Sammeln personenbezogener Daten

1 Unterrichtsverlauf:

Der Unterrichtsverlauf ist angelehnt an das klicksafe-Modul „Datensatz – Datenschatz?“ ¹ Hier findet man noch weitere Ideen und Ergänzungen.

Einstieg: Aufwerfen der Fragen:

• Warum sind Dienste wie WhatsApp kostenlos?

• Wieso sind unsere Daten etwas wert?

Video zu Sensibilisierung: Nackt im Netz² (ca. 12 min. Ohne den Panorama-Vorspann: von 1:03 bis 11:50) Hier wird gezeigt, welche teilweise kompromittierenden Informationen in URLs stecken.

Optional: Sofern in Klasse 7 noch nicht erfolgt, kann man den Weg einer URL-Anfrage im Internet veranschaulichen, der oft durch mehrere Länder/Kontinente geht, ehe er wieder in Deutschland ankommt. (z.B. mittraceroute³)

Bearbeitung der Frage: Wel che Informationen stecken in einer URL?

Diese Frage kann gut mit dem Google-Translator ⁴ veranschaulicht und beantwortet werden oder mit einer Anfrage bei z.B. booking.com ⁵. Im Klicksafe-Modul gibt es ein dazu passendes Arbeitsblatt.

Optional: Demonstration, wie man mit einer IP-Adresse den Standort des Benutzers erfährt. ⁶ Wie man zusätzlich den Namen und die komplette Adresse erhält, kann man nicht so einfach zeigen.)

Zum Einstieg ins Tracking: Aufwerfen der Fragen:

• Gestern habe ich nachdem Samsung Galaxy S9 gegoogelt, heute sehe ich immer wieder Werbung für genau dieses Handy – wie kann das sein?

• Woher weiß Google, was ich bei Amazon gesucht habe?

Zum Veranschaulichen von Tracking verwendet man lightbeam ⁷. Dieses PlugIn sollte man vorher in Firefox installieren und sich damit vertraut machen. Vor der Vorführung auf 'reset' klicken. Man besucht während der Demo 3-4 Internetseiten (z.B. google, Spiegel-online, web.de, amazon, booking.com) und öffnet dann lightbeam. Angezeigt wird: Wie viele Seiten wurden besucht? Wie viele Anbieter haben eben Informationen über uns erhalten? Als Kreis werden die Anbieter der besuchten Seite dargestellt, als Dreieck weitere Anbieter, die informiert wurden. Es gibt meist auch Dreiecke, die mit mehreren besuchten Seiten verbunden sind.

Diskussion der Frage: Personalisierte Werbung ist doch super! Oder?

Hier sollten selbstverständlich beide Seiten betrachtet werden, also nicht nur die Nachteile, sondern auch die Vorteile von personalisierter Werbung.

Die Diskussion kann auch z.B. um „personalisierte Nachrichten“ erweitert werden.

Möglichkeiten, das Sammeln personenbezogener Daten einzuschränken:

Hier gibt es eine Vielzahl von Möglichkeiten, die man den SuS anbieten bzw. vorführen kann. ⁸

• Cookie-Optionen im Browser: In den Einstellungen kann man sich alle aktuell gespeicherten Cookies anzeigen lassen und ggf. löschen. Man kann einstellen, dass der Browser keine oder alle Cookies annimmt oder dass wird bei jedem Cookie um Erlaubnis gefragt wird. Durch das Abschalten wird die Internetnutzung jedoch unkomfortabler. Sinnvoll: Cookies für Drittanbieter sperren.

• AdBlock Plus ⁹ blockiert Werbung im Browser – auch für Smartphone und Tablet.

• Ghostery ¹⁰ blockiert Werbung und zum Teil auch Tracking. Zeigt zusätzlich an, welche Werbung und Tracker unterdrückt wurden.

• 'http' wird unverschlüsselt übertragen, 'https' hingegen verschlüsselt. Auf vielen Seiten ist beides möglich. Das Plugin HTTPS-Everywhere ändert 'http' automatisch zu 'http s', sofern möglich. Dazu gibt es auch ein YouTube-Video: S icher Surfen mit HTTPS - Einfach Erklärt! - 2/5 ¹¹

• Bei Apps und Add-ons ist darauf zu achten, welche Berechtigungen diese verlangen. (Zum Beispiel macht es keinen Sinn, dass eine Taschenlampen-App auf Adressen und Browser-Verlauf zugreifen darf.)

• Statt Google eine Proxy-Suchmaschine verwenden. Beispielsweise sucht startpage ¹² als Proxy bei Google, und liefert keine Infos an Google.

Wichtig dabei ist, dass Tools keine absolute Sicherheit bieten (es werden z.B. viele Tracker lockiert – aber nicht alle). Zum Teil erlauben Internet-Seiten keinen Zugriff, wenn man Werbung blockiert. Außerdem muss man letztendlich auch den Anbietern dieser Tools vertrauen.

2 Hintergrund

a) Wo und wie werden personenbezogene Daten gesammelt?

webtracking :

• Cookies : Wenn man eine Internetseite besucht, schickt die Seite eine kleine Datei (das ist ein Cookie) mit, die auf dem Computer gespeichert wird. Sie enthält unter anderem eine Nummer, mit der der Benutzer später wieder identifiziert werden kann. Besucht man diese Seite später erneut, muss der Benutzer z.B. seine Adresse nicht erneut eingeben. Über das Cookie „erkennt“ die Internetseite den Benutzer und kann so aber auch nach-vollziehen, was er die letzten Male auf der Internetseite angeklickt hat, wofür er sich also interessiert. Die Seite sammelt und speichert Daten über den Benutzer.

  Es gibt persistente Cookies und SessionCookies. Persistente Cookies werden dauerhaft gespeichert, SessionCookies nur für die Dauer einer Sitzung Ursprünglich waren Cookies für den Benutzer hauptsächlich nützlich, mittlerweile haben sehr viele Cookies die Aufgabe, den Benutzer und sein Verhalten nachvollziehbar zu machen bzw. zu tracken.

• Einbetten von Elementen auf anderen Seiten: Ein Beispiel ist der „Gefällt mir“-Button von Facebook, der sich auf vielen Seiten wiederfindet. Jedes Mal, wenn eine Seite mit diesem Element angezeigt wird, wird eine Verbindung zu einem Rechner der Firma Facebook Inc. aufgebaut. Dabei dienen Cookies auch dazu, Nutzer wieder zu erkennen. So können Anbieter dann Rückschlüsse darauf ziehen, welche Seiten besucht worden sind. Von diesem Nutzungsverhalten kann dann mittels statistischer Verfahren auf Interessen, Vorlieben und weitere Eigenschaften geschlossen werden.“ ¹³

• Verknüpfung der Daten zwischen den verschiedenen Seiten, z.B. mittels Google-Analytics:

  Die aufgerufene Seite sendet Informationen an Google-Analytics. Dieses System bündelt die Informationen der Benutzer, die von ganz verschiedenen Seiten übermittelt werden, erstellt Auswertungen und übergibt die Ergebnisse/Analysen den Betreibern der beteiligten Seiten.

• IP-Adresse und URL : Bei jedem Seitenaufruf wird die eigene IP-Adresse mitverschickt. Über die IP-Adresse lässt sich der Ort des Benutzers bestimmen (z.B. Karlsruhe), oft auch Name und Adresse. Bei einem Seitenaufruf, werden neben der IP-Adresse auch aufschlussreiche benutzerspezifische Daten innerhalb der URL mitgeschickt. Bei einer Hotel-Buchungsanfrage sind das z.B.: von-/bis-Datum, Ort, Hotel, Anzahl Erwachsener und Kinder). Ähnlich ist es bei einer Flug-Buchungsanfrage. Bei Online-Übersetzern sind teilweise die zu übersetzenden Texte in der URL enthalten. Aus Klasse 7 ist den SuS bereits bekannt, dass eine URL einen Weg über verschiedene Server in verschiedenen Ländern nehmen kann, ehe sie am Ziel ankommt.

b) Wer sammelt diese Daten?

• Bei den erstgenannten Tracking-Varianten sammeln die Betreiber der Internetseiten bzw. ihre Geschäftspartner die Daten.

• Beim Tracking mittels IP und URL kann jeder am Internetverkehr beteiligte Server Daten sammeln.

• Auch durch (illegale) Hacker-Angriffe können Daten von Firmen-Servern, Cloud-Speichern, etc. gestohlen werden.

c) Warum werden diese Daten gesammelt?

• Benutzerfreundlichkeit: Der Benutzer muss nicht jedes Mal z.B. seine Ausweisnummer bei der Bücherei eintippen. Die Seite „merkt“ sich die Nummer.

• Dem Benutzer wird nur „interessante“ Werbung angezeigt.

• Benutzerverhalten wird erkannt und analysiert: Interessen, Kaufverhalten, Kaufabsichten, Familiensituation (verheiratet, Kinder), (nicht) zurückgezahlte Kredite, ...

  Bedürfnisse der Kunden werden frühzeitig erkannt, z.B. „Kunden die X kaufen, kaufen meist auch Y“.

  Personalisierte Werbung: durch zielgerichtete Werbung werden Marketing-Ausgaben minimiert, der Erfolg (Gewinn) maximiert.

• Weniger Verluste durch nicht-zahlende Kunden: Manche Menschen gelten als weniger kreditwürdig, weil viele Menschen mit ähnlichen Interessen/Verhalten/Namen... ihre Kredite nicht zurückzahlen. Auswirkung: In zuvor noch nie besuchten Onlineshops wird manchen Kunden 'Zahlen per Rechnung' angeboten, anderen nicht.

• Kundenspezifische Preise: Kunden mit Apple-Handy werden angeblich bei Amazon höhere Preise angezeigt. Weiterhin sollen Amazon-Preise auch je nach Tageszeit variieren. ¹⁴

• Sammlung und Weiterverkauf von Daten als Geschäftsmodell.

• Illegale Absichten: Erpressung, Spionage (auch Wirtschaftsspionage)

d) Ist das erlaubt?

• Es gibt in Deutschland Datenschutzgesetze, die besagen, dass die Menschen darüber informiert werden müssen, wie ihre Daten weiterverwendet werden. Aber:

  • Viele Firmen sitzen nicht in Deutschland und unterliegen nicht unseren Gesetzen.

  • Daten werden durch mehrere Länder transportiert, ehe sie am Ziel ankommen.

  • Auch deutsche Firmen halten sich nicht immer an die Gesetze.

  • Viele Menschen akzeptieren Datenbestimmungen, ohne sie gelesen zu haben.

• Interessant ist die Diskussion folgender Analogie: Warum schließt du dein Fahrrad ab? Klauen ist doch verboten!

e) Veranschaulichen von Tracking:

• Wege von Datenströmen im Netz werden veranschaulicht mit der tracerou te von dnstools ¹⁵ . (Das Tool liefert noch mehr: z.B. die eigene IP-Adresse)

• Die eigene aktuelle IP-Adresse und den ungefähren Standort findet man mitutrace ¹⁶ .

• Mit der IP-Adresse kann man bei Maxmind ¹⁷ den zugehörigen Namen und Adresse heraus finden (und gleich kaufen).

• Veranschaulichung von Tracking direkt im Firefox-Browser: lightbeam ¹⁸ (firefox-Plugin)

• Mit track-your-tracker ¹⁹ kann man die Tracker einer Seite anzeigen lassen und findet viele weitere Informationen auf diesen Seiten.

• Bei haveibeenpwned ²⁰ kann man prüfen, ob eine E-Mail-Adresse (nebst Passwort) z.B. im Rahmen eines Server-Angriffs gestohlen und/oder weiterverkauft wurde.

• Im Video: Wenn die Verkäuferin eine App wäre wird eine Analogie zwischen Bäckerei und einer App hergestellt und damit das App-Verhalten veranschaulicht: „Nennen Sie mir Ihre Telefonnummer!“ „Wo gehen Sie als nächstes hin?“,...) ²¹

• Im Video: Nackt im Netz ²² wird in einem interessanten Experiment gezeigt, welche teilweise kompromittierenden Informationen allein in URLs stecken.