„Fragen der Privatsphäre
von Anfang an berücksichtigen“

Interview mit Dr. Steven Arzt, Informatiker am Fraunhofer-Institut für Sichere Informationstechnologie SIT in Darmstadt.

Privacy by Design lohnt sich, sagt Steven Arzt, Forscher am Fraunhofer-Institut für Sichere Informationstechnologie in Darmstadt. Denn von dem Ansatz profitieren beide Seiten – Nutzer und Entwickler.

Privacy by Design geistert schon länger als Schlagwort durch die Softwarebranche. Was bedeutet der Begriff?

Fragen der Privatsphäre sollten bereits am Anfang der Softwareentwicklung berücksichtigt werden, also bereits, wenn man darüber nachdenkt, wie die Software später funktionieren soll. Typische Überlegungen wären: Welche Daten muss ich überhaupt erfassen? Welche muss ich dauerhaft speichern? Wie muss ich mit ihnen umgehen? Muss ich sie verschlüsseln? Muss der Nutzer seine Daten korrigieren oder löschen können? Durch Privacy by Design lässt sich der schlimmste Fall vermeiden: Man hat bereits viel Geld in eine Softwareentwicklung gesteckt, das System womöglich schon am Laufen – und dann bekommt man Probleme mit Compliance-Richtlinien oder es gibt Datenlecks oder schlechte Presse, weil Kundendaten auf unvernünftige Weise weitergegeben wurden. Das zu beheben wird richtig teuer.

Nennen Sie uns bitte ein anschauliches Beispiel für Privacy by Design.

Sie rufen bei Ihrer Bank an und wollen eine Auskunft. Dafür müssen Sie sich etwa mit dem Geburtsdatum oder der Kontonummer identifizieren. Der Prozess, den die Bank sich vorher überlegt hat, sieht also vor, dass nicht einfach jeder anrufen kann und die Daten erhält.

Bedeutet Privacy by Design für den Anwender so etwas wie intuitiv nutzbare Sicherheit?

Mit dieser Gleichstellung tue ich mich etwas schwer. Bei intuitiv benutzbarer Sicherheit geht es ja eher um die Frage, ob der Nutzer die angebotenen Schutzmechanismen ohne großes Nachdenken anwenden kann. Ist es zum Beispiel bei einem verschlüsselungsfähigen Mail-Programm tatsächlich einfach, die Mails zu verschlüsseln? Privacy by Design dagegen bezieht sich auf den Entwicklungsprozess, setzt also früher an.

Bedeutet Privacy by Design automatisch, dass ich Herr meiner Daten bleibe?

Grundsätzlich gehört schon eine Datensparsamkeit dazu und auch die Daten so zu verarbeiten, dass die Privatsphäre des Nutzers geschützt bleibt. Ob man tatsächlich Herr seiner Daten bleibt, hängt aber vom konkreten Anwendungsfall ab. Wenn ich als Nutzer für eine App zum Beispiel nichts bezahlen muss, sondern im Gegenzug Werbung angezeigt bekomme, um so die App zu finanzieren, dann könnte der Entwickler mit Blick auf Privacy by Design dem Werbetreibenden nicht die kompletten Nutzerdaten geben, sondern ihm nur mitteilen, dass Werbung für zum Beispiel einen deutschen Mann einzuspielen ist. Inwieweit Sie das dann so empfinden, dass Sie Herr Ihrer Daten bleiben, ist eine andere Frage. Womöglich sind Sie ja grundsätzlich nicht damit einverstanden, dass Ihre Daten für Werbezwecke erfasst werden – was jedoch für die Nutzung der App zwingend ist.

Ist Privacy by Design in der Produktentwicklung schwierig umzusetzen, verursacht sie zusätzliche Kosten?

Nicht zwingend. Früh in die Software eingebaut, erspart Privacy by Design mir später womöglich teure Umbauten. Die neue EU-Datenschutzgrundverordnung sieht zudem empfindliche Strafen für Datenlecks vor. Wenn ich zum Beispiel von vornherein auf die Erhebung mancher, eigentlich nicht benötigter Daten verzichte oder die Daten verschlüssele, dann schützt das die Privatsphäre des Nutzers und bewahrt womöglich auch das Unternehmen vor Strafen im Falle eines Datenlecks.

Welche Rolle spielt Privacy by Design im Markt?

Die Verbreitung wird zunehmen. Durch die verschärften rechtlichen Rahmenbedingungen in Europa wird das Risiko für Unternehmen größer, die die Privatsphäre nicht ausreichend schützen oder gegen entsprechende Auflagen verstoßen. Die Sorge wegen möglicher finanzieller Folgen wird daher als Beschleuniger für Privacy by Design wirken. Bislang hatten wir das Problem, dass es wenig Sanktionsmöglichkeiten gab, deshalb mussten betroffene Unternehmen selbst in gravierenden Fällen kaum Konsequenzen fürchten.

Von Michael Vogel

Zur Person:

Dr. Steven Arzt ist Informatiker am Fraunhofer-Institut für Sichere Informationstechnologie SIT in Darmstadt. Das Fraunhofer SIT ist einer der vier Träger des Center for Research in Security and Privacy (CRISP). Bund und Land Hessen fördern das CRISP als eines der deutschen Kompetenzzentren für Cybersicherheit. Zusammen mit Kollegen aus Darmstadt und Paderborn hat Steven Arzt im vergangenen Herbst den Deutschen IT-Sicherheitspreis erhalten. Das Team bekam den Preis für die Entwicklung einer Analysetechnik, mit der sich der Informationsfluss von Apps nachvollziehen lässt, beispielsweise wohin eine App Daten versendet, auch wenn der Entwickler dies bewusst verbergen wollte.