe geben kann, ist die Frage, wieviele echte Details über sich selbst eine Person mit diesem Datum - dem Namen - verknüpft. Die Anhänger der sogenannten Spackeria beantworten diese Frage sehr einfach mit: alles, womit Du leben könntest, wäre es weltweit für jeden sichtbar. Gibt es also ein Detail, mit dem ich ein Problem hätte, wüsste es jeder, dann sollte ich dieses Detail NICHT posten und somit mit meinem echten Namen verknüpfen. Sollte es aber notwendig sein, sich mit jemandem darüber auszutauschen, dann tut man das, indem man Obscurity herstellt: man verwende ein Pseudonym und stelle es in einem anderen Netzwerk/Forum ein und diskutiere es dort.

Wenn man sich an diese kleine, einfache Regel hält, wird es niemandem überhaupt möglich sein, die Privatsphäre zu verletzen (von Kriminellen, Gesetze misachtenden Konzernen und Behörden und verfassungsmissachtenden Gesetzgebern einmal abgesehen). Es wird jedoch möglich sein, den Schleier der Obscurity zu senken. Vielleicht jedenfalls. Irgendwann einmal. So wie es heutzutage mit Facebook Graph passiert ist, mag es morgen ein neues Tool geben, dass in der Lage ist, Dinge zu verknüpfen.

Man muss von einer Wahrscheinlichkeit von 1 ausgehen, dass das passieren wird. Und zwar immer, mit allem, was man von sich preisgibt. Es muss immer klar sein: irgendwann wird das jemand mit anderen Informationen verknüpfen können und womöglich wird es jemandem möglich sein, diese miteinander verknüpften Informationen - die neue Aussage - meiner Person zuzuordnen, weil ein Datum aus diesen Informationen bereits mit meiner Person verknüpft ist.

Das einzige Problem ist, dass sowohl millitante Datenschützer, als auch Spackeria-Anhänger, anscheinend nicht in der Lage sind, das Problem und die naheliegende Lösung so zu formulieren, dass man daraus eine Handlungsweise ableiten kann. Ich hab das hier mal probiert. Hinzu kommt, dass das präzise die Methode ist, mit der ich mich im Internet bewege. Ich bin seit fast 20 Jahren online und meine Spuren sind dünn. Äusserst dünn. Aber das heisst nicht, dass ich nie etwas poste oder mit Leuten kommuniziere. Tue ich schon, nur weiss keiner, dass ich es bin. Es sei denn, ich will es so.

#gesellschaft

↷ 22.01.2013      ⤒