Besserer Datenschutz: Wie Apples Differential Privacy funktioniert [Update]

Inhaltsverzeichnis

Mit iOS 10 und macOS Sierra will Apple erstmalig bestimmte Nutzerdaten mit Hilfe von Differential Privacy (DP) erheben und schützen; dabei muss der Anwender aktiv zustimmen (opt-in), so Apple bei der Ankündigung. DP ist Teil der Einstellung "Diagnose & Nutzungsdaten an Apple senden". Es existiert also kein Extra-Schalter nur dafür. Diagnose & Nutzung findet man unter Einstellungen/Datenschutz (iOS) beziehungsweise Systemeinstellungen/Sicherheit/Privatsphäre (Sierra). Da die Option beim Neu-Installieren von Sierra bereits aktiviert war, kann man allerdings nicht von opt-in sprechen, es handelt sich dann um opt-out. Wer widerspricht, von dem landen keinerlei Diagnose- und Nutzungsdaten bei Apple, so das Versprechen.

Vorerst sind für DP nur vier Bereiche im Fokus: die Emoji-Verwendung, neue Wörter im Quick-Type-Wörterbuch, Deep-Link-Vorschläge in Spotlight (nur in iOS) und häufige Hervorhebungen in geteilten Notizen. Das Erfassen der verwendeten Emojis dürfte dafür sorgen, dass man die am häufigsten benutzten Emojis schneller findet. Zusätzlich analysiert Apple die eingegebenen Worte über die Quicktype-Tastatur, die ein Nutzer in sein lokales Wörterbuch aufnimmt. Dabei soll auch der Kontext der Wörter erkannt werden. [Update:] Für die Analyse von iCloud-Daten ab iOS 10.3 und macOS 10.12.4 will Apple ebenfalls auf Differential Privacy setzen. [/Update]

Auf Basis der großen Datenmengen aller teilnehmenden Geräte kann Apple leichter einschätzen, ob sich das über die Tastatur eingegebene Wort "spielen" im Kontext auf ein Fußballspiel des FC Bayern München bezieht oder möglicherweise auf Kinder, die auf dem Spielplatz spielen. Darüber hinaus will Apple die sogenannten "Deep-Link-Vorschläge", also die Suchergebnisse (Verlinkungen) in Apps oder auf Webseiten über die Spotlight-Suche besser ranken und in Korrelation setzen. Hinweise und Markierungen in der Notizen-App, die mehrere Anwender markiert haben, sollen ebenso mittels Differential Privacy durchleuchtet werden.

Warum ist Differential Privacy wichtig?

Die Datensammelwut von Facebook, Google & Co. wird oft kritisiert. Es ist noch gar nicht so lange her, da hat Facebook angekündigt, die mit einem WhatsApp-Konto verknüpfte Telefonnummer und die Nutzungsmuster mit dem Mutterkonzern teilen zu wollen. Im Herbst 2014, als Facebook WhatsApp für 22 Milliarden Dollar übernahm, hörte sich das noch ganz anders an; die Vermischung der Daten wurde damals ausgeschlossen.

Die Vorlieben und Abneigungen seiner Benutzer kennt Facebook durch deren Aktivitäten auf seiner Plattform bereits sehr genau. Bislang fehlte der letzte Schritt: die eindeutige Identifikation eines Benutzers. Dabei hilft die Telefonnummer, die jetzt aus den WhatsApp-Daten beigesteuert wird.

Die Berge an personenbezogenen Daten inklusive verifizierten Verbindungen befähigen Facebook, mehr und passgenauere Werbung zu verkaufen, der eigentliche Grund für die Änderung. Facebook, Google und Co. verdienen ihr Geld mit den Daten ihrer Nutzer. Je besser die Daten über verschiedene Ebenen verknüpft sind, desto aussagefähiger und wertvoller sind sie. Oder anders gesagt: "Ist ein Dienst kostenlos, ist der Anwender das Produkt."

Apple dagegen betont immer wieder, dass es mit persönlichen Daten kein Geld verdienen möchte. Stattdessen sind Hardware, Software, Cloud-Dienste sowie der Vertrieb von Musik, Filmen und Büchern die tragenden Säulen des Umsatzes. Daten benötigt aber Apple ebenso, um seine Dienste zu verbessern oder überhaupt erst zu ermöglichen. Um etwa Staus auf den Straßen in seinen Karten zu erkennen und anzuzeigen, braucht es die Positionsdaten von möglichst vielen iPhone-Anwendern – Crowdsourcing macht es möglich.

Den Unterschied macht es, wie verantwortungsvoll man mit den gewonnenen Daten umgeht. Um beim Beispiel zu bleiben: Apple sagt in seinen Datenschutzrichtlinien, dass Fahrgeschwindigkeit und GPS-Position in anonymisierter und verschlüsselter Form an firmeneigene Server gesendet werden (sofern die Ortungsdienste aktiviert sind). Das mag für diese Erhebung den Schutz der Anwender gewährleisten, eine De-Anonymisierung lauert jedoch immer hinter dem geschickten Abgleich verschiedener Datensammlungen.

Datenschutz: Anonymisierung reicht nicht

Netflix zum Beispiel veröffentlichte im Jahr 2007 in guter Absicht Millionen Top-Film-Ranglisten von 500.000 Anwendern. Ziel war es, in einer Art Wettbewerb unter Datenexperten ein besseres Empfehlungssystem zu finden als das bisherige. Um seine Anwender zu schützen, anonymisierte Netflix deren persönlichen Daten. Zwei Wissenschaftlern gelang es jedoch durch die Verknüpfung der Netflix- mit öffentlichen Daten der Seite IMDb (Internet Movie Database), einige der Anwender eindeutig zu identifizieren, indem sie Ranglisten und Zeitmarken abglichen. Viele Anwender nutzen auf IMDb ihren Realnamen.

Möchte Apple neue, wertvolle Crowd-basierte Dienste entwickeln und gleichzeitig seine Privacy-Versprechen halten, galt es also neue Ansätze zu finden. Apple stellte dazu Differential Privacy auf der diesjährigen Entwicklerkonferenz WWDC vor – eigentlich ist das Konzept aber gar nicht so neu. Entwickelt wurde die Idee schon 2006 von Cynthia Dwork, einer Informatikerin und Forscherin am Microsoft Research Lab Silicon Valley. Weitere Forschungen und Veröffentlichungen erfolgten zusammen mit Aaron Roth, einem Informatik-Professor der Universität von Pennsylvania. Die MS-Forschungs-Einrichtung wurde Ende 2014 geschlossen und es ist auch nicht dokumentiert, dass der Hersteller DP in Windows oder in anderer MS-Software einsetzt.

Konkurrent Google nutzt Differential Privacy, um die Nutzungsgewohnheiten der Anwender seines Chrome Browsers auszuwerten. Anwender müssen die Option in den Einstellungen aktivieren ("Nutzungsstatistiken und Absturzberichte automatisch an Google senden").

Wie Differential Privacy grundsätzlich arbeitet

Differential Privacy will sicherstellen, dass statistische Auswertungen über eine Gesamtheit möglich sind, Rückschlüsse auf einzelne Personen aber nicht. Diese Garantie muss mathematisch beweisbar sein. Das ist der Kern der Veröffentlichungen von Dwork und Co., daher finden sich darin zum großen Teil Formeln. Differential Privacy stellt aber an sich keinen Algorithmus dar, sondern eine Definition, ein Konzept.

Dies besagt vor allem, die erfassten Daten nach einem Zufallsprinzip zu manipulieren und zu verändern. Und das auf eine Weise, die eine sinnvolle statistische Analyse und Auswertung weiterhin ermöglicht, Aussagen über einen einzelnen aber praktisch wertlos sind, einfach weil man nicht mehr weiß, ob sie im konkreten Fall zutreffen. Damit wird auch der Abgleich mit anderen Datensammlungen sinnlos.

Um ein Bild aus der Akustik zu wählen: Differential Privacy fügt einem Musikstück ein starkes Rauschen hinzu. Die Melodie bleibt weiterhin gut hörbar, aber einzelne Instrumente lassen sich nicht mehr zweifelsfrei identifizieren. Wichtig: Das Rauschen wird bei DP direkt auf dem Gerät des Anwenders erzeugt, nicht erst in der Cloud beziehungsweise beim Hersteller.

Die Veröffentlichungen von Dwork und Roth beschreiben ein einfaches Beispiel, wie die Privatheit mit Hilfe eines Zufallsfaktors gewährleistet werden kann. In einer Untersuchung werden Teilnehmer etwa gefragt, ob sie schon mal etwas geklaut haben. Niemand würde das gerne zugeben. Bevor sie antworten, sollen sie eine Münze werfen. Bei Zahl antworten sie wahrheitsgemäß, bei Kopf werfen sie die Münze erneut.

Dieses Mal reagieren sie bei Kopf mit "Ja" und bei Zahl mit "Nein". Egal wie die Antwort am Ende lautet, der Betreffende kann sie immer plausibel bestreiten, wenn man ihn damit konfrontiert. Denn man kann nicht sicher sagen, ob das Ergebnis wahr ist oder durch Zufall verfälscht wurde. Durch die Kenntnis des Rauschfaktors wiederum lässt sich dieser aus dem Gesamtergebnis weitgehend herausrechnen und man erhält über eine Gesamtheit dennoch akkurate Aussagen.

Differential Privacy im Praxiseinsatz

Ein Beispiel macht die Kernkonzepte von Differential Privacy klarer: Die Mitarbeiter Martin, Mark, Markus und Peter sind in einer Steuerkanzlei tätig. Beim Erstellen von Dokumenten verwendet die Kanzlei eine Software, welche die von den Mitarbeitern eingegebenen Wörter speichert, um eine bessere Wortvervollständigung anzubieten. Beispiel:

{Mitarbeiter: Martin, Wörter: {Steuerschlupfloch, Bewerbung, Hausbau, …}},
{Mitarbeiter: Markus, Wörter: {Finanzamt, BREXIT, Bewerbung, …}},
{Mitarbeiter: Mark, Wörter: {Auftragssituation, Finanzamt, Bewerbung, BREXIT,…}},
{Mitarbeiter: Peter, Wörter: {BREXIT, Finanzamt, Steuerschlupfloch, Kindergeburtstag, …}}

Bei unbeschränktem Vollzugriff auf die Daten lassen sich aus diesen Daten exakte und personenscharfe Abfragen formulieren, zum Beispiel: Welche Mitarbeiter suchen eventuell einen neuen Arbeitgeber und haben heute das Wort "Bewerbung" eingegeben? Das Ergebnis lautet: Markus, Martin und Mark. Differential Privacy anonymisiert und verfremdet die Daten direkt beim Erfassen. Hierbei kommen spezielle Verfahren wie Hashing, Subsampling und Noise Injection zum Einsatz.

Hashing wandelt personenbezogene Daten in eine zufällige Zeichenkette, die man nicht mehr in ihren ursprünglichen Zustand zurück überführen kann. In unserem Beispiel würde man dies auf den Anwendernamen anwenden, so dass im Datensatz nur "081d026c" etwa für den Namen "Martin" steht. Wie bereits erwähnt, lassen sich derartige Anonymisierungen durch Abgleich mit mehreren Datenbanken unter Umständen aushebeln; dann sind die Daten genauso personenbeziehbar wie ohne Hashing.

Daher kann Hashing nur ein Baustein sein. Das Subsampling-Verfahren beschreibt eine Art Datensparsamkeit, nämlich die Beschränkung auf Stichproben zur Auswertung. Es erfolgt eine Reduktion des Datensatzes, so dass nur ein Teil der erhobenen Daten für spätere Analysen bereit steht. Im Beispiel wären das beispielsweise nur die ersten drei Wörter in jeder Mitarbeiterdatenbank. Der spannendste und wichtigste Teil von Differential Privacy nennt sich Noise Injection, also das erwähnte Einfügen von "Rauschen" in den Datenbestand. Ein Rauschen von ca. 30 Prozent hätte auf unsere Datenbank folgende Auswirkung (die verfälschten Daten sind kursiv gedruckt):

{Mitarbeiter: 081d026c, Wörter: {Steuerschlupfloch, Finanzamt, Hausbau}},
{Mitarbeiter: 081f0274, Wörter: {Finanzamt, BREXIT, Behörde}},
{Mitarbeiter: 03aa018c, Wörter: {Auftragssituation, Mandant, Bewerbung}}
{Mitarbeiter: 05c10201, Wörter: {BREXIT, Finanzamt, Steuer}}

Selbst bei einer kompletten De-Anonymisierung würden die Daten nun nicht mehr dazu taugen, ein realistisches Profil dieser Person zu erstellen. Bei einzelnen Wörtern könnte man nicht sicher sagen, ob diese verfälscht wurden oder nicht. Abgesehen von einer ausreichenden "Störung" gilt es jedoch ebenso, den Umfang der gesamt erfassten Daten zu regulieren, um die Anonymität nicht zu riskieren. Diesen Umfang bezeichnet man als Privacy Budget. Es gilt hier das richtige Maß zu finden. Zu viele valide, also unverfälschte, Daten heben die Anonymität der betreffenden Person auf. Zu wenige Daten machen die Auswertung schwierig bis nutzlos.

Das Privacy Budget ist dabei kein statischer Wert, der sich aus einer einfachen Abfrage ermitteln lässt. Die maximale Privatsphäre bei maximaler Auswertbarkeit ist ein dynamisch individuell zu ermittelnder Algorithmus je Datenmenge. Ist das Privacy Budget überschritten, können keine weiteren Abfragen gestartet werden. Dies macht das dahinter liegende mathematische Modell sehr aufwendig und diesen Punkt zur Achillesferse.

Differential Privacy ergibt in Bereichen Sinn, bei denen man den Lösungskorridor kennt. In unserem Beispiel waren es die am häufigsten verwendeten Wörter. Bei einer großen Datenbank, die Daten vieler Personen enthält, extrahieren Algorithmen statistisch relevante Informationen. Die enthaltenen Störungen lassen sich herausfiltern, nach dem Gesetz der großen Zahlen (die Häufigkeit eines immer gleich durchgeführten Zufallsexperiment nähert sich immer weiter der rechnerischen Wahrscheinlichkeit an), wenn der gesuchte Erwartungswert bekannt ist. Das Ergebnis ist dementsprechend vertrauenswürdig, unabhängig davon, ob die detaillierten Nutzerdaten stimmen oder nicht. Ist allerdings im Voraus nicht klar, für welche Abfragen die Nutzerdaten herangezogen werden sollen, steht das Verfahren vor großen Herausforderungen, sowohl bei der richtigen Dosierung des Privacy Budgets als auch bei der statistischen Auswertung.

In einer zentralen Datenbank kommen nach dieser Veränderung lediglich die folgenden Informationen in unserem Beispiel an: Eine personenscharfe Auswertung, welche Mitarbeiter sich gerade beruflich neu orientieren wollen, ist damit nicht mehr möglich. Mit Blick auf den eigentlichen Lösungskorridor, den Mitarbeitern bessere Wortvorschläge für eingegebene Wörter zu liefern, erscheint die Auswertung jedoch sehr hilfreich.

Fazit: Mehr Datenschutz bei Apple

Natürlich sammelt Apple schon länger in vielen Bereichen benutzer- und standortbezogene Daten, etwa für Spotlight-Vorschläge, für Verkehrsdaten in Karten, Vorschläge in Apple Musik und das Kaufverhalten in den Stores. Apple sagt bislang auch auf Nachfrage nicht, ob oder wann es Differential Privacy auf bestehende Erhebungen ausweitet. Man kann aber davon ausgehen, dass den kleinen Schritten bald größere folgen werden, wenn Erfahrungen mit dem neuen System vorliegen und die Anwender die Neuerungen auch akzeptieren. Die genannten Bereiche würden jedenfalls Sinn ergeben, da sie gut statistisch auswertbar sind.

Differential Privacy kommt dem deutschen Datenschutz-Bestimmungen sehr entgegen, denn hier gilt die Prämisse Datensparsamkeit. Es sollen nur solche Daten verwendet werden, die für den jeweiligen Zweck wirklich notwendig sind. Das Konzept hat darüber hinaus den großen Vorteil, dass die Daten bereits auf dem Endgerät, über die verschiedenen Datenbanken hinweg, verändert werden. Ein Zurückführen auf die Originaldaten ist damit für Apple nicht möglich, da die Daten bereits manipuliert sind, bevor Apple eine statistische Auswertung auf seinen Servern durchführt. Ob die dort ankommenden Daten wirklich sinnvolle Ergebnisse liefern und die Privatsphäre tatsächlich erhalten bleibt, wird Apple ausführlich prüfen und belegen müssen. Eine gewisse Skepsis darf angebracht sein. Gerade das Privacy Budget dürfte für Apple ein wichtiges Stellrad sein.

Im Kampf um das Vertrauen der Nutzer stellt Differential Privacy einen guten Kompromiss dar. In der Praxis wird das Ergebnis immer von der tatsächlichen Implementierung abhängen. Fehler in der Umsetzung oder Sicherheitslücken können auch trotz Differential Privacy als Leitgedanken dazu führen, dass zu viele Daten erhoben werden oder in die falschen Hände gelangen. Von außen kann man nicht beurteilen, ob Apple in diesem Zusammenhang seine Hausaufgaben macht, da es sich um Closed Source handelt. Hier kommt es darauf an, wie offensiv Cupertino Erfahrungen und neue Pläne mit dem neuen Konzept kommuniziert. Zusammenfassend kann man sagen: Der eingeschlagene Weg ist vielversprechend. (bsc)