Titel: Privatsphärenschutz in Soziale-Netzwerke- Plattformen

Von: FraunhoferInstitut für Sichere Informationstechnologie SIT

Veröffentlichungsdatum: September 2008

Link zur Studie

Link zur Pressemitteilung


Die Studie des Frauenhoferinstituts für Sichere Informationstechnologie untersucht sieben Social Networking Plattformen darauf hin, wie ein Anwender die Informationsflüsse seiner personenbezogener Daten auf diesen Seiten steuern kann.

Mit einer fundierte und präzise Einleitung wird auf die wichtigsten Aspekte der Privatsphären-Problematk auf sozialen Netzwerkplattformen aufmerksam gemacht. Dabei konzentrieren sich die Autoren auf folgende Risiken:

• Eingabe vieler und sensibler privater Daten, um diese mit anderen Nutzern zu teilen,

• Zentrale Datenspeicherung bei einem InternetDienstleister um einfachen Zugang und hohe Dienstverfügbarkeit zu gewährleisten,

• Geringe oder keine Bedingungen für die Aufnahme neuer Nutzer in die Plattform, um ein schnelles Wachstum hinsichtlich Nutzerzahlen und Vernetzung zu erreichen,

• Starke Verknüpfung von Daten entlang der in den Plattformen abgebildeten Beziehungen zwischen den Nutzern. Diese Verknüpfungen ermöglichen das Extrahieren neuer Informationen über den Informationsgehalt einzelner Datenobjekte hinaus,

• Leichtes Auffinden von Nutzern und ihrer Daten in der Plattform

Ausdrücklich weisen sie auf die besonderen Charakteristika des Vernetzens hin, wodurch Daten, die für sich alleingenommen noch keine besonders starke Aussagekraft haben, in der Verknüpfung mit anderen Daten kombiniert durchaus sensible Informationen bereitstellen. Die Schwierigkeit des Privatsphäreschutzes solcher Plattformen besteht aber gerade aus der Ambivalenz des Vernetzens. Einerseits ist das Verbreiten privater, personenbezogener Information zentraler Zweck von Social Networking Sites und der Mehrwert, den sie gegenüber vereinzelt stehenden Homepages bieten, zum anderen forciert die Software, welche dieses ermöglicht, auch die Freigabe und Speicherung von persönlichen Daten. Obwohl die Nutzer also den Informationsaustausch anstreben, haben sie Vorstellungen und Bedürfnisse ihre Daten zu schützen. Das betrifft sowohl jene Daten, die beim Provider gespeichert werden, als auch Informationen, die innerhalb der Plattform veröffentlicht werden.

Bei letzteren wird wiederum zwischen selbstgenerierten und fremdgenerierten, personenbezogenen Daten unterschieden. Die Profilseite eines Nutzers enthält größtenteils selbst eingestellte Informationen, aber auch Kommentare oder Verlinkungen, die andere hinzugefügt haben. Zudem können sich auf den Profilen anderer Nutzer durch Verknüpfungen und Kontaktlisten personenbezogene Informationen finden lassen. Letzlich kommen noch die Kommentare, Foren und Pinnwandeinträge hinzu, welche der Nutzer auf anderen Profilseiten, Gruppen, Blogs etc. hinterlässt, sowie jene Daten, die als Ergebnis von Suchanfrage allen Nutzern zugänglich sind (Vgl. Abb 1., das Schaubild lässt sich durch Klicken vergrößern).

Unterschiedliche Anwendungssituationen können ausschlaggebend für Art und Umfang des gewünschten Privatsphäreschutzes sein. So möchten viele Nutzer bestimmte Daten, wie etwa persönliche Fotos, nur mit einem engen Freundeskreis teilen, oder andersherum, falls sie zu bestimmten Themen Rat suchen, von ihrem persönlichem Umfeld nicht erkannt werden (als Beispiel werden hier schwer Erkrankte genannt).

Anschließend werden die Prüfkriterien und die Anforderungen erläutert. Das Institut wählte einen Black-Box-Test, bei dem sich die Tester in der Rolle normaler Internetnutzer anmeldeten, um die Möglichkeiten der Datenkontrolle auf den verschiedenen Plattformen zu untersuchen. Der Testkatalog orientierte sich an ählichen Kriterien des Datenschutzes und Ansprüche an Datenverarbeitungsprozesse. Er umfasst die folgenden Punkte:

- Geforderte Daten bei der Anmeldung

- Pseudonyme Nutzung

- Einsatz von Verschlüsselung

- Funktionsumfang der Zugrifskontrollen

- Standardkonfiguration

- Externer Zugriff auf Multimediadaten

- Suchfunktion

- Zugriffsprotokollierung

- Abmelden bei der Plattform und Löschen der Daten

- Nutzerführung (bezügl.privatsphärerelevanten Konfigurationsmöglichkeiten)

Zu jedem Prüfkriterium werden auch die Anforderungen dargelegt, welche an die Plattformen bzw. die Software gestellt werden.

Die Tester agierten bei der Überprüfung der Kriterien sowohl in der Rolle des Anwenders als auch in jener des Angreifers. Interne Datenverarbeitungs- und Organisationsprozesse seitens der Plattformbetreiber konnten mit diesem Testverfahren nicht erhoben werden.

Im Rahmen der Studie wurden die Privatplattformen myspace, facebook, studiVZ, wer-kennt-wen und lokalisten sowie die Geschäftsplattformen XING und LinkedIn untersucht.

Nach den obengenannten Kriterien kam das Frauenhoferinstitut für Sichere Informationstechnologie zu dem Schluss, dass „von den getesteten Plattformen keine vollständig überzeugen [konnte]. Vielfach ist sogar von der Nutzung bestimmter Dienstfunktionen abzuraten. Unter den Privatplattformen erhielt facebook die meisten guten Bewertungsergebnisse, wenngleich selbst diese Plattform erhebliche Schwächen offenbarte. Die Dienste myspace, studiVZ und werkenntwen erreichten mit ihren Bewertungen ein Mittelfeld. Den positiven Bewertungen standen hier verschiedene Mängel wie Lücken in der Zugriffskontrolle, Eigenheiten bei der Nutzerführung oder fehlende Verschlüsselung gegenüber. Die Plattform lokalisten markiert das untere Ende der Bewertungsskala, insbesondere weil viele notwendige Zugriffskontrollfunktionen schlichtweg fehlten. Bei den Geschäftsplattformen konnte LinkedIn gegenüber XING besser abschneiden. Zum einen erlaubt LinkedIn im begrenzten Rahmen die Nutzung eines Pseudonyms. Zum anderen war die Aufgabe der Mitgliedschaft einfacher und das anschließende Löschen privater Daten umfangreicher als beim Konkurrenten XING.”

Einen Überblick der Ergebnisse liefert Abb. 2 (das Schaubild lässt sich durch Klicken vergrößern).