Risikoanalyse für die digitale Privatsphäre

Unser digitales Ich ist bedroht. Doch wodurch eigentlich genau? Sucht man im Internet findet man Geheimdienste und multinationale Konzerne. Doch geht davon wirklich die größte Bedrohung aus? Helfen kann eine individuelle Risikoanalyse.

Risikoanalyse im Datenschutz

Das Konzept kennt jeder, der sich beruflich mal im Datenschutz-Bereich bewegen durfte. Die DSGVO schreibt eine Risikoanalyse bzw. Risiko-Beurteilung bei Datenverarbeitungsprozessen vor. Eigentlich ist die Verpflichtung auch schon älter, aber wie so vieles erst mit der DSGVO im Bewusstsein angekommen.

Für Analysen im größeren Stil gibt es dazu inzwischen ausgewachsene Programme, aber gerade im kleineren Umfang reicht dafür eine kleine Excel-Matrix. Etwas vereinfacht berechnet sich das Risiko aus den Faktoren Eintrittswahrscheinlichkeit und Schwere der Folgen. Tritt etwas häufig ein, hat aber faktisch keine Folgen, ist es niedrig bewertet, ebenso wenn die Folgen eines Verstoßes katastrophal wären, aber der Eintritt unmöglich. Beides sind jetzt Extrem-Beispiele. Bei den meisten Fällen hat man eine mittlere Wahrscheinlichkeit des Vorkommens und mittelschwere Folgen.

Was meint das in der Praxis. Nimmt man zum Beispiel ein Krankenhaus. Der Datenschutzverstoß erfolgt durch das Vertauschen der Befunde zweier Patienten. Der falsche Patient wird operiert und stirbt. Der Tod ist bei einer Risikoanalyse in der Patientenversorgung meist der größtmögliche Schaden. Die Eintrittswahrscheinlichkeit des ursächlichen Datenschutz-Verstoßes muss daher minimiert werden.

Die Risikomatrix zeigt an, wo das Risiko aus Eintrittswahrscheinlichkeit und Folgen insgesamt zu hoch ist. Dann müssen weitere Schutzmaßnahmen zur Minimierung des Risikos eingezogen werden. Diese können technischer, organisatorischer und/oder vertraglicher Natur sein

Die Erstellung einer solchen Matrix ist komplex, erfolgt meist über einen längeren Zeitraum und in enger Abstimmung mit den Praktikern, weil Szenarien und ihre Eintrittswahrscheinlichkeit auf der „Flughöhe“ des Datenschutz-Experten nur unzureichend beurteilt werden können. Wie alles im Datenschutz handelt es sich hier natürlich um ein lebendes Konzept und muss stetig angepasst und weiterentwickelt werden.

Das war jetzt extrem vereinfacht, aber da das Thema digitale Privatsphäre sowieso ein Zusammendenken verschiedener Bereiche voraussetzt (Datenschutz, IT-Sicherheit, Verhaltensforschung usw.) braucht es das sowieso nur als theoretische Grundlage.

Risikoanalyse für den Privatgebrauch

Informiert man sich zu den Themen Datenschutz, digitale Privatsphäre und Bedrohungen im Internet, stößt man immer wieder auf Überwachungsprogramme von Geheimdiensten, Tracking durch große Unternehmen und allerlei andere Bedrohungen. Die meisten dieser Szenarien sind sehr abstrakt und haben wenig mit dem Lebensalltag zu tun.

Deshalb empfehle ich immer eine persönliche Risikoanalyse durchzuführen und diese vom Lebensalltag leiten zu lassen. Was bedeutet das?

Problembereiche identifizieren

Ich muss die worst case-Szenarien identifizieren und die persönlichen Problembereiche. Der schlimmste anzunehmende Unfall wäre natürlich der Tod, aber seien wir weniger pessimistisch und nehmen vielleicht einfach mal den Verlust oder gar Diebstahl der digitalen Identität als schlimmsten anzunehmenden Vorfall ein.

Anschließend guckt man sich die individuellen Problembereiche an. Ich beschreibe das jetzt mal für mich persönlich, was im Grunde genommen schon nicht so klug ist, aber alle diese Informationen kann man in der Zusammenschau dieses Blogs bereits ermitteln. Das ist der Nachteil wenn man öffentlich im Internet publiziert.

Ich bin zum Beispiel mit keinem privaten Profil in sozialen Netzwerken aktiv. Die Themen Facebook, Instagram & Co tangieren mich überhaupt nicht. Ebenso nutze ich keine kommerziellen Cloud-Dienstleister, kann also hier auch keine Daten verlieren. Weil ich auch viele Dienste selbst betreibe, sind gespeicherte Daten bei Dritten eher ein geringeres Problem.

Im Gegensatz zu anderen Menschen habe ich aber sehr viele Daten auf meinen Geräten gespeichert, weil ich mich größtenteils digital organisiere und eben viel selbst betreibe. Der Verlust dieser Geräte, der Verlust des Zugriffs auf darauf gespeicherte Daten und Kommunikationsinhalte wäre also die größtmögliche Katastrophe. Ebenso wäre ein Zugriff durch Dritte auf diese Daten für mich negativ, da sie tiefgreifende Einblicke in meine Gewohnheiten, berufliche Entwicklung, finanzielle Situation etc. pp. erlauben würden.

Dieses bisher abstrakte Risiko muss nun exakt identifiziert und minimiert werden.

Problemszenarien erkennen

Risiko erkannt, gleich gebannt? Leider nicht sofort. Schließlich hilft nicht jede Schutzmaßnahme gegen jedes Problem. Deshalb befasst man sich mit den Szenarien und Eintrittswahrscheinlichkeiten.

• Die meisten Menschen wohnen nicht alleine, es gibt also einen oder mehrere Menschen im direkten Umfeld mit unmittelbarem Zugang zu den Geräten. Das Problem kann man durch starke Verschlüsselung minimieren oder vertraglich (nennt sich Ehe – kleiner Scherz).
• Die Geräte könnten aber bei einem Einbruch gestohlen werden. Das Risiko kann je nach Wohnort und Wohnlage (Hamburg im Erdgeschoss beispielsweise) höher oder geringer (ehemaliger Weltkriegsbunker ohne Fenster im EG) sein. Das Risiko der Offenlegung kann man mit Verschlüsselung minimieren, dem Datenverlust mit einem Offsite-Backup begegnen.
• Die Geräte könnten unterwegs gestohlen werden. Das Risiko ist extrem hoch, denn Notebooks und Smartphones sind ja mobile Geräte. Hier hilft ebenfalls Verschlüsselung und Backup.
• Daten könnten unterwegs durch Beobachtung abgegriffen werden. Hier hilft eine Änderung des Benutzungsverhaltens (In der Firma würde man gewisse Sachen durch eine vertragliche Vereinbarung verbieten), indem man beispielsweise die Passwortdatenbank nicht im Zug öffnet und kein Online-Banking auf der Parkbank macht.
• Man könnte das Opfer eines zufälligen oder gezielten Angriffs beispielsweise mit einer Ransomware werden. Dem begegnet man durch ein sicheres, gewartetes System mit am besten einer geringen Angriffswahrscheinlichkeit, also z. B. Linux.

Manche Sachen haben nichts mit dem physischen Verlust von Hardware zu tun, sondern spielen sich virtuell ab:

• Genutzte Dienste könnten kompromittiert werden. Dem begegne man beispielsweise mit Passwortverwaltung und individuellen Passwörtern, um ein Übergreifen auf andere Dienste zu verhindern. Dienste haben zudem immer nur die absolut notwendigsten Daten von mir.
• Genutzte Dienste werden verkauft und gelangen in den Besitz einer Firma, mit der man die Daten ursprünglich nicht teilen wollte. Je weniger Dienste man nutzt, desto seltener passiert dies. Kommt es dennoch vor, reagiere man auf eine entsprechende Information und widerspricht der Datenweitergabe bzw. macht von seinem Recht auf Löschung gebrauch.

Dem aufmerksamen Leser ist nicht entgangen, dass ich hier immer noch über so profane Sachen wie Datenverlust oder kompromittierte Dienstanbieter schreibe. Geheimdienste und Überwachung lesen sich immer ganz toll und mit Angst und Hetze verdienen viele der vermeintlichen Experten ihre Reputation, Aufmerksamkeit und letztlich ihr Geld, aber man fängt bei einer Risikoanalyse immer erst einmal mit den nahe liegenden Problemen an.

Widmen wir uns also den abstrakteren Risiken:

• Ein großer Konzern erstellt durch gezielte Datenerhebung und Zusammenführung ein individuelles Profil deiner digitalen Aktivität. Die Eintrittswahrscheinlichkeit ist hoch, denn Datenerhebung, Datenhandel und Datenauswertung sind bekannte und real existierende Geschäftsmodelle. Die Folgen sind schwer abzuschätzen. Möglicherweise tangiert es einen niemals, ggf. hat man beispielsweise irgendwann eine schlechtere Versicherungs- oder Kreditbonität. Abhilfe ist genau so schwer, da man zwar Schutzmaßnahmen ergreifen (Tracking-Schutz, Datenminimierung etc.) aber deren Wirksamkeit nicht beurteilen kann. In der Matrix wird das Gesamtrisiko in diesem Fall relativ hoch bleiben, da wir eine hohe Eintrittswahrscheinlichkeit ohne wirksame Schutzmaßnahmen bei unklaren Konsequenzen haben.
• Durch Funkzellenabfragen etc. gerät man in die Schleppnetze der Sicherheitsbehörden des eigenen Staates. Eintrittsrisiko gänzlich unklar, aber nicht unmöglich. Technische Abhilfe ist hier nicht möglich, das Risiko letztlich aber überschaubar, da wir in einem Rechtsstaat leben und jeder bei Folgen (Berufsverbot, Schwierigkeiten mit Behörden etc.) Rechtsmittel einlegen kann. Ein Untertan einer Autokratie oder Diktatur würde die Risikobewertung hier anders vornehmen.
• Der Geheimdienst einer fremden Macht (hier kommen jetzt endlich die bösen US-Geheimdienste) sammelt Daten im Rahmen seiner Überwachungsprogramme. Nicht speziell auf den Einzelnen zugeschnitten, sondern im Rahmen einer umfassenden Überwachung. Die Eintrittswahrscheinlichkeit ist nach allem was wir wissen extrem hoch. Eine Risikominimierung durch technische Schutzmaßnahmen ist schwierig zu bewerten, da die Überwachung unter anderem an den Netzknotenpunkten und Unterseekabeln erfolgt und jeder von uns den Verlauf seiner Datenströme um den Globus nicht kontrollieren kann. Ob Verschlüsselung ein wirksamer Schutz ist, kann nicht mit Sicherheit gesagt werden. Realistisch betrachtet kann man in einer Matrix durch technische Schutzmaßnahmen das Risiko nicht nennenswert senken. Die Folgen eines solchen Vorfalls sind ebenfalls individuell zu bewerten. Als Bürger der Europäischen Union ist das Risiko vermutlich geringer als für einen Bürger Pakistans.

Fazit

Bei einer Risikoanalyse kann man individuelle Probleme und Schutzmaßnahmen erkennen und ergreifen.

Irgendwelche Überwachungsprogramme von Staaten und Tracking von Konzernen kommen bei der Auflistung natürlich auch vor, sind aber nicht die naheliegendsten Probleme. Technische Schutzmaßnahmen sind hier schwer zu ergreifen und ihre Wirksamkeit noch schwerer zu beurteilen. Besonders bei geheimdienstlicher Überwachung steht zu vermuten, dass es keinen wirksamen technischen Schutz gibt. Die Folgen eines Ereigniseintritts sind in diesem Fall kurz-, mittel- und langfristig aber ebenso extrem schwer zu beurteilen. Das ist anders als beim konkreten Datenverlust oder Verlust der digitalen Identität, bei dem der Schaden sich sofort manifestiert.

Das Problem ist meist: Eine Maßnahme kann in der einen Situation helfen und in der anderen Schaden. Nur wenige Lösungen helfen gut gegen alle möglichen Bedrohungen. Ein ganz einfaches Beispiel, das den Anstoß für diesen Artikel hier gab: Ein Android Custom ROM schützt mich in gewissem Maße vor dem Datenabfluss an Google, sichert meine Daten aber nicht gut bei Geräteverlust. Hier muss ich bei der Maßnahme dann das naheliegendere Problem mit dem größeren Schadenspotenzial identifizieren und hier Schutzmaßnahmen ergreifen. Diese kann unter Umständen sein, kein Custom ROM zu nutzen, ein anderes Smartphone-Betriebssystem zu nutzen oder gar den Datenabfluss an Google als geringeres Übel zu betrachten.

Kurzum: Wer bei Schutz der digitalen Privatsphäre sofort und primär an Geheimdienste denkt, hat noch nie eine sinnvolle Risikoanalyse gemacht und belügt sich bei der Wirksamkeit bzw. den Auswirkungen seiner Maßnahmen selbst.