Die Datenschutzmärchen - Folge 3: Rotkäppchen und die Bärendienste

Datenschutzmärchen

Welche Bärendienste uns sorglose Datenverarbeiter leisten können, illustriert dieses Märchen – auch für kleine und große Menschen ohne IT- und Datenschutzkenntnisse.

1. Februar 2026 um 12:00 Uhr / Von R. Zehl

Datenlecks versorgen so manche mit regelmäßigen Mahlzeiten. Bild: R. Zehl

In der letzten Folge – Rotkäppchen und die Inferenz-Attacke – haben wir uns mit der Tragweite von Alltagsdatenspuren befasst, die kaum vermeidbar sind, und mit einfachen Möglichkeiten der Reduktion und des Selbstschutzes. Sie nicht zu nutzen, ist Selbstgefährdung – so wie das unbedachte Ausplaudern von Informationen bei den sieben Geißlein.

In dieser Folge betrachten wir, warum und wie diejenigen, die personenbezogene Daten Anderer verarbeiten, diese hüten sollten – einmal aus purem Anstand, ersatzweise wegen der Verantwortung und den Sorgfaltspflichten, die die Datenschutzgrundverordnung (DSGVO) ihnen auferlegt. Außerdem skizzieren wir die Rechte der Betroffenen – also der Personen, die durch diese Daten identifiziert und beschrieben werden.

Dazu löse ich das Versprechen aus der letzten Folge ein, meinem Kind als Gute-Nacht-Geschichte eine ganz andere Version des Rotkäppchens zu erzählen – ohne Käppchen und Wolf ;-)

Großmutter Bär

"Wie versprochen: Heute Abend eine andere Version von Rotkäppchen. Dieses Märchen stammt aus Südchina, aus einer Gegend, die man Sichuan nennt. Ähnliche Geschichten gibt es in vielen Gegenden Asiens, und – erstaunlicherweise – auch in Italien, wo sie Die falsche Großmutter (La Nonna finta) heißt. Die hier finde ich aber die schönste."

Es war einmal ein Mädchen, das hieß Jinhua – das bedeutet "Goldene Blume". Es lebte mit seiner Mutter und dem kleinen Bruder in den Bergen. Eines Tages wollte die Mutter über Nacht die Tante der Kinder besuchen. Sie rief über das Tal hinweg die Großmutter, die auf dem anderen Berg wohnte, und diese versprach, in der Nacht die Kinder zu hüten. Dann betraute die Mutter Jinhua mit der Aufgabe, gut auf ihren kleinen Bruder aufzupassen, und machte sich auf den langen Weg.

"Aber warum ruft sie die Großmutter nicht einfach an oder schickt ihr eine E-Mail?", werde ich unterbrochen.

Ich erkläre meinem staunenden Kind, dass all diese Technik noch gar nicht so alt ist und beispielsweise die Oma als Kind noch kein Telefon im Haus hatte, weil es für die meisten Menschen viel zu teuer war. Und als ich Kind war, dauerte es noch Jahre, bis es E-Mail gab – und etliche weitere Jahre, bis viele Menschen darauf Zugriff hatten ...

Bei Sonnenuntergang hatte Jinhua ihr Tagwerk erledigt. Mit lauter Stimme rief sie über das Tal hinweg nach ihrer Großmutter, die normalerweise schnell antwortete. Doch obwohl Jinhua immer wieder und immer lauter nach ihr rief: Es blieb still. So mußte Jinhua alleine ins Haus gehen. Sie verschloß die Türe und erklärte ihrem Bruder, daß sie die Nacht alleine verbringen würden. Sie versicherte ihm, daß ihnen nichts passieren würde und da Jinhua glücklicherweise schon immer ein tapferes und kluges Mädchen war, glaubte das ihr Bruder auch.

Jinhua beruhigte ihn weiter mit Gute-Nacht-Geschichten, als es plötzlich an der Tür klopfte. Eine heisere Stimme murmelte leise: "Großmutter ist da!"

Der kleine Bruder war begeistert. Er drängte Jinhua, die Tür zu öffnen und ließ nicht locker. Die Stimme murmelte: "Kind, ich habe den ganzen Tag in der grellen Sonne gearbeitet und das Licht tut meinen Augen weh. Lösche erst die Kerzen und dann öffne die Tür."

Das tat Jinhua und es war stockfinster, als sie die Großmutter hereinbat. Jinhua führte die Großmutter zu dem Stuhl, in dem sie gerne saß. Kaum setzte sich die Großmutter, zerbrach der Stuhl unter ihr. Jinhua wunderte sich. Sie führte die Großmutter zu einem dicken, stabilen Keramiktopf bei der Feuerstelle. Darauf setzte sich die Großmutter.

(An dieser Stelle gab es einen von vielen Fragen begleiteten Exkurs über die Lebensumstände früherer Zeiten, den wir hier auslassen.)

"Ich muß noch die Glut sicher für die Nacht verwahren", sagte Jinhua und stocherte, ehe sie die Glut mit Asche bedeckte, absichtlich etwas wild darin herum. Die Glut leuchtete kurz auf und im schwachen roten Schein sah sie ein Paar pelziger Tatzen statt den Füßen ihrer Großmutter. Jinhua erschrak. Sie ahnte, was passiert sein mußte: In der Gegend lebte eine gefürchtete Bärin – bekannt als Großmutter Bär – die nachts um und in die Häuser schlich und die Kinder fraß, die sie erwischen konnte. Großmutter Bär mußte gehört haben, was Jinhuas Mutter über das Tal gerufen hatte und den Platz der richtigen Großmutter eingenommen haben. Jinhua atmete tief durch, versuchte sich zu beruhigen und dachte nach, was sie tun könnte.

"Ist die mutig! Hat Jinhua denn gar keine Angst?"

"Sicher hat sie Angst. Deswegen muss sie sich ja beruhigen. Die Angst warnt uns vor Gefahr – aber sie rettet uns nicht, sondern kann uns lähmen. Mutig zu sein heißt, zu erkennen, dass die Angst Dich nur warnt, aber nicht rettet, und dann die Angst beiseite zu schieben und all Dein Können, Dein Wissen und Deine Umgebung klug zu nutzen, um der Gefahr zu entgehen."

Zuerst brachte Jinhua ihren kleinen Bruder in ein anderes Zimmer, bettete ihn zur Nacht und sang ihm ein Schlaflied, bis er eingeschlafen war. Dann schloß sie das Zimmer ab. Sie ging zu Großmutter Bär zurück ...

"Aber warum hat sie das Zimmer nicht von innen abgeschlossen?"

"So eine Bärin ist sehr stark. Wenn die eine ganze Nacht Zeit hat, die Tür aufzubrechen, dann schafft sie das. Das hat sich Jinhua wahrscheinlich auch gedacht und sie hat einen raffinierteren Plan ..."

"Und warum ruft Jinhua nicht um Hilfe?"

"Das ist eine ländliche Gegend und die Häuser stehen dort weit auseinander – da würde sie wohl keiner hören ..."

Sie ging zu Großmutter Bär zurück und sagte: "Kann ich heute Nacht an Dich gekuschelt schlafen?" Großmutter Bär lief schon das Wasser im Mund zusammen und sie stimmte zu. "Bevor wir ins Bett gehen, muß ich aber noch draußen im Garten Groß machen", schob Jinhua nach. Damit ihr Abendessen nicht einfach wegrennen konnte, sagte Großmutter Bär: "Damit Du im Dunkeln wieder rein findest, binde ich Dir diese Schnur um." Das tat sie ...

Jinhua ging hinaus – und kam und kam nicht wieder. Ungeduldig zupfte Großmutter Bär an der Schnur. Es zupfte zurück ... Großmutter Bär wartete noch ein Weilchen, dann zog sie kräftig an der Schnur. Draußen schepperte es.

Ärgerlich rannte Großmutter Bär raus und sah im Mondlicht, daß Jinhua die Schnur an einem Tonkrug festgebunden hatte, der zuerst gewackelt hatte und schließlich umgefallen und zerbrochen war. Keine Spur von Jinhua ... Großmutter Bär sah sich im Garten um und entdeckte Jinhua im Teich. Aber immer, wenn sie versuchte, Jinhua mit ihren Tatzen herauszufischen, verschwand Jinhua. Plötzlich hörte sie Jinhua laut lachen. Tatsächlich saß diese auf dem Birnbaum beim Teich und im Wasser war nur ihr Spiegelbild. Großmutter Bär versuchte den Baumstamm hinaufzuklettern. Aber Jinhua wußte, daß Bären gute Kletterer sind. Deswegen hatte sie auf dem Weg nach draußen einen Krug altes, ranziges Tung-Öl mitgenommen. Das Öl hatte sie von oben auf dem Stamm verteilt, der nun durch das zähe, stinkende Öl glitschig war. Egal wie wütend die Bärin war und egal wie sehr sie sich anstrengte: Sie konnte den Baum nicht erklimmen.

Da sagte Jinhua: "Großmutter Bär, ich weiß, Du bist hungrig. Laß mich Dir einige Birnen ins Maul werfen, denn wenn Du sie in Deine Tatzen nimmst, dann werden sie durch das Öl ungenießbar."

Die Bärin stellte sich unter Jinhua und diese warf ihr eine Birne ins Maul. Dann sagte Jinhua: "Großmutter Bär, hier habe ich eine ganz große – reiß Dein Maul auf so weit es geht!" Jinhua aber hatte nicht nur den Topf Öl mitgenommen, sondern auch die Wurfpfeile, die man in dieser Gegend benutzt, um zu jagen und zu fischen. Und so flog, statt der erwarteten Birne, ein Wurfpfeil in den Schlund der Bärin. Diese stöhnte schmerzerfüllt, röchelte und brach zusammen.

Als die Sonne aufgegangen war, erwachte Jinhuas Bruder gut ausgeschlafen, ohne irgendetwas von den nächtlichen Abenteuern mitbekommen zu haben. Bald kam auch die Mutter zurück und half Jinhua vom Birnbaum. Und nachdem Jinhua erzählt hatte, was sich zugetragen hatte, lobte die Mutter, wie mutig und schlau sie sich und ihren Bruder verteidigt hatte.

Alle mal herhören

Manche Leser denken jetzt sicher: Jinhuas Mutter war aber sehr sorglos! Stimmt – und das dürfte sie ihre eigene Mutter gekostet haben. Das Märchen schweigt sich dazu aus, aber das Ausweiden von Bärinnen zur Wiedergewinnung von Großmüttern ist in chinesischen Märchen nicht üblich.

Viele Mobil-Telefonierer sind allerdings kaum weniger sorglos: Manche telefonieren so laut, als müsse die Distanz durch die Kraft der Stimme überwunden werden – und viele telefonieren auch mit Lauthören, damit die Umstehenden und -sitzenden beide Seiten der Konversation in allen sensiblen Details genießen können. Die ganze Welt als Telefonzelle, besonders Busse und Bahnen.

Unverschlüsselte Mails und verschlüsselte Chats sind zwar etwas besser, aber auch bei einem Chat-System mit angeblich anerkannt gutem Verschlüsselungsalgorithmus bleiben Zweifel, was im Quellcode steht und was dann tatsächlich in die App, die ausgeliefert wurde, hineincompiliert wurde – die Wölfe in Uniform haben wir ja schon in der letzten Folge behandelt.

Ganz unter uns ...

Im Taxi, insbesondere bei Krankenfahrten, herrscht aber doch bestimmt mehr Privatsphäre? Zum Erstaunen eines geschätzten Kollegen, der in den "Genuss" einer Konsilfahrt kam, nicht: Er wurde vom Taxifahrer nicht nur auf der Station abgeholt und mit Namen begrüßt – dieser wusste auch genau, welche Station und welcher Untersuchungsraum in der Klinik das Ziel war.

Das Interesse des Kollegen war geweckt. Auf dem Smartphone des Taxifahrers lief eine Taxi-App. Das Display war auf dem Armaturenbrett platziert, gut sichtbar für den Taxifahrer – und alle Passagiere.

Dort liefen dauernd Fahraufträge durch – im Fall der Konsilfahrten mit dem vollständigen Namen der Patienten sowie der Stationen, wo sie abgeholt und hingebracht werden sollten. Und da gab es dann wesentlich spannendere Abhol- und Zielstationen als bei meinem Kollegen: Diabetologie, Strahlentherapie oder Psychiatrie bergen ernsthaft heikle medizinische Informationen.

Im Plausch mit dem Fahrer ergab sich: Diese Informationen sind nicht nur bei allen gerade aktiven Fahrern sichtbar, sondern können auch in der Zentrale nachträglich eingesehen werden und werden ohnehin für die Abrechnung einen unbekannten Zeitraum archiviert.

Ganz normale Rücksichtnahme und purer Anstand – schlicht digitale Diskretion – sollte den Geschäftsführungen der Taxi-Unternehmen und der Kliniken eigentlich klar machen: So geht das nicht! Die klassische, Empathie stiftende Frage, die man schon kleinen Kindern beibringt – "Wie würde ich mich an Stelle des Gegenübers fühlen?" – sollte allein zu dieser Einsicht führen, ganz ohne die Drohkulisse der DSGVO.

Diese Einsicht setzt aber ein Mindestmaß an digitaler Bildung voraus. Und wo soll die herkommen? Denn daran mangelt es schon in manchen Bildungseinrichtungen in krasser Weise. Ich kenne einige Anekdoten aus dem Bildungsbereich von Kindergarten bis Gymnasium – aber die folgende schlägt alle anderen.

Onlinekatalog für Großmutter Bär

Es war einmal eine Schule, die wollte die Erstklässler an die Digitalisierung heranführen, indem auf der Schulwebsite von jeder Klasse und jedem Kind ein detailliertes Profil präsentiert wurde, offen zugänglich. Je Klasse waren es Klassenlehrer, der Stundenplan sowie Berichte über laufende und vergangene Projekte, je Kind Bild, Hobbys und Vorlieben – es fehlte eigentlich nur noch der Bestellknopf für die interessierte Bärin.

Ein geschätzter Kollege suchte das Gespräch mit den Verantwortlichen. Sie eröffneten das Gespräch mit: "Ich lasse meine Kompetenz von Ihnen nicht in Frage stellen." Mein Kollege sah sich genötigt, seine respekteinflößenden Referenzen auszupacken und nachdem er eine Stunde lang mit Engelsgeduld – mir wäre längst der Kragen geplatzt – dargelegt hatte, wie Pädokriminelle solche Daten zur Opferansprache missbrauchen, schien Einsicht zu dämmern und er versuchte den Wrap-Up: "Wir sind uns jetzt also einig, dass solche Daten nicht ins Internet gehören?" – "Ja", antwortete die Schulleitung und fügte hinzu: "Aber wir stellen sie ja nicht ins Internet, sondern nur auf unsere Webseite."

Nach dieser eindrücklichen Kompetenzdemonstration sprach mein Fachkollege dann zur Sicherheit ein Verbot für sein Kind aus (natürlich weiß er, dass die Nicht-Einwilligung genügt), woraufhin ihm von der Schulleitung eine rückständige, fortschritts- und digitalisierungsfeindliche Gesinnung unterstellt wurde, gefolgt von dem Vorwurf, dem Kind digitale Bildung vorzuenthalten (da mache ich mir keine Sorgen: Der Kollege ist Informatiker!).

So weit, so krass – aber steigerungsfähig ...

Denn es begab sich einige Wochen später, dass eine Bärin sich dort auf die Jagd begab. Das erste Kind, das sie ansprach, war glücklicherweise sehr aufmerksam, clever und gut vorbereitet. So schlug der Versuch fehl und seine Eltern waren informiert. Sie wiederum alarmierten die Polizei und – über Telefonketten – die anderen Eltern. Die Ankunft der ersten alarmierten Eltern wiederum brachte die Bärin dazu, den zweiten Versuch abzubrechen und die Flucht zu ergreifen – wodurch wohl Schlimmeres verhindert wurde.

So weit, so krass – aber steigerungsfähig ...

Die Reaktion der Schule: Sie rügte die alarmierenden Eltern, weil sie andere Eltern unnötig in Panik versetzt hätten. Dem ersten Kind wurde unterstellt, es wolle sich nur wichtig machen – und übrigens habe der ganze Vorfall auch nichts mit der Schulwebsite zu tun (doppelt interessant: Erstens hatte zu diesem Zeitpunkt noch niemand davon gesprochen und zweitens: Woher eigentlich diese Erkenntnis?). Immerhin: Die Profile verschwanden dann sehr zeitnah – obwohl sie doch gar nichts mit dem Vorfall zu tun hatten.

Die Polizei dagegen stufte die Aussage des ersten Kindes als absolut glaubwürdig ein, weil es spezifische Details des Tätervorgehens berichtete, die sich Kinder nicht ausdenken können. (Und nein – im Gegensatz zu den sieben Geißlein plappere ich Sicherheitsrelevantes nicht aus.)

Leider kein Märchen, sondern eine reale Anekdote der Kategorie "Et jit nix wat et nit jit" (frei in das Hochdeutsche übersetzt: "So einen Irrsinn kann man sich gar nicht ausdenken ..." – kopfschüttelnd im Tonfall der Verzweiflung und Resignation gesprochen).

Schauen wir uns die beiden Anekdoten nun im Lichte der DSGVO an.

Post-Mortem-Analyse

Die DSGVO verlangt eigentlich lauter vernünftige und einleuchtende Dinge. Stark vereinfacht: Wenn jemand die Daten anderer Personen verarbeitet, trägt er für diese Daten auch Verantwortung – auch wenn die eigentliche Verarbeitung delegiert wird. Zur Verantwortung gehört auch, die Sicherheitsmaßnahmen so zu wählen, dass sie mögliche Risiken und Schäden auf dem Stand der Technik abwehren und Missbrauch erkannt werden kann.

Die betroffenen Personen müssen über Art und Umfang der Verarbeitung wahrheitsgemäß und verständlich informiert werden, ebenso über die Rechtsgrundlage der Verarbeitung und ihre Rechte. Der Gebrauch von Rechten – insbesondere des Rechts des Nein – darf nicht in Diskriminierung enden. Sollte Missbrauch erkannt werden, müssen die Datenschutzaufsicht und die Betroffenen darüber informiert werden, damit Letztere sich schützen und den Schaden begrenzen können.

IMHO absolut vernünftig und einleuchtend: Einzelne Bürger werden hier vor stärkeren Institutionen geschützt – so wie wir es auch vom Verbraucherschutz kennen und schätzen.

Die DSGVO trägt der bitteren Wahrheit Rechnung: Es gibt immer Menschen, die – als des Menschen Wolf – andere Menschen ihrem Profit opfern – sei es als externe Kriminelle oder als Innentäter. Beiden auf dem Stand der Technik hohe Hürden entgegenzustellen, ist die Pflicht dessen, der personenbezogene Daten erheben und verwenden will – keine optionale Gefälligkeit, sondern der faire Preis, der für den viel reklamierten großen Nutzen aus der Datenverarbeitung zu zahlen ist.

Datenminimierung – sowohl in der Bereitstellung wie in der Erhebung – ist dabei offensichtlich das stärkste Instrument: Daten, die nicht vorliegen, können nicht missbraucht werden. Dem Risiko der Datenbereitstellung und -verarbeitung sollte also immer ein klar erkennbarer, benennbarer und überwiegender Nutzen gegenüberstehen.

Im Fall der Schule mangelte es daran. Zudem handelte es sich um Daten von Kindern, für die die DSGVO besondere Sorgfalt und langfristiges Risikobewusstsein einfordert – auch wieder vernünftig und einleuchtend (Erwägungsgründe 38, 58, 71, 75; Art. 6 Abs. 1 f). Hilft uns das?

Jetzt komme ich aus der IT- und Informationssicherheit – bin also im technischen Datenschutz unterwegs – und kann damit nur juristische Laienmeinungen äußern. Ich mag mich also irren, aber nach meiner Einschätzung wäre die Schule, auch wenn es zum Schlimmsten gekommen wäre, fein raus: Wenn die Einwilligungen der Eltern der betroffenen Kinder vorliegen, hat die Schule formal nichts falsch gemacht. Sie hat transparent über die beabsichtigte Veröffentlichung informiert und "die Risiken hätten ja jedem aus Fernsehen und Zeitung bekannt sein müssen". Der einzige Wermutstropfen in diesem juristischen Idyll: die unerwünschte und unwillkommene Intervention meines Kollegen.

Aus der Schulanekdote können wir lernen: Einwilligungen sollten sehr sorgfältig überlegt werden! Man sollte sich keineswegs darauf verlassen, dass es keine Risiken gibt, weil doch bestimmt irgendjemand Kompetentes sie abgewogen hat und einen darauf hingewiesen hätte. Der Nutzen sollte jedenfalls die Risiken klar übersteigen – und wenn es keine professionelle Datenschutz-Folgeabschätzung mit einer Risikoanalyse gibt und man selbst die Risiken nicht abschätzen kann, dann müsste der Nutzen extrem sein – eigentlich sogar unendlich.

Spannender ist der Fall der Taxifahraufträge. Der Nutzen ist hier recht klar – auch der Nutzen, dass die Fahrer die Patienten namentlich ansprechen können. Aber: Es handelt sich um Gesundheitsdaten, die zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO gehören. Aus purem Eigeninteresse sollte ein Taxiunternehmer solche Daten gar nicht haben wollen: Sie steigern die Anforderungen an die Sicherheitsmaßnahmen, erfordern potenziell eine Datenschutz-Folgenabschätzung, fließen in die Bemessung etwaiger Bußgelder und so weiter.

Und auch wenn die Klinik die Rechtmäßigkeit dieser Datenweitergabe korrekt gelöst hat, bleibt sie in der Pflicht, die Sicherheit der Weiterverarbeitung zu prüfen. Für beide Seiten ist das ein unnötiges Unterhaltungspotenzial, das nicht nur im Interesse der Patienten, sondern aus purem Eigennutz vermieden werden sollte.

Und das wäre auch nicht schwierig: Statt des Namens im Fahrauftrag könnte etwa eine Nummerierung innerhalb des Tages verwendet werden. Damit kann der Fahrer sich bei der Station melden und den richtigen Patienten zugewiesen bekommen. Gleichzeitig ist damit eine gewisse Kontrolle hinsichtlich des Verbleibs von hilfsbedürftigen Patienten oder Kindern durch das Klinikpersonal gegeben. Ein bisschen Sicherheitsreserve schadet nie.

Natürlich sind verschiedene Varianten denkbar, das hängt auch davon ab, wie die Klinik Patienten und Vorgänge intern identifiziert. Patientennummern (Pseudonyme) führen aber zu einer Re-Identifizierbarkeit und sind damit heikler als ein Zähler oder eine Nonce. Kann der Name gegenüber dem konkreten Fahrer genannt werden? Die Datenschutzaufsichtsbehörden beraten in solchen Fällen durchaus. Man fragt sie aber am besten, bevor man Fakten schafft.

Anekdoten erlauben eine lebendige, konkrete und anschauliche Diskussion, sind aber potenziell nur Einzelfälle. Wenden wir uns also erwiesenen Massenfällen zu.

The Bleeding Edge

Eine angelsächsische Redewendung sagt: "The leading edge is the bleeding edge" – frei übersetzt: "An der technologischen Spitze kann man sich verletzen." Das dürfte sich auch jenes Pärchen gedacht haben, das die Risiken hipper Must-have-Technik als erste in die Presse katapultieren – als unfreiwillige Porno-Stars. Smart-TVs waren auch für weitere unschöne Überraschungen gut.

Nun kann man einwenden, Smart-TVs hätten ihren Zenit überschritten. Richtig, aber deren Probleme sind charakteristisch für praktisch jede hippe, neue Consumer-Technik. Sprachassistenten wie Alexa, Siri, und Co. – IMHO generell problematisch, weil dauernd mithörend – lassen sich etwa aus der Ferne aktivieren: durch offene Fenster oder die Wohnungstür, durch Fernsehen, Radio, Audio-Books oder Telefonate mit Lautsprechen – und auch verdeckt.

Bei Heimüberwachungskameras mit Internetzugang (und vielfach auch Mikrofon) stellt sich nicht nur die Frage, wie sorgfältig der Cloudservice-Betreiber mit den potenziell hochsensiblen Daten umgeht, sondern auch, wie es um die Basis-IT-Sicherheit und Updates steht. Saugroboter mit Kamera und Mikrofon stehen auch nicht besser da.

Solange solche herstellerseitigen Schlampereien, also das Ignorieren der DSGVO-Forderungen Privacy by Design, Privacy by Default und IT-Security auf dem Stand der Technik, weit verbreitet sind, hege ich meinen technischen Spieltrieb ein und begrenze mein Risiko: Nichts dergleichen kommt mir ins Haus. Die Online-Infos sind meist lückenhaft und jedes Gadget mehrere Tage selbst zu pentesten ist mir einfach zu aufwendig.

Aber damit ist es ja leider nicht getan: Wo immer man übernachtet, Sport treibt, sich umzieht etc., können solche hippen Gadgets herumlungern. Wie sicherheitsbewusst sie von ihren technikverliebten Besitzern ausgewählt, konfiguriert und gewartet werden, ist eine spannende Frage. Wie lauter die Absichten der Besitzer sind, auch. Böswillig versteckte Kameras sind ein ganz eigenes relevantes und heikles Thema, das aber nicht in den Themenkreis dieses Märchens – mangelnde Sorgfalt der Verantwortlichen – passt.

Ob unser Leben durch solche Gadgets wirklich besser, sicherer und einfacher wird?

In der Endlosschleife ...

Wir hatten im ersten Datenschutz-Märchen jenes pfiffige Plakat der Polizei NRW, das mahnte, seine Urlaube nicht per Social Media zu verkünden. Das ist ratsamer Selbstschutz.

Wir müssen aber auch hoffen, dass die Shareconomy (Uber, Airbnb), Fitness-Apps, Taxis (siehe oben), die Bahn, Fluglinien, Kreuzschiffreedereien und Hotelketten unsere Daten gut unter Verschluss halten.

Da lässt sich leider eine sehr, sehr lange Liste von Gegenbeispielen finden – eines ist hier nachzulesen.

Und so wichtig bei der Sicherheit personenbezogener Daten die Vertraulichkeit ist, die DSGVO fordert explizit auch:

Artikel 32 – Sicherheit der Verarbeitung

(1) (...)

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

(...)

Auch Crypto-Ransom ist also zu verhindern und die Wiederherstellbarkeit durch geschützte Backups ist eben kein Nice-to-have. Es geht auch nicht nur um ausfallende Flüge – obwohl die, je nach Reisegrund, ein gravierendes Problem darstellen können. Es geht um Leben oder Tod.

IT-Sicherheitsmängel töten!

Zu Patientenschäden durch IT-Sicherheitsmängel gibt es inzwischen einige Studien, die eine deutliche Übersterblichkeit in Krankenhäusern belegen, die durch IT-Security-Incidents lahmgelegt wurden. Methodisch beeindruckend finde ich eine Studie der School of Public Health, University of Minnesota, die durch clevere statistische Auswertungen empirisch nachweist: Durch die Betriebsstörungen während einer Ransomware-Attacke steigt die Sterblichkeit der Patienten insgesamt um 35 bis 41 Prozent, also um zusätzliche 1,2 bis 1,4 Todesfälle je 100 Patienten.

Insgesamt. Also über alle Patienten von der Blinddarm-OP bis zum Intensivpatienten. Letztere haben allerdings ein sehr viel höheres Sterberisko von bis zu 2,4 zusätzlichen Todesfällen je 100 Patienten.

Es wird gerne lamentiert, dass die Sicherheitsanforderungen und vor allem der Datenschutz "die Digitalisierung ausbremsen". Immer wieder ist zu hören: "Datenschutz tötet" – mit haarsträubenden Notfallszenarien, in denen Datenschutz angeblich die Rettung von Menschen behindert habe. Krassere Unkenntnis der DSGVO kann man kaum demonstrieren. Denn die ist in diesem Punkt kristallklar:

Artikel 6 – Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (...)

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; (...)

Die DSGVO behindert also bei Notfällen niemals!

Datenlecks töten!

Klar belegbar ist das Gegenteil: Datenschutz schützt. Datenlecks töten!

Und zwar indirekt: Die Opfer von Datenlecks leiden häufig unter Depressionen, Angststörungen, posttraumatischen Belastungsstörungen, suizidalen Gedanken – natürlich umso mehr, je sensibler die geleakten Daten sind.

Wie etwa beim Vastaamo-Datenleck, bei dem psychotherapeutische Daten – inklusive Gesprächsprotokolle! – von rund 36.000 Finnen öffentlich wurden. Es lohnt sich zu lesen, was medizinische Datenlecks für die Opfer tatsächlich bedeuten. So beschreibt ein Opfer laut einem Bericht von Wired, dass in den Therapieprotokollen die Reaktionen seiner Frau und Kinder auf seine Krebserkrankung dokumentiert seien. Während durch die Erkrankung sein Tod nah ist – unabhängig von seinen Suizid-Gedanken -, werden Frau und Kinder weiter mit der Belastung leben müssen.

Andere Patienten hatten sich ihren Therapeuten mit Seitensprüngen, Missbrauchserlebnissen, Suizidversuchen oder pädophilen Fantasien anvertraut. Ein Opfer war derart verzweifelt, dass es sogar angeboten hatte, die gesamten 40 Bitcoin (damals rund eine halbe Million Dollar) zu zahlen, um die Veröffentlichungen zu stoppen. Jugendliche fragen sich, ob sie jemals einen Job bekommen, Erwachsene, ob sie es wagen können, einen neuen Job zu suchen. Dazu kommt die Furcht, in zukünftigen Jahren immer wieder mit diesen Daten konfrontiert zu werden – eine nie endende Hölle, wie ein Opfer formulierte.

Das führte leider – aber wenig überraschend – auch zu einigen Suiziden, obwohl die finnische Gesellschaft den Opfern ein viel höheres Maß an Unterstützung zukommen ließ, als ich bisher je bei anderen medizinischen Datenlecks beobachten konnte. Typisch sind leider eher Vorgänge wie beim 23andme-Datenleck – Abwiegeln und Leugnen, anschließende Insolvenz und Datenverkauf. Eine Strategie, die übrigens auch die Vastaamo-Verantwortlichen wählten.

Neben der – in meinen Augen absolut berechtigten – Empörung über die Cyberkriminellen sollte aber eine ebenso große Empörung für ihre stillen Komplizen treten, die diese Vorfälle durch ihre Vernachlässigung des Stands der Technik bei der IT-Security erst ermöglicht haben und die durch ihr Abwiegeln und Leugnen eine frühere Schadensverlaufskontrolle verhindert haben.

IMHO sind die Verantwortlichen keine Opfer, sondern haben aus Eigennutz fahrlässig bis vorsätzlich ihre Schutzbefohlenen verraten und sind ebenso schuldig und verantwortlich für die Katastrophe.

"Failing to prepare is preparing to fail!"

Um Missverständnisse zu vermeiden: Natürlich machen Menschen Fehler. Und jedes IT-System ist letztlich das Arbeitsprodukt von Abertausenden von Menschen. Es enthält also sicher Fehler. Sicher nicht alle sicherheitsrelevant, aber einige eben schon.

Was Profis von Laien unterscheidet, ist, dass sie um die potenzielle Fehlerhaftigkeit der eigenen und fremden Arbeit wissen und sie ihre Arbeit so anlegen, dass die Fehlerauswirkungen minimal und kontrollierbar bleiben.

Das heißt also, die Angriffsexposition und -oberfläche ebenso zu minimieren wie Einwirktiefe in das System und das System und die abgebildeten Geschäftsprozesse auf Anomalien zu überwachen. Und das heißt auch, den Mumm zu haben, sich unbeliebt zu machen, wenn Architektur oder Geschäftsmodell Fehlerminimierung und -kontrolle unmöglich machen.

Es geht also nicht darum, dass keine Incidents passieren dürfen, sondern um sorgfältige Vorsorge und Vorbereitung. Mir wurde auch schon ein kritisches System unter meiner Aufsicht durch einen Zero-Day-Exploit kompromittiert: Der Angreifer konnte aus dem FTP-Server heraus eine Shell öffnen. Unschön.

Aber ich hatte das System sehr sorgfältig gehärtet. Der User, unter dem der FTP-Server lief, hatte keine weiteren Eingriffs- und Zugriffsmöglichkeiten im System – und übrigens auch keine Login-Shell in der /etc/passwd. Sämtliche weiteren Verarbeitungsschritte liefen unter anderen unprivilegierten Usern.

Die FTP-transportierten Daten waren kryptografisch gesichert – Schaden konnte der Angreifer effektiv nur durch Löschen oder Duplizieren von Daten stiften, oder durch Systemüberlastung. Außerdem war das System sehr gut instrumentiert und wurde engmaschig automatisiert überwacht. Die Alarme schrillten also schnell und wir konnten die vom Angreifer in der Shell abgesetzten Befehle nachvollziehen.

Da wir in diesem Projekt solche Risiken vorher analysiert hatten, ihre Tragweite sowie mögliche Maßnahmen zur Schadensbegrenzung also schon kannten, konnten wir damit umgehen. Insbesondere waren die Alarmierungswege klar und der Handlungsspielraum der Systemadministratoren – ich hatte also die Befugnis, den Internetzugang zum System nach eigenem Ermessen (für eine begrenzte Zeit) zu kappen – also die maximale Angriffsexposition auf ein Minimum zu reduzieren -, und nutzte sie.

Die Zeit bis zum Krisenmeeting reichte für eine erste Analyse und da das Management in der Risikoanalyse involviert war, gab es keine langwierigen und unproduktiven Grundsatz- und Schulddiskussionen. Wir konnten uns auf das Wichtige konzentrieren: Was wissen wir mit welcher Belastbarkeit?

Gibt es Vorschläge für wirksame Workarounds? – Ja, wir können per Watchdog automatisiert jeden Prozess killen, der vom FTP-Server abforkt. – Können wir die Überwachung verschärfen? – Ja, aber es kostet uns Spitzenlast-Kapazität.

Da es beim Schadenspotenzial "nur" um Geld (allerdings viel ;-) ging, war die Management-Entscheidung recht einfach: Härtung und Monitoring hatten sich bewährt, die Dienstnutzer wurden über den Incident, seine Handhabung und die Spitzenlast-Einschränkung informiert und der Betrieb fortgesetzt, wobei sich einige Leute bis zur Patch-Bereitstellung durch den Hersteller über Nacht- und Wochenendzuschläge für die 7/24-Präsenz freuen durften.

Wie gesagt: Es geht nicht um absolute Fehlerfreiheit, sondern um Vorsorge und Vorbereitung. Ernsthafte, professionelle IT-Sicherheit ist keine Gunst, die die Datenverarbeiter dem niederen Datenvolk huldvoll gewähren, sondern ihre gesetzliche Pflicht und Schuldigkeit.

Vergleichen wir das doch mal mit der Halterhaftung, die jeden Pkw-Besitzer wegen der betriebsspezifischen Gefahr trifft, und den wesentlich härteren Regeln im Bereich der Personenbeförderung, sei es auf der Straße, Schiene oder in der Luft. Die Verarbeitung personenbezogener Daten kann für "Passagiere von IT-Systemen" ebenfalls erhebliche Gefahren verursachen, wie wir gesehen haben. IT ist zu ubiquitär und etabliert, um immer noch Welpenschutz zu verlangen. Es ist hohe Zeit, erwachsen zu werden. Ich hoffe, meine harte Haltung ist damit nachvollziehbar geworden, und wir können zur Datenvertraulichkeit und Datenlecks zurückkehren.

Ausnahme oder Regel?

Das Vaastamo-Datenleck samt Erpressung war jedenfalls (entgegen anderer Berichterstattung) kein Novum, kein bedauerlicher Ausreißer, nicht unvorhersehbar, sondern schlicht der traurige Regelfall: Die doppelte Erpressung sowohl der Institution wie der einzelnen Patienten mit der Drohung, Daten zu veröffentlichen, wird seit mindestens 2008 praktiziert: wie bei dem Express-Scripts-Vorfall mit E-Rezepten und 50 Millionen Opfern in den USA. Von Anfang an galt bei den ausgewählten Erpressungsopfern: Je sensibler die Daten und je verwundbarer die Patienten sind, desto höher ist die Aussicht auf Zahlung. Auch medizinische Datenlecks sind seit Jahrzehnten häufig.

Bisher sind die Daten jeder mir bekannten zentralisierten medizinischen Datenbank mit breiterem Zugang binnen einiger Jahre in Gänze oder in weiten Teilen abgeflossen oder umgewidmet worden – meist mehrfach. (Ich bitte um Gegenbeispiele!)

Das erste mir bekannte Beispiel ist die Gendatenbank aller Isländer 1998. Ähnlich erging es den Gendatenbanken in Estland und den Niederlanden.

Die Liste medizinischer Datenlecks lässt sich praktisch endlos fortsetzen. In der jüngeren Vergangenheit: Schweden, Norwegen, Dänemark, Estland, Irland, Frankreich, Spanien, Singapur, Australien.

Es wird nicht gelernt: Schon am 16. August 2005 gab es vor dem Gesundheitsausschuss des US-Kongresses eine Expertenanhörung zur Sicherheit und zum Schutzbedarf von Patientendaten – alleine seit Anfang 2005 bis zu diesem Tag waren zwölf Datenlecks mit 1,6 Millionen Opfern bekannt. Im Zeitraum von 2003 bis 2006 wurden 16 Millionen Patientendaten missbraucht – übrigens zu 75 Prozent durch Innentäter. Die Zahlen explodierten in den Folgejahren.

Seit 2009 gibt es deswegen in den USA klare Regeln, von denen wir uns eine Scheibe abschneiden sollten: Medizinische Datenlecks sind der Aufsichtsbehörde, den Medien und den Betroffenen zu melden. Den Betroffenen sind verschiedene Überwachungsdienste zu zahlen und es gibt eine öffentlich einsehbare Datenbank mit allen Datenlecks beim Gesundheitsministerium sowie jährliche Berichte wie etwa hier – bewusst ziemlich schmerzlich für die Verantwortlichen, die aus US-amerikanischer Sicht eben immer eine Mitschuld tragen.

Trotzdem hat es in den USA seither so viele weitere medizinische Datenlecks gegeben, dass inzwischen rechnerisch jeder US-Bürger mehrfach Opfer war!

Den Luxus einer solchen öffentlichen Datenbank haben wir in Deutschland nicht. Das Blog Patientenrechte und Datenschutz versucht tapfer, eine gut gepflegte und dennoch unvollständige Liste deutscher Medizin-Datenlecks zu führen.

Wir hören immer: "Das Internet vergisst nichts." Vergangene Datenlecks werden aber gerne "vergessen" und ihre Spuren recht schnell schwer auffindbar – eine systematisierte retrograde Amnesie.

Verdaten, verraten und verkaufen ...

Großbritannien, dessen Bereitstellung von Patientendaten für die Forschung uns als Vorbild gepriesen wird, hat auch eine interessante Historie: Das ohnehin notorisch unterfinanzierte britische Gesundheitswesen (NHS – National Health Service) hat sich mit seiner Digitalisierung mehrfach verhoben: Die Kosten überstiegen die initiale Prognose um mehr als das Zehnfache, der Zeitplan lief ohnehin komplett aus dem Ruder und Datenlecks häuften sich seit 2007.

Großbritannien beschritt daraufhin einen ganz anderen Weg als die USA: Der NHS begann mit den Vorbereitungen, die Gesundheitsdaten zu verkaufen. Die Einwilligung der Patienten wurde vorausgesetzt – nur über einen Opt-Out konnte man entkommen. Geworben wurde mit dem medizinischen Fortschritt und der Anonymisierung der Daten, die – bei genauerem Hinsehen – aber nur eine Pseudonymisierung war: Informationen zu Geburtsdatum, Postleitzahl, Rasse (!) und Geschlecht blieben im Patientendatensatz erhalten. Die datenbankverwaltende Stelle HSCIC sah "nur ein theoretisches Risiko" der Re-Identifikation – krasser kann man totale Unkenntnis des damaligen Standes der Wissenschaft zum Thema De-Pseudonymisierung kaum zur Schau stellen.

Der von den Daten- und Verbraucherschützern erhobene Einwand, es gebe "für die Öffentlichkeit zukünftig keine Möglichkeit zu prüfen, wer ihre Daten hat und wozu sie verwendet werden", ist neben den Verkaufserlösen wahrscheinlich eine willkommene Synergie: Bei zukünftigen Datenlecks unklarer Provenienz können jetzt viele (Nicht-)Verantwortliche aufeinanderzeigen.

Zu den Nutzern dieser Gesundheitsdaten gehört – neben erwartbaren Pharmakonzernen wie Merck, Bristol-Myers Squibb und Eli Lilly – überraschenderweise auch die Google-Tochter Deepmind, der Onlinehändler Amazon und der Überwachungsspezialist Palantir, deren Forschungsschwerpunkte bekannt sein dürften. Hier schließt sich in erschreckender Konsistenz der Kreis zur oben erwähnten isländischen Gen-Datenbank.

Trotz der Datenverkäufe ist der NHS übrigens weiterhin unterfinanziert – kein Wunder: 2018 etwa wurden, bei einem Haushalt von rund 114 Milliarden Pfund, die Gesundheitsdaten der gut 65 Millionen NHS-Versorgten für gut 10 Millionen Pfund verramscht. Es wird geschätzt, dass 2023 rund 14.000 Todesfälle durch die notorisch langen Wartezeiten verursacht wurden!

Seit 2009 ist das Vertrauen in den NHS im Sinkflug. Überraschend ist, welch große Rolle der Verkauf der Gesundheitsdaten und des Arztgeheimnisses für Peanuts dabei spielt, indem er die Wahrnehmung des NHS als solidarisch und gemeinwohlorientiert unterminiert. Eine Studie von Mitte 2023 kommt zu dem Schluss: "This demonstrates that, despite its rhetorical neatness, the formulation data = wealth = health that many policy reports, such as the aforementioned Data Saves Lives, appear to assume needs to be carefully examined and robustly demonstrated, rather than just wishfully proclaimed, especially if it is to convince a sceptical public." Kurz: "Soll die Gesellschaft [vom Nutzen der Gesundheitsdatenverkäufe] überzeugt werden, braucht es empirische Beweise, dass die nette rhetorische Formel 'Daten retten Leben' nicht nur Wunschdenken ist." Denn zum Zeitpunkt der Studie – und meines Wissens auch heute noch – gibt es keine belastbaren, signifikanten medizinischen Fortschritte durch diesen Datenhandel.

Und das überrascht nicht, kennt man den Artikel (PDF) von Professor Gerd Antes, Institut für Didaktik und Ausbildungsforschung in der Medizin, Klinikum der Universität München, Mathematiker, Biometriker und ehemaliger Direktor des Deutschen Cochrane Zentrums. Der kurze Artikel belegt sehr kompakt und sehr stringent, wieso Datenmassen ohne Datenqualitätsicherung und -analyse keine wissenschaftliche Evidenz erzeugen. IMHO absolut lesenswert.

Wer übrigens Parallelen zur deutschen Gesundheitstelematik und E-Patientenakte sowie zum EHDS (European Health Data Space) entdeckt, darf sie gerne behalten.

Warum so ein Aufhebens um medizinische Daten?

Wieso sind medizinische Daten besonders? Vergleichen wir mit Bankdaten: Wird der Kontostand einer Person enthüllt oder auch der Kontoverlauf eines ganzen Jahres, ist das sicherlich unschön und potenziell rufschädigend. Aber in ein paar Jahren kann die wirtschaftliche Situation der Person eine ganz andere sein. Außerdem könnten ja weitere Konten existieren und somit das Bild aus diesem einen Konto ohnehin unvollständig sein.

Das ist bei Krankheitsdaten – denn "Gesundheitsdaten" ist ein Euphemismus, der verschleiert, worum es wirklich geht! – völlig anders: Alles, was potenziell rufschädigend oder beeinträchtigend ist, bleibt lebenslang gültig.

Schlimmer noch: Auch Krankheitsdaten von nahen Verwandten können das eigene Leben oder das der Kinder versauen. Das Wissen um erblich disponierte Krankheiten explodiert förmlich und die Attraktivität als Arbeit- oder Versicherungsnehmer könnte erheblich leiden, wenn diese Daten in falsche Hände gelangen. Immerhin trägt jeder 17. die Anlage einer "seltenen Krankheit" in sich, von denen 80 Prozent genetisch disponiert sind. Rund jeder 20. ist also Träger einer genetisch disponierten Krankheit! Über alle Verwandten 1., 2. und 3. Grades betrachtet, ist kaum jemand vor übereifrigen Inferenzen gefeit.

Es gibt keine "harmlosen Gesundheitsdaten", wie ein häufig genutztes Beispiel zeigt. Man wusste lange: Bei den Wirkstoffen Phenylephrin und Pilocarpin hatten manche Patienten eine scheinbar harmlose Überreaktion. Kein Ding: Es wird als Unverträglichkeit vermerkt und auf Alternativ-Substanzen ausgewichen. 2007 erwiesen sich diese Reaktionen aber als treffsicheres Frühdiagnostikum für Alzheimer- und Parkinson-Demenz – beide erblich disponiert. So wurde über Nacht aus einem "harmlosen Gesundheitsdatum" eine brisante, diskriminierende Information für die ganze Familie.

Krankheitsdaten sind bei Kriminellen und Diensten ein beliebtes Erpressungsmittel – Geld ist da die fantasielose Variante, Zwang zur Kooperation bei weiteren Aktionen die viel interessantere.

Sie sind interessante, geldwerte, digitale Hehlerware: In einer elektronischen Patientenakte stehen neben jeder Zahnreinigung auch Untersuchungen und Behandlungen nach sexuellem Missbrauch, Schwangerschaftsabbrüche, Fruchtbarkeitsbehandlungen, Geschlechtskrankheiten, Affenpocken und so weiter.

Wir wollen uns vielleicht nicht vorstellen, was man mit medizinischen Daten an Bösartigkeiten treiben kann, sollten es aber. Und auch wenn externe Angreifer medial und wahrscheinlich auch bei der Zahl der geschädigten Individuen dominieren, wir sollten die Innentäter nicht vergessen. Beispiele gibt es zuhauf. Besonders krass fand und finde ich: "BKA-Beamte handelten schwunghaft mit Akten", berichtete die Frankfurter Rundschau am 7. April 2007 auf Seite 4. "Korrupte Mitarbeiter des BKA haben jahrelang höchst vertrauliche, staatsschutzrelevante Informationen aus dem Terrorismusbereich verkauft. Die Täter wurden noch nicht enttarnt, gab BKA-Präsident Jörg Ziercke bekannt. Der Nachrichtenhandel hatte laut Ziercke eine Dimension, 'wie ich es nicht für möglich gehalten habe'."

Bärinnen im schwarzen Schafspelz und/oder Uniform, die gefährlichen Bärinnen gefährliche Daten verkaufen – mir fehlen die Worte, weswegen ich jetzt ende.

Jinhua kann sich nicht einfach auf die Aufsichtspersonen verlassen, sondern muss wachsam und klug sich und ihre Lieben selbst schützen.

Der Text wurde unter Pseudonym veröffentlicht, damit nicht die Person im Vordergrund steht, sondern der Textinhalt; der Name ist der Redaktion bekannt.

Um eine pädagogische Nutzung zu ermöglichen – insbesondere die Anpassung an die jeweiligen Zielgruppe – wird der Text unter die Lizenz CC BY-NC-SA 4.0 gestellt. Wir bitten um eine kurze Erwähnung, dass der Text zuerst bei Golem.de erschienen ist.