Die Audioplattform “Clubhouse” hat Anfang 2021 innerhalb kürzester Zeit den ersten Rang bei den Social Networking Charts im App Store von Apple erklommen. Gleichzeitig berichtet der Vorstand der Verbraucherzentrale Bundesverband, Klaus Müller, über Twitter über die Abmahnung der Anbieter von “Clubhouse” aufgrund von gravierenden rechtlichen Mängeln. Was hat es mit der App und den Mängeln – gerade hinsichtlich des Datenschutzes – auf sich?

Die Social-Networking-Site Clubhouse gehört zum Unternehmen Alpha Exploration Co. aus der Nähe von San Francisco. Gründer der amerikanischen App sind Paul Davison (vormals bei Pinterest) und Rohan Seth (vormals bei Google).

Aufbau und Angebot der App

Als reine Audioplattform bietet “Clubhouse” das Erstellen von virtuellen Räumen an, um sich mit anderen Nutzern zum Austausch zu treffen. Zur Veranschaulichung kann man sich die App als eine Life-Podcasts-Plattform vorstellen, durch die den Nutzern die theoretische Teilnahme an hunderten Gesprächsräumen ermöglicht ist. Teilnehmen kann man als Sprecher oder Zuhörer, wobei die jeweiligen Gastgeber der Konversation Zuhörenden auch das Sprechen gestatten können. Die Nutzer können sich auch in sogenannten Clubs organisieren, in denen das Vorausplanen von Gesprächsräumen möglich ist.

Auffällig ist die künstliche Verknappung der App: Mitmachen kann man derzeitig nur durch eine Einladung eines bereits beigetretenen Nutzers. Dabei darf jeder Nutzer nur zwei Einladungen versenden. Außerdem ist die App zurzeit nur für Apple-Geräte mit iOS erhältlich, wodurch alle Nutzer von Android-Smartphones ausgeschlossen sind.

Insbesondere dieser exklusive Zugang dürfte zu der Entstehung des aktuellen Hypes beigetragen haben. Ein Effekt namens “Fear of Missing out”, also die Angst vor dem Verpassen, regt Menschen zur Teilnahme an.

“Clubhouse” und der Datenschutz

Da man die App zurzeit nur mit einer Einladung gebrauchen kann, muss man “Clubhouse” bei der Registrierung als Nutzer den Zugriff auf alle gespeicherten Kontakte auf dem Smartphone gewähren, um selbst Freunde einzuladen. Die Daten aus dem Adressbuch werden auf die Server der Alpha Exploration Co. in den Vereinigten Staaten übertragen. Diese Übertragung ist problematisch, da die USA datenschutzrechtlich als unsicher gilt. Außerdem müssen laut Artikel 14 der Datenschutz-Grundverordnung (DSGVO) alle betroffenen Kontakte der Clubhouse Nutzer vor der Gewährung des Zugriffs über die Nutzung ihrer persönlichen Daten informiert werden – sonst liegt ein Verstoß vor.

Kritisch zu betrachten ist auch die Anlage von sogenannten “Schattenprofilen” von den Kontakten, die die App nicht nutzen. Dabei werden die Namen und (Kontakt-)Daten der Personen abgespeichert.

In Deutschland wird Clubhouse derzeitig auch noch ohne das erforderliche Impressum betrieben. Außerdem liegen die Allgemeinen Geschäftsbedingungen und Datenschutz-Hinweise nicht wie vorgeschrieben auf Deutsch, sondern nur auf Englisch vor. In ebendiesen Nutzungsbedingungen gibt Clubhouse auch folgendes an: „By using the Service, you consent to having your audio temporarily recorded when you speak in a room“, zu Deutsch: Wenn Sie diesen Service nutzen, willigen Sie der temporären Aufnahme von Audiomitschnitten zu. Laut “Clubhouse” selbst erfolgen diese Aufzeichnungen zur Meldung und Ahndung von Regelverstößen während der Live-Gespräche.

Die App sammelt auch Informationen über den Nutzer selbst, um ein Kommunikationsprofil zu erstellen. Unter diesen Informationen sind Daten über Accounts und Gruppen, mit denen sich der Nutzer austauscht, und auch Informationen darüber, wie oft und wie lange der Nutzer zu welcher Tageszeit aktiv ist.

Neben dem Datenschutz bietet die App auch inhaltliche Risiken: „In den USA kamen schon bald nach dem Start erste Berichte auf über Antisemitismus, Rassismus und Sexismus in der App. So werden eben nicht nur spannende Ideen und Wissen diskutiert, sondern auch Menschen angefeindet oder Falschinformationen verbreitet“, so Thomas Moßburger vom BR24. Das ist aber ein anderes Thema, mit dem sich jeder einzelne kritisch auseinandersetzen muss.

Für die Zukunft stellt sich die Frage, wie das Unternehmen Geld verdienen will. Mit dem Schalten von Audiowerbung? Oder stellen unsere persönlichen Daten das Kapital des Unternehmens dar?

Wie viel Apps wirklich preisgeben

Die Nutzungsbedingungen der meisten Apps machen deutlich, dass es nach einer Zustimmung zu der Speicherung von persönlichen Daten kommen kann – und dabei handelt es sich unter anderem um Standortinformationen, Kontakt- und Bankdaten. Eine Analyse des auf Datenschutz bedachten Cloud-Dienstes pCloud macht nun deutlich, wie viele dieser Daten an Dritte weitergegeben werden.

Sogenannte “Dritte” Unternehmen sind entweder mit dem eigentlichen Unternehmen verbunden oder zahlen nur einen Beitrag für den Zugriff auf Nutzerdaten. Für die Nutzer kann die unternehmensinterne Verwendung und Analyse von Vorteil sein, wenn es dadurch zu einer Verbesserung der Erfahrungen und der Funktionsweise innerhalb der App kommt. Kritisch betrachtet werden hingegen die Nutzung der Daten für Werbung durch die Ansprache mit Anzeigen auf anderen Plattformen und die besagte Weitergabe an Dritte. Sucht man auf der Videoplattform YouTube beispielsweise nach einem Video, werden schon alleine 42% der persönlichen Daten weiterverkauft. Die größten Preisgeber sind jedoch die Sozialen Medien Facebook und Instagram: Diese teilen 57% (Facebook) und 79% (Instagram) der Daten mit Dritten.

Quelle:

• Invasive apps – The pCloud Blog

Wenn Fremde persönliche Corona-Testergebnisse einsehen können

Es ist Normalität geworden, dass man sich für die Durchführung eines Antigen- oder PCR-Tests auf die Angebote von Testzentren einlässt. Keinesfalls “normal” sollte in Anbetracht der dabei gesammelten hochsensitiven Daten jedoch ein nicht-ausreichender Datenschutz sein. Die Befunde der Gruppe “Zerforschung” des “Chaos Computer Clubs” haben jedoch gezeigt, dass Unbefugte durch eine Sicherheitslücke in der für Testzentren entwickelten Software “safeplay” vom Anbieter Medicus AI Zugriff auf persönlichen Daten hatten. Betroffen waren davon Einrichtungen vom Unternehmen 21Dx in München, Berlin, Mannheim und vielen anderen Orten.

Hatte man einen Account auf der Plattform angelegt, konnte man ungehindert auf sämtliche Testergebnisse und personenbezogene Daten der anderen Nutzer zugreifen. Außerdem war es möglich, Statistiken einzusehen, die eigentlich nur für Mitarbeiter gedacht waren. Nachdem das Team von “Zerforschung” das Bundesamt für Sicherheit in der Informationstechnik (BSI) alarmiert hatte, wurde der Betreiber Medicus AI informiert und gab wiederum den softwarenutzenden Firmen Bescheid. Laut Medicus AI wurde die Schwachstelle inzwischen behoben.  

Quellen:

• CCC | 136.000 Corona-Testergebnisse samt persönlicher Daten frei einsehbar
• Corona-Tests: Über 130 000 Schnelltest-Ergebnisse ungeschützt im Netz – Wirtschaft – SZ.de (sueddeutsche.de)

Für “fair.digital” ist digitale Souveränität die Selbstbestimmung der persönlichen Daten und die Kompetenz, die Digitalisierung zielgerichtet zu nutzen. Somit lehnt “fair.digital” eine Überwachung, Ausbeutung, Manipulation, Intransparenz sowie einen Aufbau von Abhängigkeiten ab.

Spätestens seit 2013, als die globale Datenüberwachung digitaler Informationseinflüsse durch die US-amerikanische NSA und weitere Geheimdienste öffentlich wurde, ist digitale Souveränität von großer Wichtigkeit (Misterek, 2017, S. 1). Mit dem Begriff der digitalen Souveränität ist eine Zielvorstellung verbunden, die als Kompass dienen kann und deren Maßnahmen kontextgebunden variieren können (Bitkom, 2019, S. 9). Ein Teilaspekt der Digitalen Souveränität ist das Konzept der Datensouveränität (Bitkom, 2019, S. 9), das hier fokussiert werden soll.

Digitale Souveränität ist das Bestimmungsrecht über alle persönlichen digital erfassten Daten (Werden, 2016, S. 35). Dieses Recht wird jedoch durch zwei Gründe eingeschränkt (Wittpahl, 2017, S. 5): Zum einen führt die beschleunigte Entwicklung infolge der Digitalisierung zu Unverständnis der Funktionsweisen von digitalen Technologien. Zum anderen werden die eingeschränkten Nutzungsbedingungen der Anbieter digitaler Systeme meist unverständlich formuliert und einfach von den Nutzern hingenommen.

Wichtig für die Schaffung von digitaler Souveränität ist folglich eine digitale Aufklärung, die die Nutzer aus der digitalen Unmündigkeit und aus dem sorglosen Umgang mit den eigenen Daten befreien kann (Wittpahl, 2017, S. 6). Diese Möglichkeit der unabhängigen Selbstbestimmung (Bitkom, 2019, S. 4) zeichnet einen selbstbestimmten Bürger aus. Nach Dr. Jäger (2016), Bereichsleiter Infrastruktur im Bundesrechenzentrum Wien, sind „[s]elbstbestimmte Bürger [. . .] Herren Ihrer eigenen Daten und können damit auch die Souveränität über Ihre digitale Identität und Ihre digitale Privatsphäre faktisch ausüben“ (S. 24).

Der bürgerliche Traum von „technischer Vertraulichkeit, Integrität, Authentizität, Anonymität, Freiheit, Gleichheit, Netzneutralität, Privatheit, Verfügbarkeit etc. …“ (Pohl, 2016, S. 10) könnte also durch digitale Souveränität verwirklicht werden.

Dafür ist jedoch eine Vermeidung von Abhängigkeit auf internationaler Ebene vonnöten (Bitkom, 2019, S. 4). In Bezug auf die digitale Souveränität Europas geht es mit der Abhängigkeitsvermeidung um die Schaffung und Nutzung eigener Produkte, Ideen und Standards (Oettinger, 2016, S. V). Laut Pohl (2016) würde außerdem auch nur eine internationale Vereinbarung zur Bestrafung von digitaler Überwachung dabei helfen, digitale Souveränität zu etablieren (S. 22).

Durch digitale Souveränität soll ein unabhängiges, selbstbestimmtes und selbstständiges Handeln von Individuen und Unternehmen in der digitalen Welt erreicht werden.

Literatur-/Quellenverzeichnis:

• Bitkom e.V (2019). Digitale Souveränität: Anforderungen an Technologie- und Kompetenzfelder mit Schlüsselfunktion. Stellungnahme. Bitkom e.V.
• Jäger, W. (2016). Neue Rolle öffentlicher Rechenzentren für Bürger-Datenschutz und Bürger Befähigung. In M. Friedrichsen, & P.-J. Bisa (Hg.), Digitale Souveränität. Vertrauen in der Netzwerkgesellschaft (S. 23–34). Springer VS. DOI 10.1007/978-3-658-07349-7_5
• Misterek, F. (2017). Working Paper. Digitale Souveränität: Technikutopien und Gestaltungsansprüche demokratischer Politik. MPIfG Discussion Paper, 17(11), Max Planck Institute for the Study of Societies. http://hdl.handle.net/11858/00-001M-0000-002D-6FCF-0
• Oettinger, G. (2016). Europa und die Souveränität im Netz. In M. Friedrichsen, & P.-J. Bisa (Hg.), Digitale Souveränität. Vertrauen in der Netzwerkgesellschaft (S. V–VI). Springer VS. DOI 10.1007/978-3-658-07349-7_5
• Pohl, H. (2016). Der bürgerliche Traum von digitaler Souveränität. In M. Friedrichsen, & P.-J. Bisa (Hg.), Digitale Souveränität. Vertrauen in der Netzwerkgesellschaft (S. 9–22). Springer VS. DOI 10.1007/978-3-658-07349-7_5
• Wittpahl, V. (2017). Vorwort. In Volker Wittpahl (Hg.), iit-Themenband. Digitale Souveränität. Bürger. Unternehmen. Staat (S. 5– 8). Springer Vieweg.
• Werden, S. (2016). Digitale Souveränität, ein Orientierungsversuch. In M. Friedrichsen, & P.-J. Bisa (Hg.), Digitale Souveränität. Vertrauen in der Netzwerkgesellschaft (S. 35–51). Springer VS. DOI 10.1007/978-3-658-07349-7_5

“Safer Internet Day”

Am Dienstag, den 9. Februar 2021, findet der von der Europäischen Kommission ins Leben gerufene „Safer Internet Day“ in circa 170 Ländern statt, der mit (Online-)Veranstaltungen das Bewusstsein für aktuelle und aufkommende Online-Probleme schärfen will. Die Veranstaltungsliste der deutschen Anlaufstelle German Safer Internet Centre ist hier auf der Webseite des Projekts “klicksafe” zu finden.

Während sich Projekte wie der „Safer Internet Day“, der Verein Mimikama, der über Internetmissbrauch aufklärt, und natürlich auch „fair.digital“ für mehr Bewusstsein für Datenschutz einsetzen, ist Datenklau durch Phishing-Attacken noch immer erfolgreich.

Was ist Phishing?

Beim Phishing werden Daten von Internetnutzern über Methoden wie das Versenden von gefälschten E-Mails oder Nachahmen einer vertrauenswürdigen Webseite abgefangen und missbraucht.

Der Verein Mimikama verdeutlicht Phishing-Methoden am Beispiel der Social-Networking-Site Facebook:

Im Januar 2021 soll es laut einem Facebook-Post zu einer Zugentgleisung in Hannover, und im Februar 2021 zu einem Zugunglück in der Kölner Innenstadt gekommen sein. Bei beiden Meldungen und Posts handelt es sich um Falsch-Meldungen – das Bildmaterial für die angeblichen Zugunglücke stammt bespielweise vom Zugunfall in Eschede 1998.

Phishing-Fallen bei Facebook sind im Grunde gleich aufgebaut: In wenigen, emotionalen Worten wird mithilfe eines dramatischen Bildes auf die schockierende Falschnachricht aufmerksam gemacht. Für mehr Informationen muss man einem Link folgen, der entweder zu einer unbekannten Nachrichtenplattform oder einer gefälschten Facebook-Seite führt. Bei beiden Varianten werden die Nutzer durch ein gefälschtes Log-In-Fenster zur Angabe Ihrer Facebook-Nutzerdaten aufgefordert.  

Auffällig ist, dass die URL (also Internetadresse) des Eingabefensters für die Facebook-Daten nicht mit der Originalen von Facebook übereinstimmt. Gibt ein Nutzer seine Login-Daten in diesem Fenster ein, werden diese an die Phishing-Täter übermittelt.

Wie schütze ich mich vor Phishing-Attacken?

Um sich vor solchen Phishing-Attacken zu schützen, sollte bei dramatischen Posts auf Facebook und Co. immer ein Vergleich mit den Berichten von bekannten Nachrichtenmedien erfolgen, um die Nachricht zu verifizieren.

Außerdem hilft ein Blick auf die URL der jeweiligen Seite des Log-In-Fensters oftmals schon, um die Echtheit zu überprüfen. Der Verein Mimikama empfiehlt zusätzlich den Test mit dem Einloggen mit Fantasiedaten, die in einem Mail-Format gestaltet sind. Wenn man nach der Eingabe der falschen Log-In-Daten weitergeleitet wird, handelt es sich voraussichtlich um ein gefälschtes Log-In-Fenster.

Generell wird angeraten: Überprüfen Sie die Plausibilität einer Nachricht und vermeiden Sie das Anklicken eines Links von einem unbekannten Absender.

Michael Will, Präsident des bayerischen Landesamtes für Datenschutzaufsicht, berichtet von einer abnehmenden Sensibilisierung in Bezug auf den Datenschutz. Aufgrund der räumlichen Verteilung und persönlichen Infrastruktur und Ausstattung sind Arbeitnehmer und -geber mit Herausforderungen konfrontiert – gerade in Bezug auf den Datenschutz.

Im Zuge der Corona-Pandemie wurde vielerorts der geschäftliche mit dem heimatlichen Arbeitsplatz getauscht. Das Bayerische Landesamt für Datenschutzaufsicht hat in Zuge dessen eine Checkliste mit Prüfkriterien nach der DSGVO (Stand: 22. Juli 2022) erstellt, die man online einsehen kann. Diese soll bei der Einhaltung der Datenschutzverordnungen für Sensibilisierung und Orientierung sorgen¹.

Genannt werden in der Checkliste unter anderem, dass das Arbeitsumfeld von Familienmitgliedern und Dritten abgeschirmt sein, Papierdokumente geschützt gelagert und fachgerecht entsorgt werden sollten. Die technischen Arbeitsgeräte sollten vom Arbeitgeber gestellt werden und eine geschützte VPN-Verbindung aufweisen. Außerdem sollte darauf geachtet werden, dass ein abgeschlossener Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bei Videokonferenzsystemen und Cloud-Diensten vorliegt. Dies sind nur einige Beispiele.

Gerade die US-amerikanischen Produkte der Kommunikationsdienstleister stellen laut Michael Will ein Problem dar, da deren Datenschutzniveau vergleichsweise gering ist. Eine Weitere Sorge ist die erhöhte Wahrscheinlichkeit von unerkannten (Hacker-)Angriffen¹.

Ein aktueller Fall von einem Hackerangriff liegt bei der Funke Mediengruppe vor, die am 22. Dezember Oper eines solchen externen Angriffes wurde². Zahlreiche Computersysteme und zentrale IT-Systeme waren von dem Ausfall betroffen. Die Süddeutschen-Zeitung berichtet, dass die Täter Daten der Mediengruppe verschlüsselt und Lösegeld für die Freigabe verlangt haben. Laut einem Update der Funke Mediengruppe vom 4. Januar sind schon 1200 der insgesamt 6600 Geräte „…digital gereinigt worden und wieder vollumfänglich und sicher im Einsatz“. Die vollständige Restaurierung werde wohl noch Wochen in Anspruch nehmen³.

Fasst man die Definitionen von „fair“ und „Fairness“ verschiedener Online-Wörterbücher* zusammen, kann man daraus folgende Definition erstellen:

“Fairness bezeichnet ein ehrliches, vernünftiges und anständiges Verhalten, das von Gleichbehandlung und Unparteilichkeit gegenüber anderen und dem Befolgen von gerechten Regeln gekennzeichnet ist.”

Nach Dimitriou & Schweiger (2015) ist Fairness ein philosophisches Konzept, mit dem man das „… Zusammenleben nach ethischen Maßstäben einrichten… “ soll (S. 15). Das Ziel von Fairness ist die Errichtung einer humanen Welt, in der möglichst viele eine angemessene Lebensqualität haben (Amesberger, 2015, S. 7). Deswegen nehmen Fairnessprinzipien als ungeschriebene gesellschaftliche Regeln auch „… moralische Dimension[en] menschlichen Handelns“ ein und spielen in vielen Lebensbereichen eine große Rolle (Amesberger, 2015, S. 7–8).

Laut Dimitriou & Schweiger (2015) kann Fairness beispielsweise folgende Bedeutungen annehmen:

• „Fairness kann bedeuten, dass jede Person das erhält, was sie verdient (S. 15–16).“
• „Fairness kann bedeuten, dass jede Person gleich viel erhält (S. 16).“
• „Fairness kann (…) bedeuten, dass Menschen so viel bekommen, wie sie benötigen (S. 16).“
• „Eine andere Variante von Fairness ist, diese eng an die ausgehandelten Regeln zu binden und solches Verhalten als fair zu beurteilen, das sich an diese Regeln hält und sie nicht übertritt (S. 16).“

Oftmals werden die Begriffe Gerechtigkeit und Fairness synonym verwendet (Jonas, 2015, S. 24). Angelehnt an John Rawls (1975) ist „…ein gesellschaftlicher Zustand dann gerecht, wenn er fair ist…“  (Dimitriou & Schweiger, 2015, S. 15).

*Online-Wörterbücher:

• Duden | Fairness | Rechtschreibung, Bedeutung, Definition, Herkunft
• Fair | Definition of Fair by Merriam-Webster (merriam-webster.com)
• FAIR | Bedeutung im Cambridge Englisch Wörterbuch
• FAIRNESS | Bedeutung im Cambridge Englisch Wörterbuch

Literaturquellen:

• Amesberger, G. (2015). Vorwort I. In M. Dimitriou, & G. Schweiger (Hg.), Fairness und Fairplay. Interdisziplinäre Perspektiven (S. 7–9). Wiesbaden: Springer Fachmedien.

• Dimitriou, M., & Schweiger, G. (2015). Fairness und Fairplay. Eine interdisziplinäre Annährung. In M. Dimitriou, & G. Schweiger (Hg.), Fairness und Fairplay. Interdisziplinäre Perspektiven (S. 15–22). Wiesbaden: Springer Fachmedien.

• Jonas, E. (2015). Fairness lohnt sich! Psychologische Facetten von Gerechtigkeit und ihr Beitrag zu Kooperation und Widerstand in sozialen Interaktionen. In M. Dimitriou, & G. Schweiger (Hg.), Fairness und Fairplay. Interdisziplinäre Perspektiven (S. 23–50). Wiesbaden: Springer Fachmedien.

• Rawls, John. 1975. Eine Theorie der Gerechtigkeit. 1. Aufl. Frankfurt am Main: Suhrkamp.