Im November letzten Jahres deckte ein Bericht der deutschen Nachrichtensendung Panorama 3 auf, dass mehrere Browser-Erweiterungen die Verlaufsdaten ihrer Nutzer an den Meistbietenden verkauften. Was wir nun hier haben, ist eine Art Fortsetzung dieses Berichts, vorgestellt von der Journalistin Svea Eckert und dem Forscher Andreas Dewes auf der jüngsten DEF-CON-Konferenz in Las Vegas. Einfach ausgedrückt gelang es ihnen, drei Milliarden URLs von drei Millionen deutschen Nutzern anzusammeln – und alles, was sie taten, war, eine gefälschte Marketingfirma zu gründen.
„Wenn du nicht für einen Dienst bezahlst, bist du das Produkt.“ Dieser Satz wurde millionenfach wiederholt und in Dutzende Sprachen übersetzt. Nicht wenige haben ihn kritisiert, aber je besser wir die Praktiken bestimmter Unternehmen kennenlernen, desto mehr erkennen wir seine Gültigkeit. Wir haben es schon früher gesagt: Big Data ernährt sich nicht von selbst. Datensammlung, Analyse von Navigationsmustern, Telemetrie – alles geht in die gleiche Richtung. Und das Ausmaß ist wirklich erschreckend. Stellen wir uns einen Moment lang drei Milliarden URLs vor. Ganze Leben fließen durch diese Links, und wenn jemand die richtigen Manöver ausführt, kann er sie erhalten, ohne einen Cent zu bezahlen.
Die Demonstration auf der DEF CON
Genau das haben die Journalistin Svea Eckert und der Forscher Andreas Dewes auf der jüngsten DEF-CON-Konferenz demonstriert. Der erste Schritt war, eine gefälschte Firma zu gründen, die sich angeblich mit Marketing beschäftigte. Viele Bilder, ein makelloses LinkedIn-Profil ihres „CEO“ und ein „Karriereportal“, um dem Team beizutreten – so überzeugend, dass sie sogar einige Bewerbungen erhielten. Das letzte Projekt des Unternehmens war ein Algorithmus auf Basis von Deep Learning, der die Produktplatzierung verbessern konnte, vorausgesetzt, er würde mit einem umfangreichen Datenpaket trainiert. Der Prozess dauerte etwas länger als erwartet, weil die „Firma“ nur an Informationen über deutsche Nutzer interessiert war, aber schließlich erhielten sie diese kostenlos, dank eines Brokers, der daran interessiert war, den Algorithmus zu bewerten.
De-Anonymisierung der Nutzer
Das Schlimmste ist, dass Dewes einen Großteil der Nutzer „de-anonymisieren“ konnte. Ein eindrucksvolles Beispiel kommt über diejenigen, die den Analysebereich von Twitter besuchen: Die Adresse enthält den Kontonamen, und es wird angenommen, dass nur der Nutzer sie sehen kann, sodass sie automatisch verknüpft wird. Im schlimmsten Fall wären gerade einmal zehn Adressen ausreichend, um jemanden zu identifizieren – und offen gesagt haben sie das bereits getan. Nicht zu vergessen: Netflix wurde 2009 wegen einer ähnlichen Situation verklagt und musste einen privaten Vergleich schließen.
