Datenschutz und Privatsphäre im Web – wen kümmerts?

Am 24. September hat der Kantonsrat des Kantons Zürich ein neues Polizeigesetz abgesegnet. Es war vorab wegen der gesetzlichen Grundlage für die umstrittene verdeckte Ermittlung von Beamten in Chaträumen in den Schlagzeilen. Etwas in den Hintergrund gerückt ist eine weitere bedeutende Neuerung: Das Zürcher Parlament hat die gesetzliche Grundlage für eine dreijährige Speicherung der Daten sämtlicher Hotelgäste geschaffen, um sie ohne Verdacht mit Fahndungsdatenbanken abzugleichen. Selbst wenn nichts gefunden wird, dürfen die Daten drei Jahre aufbewahrt werden. Seit 2008 steht den Strafverfolgungsbehörden des Kantons Zürich dieser automatische Abgleich zur Verfügung. Zuvor machten die Beamten Stichproben. Der Zürcher Datenschutzbeauftragte Bruno Baeriswyl findet das neue Gesetz problematisch: "Dadurch hat man jetzt Rechtfertigungsgründe für die verdachtsunabhängige Speicherung von Personendaten geschaffen. Es gibt im staatlichen Bereich eine Tendenz, dass das, was technisch möglich ist, zunehmend auch gemacht wird."

Während Staaten umfangreiche Datenbanken nutzen, um beispielsweise nach Kriminellen zu fahnden, sind die Daten in der Privatwirtschaft eine Lizenz zum Gelddrucken. Daten sind – wohl nicht zu Unrecht – bereits als das neue Öl bezeichnet worden. Einer der grössten Datensammler ist dabei das soziale Netzwerk Facebook, das zuletzt nach eigenen Angaben die Milliarden-Schallgrenze an Nutzern erreicht hat. Seit dem Börsengang im vergangenen Mai ist das Unternehmen mehr als je zuvor darauf ausgerichtet, so viel Profit wie möglich aus den Nutzerdaten herauszuholen. Will der Nutzer dabei dennoch möglichst viel Privatsphäre bewahren, dann muss er regelmässig seine Einstellungen überprüfen. Denn Facebook hat im Laufe der Jahre immer mehr Nutzerdaten standardmässig auf "öffentlich" gestellt. Der Google-Entwickler Matt McKeon hat diese Entwicklung auf seinem Blog (Link: mattmckeon.com/facebook-privacy) eindrücklich illustriert.

Keine faire Balance zwischen Konsument und Unternehmen

Gratis ist selten gleich gratis – diese Weisheit ist gemeinhin bekannt. Als Gegenleistung schenkt der Nutzer Facebook seine Daten und den Werbetreibenden auf der Plattform seine Aufmerksamkeit. Sehr häufig bezahlt der Nutzer zusätzlich mit weniger hohen Sicherheitsstandards, wie Forscher am Beispiel der populären Messenger-App Whatsapp mehrmals demonstriert haben. Vom Datenschutz ganz zu schweigen. Baeriswyl findet Businessmodelle à la Facebook indes nicht per se problematisch. Für die Gratisnutzung des Portals solle ein Unternehmen mit Nutzerdaten Werbedollars verdienen dürfen. Doch sehr oft hapere es an der Transparenz: Die betroffenen Personen wüssten meist nicht, was mit ihren Daten passiert. Sie verlieren die Kontrolle darüber, was der Portalbetreiber damit anstellt. "Es gibt keine faire Balance zwischen dem Konsumenten und den Unternehmen", sagt Baeriswyl. Solche Modelle seien nur dann legitim, wenn sie auch ein bestimmtes Mass an Datenschutz und Selbstbestimmung gewährleisteten. Er zieht den Vergleich zu den Kundenkarten: Dort erkläre sich der Kunde dazu bereit, dass das Unternehmen bestimmte Kundendaten zur Auswertung nutzen dürfe. Im Gegenzug erhält der Kunde entsprechende Rabatte.

Die Beispiele zeigen, dass sowohl der Staat als auch Unternehmen eifrig Daten sammeln und nutzen. Es gibt immer bessere Verknüpfungstechniken, bessere Suchalgorithmen und bessere Speichermöglichkeiten. Daraus entstehen laufend neue Angebote, die von immer mehr Menschen genutzt werden. Für den Wirtschaftsrechtsprofessor und Datenschutzexperten Rolf H. Weber sind die aktuellen Herausforderungen im Datenschutz vorab quantitativer und weniger qualitativer Natur. Das aktuelle Datenschutzgesetz müsse zwar in einzelnen Punkten angepasst, aber nicht grundsätzlich verändert werden. Eine solche Anpassung dürfte demnächst kommen, denn in der Europäischen Union wird derzeit eifrig über ein überarbeitetes Datenschutz-Regelwerk debattiert. Es beinhaltet etwa den Punkt, dass an EU-Bürger gerichtete Angebote sich an das europäische Datenschutzrecht halten müssen und sich Unternehmen mit einem Hauptsitz ausserhalb der EU nicht aus der Verantwortung stehlen können. Weiter geht es unter anderem um eine detaillierte Regelung der Einwilligung des Nutzers, um gestärkte Auskunftsrechte und saftigere Bussen für sündige Portalbetreiber.

Immer mehr Antennensuchläufe

Heftiges Kopfschütteln löst die Datensammlerei auf staatlicher Seite derweil bei Urs Peter (Name von der Redaktion geändert) vom netzpolitischen Verein "Swiss Privacy Foundation" aus. Er meint: "Die Vorratsdatenspeicherung in der Schweiz ist mit der europäischen Menschenrechtskonvention nicht vereinbar." In Deutschland und Rumänien seien ähnliche Gesetze wie in der Schweiz für verfassungswidrig erklärt worden. Datenschützer und Verfassungsrechtler stellten dort vorab den Sinn und die Verhältnismässigkeit einer Vorratsdatenspeicherung infrage. Sie sehen die Gefahr eines Überwachungsstaats. Das Bundesgesetz BÜPF und die Verordnung VÜPF bezüglich der Überwachung des Post- und Fernmeldeverkehrs (in der Schweiz seit Anfang 2012 in Kraft) schreibt konkret vor, dass Mobilfunkanbieter ihre Daten während sechs Monaten aufbewahren müssen. Dazu gehören Nummern sowie Datum, Zeit und Dauer der abgehenden und ankommenden Anrufe, Kommunikations- und Identifikationsparameter wie die SIM- (Subscriber Identity Module), IMSI- (International Mobile Subscribers Identity) und die IMEI-Nummer (International Mobile Equipment Identity).

Diese Daten schlummern nicht einfach ungenutzt in den Rechenzentren der Telkos. Aufgezeichnete Daten werden von den Strafverfolgern zunehmend genutzt, wie die "Digitale Gesellschaft", ein Verbund von verschiedenen netzpolitischen Organisationen, darunter auch die Swiss Privacy Foundation, auf ihrer Website in einem Beitrag vom 2. April dieses Jahres schreibt. Demnach wurde in der Schweiz 2011 in 218 Fällen auf die Methode der Rasterfahndung zurückgegriffen. Das entspricht einer Verdreifachung im Vergleich zu 2010. Bei dieser Methode werden bei einer Strafverfolgung sämtliche Mobilfunkteilnehmer, die zu einem Tatzeitpunkt über eine bestimmte Antenne ihr Handy benutzt haben, zu mutmasslichen Verdächtigen. Das Bundesgericht billigt die Praxis. Es bewilligte in einem Urteil vom 3. November 2011 rückwirkende Antennensuchläufe. Im betreffenden Fall ging es um drei Raubüberfälle auf Bijouterien mit einer Deliktsumme von 2,2 Millionen Franken. In diesem Fall wurden für die Täterermittlung sämtliche Daten von Nutzern, die innerhalb von 15,5 Stunden in den betroffenen Gebieten und Funkzellen Gespräche geführt oder SMS gesendet hatten, zur Auswertung an die Staatsanwaltschaften gemeldet, wie die "Digitale Gesellschaft" im Artikel vom 25. Dezember 2011 schreibt.

Der Fall Moneyhouse

In der Kritik stand vor wenigen Wochen auch die Firma Itonex als Betreiberin der Plattform Moneyhouse.ch. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Hanspeter Thür hatte Ende Juli beim Bundesverwaltungsgericht eine superprovisorische Massnahme gegen Moneyhouse.ch erwirkt. Der Grund: Auf der Plattform würden seit einigen Wochen unentgeltlich und ohne Erlaubnis Privatadressen veröffentlicht – selbst dann, wenn Adressdaten eigentlich gesperrt worden seien. Moneyhouse.chmusste daraufhin seine Personensuche vom Netz nehmen und die Betreiber von Internetsuchmaschinen anweisen, gespeicherte Adressdaten unverzüglich aus ihrem Cache zu löschen. In einer Zwischenverfügung vom 6. August hielt das Gericht dann fest, dass Itonex die Adressen von Privatpersonen wieder onlinestellen darf – auch ohne Einwilligung der betroffenen Personen. Es genüge, Löschungsbegehren am gleichen Tag zu behandeln, so das Bundesverwaltungsgericht. In der Fachsprache ist dieses Vorgehen als Opt-out-Prinzip bekannt.

Urs Peter von der Swiss Privacy Foundation kennt diesen Fall nicht im Detail, wie er gegenüber der Netzwoche sagt – jedoch einen anderen eines vergleichbaren deutschen Personensuche-Portals. Dieser Anbieter habe unter anderem die Datenbank der Schweizer Domainregistrierstelle Switch angezapft und in seinen Suchresultaten mit anderen Daten verknüpft, obwohl in den Switch-AGBs stehe, dass man deren Daten zwar nutzen, jedoch nicht weiterbearbeiten dürfe. Bei Switch zeigte man zunächst wenig Interesse daran, dem Fall nachzugehen, wie Urs Peter sagt. "Sie sagten, ich solle mich direkt an den Anbieter wenden." Daraufhin hakte er bei Switch nach – mit Erfolg. "Switch mahnte die Firma ab, diese musste daraufhin die Daten löschen." Das Problem solcher Plattformen sei, dass personenbezogene Daten über Umwege zu "Freiwild" würden. "Dann nützt mir mein Sternchen im Telefonbuch auch nichts mehr."

Bessere Kryptographie und ein Identity Mixer

Doch nicht nur die technischen Möglichkeiten, mit Nutzerdaten Geld zu verdienen, werden besser. Es gibt auch zunehmend bessere Werkzeuge, um mit IT für einen besseren Datenschutz zu sorgen. Laut Günter Karjoth und Jan Camenisch von IBM Research in Rüschlikon liegt ein Schwerpunkt in der Forschung darauf, Lösungen anzubieten, mit denen Anbieter nur jene Daten übermittelt bekommen, die sie auch effektiv brauchen. Ein Beispiel: "Muss ich als Nutzer eines Webshops angeben, dass ich über 18 Jahre alt bin, ist es nicht zwingend nötig, dass ich ihm mein ganzes Geburtsdatum angebe. Es genügt, wenn er weiss, dass ich älter als 18 Jahre alt bin", sagt Camenisch.

So ein Werkzeug ist der im IBM-Labor entwickelte "Identity Mixer". Es handelt sich dabei um eine Art Portemonnaie mit den verschlüsselten Nutzerdaten auf dem Desktop des Nutzers. Tätigt der Nutzer auf einem Portal eine Bestellung, sendet der "Identity Mixer" so wenige Daten wie nötig und diese so anonym wie möglich an den entsprechenden Portalbetreiber. Diese Open-Source-Implementierung von kryptographischen Protokollen werde bereits von mehreren Universitäten genutzt, um das Identity Management in der Forschung sicherzustellen, sagt Camenisch. Dem "Identity Mixer" räumen die Forscher in den Bereichen E-Government und E-Health viel Potenzial ein.

Ein weiterer Forschungszweig sind Verschlüsselungstechniken. Die neueste Entwicklung ist dabei die homomorphe Verschlüsselung. Der Durchbruch in diesem Bereich gelang dem IBM-Kryptologen Craig Gentry 2009. Sie erlaubt die Weiterverarbeitung verschlüsselt vorliegender Daten, ohne dass diese vorher entschlüsselt werden müssen. Auf diese Weise bleibe die Vertraulichkeit der Daten gewährleistet. Dieser Technik räumen die Forscher im Hinblick auf die stark wachsende Nutzung von Cloud Computing viel Potenzial ein.

Wenig informationelle Selbstbestimmung

Was könnten für Anbieter von Webdiensten Anreize sein, in datenschutzfördernde Techniken zu investieren und sie zu implementieren? Laut Karjoth liegen die Vorteile auf der Hand: "Würden die Anbieter nur die Daten anhäufen, die sie auch wirklich benötigen, dann wären sie bezüglich Haftungsfragen weniger verletzlich. Dazu kommt, dass sie eine weniger grosse Datenmenge schützen müssen." Derzeit stellen sich die Unternehmen laut Karjoth noch viel zu selten die für den Datenschutz entscheidenden Fragen: Wer darf auf die Nutzerdaten zugreifen? Für welche Zwecke dürfen die Daten verwendet werden? Wem werden Sie weitergegeben? Dem Nutzer müsse erklärt werden, welche Daten von ihm gesammelt, für welche Zwecke genutzt und an wen sie weitergegeben und wann sie gelöscht werden.

Die informationelle Selbstbestimmung ist insbesondere für den Datenschützer Baeriswyl ein wichtiges Anliegen. Es handelt sich dabei um das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten bestimmen zu können. Im privatrechtlichen Bereich und im E-Commerce holen sich die Unternehmen die Rechtfertigung für bestimmte Datenbearbeitungen ganz einfach durch Einwilligungen in den oft einseitig formulierten AGB ein. "Das Problem hier ist, dass der Nutzer keine Wahl hat. Er muss den AGB zustimmen, wenn er eine bestimmte Dienstleistung nutzen will", sagt Baeriswyl. Dagegen sei auf der staatlichen Ebene nicht die mangelnde Transparenz das Problem. Aber: "Wir haben nicht unbedingt eine Gesetzgebung, die Eingriffe ins Privatleben einschränkt."