Digitaler Fußabdruck

Zusammenfassung

Dieses Kapitel fokussiert den digitalen Fußabdruck einer Person, der typischerweise größer wird und der immer elaborierteren Auswertungsmöglichkeiten zugeführt wird. Die Autor:innen begründen die Vergrößerung des Fußabdrucks mit drei miteinander verschränkten technischen Trends: Hyperkonvergenz der Informationstechnologie, Hyperkonnektivität sowie mehr und mehr entstehende dynamische Informations-Ökosysteme. Um gezielt Gestaltungsvorschläge für privatheitsfreundliche Systeme entwickeln zu können, so die weitere Argumentation, müssen zunächst Angriffs- und Bedrohungspotenziale, die aus diesen Trends entstehen, betrachtet werden. Diese werden an Hand von vier Beispielen erläutert: Datenschutz im Domain Name System, bei mobilen Diensten wie Dating-Apps und Lern-Apps, bei vernetzten und smarten Objekten wie Smart-TVs oder Smart Cars sowie in öffentlichen, freien WLANs. Die Autor:innen zeigen mittels Generalisierung der gegebenen Beispiele das mögliche Spannungsverhältnis zwischen dem Innovationspotential von Digitalisierung und den wirtschaftlichen Interessen von Unternehmen auf der einen Seite sowie den Privatheitsinteressen der Nutzenden auf der anderen Seite auf. Dieses Spannungsverhältnis spiegelt auch der bestehende rechtliche Rahmen wieder. Die Autor:innen zeigen aber auch, dass Innovation und Privatheit durchaus vereinbar sind, beispielsweise wenn gerade mit und durch technische Innovationen geeignete „Privacy-enhancing Technologies“ (PETs) entwickelt und genutzt werden. Wie dies aussehen kann, wird an Hand von drei konkreten technischen Umsetzungsbeispielen (Me&MyFriends; WallGuard und Metaminer) illustriert. Me&MyFriends ist ein Selbstbewertungstool für Nutzer:innen, welches es ermöglicht, auf Basis von transparent gemachten Beziehungsgraphen detailliertes Wissen über hinterlassene digitale Spuren bei der Nutzung von Online Social Media zu erlangen. WallGuard dient der präventiven Erkennung von Social-Media-Beiträgen, die möglicherweise ein späteres Bereuen nach sich ziehen könnten. MetaMiner ist ein nutzerzentriertes Framework, das eine Verbesserung der Transparenz über die Netzwerkinteraktionen des mobilen Geräts ermöglicht. Gemeinsam ist den drei Gestaltungsvorschlägen, dass sie aufzeigen, wie wirkungsvoll Transparenz über den persönlichen digitalen Fußabdruck für den Schutz der informationellen Selbstbestimmung sein kann.

„Warning: Your kid’s digital footprint starts before birth“

Marisa Dellatto, New York Post, 8. Nov. 2018

1 Einleitung: Technik als Auslöser – hohe Dynamik, neue Möglichkeiten

Neue digitale Technologien rufen grundlegende gesellschaftliche und soziale Veränderungen hervor und sind sowohl Auslöser für einen umfassenden sozioökonomischen und institutionellen Wandel als auch Nebenfolge sich ändernder gesellschaftlicher Zusammenhänge, Praktiken und Normen. Dieser Beitrag steht vor dem Hintergrund des zunehmenden Umfangs von gesammelten Daten sowie dem Grad der Vernetzbarkeit und Analysemöglichkeiten von Daten und den daraus resultierenden Herausforderungen für die Privatheit. Der hieraus entstehende digitale Fußabdruck einer Person steht im Zentrum dieser Betrachtung, denn er stellt vielfältige Herausforderungen an den Privatsphärenschutz sowie den gesellschaftlichen Diskurs.

Der nachfolgende Abschn. 2 skizziert drei technische Trends, auf deren Basis und an Hand von Beispielen sowohl Auswirkungen auf die Privatheit als auch neue Möglichkeiten dargestellt werden. Unter Forscherinnen und Forschern gibt es große Übereinstimmung darüber, dass Analysen und Gestaltungsvorschläge auf Basis von Angreifer- und Bedrohungsmodellen durchgeführt werden müssen, wie Abschn. 3 aufzeigt. Im nächsten Abschn. 4 werden dementsprechend aktuelle und zukünftige generelle Bedrohungen für die Privatheit identifiziert und anhand von Beispielen veranschaulicht. Ausgehend davon adressiert Abschn. 5 das scheinbare Spannungsverhältnis zwischen dem Innovationspotential von Digitalisierung und Privatheitsinteressen und geht auf den wirtschaftlichen Kontext von Unternehmen und den bestehenden rechtlichen Rahmen ein. Die Thesen des Abschnitts lauten, dass Innovation und Privatheit vereinbar sind und das technischer Fortschritt für „Privacy-enhancing Technologies“ genutzt werden kann, um Innovationen im Bereich der Privatheit zu fördern und Prinzipien wie informationelle Selbstbestimmung und Nutzerermächtigung zu stärken. Abschn. 6 ist die Einleitung in drei konkrete technische Gestaltungsvorschläge. Diese Gestaltungsvorschläge werden in den darauffolgenden Abschn. 6.1, 6.2 und 6.3 abgebildet, um exemplarisch aufzuzeigen, wie der digitale Fußabdruck zur Erhöhung der Transparenz abgebildet und genutzt werden kann. In unserer Schlussbetrachtung Abschn. 7 betonen wir die Wichtigkeit von Transparenz für die informationelle Selbstbestimmung und heben die Mechanismen des digitalen Fußabdrucks als herausragend hervor.

2 Techniktrends, Auswirkungen und Möglichkeiten

2.1 Trends in der digitalen Technikentwicklung

Der Möglichkeitsraum durch die digitale Technik erweitert sich mit ihr. Die von der OECD in 1997 beschriebenen Trends¹ wurden durch eine von DG Connect im Jahr 2009 publizierte Studie² bestätigt und präzisiert. Die Autoren der DG-Connect-Studie beschreiben eine Zukunft, in der Informationen automatisch fließen (Hyperkonvergenz) und von jedem Ort und zu jeder Zeit mit einer großen Anzahl von Geräten abgerufen und ausgetauscht werden kann (Hyperkonnektivität). Informations-Ökosysteme wie Online Social Networks weisen hohe Dynamiken in mehreren Dimensionen auf.

Hyperkonnektivität, Hyperkonvergenz und dynamische Informations-Ökosysteme entstehen weder isoliert noch parallel, sondern sind miteinander verschränkt und befördern sich gegenseitig. Sie ermöglichen eine Vielzahl von neuen Anwendungen und induzieren soziotechnische Transformationsprozesse.

2.2 Bereichsübergreifende Auswirkungen und Möglichkeiten

Zusammen erweitern und effektivieren diese Entwicklungen bestehende Informationstechnologien und machen sie effizienter. Sie ermöglichen darüber hinaus neue digitale Produkte, Dienste und datenbasierte Geschäftsmodelle, die zur digitalen Transformation von immer mehr Lebensbereichen beitragen und einen großen Veränderungsdruck auf bestehende Akteure, Infrastrukturen, Praktiken und Prozesse innerhalb relevanter wirtschaftlicher- und gesellschaftlicher Bereiche (z. B. im Bildungs-, Gesundheits- und Transportwesen) ausüben. Der Einfluss ist im Alltag unmittelbar sichtbar, pars pro toto seien genannt: Das Smart Home, das Fahrzeug (Smart Car), sowie neuartige Endgeräte, die direkt am Körper (Wearables) getragen werden können.³

Durch die Gesamtheit aller „Spuren“ dieser digitalen Aktivitäten, Beiträge und Kommunikationen, die durch die dargestellten Technologien in den verschiedensten Anwendungsfällen entstehen sowie verknüpft und ausgewertet werden, entsteht ein einzigartiger, stetig wachsender digitaler Fußabdruck einer Person. Das Bewusstsein über diesen digitalen Fußabdruck und dessen Umfang sowie die Möglichkeit zur Kontrolle dessen und den daraus ableitbaren Schlussfolgerungen ist für den Betroffenen oftmals sehr eingeschränkt.⁴

Diese Informationen zu einer Person, die durch diese bewusst oder unbewusst, selbstständig oder durch andere preisgegeben werden, lassen es zu, detaillierte Aussagen zur Persönlichkeit und den Vorlieben einer Person zu treffen. Unternehmen, staatliche Einrichtungen oder auch eigene (Online-) Freundinnen und Freunde können so mit unterschiedlich komplexen (automatisierten oder händischen) Methoden auf Eigenschaften und Vorlieben einer Person schließen, die diese möglicherweise nicht beabsichtigt hat, mit anderen zu teilen.⁵ Dadurch kann der digitale Fußabdruck umfassende Auswirkungen auf das online und offline Leben einer Person haben – von personalisierten Suchmaschinen, Empfehlungssystemen und gezieltem Online-Marketing⁶ zu personalisierten Preisen, gemessen an der jeweiligen Zahlungsbereitschaft eines Verbrauchers⁷ bis hin zu Job- und Karriereaussichten.⁸

Was verbindet diese und weitere Fragen der Privatheit, wenn sie systematisch betrachtet werden sollen?

3 Angreifer- und Bedrohungsmodell als Konstante für den Diskurs über Privatheit

Die Vorstellung darüber, was Privatheit ist, was sie für Individuen bedeutet und wie wichtig⁹ sie ist, ändert sich mit der Zeit.¹⁰ Seit der Jahrtausendwende scheint die Änderungsgeschwindigkeit zuzunehmen, wenn man den Privatheitsdiskurs¹¹ verfolgt. Die Meinungen gehen auseinander,¹² wer oder was das Problem verursacht und was Problemverstärker sind. Die Wechselwirkungen zwischen den Akteurinnen, Artefakten und Praxen werden uneinheitlich¹³ beschrieben. Es gibt Dissens darüber, was zu den personenbeziehbaren Daten¹⁴ zählt. Wissenschaftlerinnen und Wissenschaftler ringen um die Frage, ob es das Privacy Paradox¹⁵ noch gibt oder ob es überhaupt je existierte, also ein Mythos¹⁶ ist. Die kulturellen und sozialen Anschauungen über Privatheit weichen voneinander ab¹⁷ und ändern sich mit der Zeit. Es variieren die Annahmen der Forschung über die Kultur und die Zeit, welche Faktoren für die Messung der Einstellung und des Verhaltens in Bezug auf die Privatheit am relevantesten sind. Dieser Wandel spiegelt sich auch in der Rechtsentwicklung¹⁸ wieder. Metastudien, die anderen Disziplinen wertvolle Erkenntnisse liefern, stoßen somit an methodische Grenzen.

Lediglich über wenige Begriffe wurde Konsens erreicht: Der Kristallisationspunkt ist das Angreifer- und Bedrohungsmodell. Es ist der Dreh- und Angelpunkt für Gestaltungsvorschläge.

4 Identifizierung aktueller und zukünftiger Bedrohungen für die Privatheit

Der Einsatz innovativer Technik wird stets von dem Paradox begleitet, dass Menschen zwar neue Handlungsmöglichkeiten erlangen, damit jedoch auch neuen Risiken und Gefahren ausgesetzt sind. Für fast alle digitalen Innovationen stellt sich die Frage der Privatheit: „Der Zugang zum Thema Privatheit von juristischen, politischen und technischen Gesichtspunkten her verdankt sich der Aktualität des Themas durch die Bedrohung und tendenzielle Auflösung von Privatheit in Zeiten der Netzgesellschaft“.¹⁹ Die technologischen Trends Hyperkonnektivität, Hyperkonvergenz und die hohe Dynamik der Informations-Ökosysteme erfordert, dass die digitale Welt immer wieder auf den Prüfstand hinsichtlich der Einhaltung von Grundwerten wie informationelle Selbstbestimmung, Entscheidungsfreiheit, Nichtdiskriminierung und Meinungspluralität gestellt werden muss.

Vier Beispiele aus den Forschungsaktivitäten des Fraunhofer SIT veranschaulichen exemplarisch die aktuellen und zukünftigen Bedrohungen für die Privatheit.

4.1 Datenschutz im Domain Name System – Risiken und Lösungsansätze

Das Domain Name System (DNS) ist eines der Rückgratsysteme, von denen das Funktionieren des Internets abhängig ist. Als sogenanntes „Adressbuch des Internets“ bietet die DNS Namensauflösungsfunktionen für Internet-Dienste, von denen die wichtigste die Übersetzung von Domänennamen in Internet-Protokoll-Adressen (IP-Adressen) und umgekehrt ist. Obwohl immer mehr Internet-Dienste auf verschlüsselte Kommunikation umsteigen, die sensible Informationen vor potenziellen Lauschangriffen verbirgt, bleibt das unverschlüsselte und nicht authentifizierte DNS-Protokoll eine entscheidende Schwachstelle der gesamten Internet-Infrastruktur in Bezug auf Datenschutz. DNS-Daten sind Metadaten, sie beinhalten Adressen aufgerufener Webseiten, Adressen der sie aufrufenden Systeme, Zeitpunkte und vielfach auch Rückschlüsse auf Standorte. Mit diesen Metadaten kann man die Kompetenzen, Vorlieben und Neigungen einzelner Personen ableiten und in Profilen speichern. Aus Metadaten werden hierdurch Inhaltsdaten. Der hierarchische und zentralisierte Aufbau des DNS ermöglicht es verschiedenen Einrichtungen, einschließlich kommerzieller und staatlicher, die Online-Aktivitäten von Internetnutzern zu überwachen und sensible Rückschlüsse über sie zu ziehen, wodurch letztlich das Recht des Einzelnen auf Privatsphäre untergraben wird.²⁰

4.2 Datenschutz, IT-Sicherheit und Privatheitsschutz bei mobilen Diensten

Beispiel Dating-Apps

Der Markt für Online-Dating-Dienste boomt. Eine stetig wachsende Anzahl Liebesuchender erhofft sich die große Liebe via Internet finden zu können²¹ und verlässt sich dabei u. a. auf Smartphones, Tablets und dedizierte mobile Dating-Apps. Die Nutzer schätzen besonders die personalisierten und lokationsbasierten Angebote dieser Apps. Sie können Profile anlegen und den Suchradius einstellen, in dem ein möglicher Flirtpartner gesucht werden soll. Ebenso lassen sich die gewünschten Altersgruppen und das Geschlecht des potenziellen Partners dynamisch einstellen. Anhand dieser und weiterer auf dem Nutzergerät befindlichen Informationen – darunter Wohnort und Kontaktliste – schlägt die App einen möglichen Profil-Match vor. Die dabei anfallenden Daten über Nutzerverhalten und -vorlieben, ihre Weitergabe und Verarbeitung sowie die zunehmende intransparente Akteurslandschaft des Dating-App-Ökosystems stellen den Schutz der Privatheit und die informationelle Selbstbestimmung vor neue Herausforderungen. Doch wie privatheitsinvasiv sind Dating-Apps tatsächlich? Wir sind dieser Frage nachgegangen und haben eine Analyse der Top-250 Android Dating-Apps durchgeführt. In mehr als der Hälfte der im offiziellen Play Store beliebtesten kostenlosen Dating-Apps (Stand: 29 September 2016) sind mehrere Anfälligkeiten, z. B. unverschlüsselte Datenübertragung via HTTP, unsichere Codes für SSL/TLS oder das Laden aktiver Webinhalte wie JavaScript, festgestellt worden. Solche Anfälligkeiten erlauben potenziellen Angreifern, sensitive Nutzerdaten (z. B. Log-in-Daten) abzufangen, um u. a. Kontrolle über die Konten der Nutzenden zu erlangen. Ein Vergleich mit den Top-250 Nicht-Dating-Apps zeigte, dass ein deutlich höherer Prozentsatz der Dating-Apps keinen Link zu einer Datenschutzrichtlinie in ihrem Anwendungs-Dashboard eingebunden hatten (34 %), während nur 18 % der Nicht-Dating-Apps dies taten. 5 % dieser URL waren tote Links, d. h. sie führten zu gar keiner Datenschutzerklärung. Darüber hinaus ergab eine weitere Überprüfung der Datenschutzrichtlinien, dass Englisch die häufigste verwendete Sprache zur Formulierung der Datenschutzrichtlinien ist (44 % vs. 58 % für Nicht-Dating-Apps), gefolgt von Deutsch (9 % vs. 21 % für Nicht-Dating-Apps), Chinesisch (<2 %), Französisch (<1 %), Spanisch (<1 %) und Dänisch (<1 %), bulgarisch (<1 %) usw. Eine weitere bemerkenswerte Feststellung ist, dass etwa ein Viertel der untersuchten Apps, unabhängig davon ob Dating-Apps oder nicht, keine Postanschrift des App-Anbieters im Play-Store bereitstellte. Aus Sicht des Datenschutzes wird es für Nutzende dementsprechend erheblich schwieriger, die für die Datenverarbeitung verantwortliche Stelle zu kontaktieren, oder die Gerichtsbarkeit zu bestimmen um mögliche Ansprüche gegenüber der Stelle durchsetzen zu können. Ein weiteres Risiko für die Privatsphäre entsteht mit dem ebenfalls im Rahmen unserer Untersuchung festgestellten verbreiteten Einsatz sog. Advertisement/Tracking Frameworks. Für viele Funktionen von Apps werden solche Frameworks, auch Zusatzbibliotheken genannt, verwendet, um Details über die App-Nutzenden zu erfassen. Im besten Fall sind dies Informationen, die die Anbieter zur Verbesserung ihrer Services verwenden. Werbetreibende verwenden die Informationen oft, um Nutzerprofile zu erstellen und so z. B. maßgeschneiderte Werbung einzublenden.²² Die Zusatzbibliotheken sind jedoch häufig auch Einfallstore für Cyber-Angriffe, da sie oft Sicherheitslücken aufweisen. Aus unseren Untersuchungen ging hervor, dass 44 % der 250 Dating-Apps zwischen 3 und 5 Werbe-/Tracking-Frameworks enthielten. 34 % Dating-Apps hatten höchstens 2 Werbe-/Tracking-Frameworks. Eine Dating-App hat die meisten Werbe-/Tracking-Frameworks (über 12). Bei Nicht-Dating-Apps waren es im Gegensatz nur knapp 33 % der Top-250 Apps mit 3 bis 5 Werbe-/Tracking-Frameworks. 45 % der getesteten Nicht-Dating-Apps hatten maximal 2 Werbe-/Tracking-Frameworks im Code integriert. Eine Zusammenfassung unserer Forschungsergebnisse inkl. weiterer Aspekte u. a. hinsichtlich der Art und Privacy-Implikationen der im Kontext von Dating-Apps benötigten Berechtigungen, stellten wir auf dem Web Monday am 20. November 2017 in Darmstadt vor.²³

Beispiel Learning-Apps

In den letzten Jahren hat die Popularität von mobilen Learning-Apps für Kinder und Jugendliche stark zugenommen – insbesondere im Kontext der aktuell herrschenden Corona-Pandemie in dem der Schulbetrieb zuletzt massiv eingeschränkt werden musste. Viele dieser Apps überwachen das Nutzerverhalten und sammeln personenbezogene Daten, die nach gängiger Meinung zu einem entscheidenden Faktor für erfolgreiche Innovationen geworden sind. Als Folge dessen könnte eine zunehmende Verbreitung von Bildungs- und Lern-Apps die Privatheit von Kindern, Kleinkindern und sogar Säuglingen erheblich beeinträchtigen.²⁴

In der Tat muss bei Kindern und Jugendlichen davon ausgegangen werden, dass sie, je kleiner sie sind, umso weniger die Bedeutung und Konsequenzen der Preisgabe von personenbeziehbaren Informationen verstanden wird und es fraglich ist, ob sie eine „informierte“ Zustimmung erteilen können. Dienstanbieter und Dritte (z. B. Angreifer, Datenvermittler, Datenaggregatoren, etc.) die Daten von Kindern und Jugendlichen von Learning-Apps erhalten, können diese beispielsweise weiterverkaufen und so das Versenden von personalisierten Werbeinhalten an Kinder und Jugendliche weiterhin ermöglichen. In der EU erhalten Minderjährige im Rahmen der DSGVO einen besonderen Schutz.²⁵ So sind u. a. eine Zustimmung vor der Verwendung personenbezogener Daten durch den Träger der elterlichen Verantwortung für das Kind und ein Verbot des Behavioral Targeting vorgeschrieben.²⁶ Im Rahmen einer zum Zeitpunkt der Finalisierung dieses Beitrags sich noch in der Durchführung befindlichen Analyse untersuchen wir, inwieweit Android Learning-Apps vor dem Hintergrund der DSGVO die Privatheit ihrer Nutzenden gewährleisten bzw. Anforderungen an Datensicherheit erfüllen. Die Datengrundlage für die Untersuchung besteht aus 199 Apps (167 „Kostenlose“-Applikationen und 32 „Kostenpflichtige“-Applikationen) aus dem Google Play-Store. Die Analyse unterteilt sich in zwei Schritte: die grobgranulare und feingranulare Analyse. Die grobgranulare Analyse befasst sich mit Beobachtungen und statistischen Erkenntnissen, welche direkt aus den bereits gesammelten Metadaten der Applikationen ersichtlich sind. Darunter fallen Statistiken zu einzelnen Metadaten wie Entwickler-Adresse bei der Ursprungsland-Analyse oder die durchschnittliche Bewertung und Anzahl an Installationen oder Kommentare. Weiterhin werden die Ergebnisse hinsichtlich Datensicherheit und Cybersicherheit kritisch hinterfragt, sodass Metadaten bezüglich Datenschutzerklärung und Berechtigungen eingestuft werden. Somit folgt eine Datenschutzerklärungs-Analyse, bei der die Verteilung zwischen Applikationen mit bzw. ohne Datenschutzerklärung zusammen mit anderen Metadaten in Verbindung gebracht wird. Zuletzt folgt eine Berechtigungs-Analyse, wobei Berechtigungen hinsichtlich normaler und gefährlicher Berechtigungen statistisch dargestellt und analysiert werden. Die feingranulare Analyse baut auf der grobgranularen Analyse auf. Hierbei wird die App-Software mittels Tools zur statischen und dynamischen Analyse genauer betrachtet. Wichtige Untersuchungsgegenstände sind vor allem die Unterteilung von Berechtigungen, gemäß Google Protection Levels, sowie eingebettete Tracking Libraries im Code einer Applikation. Des Weiteren wird die Applikation auf schädliche Software, wie Malware oder Viren untersucht werden. Zuletzt wird das Vorhandensein und die Qualität von Maßnahmen zur Absicherung des Datenverkehrs der ausgewählten Applikationen mit entsprechenden Tools bewertet.²⁷

4.3 Vernetzte und Smarte Objekte – Herausforderungen für Privatheit und Cyber-Sicherheit

Beispiel Smart TVs

Die zunehmende Vernetzung von Haushaltsgeräten betrifft mittlerweile alle Geräteklassen. Smart Home ist der Sammelbegriff für alle Haushaltsgeräte, die Verbindungsmöglichkeiten mit anderen Parteien bieten. Diese Parteien können unter anderem Dienstleister im Internet oder auch lokale Geräte sein. Häufig ist die Rechenleistung so hoch wie bei älteren Computersystemen. Smart TVs, können beispielsweise eine Vielzahl von Funktionen bieten, die bisher nur von herkömmlichen Computersystemen bekannt waren. Dies sind zum Beispiel die Nutzung von Skype, das Abspielen von Videos oder auch das Herumstöbern im Internet. Durch die neuen Verbindungsmöglichkeiten nehmen nicht nur die Vorteile für den Nutzer zu, sondern auch die Gefahrenquellen für solche Geräte. Wie auch von anderen Geräten bekannt, können verschiedene schadhafte Programme, wie zum Beispiel Viren, Computersysteme beeinträchtigen. Auch der Missbrauch von Geräten zum Schaden Dritter ist möglich. Schutzmaßnahmen sind unumgänglich, um Nutzer und Unternehmen vor Schäden zu schützen. Wir haben in einem Arbeitspapier einen Überblick über Chancen und wachsende Möglichkeiten im Bereich Smart TVs geliefert und lenken dabei den Blick auf die damit verbundenen Risiken und Gefahren für die Privatsphäre der Nutzenden.²⁸

Beispiel Vernetzte Fahrzeuge

Moderne Fahrzeuge werden zunehmend von einer Vielfalt von IT- und elektronischen Komponenten durchdrungen, mit deren Hilfe fahrzeuginterne Abläufe überwacht und unterschiedliche Daten über Insassen und Fahrzeugumgebung erfasst und an die Außenwelt weitergeleitet werden. Dies birgt das Potenzial neue Dienstleistungen, Produkte, und Geschäftsmodelle zu schaffen und letztendlich Innovationen voranzutreiben. Mit der zunehmenden Vernetzung und Datensammlung im Automotive-Kontext entsteht jedoch auch ein Bedrohungspotential für das Recht auf informationelle Selbstbestimmung des Einzelnen. Über die Vielzahl interner und externer Kommunikationsschnittstellen können nicht nur ECUs untereinander und mit der Außenwelt kommunizieren, sondern auch Schad- und Fremdsoftware in das digitale Ökosystem des Autos eingeschleust und dort verbreitet werden.²⁹ Infiziert und kompromittiert werden können nicht nur die Fahrzeuge, sondern auch die kritischen Infrastrukturkomponenten seitens der Betreiber und Zulieferer.³⁰ Neben unerlaubten Datenzugriffen können Angriffe auf vernetzte Fahrzeuge schnell lebensbedrohliche Folgen haben.³¹ Darüber hinaus steht im Kontext von Smart Cars die Besonderheit im Mittelpunkt, dass die Betroffenen sich bei der Nutzung moderner PKWs und den damit verbundenen (online) Diensten im Zentrum komplexer für sie völlig undurchschaubarer Datenverarbeitungsprozesse befinden. Die daraus folgende Überforderung wird noch dadurch verstärkt, dass PKW-Nutzende (Fahrer und Insassen) auf diese in zunehmender Weise angewiesen sind. In derartigen Situationen kann kaum von informierter und selbstbestimmter Einwilligung zur Datenverarbeitung ausgegangen werden. Vielmehr besteht die Gefahr, dass sich PKW-Hersteller und Anbieter von Dienstleistungen und Produkten mit verklausuliert formulierten AGBs und Datenschutzerklärungen absichern bzw. einseitig durchsetzen. Angreifer und unseriöse Anbieter von Mobilitätsdienstleistungen könnten mittels der so gewonnenen Daten beispielsweise systematisch Profilbildung (Location Profiling) durchführen und Rückschlüsse auf sensitive Informationen über Personen (z. B. Vorlieben, Interessen, Gewohnheiten) erleichtern. In drei Veröffentlichungen³² gehen wir der Frage nach, wie diesem Bedrohungspotenzial entgegenzuwirken ist und Fahrzeugnutzende technisch befähigt werden können, ihr Recht auf informationelle Selbstbestimmung effektiv auszuüben. Hieraus leitet sich eine weitere zentrale Forschungsfrage ab: Wie können entstehende datengetriebene Dienstleistungen, Produkte und Geschäftsmodelle im Automotive-Kontext gestaltet werden, damit inhärent eine Privatheit schützende Erhebung und Verarbeitung personenbezogener Daten technisch gewährleistet ist?

4.4 Bedrohungs- und Überwachungspotenziale in öffentlichen WLAN-Infrastrukturen

In öffentlichen WLANs existiert eine Vielzahl von Ausspäh- und Zugriffsmöglichkeiten auf personenbezogene oder -beziehbare Daten.³³ Während sich passive Angreifer auf das Abhören und Abspeichern des Datenverkehrs im WLAN beschränken, können aktive Angreifer explizit in die Kommunikation eingreifen und die Integrität des Datenverkehrs kompromittieren. WLAN-Infrastrukturen werden häufig auch von einzelnen Gewerbetreibenden bereitgestellt und selbst verwaltet. Darüber hinaus gibt es aber eine Vielzahl von Dienstleistern, die die Bereitstellung der Infrastruktur übernehmen und Gewerbetreibende zudem mit Analysen über ihre Kundschaft versorgen. Die daraus resultierenden Möglichkeiten für Tracking und Profilbildung können zwar durchaus auch positive Auswirkungen haben und von den Nutzerinnen und Nutzern gewünscht sein, wenn ihnen beispielsweise auf Grundlage von Standortdaten und Bewegungsprofilen spezielle Angebote gemacht werden oder ein gesuchtes Produkt im Supermarkt schneller gefunden werden kann. Gleichzeitig birgt diese Art des meist intransparent praktizierten Kundentrackings auf Basis von WLAN-Signalen aber auch eine Reihe von Privatheitsrisiken:³⁴ Der Zugriff der WLAN-Betreibenden auf Konto- und Registrierungsdaten, gerätespezifische und ableitbare Daten sowie auf Nutzungs- und Verhaltensdaten kann sich negativ auf die informationelle Selbstbestimmung auswirken und etwa zum Verlust bzw. zu einer Einschränkung der Entscheidungsfreiheit führen, sehr weitgehende elektronische Überwachung ermöglichen und die Offenlegung sensibler oder vertraulicher Daten zur Folge haben. Auf diese Weise können Nutzerinnen und Nutzer bei ihrem Weg durch eine Stadt auf Schritt und Tritt verfolgt, auch unbescholtene Demonstrationsteilnehmer identifiziert, und selbst sensibelste Kommunikationsinhalte und Persönlichkeitsmerkmale offengelegt werden.

5 Innovationspotential der Digitalisierung und des Privatheitsschutzes

Fortschreitende Digitalisierung durch Big Data beeinflusst alle Lebens-, Wirtschafts- und Verwaltungsbereiche, sie verspricht gesellschaftlichen Fortschritt und gestaltet die Arbeitsplätze der Zukunft. Sie verspricht Neuerungen im medizinischen Bereich,³⁵ sie soll die Arbeitswelt von Routineaufgaben befreien können,³⁶ umfangreichere und vielfältigere Datenanalysen sind möglich und gezieltere Auswertungen und Optimierungen von Prozessen werden versprochen.³⁷

„In der jüngsten Gegenwart ist Big Data zum populären Schlagwort aufgestiegen und wird oftmals als Sammelbegriff für digitale Technologien verwendet, die in technischer Hinsicht für eine neue Ära digitaler Kommunikation und Verarbeitung und in sozialer Hinsicht für einen gesellschaftlichen Umbruch verantwortlich gemacht werden.“³⁸

Big Data beschreibt auf der einen Seite das exponentielle Wachstum der Menge an Informationen, die gesammelt und ausgewertet werden können, wie auch eine neu entstehende Vielfalt an Datenquellen und – typen.³⁹ Diese zunehmende Menge an Daten, die erhoben, verarbeitet und gespeichert werden⁴⁰ eröffnet neue Größenordnungen. Diese neuen Größenordnungen, der Grad der Vernetztheit und der Mehrwert der daraus generierten Daten bieten ein noch nicht da gewesenes Potenzial. Mit der zunehmenden Durchdringung von Gesellschaft und Lebenswelt durch digitale Technologien entstehen andererseits auch gesellschaftliche Grenzverschiebungen und Verwischungen traditioneller Vorstellungen von Privatheit und Öffentlichkeit. In rechtlicher Hinsicht resultieren hieraus weitreichende Eingriffe und oftmals Verstöße gegen geschützte Grundrechte.

Wandel und Veränderungen sind allgegenwärtig und nicht wegzudenken, sie sind sogar von Nöten für eine sich evolvierende Gesellschaft bzw. Menschheit. Dieser Wandel in und durch Technik birgt Potenziale, die in einer Weise gestaltet werden können, dass gesellschaftliche Werte widergespiegelt und geschützt werden. Grundsätzlich gilt es, Datensparsamkeit ernst zu nehmen,⁴¹ um vor nachteiliger Datenverarbeitung zu schützen, denn „non-existent data needs no protection“.

5.1 Volkswirtschaftliche Ebene

Am 25.05.2018, dem Tag des vollständigen Inkrafttretens der Datenschutzgrundverordnung, wird Bitkom-Präsident Berg mit den Worten zitiert: „Datenschutzregeln dürfen nicht zum Hemmschuh für sinnvolle und notwendige Innovationen werden“.⁴² Im Jahr 2019 betonte Ulrich Kelber, der Bundesbeauftragte für den Datenschutz: „Datenschutz ist kein Hemmschuh für Innovationen, er förderte diese sogar, wenn die Nutzer Vertrauen in die Sicherheit neuer Technologien haben.“⁴³ Einerseits wird argumentiert, dass technische Innovationskraft sich entfalten können muss und hierfür der Zugang und die Verarbeitung – auch personenbezogener Daten – notwendig ist. Andererseits ist Innovation nur dann möglich, wenn sie in das gesellschaftliche Wertesystem – gerade auch bezüglich informationeller Selbstbestimmung – eingebettet ist.

5.2 Unternehmen

Die Erschließung neuer Geschäftsfelder und -modelle durch Unternehmen sowie zunehmende Effizienzgewinne beruhen weitestgehend auf dem Handel mit Daten, personalisierter Werbung und generell auf möglichst umfassenden Auswertungen – (auch) mit Hilfe maschinellen Lernens. Die dabei angewendeten Methoden beziehen sich meist auf Big Data Analysen von bestehenden, potenziellen oder perspektivischen Kundendaten.

Doug Laney beschrieb Big Data erstmals durch die Eigenschaften Volume, Velocity, Variety (kurz „3V“).⁴⁴ Diese drei Eigenschaften sind charakterisierend für Big Data: in digitaler Form vorliegende Daten großer Masse („Volume“), die schnell entstehen („Velocity“) und sehr unterschiedlicher Art und Herkunft sein können („Variety“).⁴⁵ Teilweise werden weitere Aspekte hinzugefügt und mit einem „V“ beschrieben, beispielsweise die Folgenden: Veracity steht für Vertrauenswürdigkeit der Daten oder der gezogenen Schlüsse. Value betont, dass Big Data letztendlich immer eine Wertschöpfung der Daten beabsichtigt. Visualization stellt die intuitive Darstellung der Ergebnisse heraus.⁴⁶

Unternehmen haben eine intrinsische Motivation für die Einhaltung der Datenschutzauflagen und auch darüber hinausgehende Maßnahmen: Sie erfahren Nachteile wie Reputationsverlust, wenn sie berechtigte, kodifizierte und/oder konsensuale Privatheitsbedürfnisse von Individuen nicht beachten würden.

5.3 Grundrechte auf Datenschutz und informationelle Selbstbestimmung

Der Schutz von personenbezogenen Daten ist als Grundrecht (Art. 8 GRCh) im europäischen Recht verankert und ist damit für die Rechtsordnung und demokratische Prozesse von wesentlicher Bedeutung. In Deutschland hat das Bundesverfassungsgericht 1983 mit dem Volkszählungsurteil das Recht auf informationelle Selbstbestimmung als Teil des allgemeinen Persönlichkeitsrechts (Art. 2 Abs. 1 iVm Art. 1 Abs. 1 GG) definiert. Das Recht umfasst die Befugnis des Einzelnen grundsätzlich selbst über Preisgabe und Verwendung seiner persönlichen Daten und Offenbarung von Lebenssachverhalten zu bestimmen, sowie den Schutz vor einer unbegrenzten Erhebung, Speicherung, Verwendung und Weitergabe von persönlichen Daten⁴⁷ Das Gericht erkannte an, dass es für die Freiheit selbstbestimmte Entscheidungen treffen zu können unerlässlich ist, einen Sachverhalt zu überschauen und Sicherheit darüber zu haben welche Informationen in einem bestimmten Bereich und sozialen Umfeld über einen bekannt sind sowie welche Verhaltensweisen und Informationen überhaupt gespeichert werden. Diese Freiheit wiederum ist nicht nur Voraussetzung für die persönliche Entwicklung des Einzelnen, sondern auch für die Ausübung anderer Grundrechte und Mitwirkungsmöglichkeiten an freiheitlich demokratischen Prozessen und damit Grundlage für eine demokratische Gesellschafts- und Rechtsordnung selbst⁴⁸. Durch die Möglichkeiten der automatisierten Verarbeitung in „modernen“ Informationssystemen, den Zugriffs- und Einflussnahmemöglichkeiten hierauf, sowie der Erstellung von Persönlichkeitsbildern werden diese Freiheiten und Befugnisse zunehmenden gefährdet⁴⁹.

Der in der DSGVO festgeschriebene Grundsatz der Transparenz (Art. 5 Abs. 1 lit. a DSGVO) in der Datenerhebung und -verarbeitung soll Betroffene in die Lage versetzen Verarbeitungsprozesse zu verstehen und in Frage zu stellen, sowie Kontrolle über ihre Daten auszuüben.⁵⁰ Die Kontrolle von personenbezogenen Daten durch den Betroffenen lässt sich als Kernelement der DSGVO ausmachen (ErwG 7 und 68 DSGVO).

5.4 Technische Umsetzung von Regulierung

Der amerikanische Verfassungsrechtler Lawrence Lessig schrieb bereits 1990, dass der Cyberspace ein neues Verständnis von Regulierung erfordert, das über die Regulierung durch Gesetz hinausgeht. Im Cyberspace erfolgt Regulierung vor allem durch den Code des Cyberspace. Dies meint, dass die Software und Hardware, die den Cyberspace zu dem machen, was er ist, auch den Cyberspace regulieren, so wie er ist. Er führt weiter aus, dass Code hierbei gleichzeitig die größte Bedrohung als auch das größte Versprechen für freiheitliche Ideale darstellt. Der Cyberspace kann so konstruiert, gestaltet und codiert werden, dass Werte, die eine Gesellschaft für grundlegend hält, geschützt werden oder eben sodass diese Werte untergehen. Code wird niemals entdeckt oder erfunden, er wird immer von Menschen gemacht.⁵¹

Technik kann also das oben beschriebene Spannungsverhältnis zwischen gesetzlich reguliertem Privatheitsschutz sowie digitalem Innovationspotential auflockern oder gar auflösen durch die Entwicklung von proaktiven, normkonformen und Wertschöpfung unterstützenden Werkzeugen und Verfahren. Dazu wird in der Informatik insbesondere verstärkt auf Ansätze zur Durchsetzung des Rechts auf informationelle Selbstbestimmung und zur Nutzerermächtigung gesetzt, die sich allgemein unter dem Begriff der „Privacy-enhancing Technologies“ (PETs) zusammenfassen lassen. Dabei lassen sich zwei Kategorien unterscheiden: zum einen die „klassischen“ datenschutzfördernden PETs, zum anderen umfassen sie sog. „Transparency-enhancing Technologies“ (TETs). Dadurch werden Betroffene unterstützt Kontrolle und ihre Rechte über ihre Datenpreisgabe und - verarbeitung auszuüben, sowie Risiken und Bedrohungen zu erkennen.⁵² PETs setzen somit zum einen direkte Anforderungen aus der DSGVO technisch um, zum anderen fördern sie privatheitsbewusstes Verhalten von Nutzern und ermächtigen diese dazu, aktive Teilnehmer in Datenmärkten zu werden. TETs, die Transparenz bezüglich des digitalen Fußabdrucks liefern, sind hierzu auf spezielle Weise geeignet, wie die Gestaltungsvorschläge in Abschn. 6 aufzeigen.

5.5 Nutzung des technischen Fortschritts für Privatheitsinnovationen

Die im nächsten Abschnitt präsentierten Vorschläge greifen folgende Empfehlungen des Dagstuhl-Manifests⁵³ aus 2011 auf: Forschung sollte kreative, innovative Instrumente wie „Privatheits-Assistenzsysteme“ hervorbringen, damit Nutzende ihre informationelle Selbstbestimmung durch die Verbesserung der Transparenz praktikabel verwirklichen können. Die Forschung sollte zudem vorausschauend „known unknowns“,⁵⁴ also die möglichen Veränderungen der technologischen und gesellschaftlichen Rahmenbedingungen antizipieren und sog. blue skies researches durchführen.

Die Kritik, dass technische Datenschutzmechanismen per se digitale Innovationen verhindern, ist dabei zurückzuweisen. Denn es zeigt sich, dass datengetriebene Innovationen im Rahmen der Anforderungen der DSGVO möglich sind. Auch privatheitsfördernde Technologien können innovativ und wirtschaftlich erfolgreich sein.⁵⁵

Mit den nachfolgenden Gestaltungsvorschlägen wird beispielhaft aufgezeigt, wie Technik für Privatheitsinnovationen im Sinne des Manifests genutzt werden kann.

6 Gestaltungsvorschläge

Die drei Gestaltungsvorschläge wurden vom Fraunhofer SIT im Forum Privatheit als Forschungsgegenstand ausgewählt, weil sie alle drei beispielhaft eine Verbesserung der Transparenz bezüglich des digitalen Fußabdrucks liefern (im Sinne der Empfehlung des Manifests) und damit dazu beitragen, dass die Nutzenden ermächtigt werden, ihre informationelle Selbstbestimmung im aktuellen technologischen und gesellschaftlichen Umfeld effektiv durchzusetzen. Dies ist das verbindende Konzept in den drei Gestaltungsvorschlägen, welche jeweils unterschiedlich in ihrer Ausrichtung sind. Me&MyFriends (siehe Abschn. 6.1) und WallGuard (siehe Abschn. 6.2) unterstützen Transparenzbedürfnisse der Privatheit von Nutzenden in Online Social Networks (OSN) während Metaminer (siehe Abschn. 6.3) Transparenzbedürfnisse von Nutzenenden mobiler Ökosysteme unterstützt.

6.1 Me&MyFriends

Das Erfordernis nach innovativen Werkzeugen, die Internetnutzern Transparenz über Privatheitsrisiken verschaffen, ergibt sich aus der Datenschutz-Grundverordnung sowie anderen internationalen Datenschutzbestimmungen. Die unbeabsichtigte, unfreiwillige Offenlegung sensibler Informationen birgt die Gefahr einer möglichen Untergrabung des grundgesetzlich garantierten Rechts auf informationelle Selbstbestimmung und einer achtungswürdigen Selbstdarstellung. Eine solche Offenlegung kann dadurch stattfinden, dass ein Dritter bzw. Unbefugter in der Lage ist, aus digitalen Spuren, Identitäts-, Persönlichkeits- und Verhaltensmerkmale, die eine natürliche Person geheim halten möchte, zu schlussfolgern. Eine zentrale Rolle spielen dabei die i. d. R. kaum vorhandenen Möglichkeiten für Nutzer, sich Kenntnisse darüber anzueignen, wie öffentlich gemachte Informationen oder Handlungen zu Schlussfolgerungen führen können, die intime, vermeintlich private Informationen oder falsche Annahmen bzw. Vermutungen offenbaren.

Um die eigene Privatsphäre zu wahren und das Durchsickern sensibler Informationen in sozialen Netzwerken verhindern zu können, ist das Vorhandensein eines Bewusstseins für Inferenz-Risiken bzw. das Wissen über das Gefahrenpotenzial aus den eigenen, vermeintlich unkritischen digitalen Spuren entscheidend. Da dieses Wissen für den durchschnittlichen Nutzer sozialer Netzwerke nicht zugänglich oder offensichtlich ist, besteht Bedarf nach einer technologischen Plattform, die es Nutzern ermöglicht, eine Selbsteinschätzung zum Datenschutz durchzuführen. Das Selbstbewertungs-Tool soll Nutzer ermächtigen, detailliertes Wissen über hinterlassene digitale Spuren zu erlangen und eine automatisierte Bewertung potenzieller Inferenzrisiken durchzuführen. Dadurch kann der Einzelne in die Lage versetzt werden, geeignete Maßnahmen zu ergreifen, um weitere Rückschlüsse zu verhindern. Ziel hierbei ist es, Nutzer in die Lage zu versetzen, ermessen zu können, was aus den von ihnen selbst oder ihren Kontakten bereitgestellten Informationen über sie gefolgert werden könnte.

Eine solche Plattform fördert das Recht auf informationelle Selbstbestimmung, indem es Transparenz schafft über mögliche unerwünschte als auch unbekannte Schlussfolgerungen, die sich aus vermeintlichen nicht-sensitiven Social Media Daten ergeben. Damit unterstützt es die Möglichkeit von Nutzern, bewusste Entscheidungen über die Offenlegung bestimmter Daten und ihres Social Media Verhaltens insgesamt zu treffen.

Abb. 1

Me&MyFriends – Architektursicht

Architektur

Das Client-Server basierte Werkzeug nutzt statistische Methoden der Datenanalyse, um eine Gruppe verbundener Nutzer zu ermächtigen, Inferenzrisiken für sensible Attribute, auf der Grundlage von aggregierten Informationen aus ihren öffentlichen Social-Network-Profilen und Freundschaftsverbindungen, zu quantifizieren. In der Tat ist die privatsphärefördernde Plattform eine zwischengeschaltete Komponente zwischen dem Nutzer und seinen sozialen Netzwerken wie in Abb. 1 zu sehen ist.

Das Me&MyFriends-Framework umfasst Module und Mechanismen zur Sammlung, Aggregation und Analyse von Daten aus verschiedensten Sozialen Netzwerken. Ein Inferenz-Modul erlaubt die Quantifizierung und Visualisierung möglicher unerwünschter Rückschlüsse aus den öffentlichen Ego-Graphen. Hierzu wird ein Naive Bayes basierter Inferenzalgorithmus genutzt, der zuvor einer experimentellen Evaluation mit drei Datensätzen von Facebook und Twitter unterzogen wurde. Die Ergebnisse der Evaluation weisen auf ein konkurrenzfähiges Modell im Vergleich zu mehreren Baseline Algorithmen hin. Ein Proof-of-Concept des Me&MyFriends-Frameworks in Form einer Web Anwendung implementiert Verbindungen zu den Sozialen Netzwerken Facebook und Twitter. Als solche besteht die Me&MyFriends-Architektur aus zwei Hauptkomponenten: Me&MyFriends-Client und Me&MyFriends-Server. Der Datenfluss kann wie folgt zusammengefasst werden: Ein Nutzer registriert sich bei der Me&MyFriends-Plattform über eine Client-Anwendung die es ihm ermöglicht Informationen aus unterschiedlichen sozialen Netzwerken abzurufen und andere Teilnehmer einzuladen, die Me&MyFriends-App zu nutzen und ihre öffentlichen Informationen ebenfalls abzurufen. Alle abgerufenen Informationen, d. h. Ego-Graphen der Me&MyFriends-Nutzer, werden zur Analyse an einen zentralen Server weitergeleitet. Dort werden auf Grundlage der von allen Teilnehmern bereitgestellten Informationen Attribut-Inferenz-Risiken berechnet und Empfehlungen für Korrekturmaßnahmen generiert. Über die Client-Webanwendung bekommt der Nutzer anschließend personalisierte Analyseergebnisse und Empfehlungen angezeigt.

Inference Model Es wird ein gewichtetes Naive-Bayes’sches Modell verwendet, um die Wahrscheinlichkeit für Attribut-Inferenz, basierend auf den 1-Hop-Nachbarn des Nutzers und den von ihm bereitgestellten Attributwerten im Ego-Graphen zu berechnen. Die Attributgewichtung sollte quantitativ die Abhängigkeit zwischen der Bedeutung des Attributs für den Nutzer und der Bedeutung für die Verbindungen/Alter Egos des Nutzers erfassen. Fünf Hilfsfunktionen sind entscheidend bei der Gewichtung von Attributen, die mit den Details aus dem Ego-Graphen eines Nutzers berechnet werden können. Die Zusatzfunktionen erfassen Metriken aus fünf Kategorien: Die Bedeutung eines bestimmten Freundes/Alter Egos, die Popularität eines Attributs und eines bestimmten Attributwerts für einen Nutzer und die Bedeutung eines bestimmten Attributs und Attributwerts für den Nutzer.

Gesamtschätzung des Inferenzrisikos Unter Berücksichtigung der oben genannten Funktionen und Überlegungen wird die Gesamtschätzung des Inferenzrisikos definiert, das Gesamtniveau der Korrektheit bei der Rekonstruktion des Profils des Nutzers durch Dritte. Dies geschieht durch die Kombination der Inferenzrisikoschätzung,

$$\begin{aligned} I(a^k) = \underset{1\le r \le \left| C\right| }{max} \widehat{P\left( v^{r}_{a^k} |\theta (a^k) \right) } \omega (a^k) \phi \left( v_{a^k}\right) \end{aligned}$$

(1)

jedes einzelnen verborgenen Attributs $a^k$ und der Modellierung der Gesamtschätzung des Inferenzrisikos für den Zielnutzer U, die durch I(U) als folgende logistische Funktion angegeben wird:

$$\begin{aligned} I(U) = 1/\left( 1+ exp\left( -\partial \cdot \sum \limits ^{|H(U)|}_{k=1} I(a^k)\right) \right) \end{aligned}$$

(2)

wobei $\partial = 1/|H(U)$ und $\omega (a^k)$ das Gewicht des sensitiven Attributs ist. Wir definieren $C=\left\{ v_{a^k}^1, v_{a^k}^2, \cdots , v_{a^k}^m\right\}$ als die endliche Menge von allen möglichen Werten, die dem Attribut $a_k$ vergeben werden kann. $\theta (a^k)= \left\{ \theta _{a^k}^{j} = \left\langle U^{j}, (a^k, v_{a^k})\right\rangle : \forall _{1\le j \le n}\right\}$ ist die Menge aller Beobachtungen in Bezug auf das Attribut $a^k$, die ein Widersacher aus einem aggregierten Ego-Netzwerk $G= (E, V, \varphi )$ machen kann, wobei $n=\left| V\right|$ und t die Gesamtzahl der möglichen Attribute in jedem Benutzer $U^{j}$ Profil ist. Es ist zu beachten, dass sich die Inferenzrisikoschätzung $I(a^k)$ von $a^k$ auf die Wahrscheinlichkeit bezieht, dass ein Gegner den verborgenen Wert $v^{r}_{a^k}$ korrekt ableiten kann. Das Gesamtinferenzrisiko für den Zielnutzer U – I(U) – nimmt Werte im Bereich $\left[ 0,1\right]$ an. Wie oben erwähnt bezeichnet H(U) die Menge der herleitbaren Profilattribute, die entweder fehlen (d. h. vom Zielnutzer U nicht angegeben wurden) oder für Dritte einfach nicht sichtbar sind.

Gesamt-Privatheits-Score Der Privatheits-Score des Zielnutzers U, Score(U), bezieht sich auf das Gesamtniveau der Unsicherheit des Gegners (d. h. die Gesamtfehlerwahrscheinlichkeit) in Bezug auf die Ableitung der korrekten Werte der verborgenen Attribute von U. Dies ergibt die folgende Formel:

$$\begin{aligned} Score (U) = 1 - I(U) \end{aligned}$$

(3)

Damit wird intuitiv die Tatsache erfasst, dass die Privatsphäre des Nutzers umso besser gewahrt wird, je niedriger I(U) (der Grad des Vertrauens eines Dritten in die korrekte Schätzung der Werte versteckter Attribute auf der Grundlage des oben beschriebenen Inferenzmodells) ist.

Schlussfolgerung, Grenzen und zukünftige Arbeiten

Die aktuelle Version des Me&MyFriend-Frameworks ist als zentralisierte Cloud-basierte Lösung realisiert – das vorgeschlagene Inferenz-Model ist auf Serverseite implementiert und wird dort ausgeführt. Als Folge dessen gilt der Me&MyFriends-Server als sogenannter Single-Point-of-Failure, über den Nutzer nur bedingt Kontrolle ausüben können. Dementsprechend müssen Nutzer dem Server und allen darauf laufenden Prozessen vollständig vertrauen. Für die zukünftige Arbeit sind eine Erweiterung und Verbesserung des Frameworks in Bezug auf zahlreiche Aspekte geplant. Darunter fallen folgende Aspekte:

Verbesserter Ego-Graph-Aggregationsprozess Da Daten aus mehreren sozialen Netzwerken verwendet werden, muss ein ausgefeilterer Ansatz zum Abgleich von Entitäten über diese Netzwerke hinweg erarbeitet werden. Dies gilt sowohl für das Erkennen von Attributen als auch von einzelnen Entitäten. In der Tat kann schon die (String-)Repräsentation von Profilattributen, z. B. eines Standortes (bzw. Arbeitgeber, Hochschule, $\ldots$), in verschiedenen sozialen Netzwerken in Bezug auf Sprache, Abkürzungen und vielen weiteren Aspekten variieren. Mögliche Abhilfe könnten Werkzeuge aus dem Kontext des Natural Language Processing, z. B. Named Entity Recognizer (NER),⁵⁶ schaffen. Mittels NER in Kombination mit entsprechenden semantischen Kategorien, lexikalischen Ressourcen und Datenbanken sollen aus Freitextbeschreibungen Attribute wie Orte, Personen, Organisationsnamen, Datums- und Zeitangaben oder Berufsbezeichnungen extrahiert werden können. Des Weiteren soll untersucht werden inwieweit die so extrahierten Attribute als Input eines holistischen Ansatzes zum Abgleich von Ego-Graphen, in Kombination mit Textähnlichkeitsmetriken⁵⁷ und Graph Embeddings,⁵⁸ zu berücksichtigen sein könnten. Ein solcher holistischer Ansatz für Ego-Graphen-Ähnlichkeitsanalysen soll zur Steigerung der Effizienz, Präzision und Effektivität des Ego-Graph-Aggregationsprozess führen.

Verbesserung des Inferenzmodells Die Verbesserung des Vorhersagemodells und das Finden alternativer Ansätze, z. B. überwachte Algorithmen, ist als weitere zukünftige Arbeit in Betracht zu ziehen.

Privacy-Preserving Me&MyFriends-Server Die unserem Framework zugrundeliegende Client-Server-Architektur stellt ein offensichtliches Problem dar – Nutzer und der Me&MyFriend-Anbieter verlieren Kontrolle über höchst sensitive Daten. Für Nutzer sind dies vor allem Ego-Graphen ihrer sozialen Netzwerke, die aus verschiedenen Domänen erfasst und zum Server geschickt wurden. Aus Sicht des Me&MyFriend-Anbieters stellt sich das Problem überwiegend hinsichtlich einer möglichen Gefährdung des Rechts auf geistiges Eigentum (Intellectual Property Rights). Die Me&MyFriends-Software (inkl. das Inferenz-Modell) muss über eine fremde Cloud-basierte Infrastruktur betrieben und einem halbwegs vertrauenswürdigen (engl. semi-trusted) Infrastruktur-Betreiber quasi anvertraut werden. Daraus ergibt sich die Notwendigkeit für eine neue dezentrale und privatheitsfördernde Plattform. Mit einer solchen Plattform ist das Hochladen von Nutzerdaten aus Sozialen Netzwerken auf einen nicht vertrauenswürdigen Server nicht mehr erforderlich. Auf Nutzerseite werden in einer sog. Trusted Execution Environment (TEE),⁵⁹ aggregierte Ego-Graphen rekonstruiert und das Inferenzmodell und weitere sensitive Daten aufbewahrt bzw. ausgeführt. Auf Serverseite werden ausschließlich allgemeine Parameter für eine Community-basierte Aktualisierung und Verteilung des Inferenzmodells bereitgestellt.

Usability Nicht zuletzt soll die Proof-of-Concept Implementierung abgeschlossen und im Hinblick auf Benutzerfreundlichkeit und Leistung erprobt werden. Erste Ergebnisse in dieser Richtung sind kürzlich auf der internationalen wissenschaftlichen Konferenz IEEE Infocom 2021 eingereicht und akzeptiert worden.⁶⁰

6.2 WallGuard

Zahlreiche Literaturquellen aus der Verhaltensökonomie und der medienpsychologischen Forschung weisen auf die Tatsache hin, dass eine wachsende Zahl von Social-Media-Nutzern Bedenken bzgl. der Wahrnehmung ihrer Erscheinung in der Online Öffentlichkeit haben. Wang et al. (2011) verknüpfen diese Problematik mit Ängsten der Nutzenden bezogen auf die Veröffentlichung von Inhalten zu möglicherweise kontroversen Themen mit unbeabsichtigter Audienz und den daraus folgenden Konsequenzen. Hierunter fallen u. a. Reue, Peinlichkeiten und die Untergrabung des eigenen Rechts auf informationelle Selbstbestimmung. In diesem Projekt fokussierten sich die Forschungsarbeiten in einem ersten Schritt auf Ansätze zur automatisierten Erkennung kontroverser Social-Media-Beiträge die möglicherweise ein späteres Bereuen nach sich ziehen könnten. Entwickelt wurden eine Reihe von Multi-Label-Modellen die Soziale-Medien-Texte in Facebook und Twitter entlang acht empirisch validierter Kategorien von auf Bedauern bezogenen Themen klassifizieren: Alkohol und Drogenkonsum (T1), Misogynie (T2), Familienangelegenheiten (T3), Politik (T4), Profanität und Obszönität (T5), Religion (T6), Sex (T7), und Arbeitsumfeld und Arbeitgeber (T8).

Architektur

Um den Benutzern zusätzliche Hilfe beim Umgang mit auf OSN veröffentlichten Inhalten zu bieten und damit die Forderung nach einer detaillierteren Datenschutzlösung für unerwünschte/bedauerliche Offenlegungen zu beantworten, müssen zwei Hauptszenarien betrachtet werden, siehe Abb. 2. Neue Inhalte auf der persönlichen OSN-Seite eines Benutzers können entweder vom Benutzer selbst (Anwendungsfall 1) oder von den OSN-Freunden des Benutzers (Anwendungsfall 2) generiert werden. Während Posts, die vom Kontoinhaber selbst verfasst wurden, möglicherweise zu Reue und Bedauern führen können (weil Sie selbst der Autor sind), ist Reue durch die Verknüpfung mit den Posts von Freunden ebenfalls möglich.

Abb. 2

WallGuard Szenarien

Als Lösung, die beide Szenarien berücksichtigt, haben wir WallGuard entwickelt – ein technisches Tool, welches Social-Media-Nutzende unterstützen soll, informierte Offenlegungsentscheidungen treffen zu können. Informiert durch empirische Befunde, argumentieren wir, dass eine automatisierte Festlegung kontroverser, bedauerlicher bzw. peinlicher Veröffentlichungen sowie die Identifizierung und Einschränkung der entsprechenden Audienz wichtige Merkmale einer derartigen technischen Lösung sein müssen. Um die eingeführten Szenarien abzudecken und die identifizierten Anforderungen zu erfüllen, besteht WallGuard aus neun Komponenten, die in Abb. 3 dargestellt und nachfolgend erläutert werden. Die einzelnen Komponenten können wie folgt zusammengefasst werden:

Abb. 3

Überblick über die Architektur des WallGuard Frameworks

User-Agent Auf der Clientseite zeigt der Benutzeragent (in diesem Fall der Webbrowser) den vom OSN-Server und WallGuard empfangenen Inhalt an und ist gleichzeitig für die Verarbeitung aller Anweisungen (Eingaben) des Benutzers verantwortlich. Der Benutzeragent dient als Schnittstelle zwischen der tatsächlichen Person und dem Internet.

Nachrichten-Preprocessor Da redundante Informationen in einer Nachricht (z. B. Satzzeichen) typischerweise nur den Klassifizierungsprozess behindern, entfernt diese Komponente in einem ersten Schritt solche Informationen und standardisiert jeden eingehenden Text. Auf diese Weise wird sichergestellt, dass jeder Text allen noch kommenden Komponenten im gleichen Format präsentiert wird. Daher dient der Nachrichten-Preprocessor auch als Mittel, um Fehler aufgrund möglicher Sonderzeichen oder Formatverletzungen zu vermeiden. Zusätzlich werden während dieses Prozesses Stoppwörter (z. B. „and“, „or“) entfernt und alle verbleibenden Wörter werden gestoppt, wodurch die Darstellung der Nachricht auf ihre relevanten Daten reduziert und letztendlich die Klassifizierung erleichtert wird.

Blacklist Filter Der Blacklist Filter verwendet eine vordefinierte Liste von Wörtern, die als unangemessen und inakzeptabel angesehen werden können. Mit dem Filter wird jede eingehende Nachricht mit dieser Liste verglichen. Wenn mindestens eines dieser Wörter vorhanden ist, wird die gesamte Nachricht markiert. Die Liste besteht aus Standardwörtern und kann vom Benutzer bearbeitet werden, indem entweder vorhandene Wörter entfernt oder neue Wörter hinzugefügt werden.

Benutzerdefinierte Richtlinien Wie bereits erwähnt, hat der Benutzer die Möglichkeit, die Blacklist zu bearbeiten. Darüber hinaus kann der Benutzer selbst entscheiden, über welches der eingeführten potenziell bedauerlichen bzw. unangemessen Themen er benachrichtigt und von der Wand verbannt werden möchte. Diese Regeln sind in den benutzerdefinierten Richtlinien enthalten.

Scheduling Policies Die Richtlinien definieren, welche allgemeinen Schritte in einem der möglichen Szenarien ausgeführt werden sollen. Unabhängig davon, ob ein Beitrag aufgrund unangemessener Wörter auf die schwarze Liste gesetzt wird oder eines der vom Benutzer gesperrten Themen enthält, werden in den Scheduling Policies die erforderlichen Maßnahmen aufgeführt.

Message Schedule Der Message Scheduler/Nachrichtenplaner ist die zentrale Einheit in WallGuard, die die unterschiedlichen Ergebnisse der verschiedenen Komponenten validiert und mithilfe der oben beschriebenen Planungsrichtlinien die erforderlichen Aktionen an alle erforderlichen Komponenten weiterleitet (insbesondere dem Notification Agent/Benachrichtigungsagenten signalisiert, was angezeigt werden soll).

Feature Extraction (Merkmalsextraktion) Auf der Grundlage des Nachrichten-Preprocessor werden bei der Merkmalsextraktion identifizierbare Informationen aus einem Text herausgesucht, um Merkmale zu erhalten, die die verschiedenen Themen eindeutig darstellen. Tab. 1 fasst die in diesem Projekt verwendeten Feature-Extraktionsmethoden zusammen.

Tab. 1 Verwendete Methoden und Bibliotheken zur Merkmalsextraktion

Post Classifier Nach dem erfolgreichen Extrahieren der Features aus einem Text werden diese Features vom Klassifizierer verwendet, um das Thema oder die darin enthaltenen Themen zu identifizieren. Da sich viele Texte in Themen überschneiden und viele Funktionen verschiedenen Themen zugewiesen werden können (z. B. kann das Wort „Buch“ eine Aktion sein, wenn es als Verb verwendet wird oder etwas, das gelesen werden kann, wenn es als Substantiv verwendet wird), befasst sich die Themenklassifizierung mit der Wahrscheinlichkeit. Ziel ist es, einem Text, der den Features am besten entspricht/enthält, bestimmte Themen zuweisen zu können. Beispielsweise kann ein Text Merkmale enthalten, die zu einer Übereinstimmung von 80 % mit Thema A, einer Übereinstimmung von 55 % mit Thema B und einer Übereinstimmung von 20 % mit Thema C führen. Zu diesem Zweck wird ein Klassifizierer mit Klassifizierungsregeln, der auf einem Korpus mit ca. 976.540 Nachrichten aus verschieden Quellen trainiert, verwendet. Für diese Arbeit sind verschiedene Multi-Label-Algorithmen auf einem eigenen kompilierten Datensatz (mit über 1,5 Mio. Nachrichten) evaluiert worden. Wir experimentierten mit Naive Bayes, Decision Tree, KNN, SVM und Random Forest, jeweils mit einem der drei gebräuchlichen Ansätze für Multi-Label-Klassifizierung: Binary Relevance (BR), Label Powerset (LP) und paarweise und Threshold (PT). Mit einem gewichteten F1-Score von 0,786 zeigt Binary Relevance in Kombination mit Random Forest und einer zugrunde liegenden word2vec-Feature-Darstellung das beste kombinierte Ergebnis der getesteten Modelle. Dieses Modell wird daher für die spätere Verwendung in unserer Proof-of-Concept Implementierung von WallGuard eingesetzt.

Notification Agent Nachdem WallGuard die Verarbeitung einer Nachricht abgeschlossen hat, zeigt der Benachrichtigungsagent die Ergebnisse an. Je nach Ergebnis kann dies eine einfache Benachrichtigung, Empfehlung oder Warnung sein und dem Benutzer weitere Optionen und Schritte anbieten. Insbesondere zeigt der Benachrichtigungsagent bestimmte Ausgaben für jede der vordefinierten Scheduling Policies und möglichen Nachrichten an, die vom Message Scheduler übertragen werden.

Schlussfolgerung, Grenzen und zukünftige Arbeiten

Zwar existiert mit der Wallguard Browser Erweiterung eine Proof-of-Concept Implementierung der in dieser Arbeit vorgeschlagenen Lösung zur Mitigation von Reue im Kontext von Sozialen Netzwerken, dennoch soll diese Implementierung in Bezug auf einige in diesem Kapitel genannte Aspekte weiter verbessert werden. Zum aktuellen Zeitpunkt ist daher der Hauptaugenmerk von zukünftigen Arbeiten die bestehende Implementierung zu analysieren und verbessern, um sowohl die Genauigkeit der Klassifikationsergebnisse zu erhöhen als auch die generelle Performanz und Nutzbarkeit der Erweiterung zu verbessern.

Klassifizierung basierend auf Deep Learning Ansätzen Basierend auf der Arbeit von Zhang et al. (2016) planen wir die Implementierung und Evaluierung von Ansätzen, die auf sog. Deep Learning Methoden setzen. Im Detail geht es hierbei darum, Features aus einem Beitrag durch character-level convolutional neuronales Netzwerk zu extrahieren. Die auf diese Weise gewonnenen Features sollen dann als Eingabe für das Training eines multi-label Klassifizierers verwendet werden. Die Anwendung von Modellen, die Analysen von Beiträgen aus Sozialen Medien auf Character-Ebene ausführen, sind besonders vielversprechend. Hauptgrund hierfür ist, das derartige Modelle in der Lage sind damit umzugehen, wenn Beiträge nur begrenzte kontextuelle Informationen enthalten, besondere Unicode Zeichen enthalten (z. B. Sonderzeichen, die in OSN oft verwendet werden, wie das Hashtag Symbol #) oder aber Rechtschreib- und Grammatikfehler enthalten, die in solch kurzen Texten vergleichsweise oft vorkommen. Im nächsten Schritt werden derzeit mehrere Deep-Learning-Modelle, u. a. Convolutional Neural Network (CNN), Recurrent neural networks (RNN) und Long-short term memory (LSTM) trainiert und evaluiert. Hierbei sollen die oben erwähnten Multi-Label-Modelle zum Teil als Baselines berücksichtigt werden.

Vollständige Implementierung auf Client-Seite Aus dem WallGuard-Server ergeben sich potenzielle Risiken für die Privatsphäre von Nutzern. Jeder Beitrag, der vom Nutzer zur Klassifizierung zum Server gesendet wird, kann potenziell sensitive Informationen enthalten, die erst zu einem späteren Zeitpunkt nach der Klassifizierung herausgefiltert werden. Um hierfür eine Lösung und Alternative zu bieten, soll in zukünftige Arbeiten die Möglichkeit erforscht werden, eine vollständig clientseitige Implementierung zu realisieren. Dies bedeutet, dass keine zusätzliche Kommunikation mit einem externen Server mehr notwendig ist und alle Berechnungen lokal auf der Maschine des Nutzers stattfinden. Für solch eine Implementierung bieten sich multi-label Klassifizierer Frameworks an die nicht auf Java angewiesen sind und direkt in der Webumgebung einer Chrome Erweiterung lauffähig sind. Solch eine Lösung könnte die Implementierung sicherer und potenziell auch schneller machen.

Nutzbarkeitsstudie Des Weiteren soll auch die Benutzeroberfläche von Wall Guard im Hinblick auf einfache Benutzbarkeit und angebotene Features untersucht werden. Hauptsächlich geht es bei dieser Studie darum herauszufinden, ob Nutzer in der Lage sind, das WallGuard Tool sinnvoll anzuwenden und dabei auch erfolgreich das Posten von Nachrichten verhindert wurde, die der Nutzer im Nachhinein bedauern könnte. Darum soll das Tool in einer zukünftigen Nutzbarkeitsstudie mit Hilfe einer größeren Gruppe von Nutzern evaluiert werden.

6.3 MetaMiner

Mit der immer weiter ansteigenden Nutzung von Drittanbieter Anwendung auf mobilen Geräten setzen sich Nutzer Risiken aus, die ihre Privatsphäre bedrohen. Dabei sind sich viele Nutzer gar nicht bewusst, wie weit solche Anwendung in ihre Privatsphäre eingreifen und wie viele potenziell kritische Daten diese in der Lage sind, unbemerkt zu sammeln und an externe Server zu senden.

Um diesem Problem vorzubeugen und Nutzer aufzuklären, haben wir PISA entwickelt: ein leichtgewichtiges und nutzerzentriertes Framework, das eine Verbesserung der Transparenz über die Netzwerkinteraktionen des mobilen Geräts mit ATM-Domains⁶¹ ermöglicht und damit zur Befähigung der Nutzer ihr Recht auf informationelle Selbstbestimmung auszuüben, beiträgt. Die Vision unseres Frameworks ist es, Datenverkehrsanalysen datenschutzerhaltend durchzuführen. Des Weiteren war es uns besonders wichtig, dass auch unerfahrene Nutzer in der Lage sind, unsere Anwendung zu installieren und zu benutzen, es also nicht nötig ist sein Gerät erst zu rooten oder sonstige Modifikationen durchzuführen. Wir haben einen Proof-of-Concept-Prototyp implementiert und umfangreiche Experimente durchgeführt, um die Machbarkeit und Wirksamkeit des PISA-Frameworks zu demonstrieren. Unsere Auswertungen in einem realen Datensatz zeigen eine hohe Effektivität bei der Erkennung von Interaktionen mit ATM-Hosts und einem angemessenen Performance-Overhead.

Architektur und Implementierung

Das MetaMiner Framework ist modular aufgebaut und setzt sich aus fünf Kernkomponenten zusammen: Network Traffic Metadata Collector (1), Database Manager (2), Metadata Analyzer (3), Visualization Engine (4) und Privacy Controller (5). Einen groben Überblick der Interaktion der verschiedenen Komponenten untereinander zeigt Abb. 4. Im folgenden werden die fünf Kernkomponenten und deren entsprechenden Aufgaben im Rahmen des MetaMiner Frameworks eingeführt.

Abb. 4

Detailierte Darstellung der Framework Komponenten inkl. Unterkomponenten und verschiedener Kommunikationsflüsse

Network Traffic Metadata Collector (NTMC) Die wichtigste Komponente des MetaMiner Frameworks stellt der Network Traffic Metadata Collector (NTMC) dar. Die Hauptfunktion dieser Komponente ist das Abfangen, Verabeiten und Weiterleiten von Netzwerkpaketen auf dem mobilen Gerät. Beim Verarbeiten von Paketen extrahiert der NTMC die Netzwerkmetadata des Pakets und leitet diese an eine Unterkomponente zur Aggregierung und späteren Speicherung dieser Daten weiter. Um Zugriff auf den Netzwerkverkehr des mobilen Android Geräts zu erhalten verlässt sich der NTCM auf die offizielle Android VPN Schnittstelle. Dies ist die zum aktuellen Zeitpunkt einzige Methode auf einem nicht gerooteten Android Gerät, um Zugriff auf den Netzwerkverkehr zu erhalten. Der NTMC besteht aus zwei Unterkomponenten: dem VPN Proxy und dem Metadata Aggregator.

Database Manager (DM) Der DM fungiert hauptsächlich als zentrale Komponente zur persistenten Speicherung von Daten, die im Rahmen des MetaMiner Frameworks anfallen und zur Analyse und Visualisierung benötigt werden. Generell erfüllt der DM zwei wichtige Funktionen: i) Speicherung von Netzwerkverkehr- Metadaten (u. a. eine historische Perspektive auf die Internet-Interaktionen des Geräts zu ermöglichen) und ii) Abruf von IP-Adress-Metadaten.

Metadata Analyzer (MA) Diese Komponente erledigt alle Aufgaben im Zusammenhang mit der Analyse der gesammelten Metadaten des Netzwerkverkehrs. Dazu gehören insbesondere die automatisierte geräteinterne Verfeinerung und Aktualisierung einer globalen Filterliste. Die globale Filterliste entsteht offline durch das Zusammenführen verschiedenster Arten von Filterlisten, darunter Listen, die von bekannten Werbe- und Tracker-Blockierern, z. B. Browser Plugins zur Blockierung von Werbung verwendet werden und spezielle auf mobile Werbe- und Analyseprovider ausgerichtet sind. Der MA verwendet die globale Filter-Liste, um die kontaktierten Hosts in drei Kategorien zu klassifizieren: i) Hosts, die die Privatsphäre verletzen, ii) bösartige Hosts und iii) gutartige Hosts. Auf der Grundlage der Ergebnisse der Klassifizierung bietet das MetaMiner Framework eine umfassende Visualisierung darüber an, an welche ATM- Hosts das mobile Gerät Informationen sendet, und liefert visuelle Hinweise darauf, welche Anwendungen für solche Interaktionen verantwortlich waren.

Visualisierungs-Engine (VE) und Grafische Benutzeroberfläche (GUI) Die VE umfasst eine Sammlung verschiedenster Unterkomponenten aus denen sich die sogenannte GUI (Graphical User Interface) zusammensetzt.

Abb. 5

Home Screen: Die generelle GUI der Anwendung. Hierüber kann der Nutzer auf die verschiedenen Visualisierungen, zusätzlichen Funktionen des MetaMiner Frameworks, als auch auf die Einstellungen zugreifen

Abb. 6

Navigation Drawer: Hierüber kann der Nutzer schnell auf alle wichtigen Features zugreifen, z. B. das Aktivieren des VPNs für die Netzwerkanalyse oder der Zugriff auf best. Komponenten wie den Privacy Controller

Die GUI des MetaMiner Frameworks, siehe Abb. 3 und 4, bietet eine Fülle von Optionen für Menüs, Einstellungen und Ansichten zu Details über durchgesickerte Daten, Entitäten, die die Daten des Benutzers sammeln, und Länder, an die diese Daten gesendet werden. Genauer, die GUI ermöglicht die Visualisierung der Netzwerkinteraktionen des Geräts mit ATM-Hosts und bietet dem Endnutzer Optionen zur Interaktion mit anderen Komponenten des MetaMiner Frameworks (Abb. 5 und 6).

Privacy Controller (PC) Das MetaMiner Framework soll nicht nur für mehr Transparenz über die Interaktionen des Geräts mit ATM-Domains sorgen, sondern den Endnutzern auch Mittel an die Hand geben, ihr Recht auf informationelle Selbstbestimmung auszuüben. MetaMiner bietet ein solches Mittel in Form eines IP-basierten Paketfilters, welcher als Unterkomponente des PCs implementiert ist. Alle MetaMiner-Privatsphärekontrollmethoden sind in der PC-Komponente gebündelt.

Abb. 7

Filter List Manager: Zeigt generelle Statistiken zur globalen Filter Liste an und ermöglicht das Einsehen der Filterliste

Abb. 8

Filter Liste: Hier kann der Nutzer beliebig nach Einträgen suchen und diese modifizieren oder eigene Einträge hinzufügen

Der Benutzer kann zwischen zwei verschiedenen Blockierungsmodi wählen: normaler Modus und erweiterter Modus. Während der normale Modus nur die Kommunikation mit böswilligen Hosts blockiert und damit einen allgemeinen Sicherheitsstandardansatz ermöglicht, zielt der erweiterte Modus darauf ab, zusätzlich die Kommunikation mit Werbe- und Trackinghosts zu blockieren (Abb. 7 und 8).

Evaluation

Die Evaluierung des MetaMiner-Frameworks zielte auf die Beantwortung der folgenden beiden Fragen ab: i) Beeinträchtigt MetaMiner den Nutzer bei seiner alltäglichen Nutzung seines Smartphones (Streaming, Browsing, Messaging, etc.)?; und ii) Welche Performance-Einbußen muss ein Nutzer in Kauf nehmen, um das MetaMiner-Framework auf seinem Smartphone verwenden zu können?

Laufzeitrobustheit Es ist wichtig, dass das MetaMiner-Framework nahezu unsichtbar im Hintergrund agiert. Dementsprechend darf das Framework weder Fehler hervorrufen, noch sollte es andere auf dem Smartphone des Nutzers vorhandene Anwendungen beeinflussen oder zum Abstürzen bringen. Um dieses gewünschte Verhalten zu testen, welches wir Laufzeitrobustheit nennen, haben wir zwei verschiedene Experimente durchgeführt: i) Automatisierte Tests der GUI-Robustheit der MetaMiner-Anwendung; und ii) Installation und Ausführung von Anwendungen von Drittanbietern, wobei das MetaMiner-Framework im Hintergrund lief. Im Verlauf eines zweitägigen automatisierten Tests ist die App weder abgestürzt noch hat sie Fehler produziert.

Energiekosten bzw. Energieverbrauch Ein häufiger Grund für die Ablehnung von Apps ist der ungewöhnlich hohe Batterieverbrauch der Apps. Um die Akzeptanz durch die Nutzer zu erleichtern, muss MetaMiner niedrige Energiekosten induzieren, insbesondere, wenn sich das Gerät im Ruhezustand befindet. Für die Evaluation des Energieverbrauchs haben wir jeweils Messungen ohne und mit dem Framework durchgeführt. Des Weiteren wurden die Messungen sowohl im Ruhezustand (Idle) als auch unter Hoher Last (High Load durchgeführt) durchgeführt. Hohe Last in diesem Kontext bedeutet, dass das Framework aktiv den Netzwerkverkehr abfängt und ein hoher Netzwerkdurchsatz erreicht wird, in unserem Fall durch das Streaming von 1080p Video Content. Die Ergebnisse dieser Messungen finden sich in Tab. 2. Die Ergebnisse zeigen, dass sich im Idle Status der Energievebrauch im Durchschnitt nur um 5,5 % erhöht, während sich unter Hoher Last diese Zahl auf 9.3 % erhöht.

Tab. 2 Evaluation des Energieverbrauchs

Netzwerkdurchsatz und Netzwerklatenzen Da das Framework den kompletten Netzwerkverkehr abfängt und weiterleitet, ist der maximale Netzwerkdurchsatz eingeschränkt und es entstehen zusätzliche Netzwerklatenzen. Um das Maximum und Mean des Netzwerkdurchsatzes für TCP und UDP-Flows zu messen, die durch das MetaMiner-Framework erreicht werden können, haben wir das iPerf-Tool⁶² in seiner Version 3 verwendet. Für die tatsächliche Messung wurde der iPerf-Client so konfiguriert, dass er einen Satz von 1000 TCP-Durchsatzmessungen unter Verwendung eines Sekundenzeitintervalls zwischen jeder aufeinanderfolgenden Messung durchführt. Die Messungen wurden sowohl im Normal- als auch im Reverse-Modus durchgeführt, sodass nachgeschaltete Durchsatzmessungen möglich waren. Die Ergebnisse dieser Messungen sind in Tab. 3 dargestellt.

Tab. 3 Ergebnisse der Messung des Netzwerkdurchsatzes

Neben dem Netzwerkdurchsatz ist auch die Netzwerklatenz ein kritischer Aspekt der die Benutzererfahrung mit dem MetaMiner-Framework stark negativ beeinflussen kann. Auf Grund des Abfangens und Weiterleitens des Netzwerkverkehrs werden durch die VPN Proxy Komponente unausweichlich zusätzliche Latenzen erzeugt. Zur Messung der zusätzlich durch die Nutzung des VPNs entstehenden Netzwerklatenzen wurde das MetaMiner Framework modifiziert, um diese Werte direkt in der VPN Proxy Komponente erfassen zu können. Die Messungen wurden unter verschiedenen Szenarien durchgeführt um realistische Ergebnisse für verschiedene Nutzungsaspekte des Smartphones zu erhalten. Die Ergebnisse der Messungen sind in Abb. 9 (Durchschnitt), Abb. 10 (Min) und Abb. 11 (Max) zu sehen. Es stellt sich heraus, dass im Durchschnitt keine merkbaren zusätzlichen Latenzen entstehen, es aber je nach Last der VPN Proxy Komponente selten zu längeren Verzögerungen kommen kann.

Abb. 9

Ergebnisse der Messung der Netzwerklatenzen (Durchschnitt)

Abb. 10

Ergebnisse der Messung der Netzwerklatenzen (Min)

Abb. 11

Ergebnisse der Messung der Netzwerklatenzen (Max)

Schlussfolgerung, Grenzen und zukünftige Arbeiten

Die oben vorgestellten Forschungsbemühungen zur Verbesserung der Transparenz und Benutzerkontrolle über die Netzwerkinteraktionen von Android-betriebenen Mobilgeräten sind vielversprechend. Dennoch ist die Arbeit von einigen Einschränkungen betroffen.

Ein Prototyp von PISA wurde implementiert und evaluiert. Die Evaluierungsergebnisse zeigen, dass PISA in Bezug auf Wirksamkeit und Einsatzfähigkeit zufriedenstellend ist. PISA kann die Geräteinteraktion mit ATM-Domänen wirksam erkennen und induziert dabei gleichzeitig nur einen moderaten Overhead. Darüber hinaus planen wir, den derzeitigen Overhead, der durch das PISA Framework hervorgerufen wird, weiter zu reduzieren, indem wir unseren Ansatz für das Verarbeiten und Weiterleiten von Netzwerkpaketen weiter optimieren. Ein Hauptziel ist dabei die weitere Reduzierung des CPU-Overheads, ohne dabei die Netzwerklatenz signifikant zu erhöhen.

7 Schlussbetrachtung

Informationstechnologie kann konform zu Privatheit und gesellschaftlichen Werten entworfen sowie genutzt werden. Mit ihr kann die wirtschaftliche Entwicklung befördert werden und sie kann Enabler für Innovationen in allen Bereichen sein. Technische Innovationen lassen sich konform zu Wertesystemen, auch zum europäischen, realisieren.

Jeder und jedem kann ein individueller Zugang zu ihrem und seinem persönlichen digitalen Fußabdruck ermöglicht werden, der so aufbereitet ist, dass Privatheitsrisiken erfasst werden können. Unsere hier präsentierten Gestaltungsvorschläge zeigen dies für drei kleine Beispiele auf. Bisher werden von Unternehmen überwiegend nur Rohdaten zur Verfügung gestellt, die nur für technisch versierte Personen Transparenz liefern. Welche Schlussfolgerungen Unternehmen und Dritte aus dem digitalen Fußabruck ableiten können, ist für den Benutzer weitestgehend nicht ersichtlich. Durch das Sichtbarmachen und Aufbereiten des digitalen Fußabdrucks werden privatheitsinvasive Mechanismen offengelegt und Veränderungen zu ihrer Eindämmung können gestaltet und implementiert werden. Mit Hilfe dieser technischen Maßnahmen ist es NutzerInnen möglich, ihr Handeln zu reflektieren, über das Handeln von Unternehmen aufgeklärt zu werden, um dadurch selbstbestimmt handeln zu können. Diese Simulation von möglichen Schlussfolgerungen haben wir mit zwei der drei Gestaltungsvorschläge geschaffen. Die Offenlegung kann ohne Aufgabe des Geschäftsmodells als Empfehlung mit dem Anreiz der vertrauensbildenden Maßnahme an Unternehmen gegeben werden. Hier gibt es allerdings noch erheblichen Forschungsbedarf über das „wie“. Wir schlagen vor, dass die Forschungsförderung mit dem Schwerpunkt Transparenz ausgebaut wird.

Europa kann an und mit der Digitalisierung wachsen – mit Hilfe von Technik, kreativen Köpfen und konform zu europäischen Werten. Privacy-Ready bedeutet Transparency-Ready zu sein.