© Anni K., photocase.com

Anfang der 1980er Jahre wehrte sich ein großer Teil der Bevölkerung vehement gegen die Volkszählung. Für den für 2010 anstehenden Zensus erwarten Experten kaum noch Kritik. Heute geben viele ihre persönlichen Daten im Internet freiwillig preis und verwandeln sich in gläserne Bürger.

Beschwert sich jemand über Microsoft, beklagt er vermutlich, dass die Programme “nach Hause telefonieren”, also heimlich Benutzerdaten an die Firmenzentrale übermitteln. Für viele ist das der Hauptgrund dafür, freie Software zu verwenden, sie wollen ihre Privatsphäre schützen. So weit die Theorie. In der Praxis sind Anwender oft weniger kritisch, wenn als Datensammler nicht der Klassenfeind aus Redmond auftritt.

In sozialen Netzen wie Facebook oder Studi-VZ geben Millionen von Usern auch ihre privatesten Details preis. Der einzige Schutz besteht in einer Registrierung bei der Social Site, die jeder einfach absolvieren kann. Entsprechend platzieren auch Marketing- und Werbeagenturen virtuelle Charaktere in den sozialen Netzen, um ihr Zielpublikum besser kennenzulernen. Und schon gibt es auch dort ein Spam-Problem mit neuen “Freunden”, die dem Anwender Werbung ins Gästebuch schreiben.

Eine der ersten “sozialen” Websites war Orkut [1], das im Jahr 2004 online ging. Google-Mitarbeiter Orkut Büyükkökten entwickelte es als eines der Nebenprojekte, für die der Suchmaschinengigant seinen Mitarbeitern Zeit gewährt, aus denen aber im Gegenzug später oft erfolgreiche Google-Projekte entstehen. Als in den Nutzungsbedingungen zu lesen war, dass Google sich die Auswertung aller von den Usern eingegebenen persönlichen Daten vorbehält, war die Aufregung noch groß. Heute ist bei Studi-VZ, Facebook und Konsorten davon nichts mehr zu merken.

Natürlich beruhen in allen Fällen Spaß und Nutzen auch auf der offenen Darstellung der eigenen Person. Dass man dabei aber auch jede Kontrolle über die Daten aufgibt und sie für jeden im Internet einzusehen sind, machen sich viele offensichtlich nicht klar. Dazu kommt der soziale Druck, sich möglichst offen darzustellen, um nicht etwa technikfeindlich oder konservativ zu erscheinen. Wer sich aus Neugierde mal anmeldet, hat es oft schwer, das einmal angelegte Benutzerprofil wieder zu löschen, denn sowohl die Benutzerdaten selbst als auch die schiere Menge an angemeldeten Usern bedeuten für die Web-2.0-Startups bares Venturekapital.

Fast immer beruht das Geschäftsmodell der Anbieter auf der Nutzung eben dieser Daten. Sie bieten ihre Webfläche Anzeigenkunden an, die heute eher auf individualisierte Werbung setzen als auf breite Streuung. Ihre Erfolgsquote ist höher, wenn sie dem potenziellen Kunden Produkte anbieten, die auf sein Interessenprofil zugeschnitten sind.

Nach einer Meldung des ORF-Portals Futurezone werben die Betreiber Myspace und Facebook bei potenziellen Anzeigenkunden sogar damit, die Klickraten durch individualisierte Werbung auf bis zu 80 Prozent zu steigern [2].

Datenkraken

Die besten Karten hat beim Anzeigen-Targeting wiederum Google, der nicht nur als Suchmaschinen-Quasimonopolist darüber bestimmt, was aus den Untiefen des Internets an die Oberfläche gespült wird. Gleichzeitig hat sich das Google-Imperium im Jahr 2007 mit Doubleclick.net einen der größten Onlinevermarkter einverleibt, mit über drei Milliarden US-Dollar Kaufpreis der größte Zukauf in der Firmengeschichte.

Gerade die Datenspeicherung des Suchmaschinenanbieters sorgt in letzter Zeit für Diskussionen. Datenschützer kritisieren, dass Google die von den Benutzern eingegebenen Daten speichert (Abbildung 1). Es besteht dabei immer die Gefahr, dass sich solche Daten zu einem späteren Zeitpunkt mit einer Person verbinden lassen (siehe unten). Google-Chef Eric Schmidt selbst verkündete vor Journalisten, dass das Sammeln von noch mehr persönlichen Daten der Schlüssel zum künftigen Erfolg Googles sei ([3], [4]). Selbst wenn er dies in wohlmeinender Absicht sagte, bleibt das Problem, dass Google mit diesen Daten völlig unkontrolliert verfährt.

Abbildung 1: Google speichert im so genannten Webprotokoll alle Suchanfragen eines angemeldeten Benutzers.

Jeder Anwender muss sich selbst fragen, wie viel Vertrauen er einer Firma entgegenbringt, die letztlich doch nur von der Gewinnabsicht und dem Shareholder Value angetrieben wird. Genauso ist nicht ausgeschlossen, dass staatliche Einrichtungen sich dieser Daten bemächtigen. Der Umgang US-amerikanischer Behörden mit europäischen Flugreise- und Kredikartendaten im “Kampf gegen den Terrorismus” belegt, wie realistisch diese Befürchtungen sind.

Selbst wer dem Unternehmen vertraut, muss zusätzlich auf dessen Kompetenz bei der Absicherung des Datenpools bauen. Das hat zum Beispiel bei Myspace nicht funktioniert, das ungewollt immer wieder Benutzerdaten öffentlich gemacht hat. So kursiert heute eine halbe Million private Myspace-Bilder in den Internet-Tauschbörsen. Bei Facebook können Teilnehmer eigene kleine Anwendungen schreiben und diese mit anderen tauschen. Voraussetzung zur Installation ist stets, der Anwendung uneingeschränkten Zugang zum eigenen Profil zu gewähren (Abbildung 2).

Abbildung 2: Facebook-Anwendungen verlangen uneingeschränkten Zugriff auf das Benutzerprofil.

Gleichzeitig sind solche Anwendungen schon so normal geworden, dass das kritische Bewusstsein verloren geht. Ein Beispiel dafür ist das oft irrtümlich als Google OS beschriebene G/OS [4]. Es hat zwar an sich nichts mit Google zu tun, integriert aber Google-Anwendungen wie Tabellenkalkulation, Textverarbeitung, Mail und so weiter in das Anwendungsmenü. Dann öffnet sich zwar ein Webbrowser, aber das Bewusstsein des Anwenders, seine Daten jemand anderem anzuvertrauen, wird durch die Integration in den Desktop getrübt.

Privater Desktop im Netz

Auch Red Hats Community-Distribution Fedora bringt neuerdings optional den so genannten Gnome-Online-Desktop mit, der private Aktivitäten am Computer stärker mit der Online-Präsenz verzahnen soll [6]. Sicher ist die Vorstellung verlockend, Bilder und so weiter durch einen Mausklick mit seinen Freunden und Bekannten zu teilen. Dennoch ist für den Benutzer eine ansonsten deutliche Grenze zwischen privat und öffentlich kaum mehr zu erkennen, zumal die Entwickler die Internetanwendungen tatsächlich auch außerhalb des Browsers in den Desktop integrieren wollen.

Auf der Webseite, die die Programmatik und Vision des Projekts erklärt, sucht man denn auch das englische Wort “Privacy” vergebens. An Microsoft bemängelt der Text nur, dass das entsprechende Projekt “Windows Live” in seiner Internetintegration zu langsam voranschreite. Vermischt mit etwas Open-Source-Ideologie ist ein Ausblick auf vermeintlich wunderbare Zeiten zu lesen: “As people and organizations realize they aren\’t really using desktop operating systems anymore, except to launch their web browser open source will be there with a free-of-cost, free-as-in-freedom and super-simple alternative.”

So ist es auch beim oft gefeierten 100-Dollar-Laptop, der Kinder in Entwicklungsländern computergestütztes Lernen ermöglichen soll. Google gibt sich im Rahmen des Projekts als generöser Sponsor, der den Schülern praktische Anwendungen wie Mail oder Textverarbeitung zur Verfügung stellt [7]. Nach einem Hinweis, dass Google diese Daten zu eigenen Zwecken verwenden kann, sucht man vergebens.

Trügerische Anonymität

Dass selbst anonymisierte Daten leicht den echten Personen wieder zuzuordnen sind, zeigen einige reale Fälle. Der Internet-Megaprovider AOL hat 2006 einen großen anonymisierten Datensatz mit Suchanfragen veröffentlicht, um ihn der Forschung zugänglich zu machen. Experten brauchten nicht lange, um den anonymen User 4417749 mit der 62-jährigen Thelma Arnold in Lilbarn/USA zu identifizieren. Genauso im Fall der Firma Netflix, die 10 Millionen anonymisierte Filmbewertungen von 500 000 Kunden veröffentlichte. Wissenschaftler der Universität von Texas konnten Stichproben daraus durch Korrelieren mit Daten der Internet Movie Database IMDB recht einfach wieder de-anonymisieren, wie Krypto-Experte Bruce Schneier in seinem lesenswerten Crypto-Gram vom Januar 2008 berichtet [8] (siehe Seite 36).

Während immer mehr Netzbewohner sich bereitwillig im Internet offenbaren, stehen viele der staatlichen Überwachung kritisch gegenüber, wie die aktuellen Diskussionen um Vorratsdatenspeicherung und den Bundestrojaner zeigen. Die Debatte spielt sich jedoch fast ausschließlich in gut informierten, technikaffinen Zirkeln ab, etwa dem Chaos Computer Club oder dem Verein Foebud. In den 80er Jahren hatte die anstehende Volkszählung noch eine große gesellschaftliche Diskussion über den gläsernen Bürger ausgelöst, die über den Weg der Klage in der Formulierung des Grundrechts auf informationelle Selbstbestimmung durch das Bundesverfassungsgericht mündete.

Am 27. Februar 2008 hat das Bundesverfassungsgericht festgestellt, dass die in Nordrhein-Westfalen eingeführten Vorschriften zur Onlinedurchsuchung verfassungswidrig sind, weil sie das “allgemeine Persönlichkeitsrecht in seiner besonderen Ausprägung als Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme” verletzen [9], das die Richter in ihrem Urteil als zusätzliches Grundrecht formulieren. Vor leichtsinniger Selbstoffenbarung schützt das Grundgesetz freilich nicht.

Sich schützen

Wer dem unfreiwilligen Datensammeln durch Firmen einen Riegel vorschieben möchte, hat einige Möglichkeiten. Besonders einfach ist es, Cookies im Webbrowser auszuschalten, was das Datensammeln durch Website-Betreiber schon deutlich einschränkt. Weitere Möglichkeiten sind Anonymisierdienste wie Tor, Privoxy oder Java Anon Proxy (Jap), die ein Beitrag im aktuellen Linux-Magazin-Sonderheft näher vorstellt.

Wer sich bei Websites registriert, kann zum Beispiel E-Mail-Adressen verwenden, die nur diesem Zweck vorbehalten sind und nicht der persönlichen Kommu nikation. Oder gleich spezielle Einmaladressen wie die von RFC822-Wasteland [10]. Bei aller Vorsicht braucht niemand in Paranoia zu verfallen.