Milliarden Menschen tragen ihr Smartphone praktisch rund um die Uhr bei sich – und hinterlassen damit eine Spur durch ihr gesamtes Leben. Datenhändler sammeln und verkaufen solche Standortinformationen seit Jahren als vermeintlich anonymes Handelsgut. Schweizer Forscher zeigen nun, wie wenig „Anonymität“ überhaupt noch besteht: Eine KI brauchte im Schnitt nur 17 Minuten und 2,24 Dollar, um aus Standortdaten eine bestimmte Person zu ermitteln.
Ein Smartphone verbringt die Nacht immer wieder an derselben Adresse. Morgens fährt es zu einem Bürogebäude, bleibt dort mehrere Stunden und kehrt abends zurück. Dafür braucht es keinen Geheimdienstanalysten, um einen naheliegenden Verdacht zu entwickeln: Hier wohnt jemand, dort arbeitet er. Oscar Thees, Roman Müller und Matthias Templ von der Fachhochschule Nordwestschweiz ließen eine KI diese Arbeit übernehmen. Sie sollte aus Bewegungsdaten Wohn- und Arbeitsorte erkennen und anschließend öffentlich verfügbare Informationen durchsuchen, bis sich hinter der angeblich anonymen GPS-Spur ein Name abzeichnete.
Das Ergebnis dürfte jeden interessieren, der beim Wort „anonymisierte Daten“ noch beruhigt weiterklickt. Von 25 Testpersonen, die anhand öffentlicher Informationen grundsätzlich eindeutig identifizierbar waren, fand das System 18. Wenn die KI einen konkreten Namen ausspuckte, lag sie in 18 von 19 Fällen richtig. Und dafür brauchte sie im Durchschnitt gerade einmal 17 Minuten und 2,24 Dollar. Wo ein menschlicher Ermittler immer nur begrenzt viele Personen gleichzeitig durchleuchten kann, sieht es bei solchen KI-Suchen deutlich anders aus. Computer können solche Vorgänge parallel abarbeiten.
Anonymität existiert faktisch nicht mehr
Standortdaten werden seit Jahren massenhaft gesammelt, gebündelt und verkauft. Datenhändler entfernen Namen und andere offensichtliche Identifikationsmerkmale und versehen Geräte stattdessen mit Kennungen. Auf dem Papier sieht das sauber anonymisiert aus. In Wirklichkeit verrät ein Bewegungsmuster häufig mehr als ein Name in einer Tabelle. Wo „schläft“ das Gerät? Wo befindet es sich montags bis freitags zwischen acht und fünf? Welcher Firmenstandort liegt dort? Wer wohnt an der Übernachtungsadresse und arbeitet bei eben diesem Unternehmen? Plötzlich bleibt von der Anonymität nicht mehr viel übrig.
Die Schweizer Forscher verwendeten aus Datenschutzgründen simulierte GPS-Spuren rund um die tatsächlichen Wohn- und Arbeitsorte freiwilliger Teilnehmer. Dabei zeigte es sich, dass sich die Suche nach der Person hinter einer Spur aus Standortdaten inzwischen problemlos an eine Künstliche Intelligenz auslagern lässt. Und solche angeblich „anonymisierten“ Datenpakete sind ganz leicht zu haben.
Die Daten für die Überwachung werden längst schon verkauft
Das wäre deutlich weniger beunruhigend, wenn solche Standortdaten schwer zu beschaffen wären. Doch genau das Gegenteil ist der Fall. Die „Databroker Files“ zeigten bereits, in welchen Dimensionen die Branche arbeitet. Journalisten von Netzpolitik.org und internationalen Partnern erhielten von Datenhändlern riesige Datenpakete, teilweise einfach als kostenlose Kostprobe für mögliche Käufer. Ein untersuchter Datensatz enthielt rund 380 Millionen Standortinformationen aus 137 Ländern, verbunden mit etwa 47 Millionen Gerätekennungen. Die Daten stammten aus rund 40.000 Apps. Darunter befanden sich Anwendungen wie Wetter Online, Focus Online, Kleinanzeigen und Flightradar24. Bei manchen Datenpunkten ließ sich ein Smartphone bis auf wenige Meter genau lokalisieren.
Mittlerweile verfügt das Rechercheteam nach eigenen Angaben über mehr als 13 Milliarden Standortdatensätze verschiedener Händler. In Belgien fanden die Journalisten Tausende Ortungen aus Gebäuden der EU und der NATO. Rund 2.000 Standortmeldungen stammten aus dem Hauptsitz der EU-Kommission, rund 5.800 aus dem EU-Parlament und etwa 9.600 aus dem NATO-Hauptquartier. Das ist längst keine harmlose Spielerei mehr. Wer solche Datensätze besitzt, kann nach Regierungsmitarbeitern, Soldaten, Diplomaten oder Mitarbeitern von Sicherheitsbehörden suchen. Aus dienstlichen Standorten führen die Bewegungsspuren anschließend möglicherweise direkt bis zur Privatadresse.
Die Wanze steckt längst in der Hosentasche
Report24 berichtete bereits im Januar darüber, wie aus Werbedaten ein regelrechtes Überwachungsinstrument geworden ist. Unter dem Begriff „Advertising Intelligence“ werden kommerziell gesammelte Informationen ausgewertet, um Geräte zu verfolgen und Bewegungsprofile zu erstellen. Was ursprünglich der gezielteren Werbung dienen sollte, ist längst auch für Sicherheitsbehörden und Nachrichtendienste interessant. Die Schweizer Studie fügt nun ein entscheidendes Puzzlestück hinzu. Es genügt nicht mehr, sich darauf zu verlassen, dass statt eines Namens nur irgendeine Gerätekennung in der Datenbank steht. Die KI kann dabei helfen, eben diese Lücke zu schließen.
Ist die Spur erst einmal einem Menschen zugeordnet, wird aus den Koordinaten ein Tagebuch seines Lebens. Wohnort, Arbeitsplatz und regelmäßige Wege bilden nur den Anfang. Hinzu kommen Arztbesuche, politische Veranstaltungen, Demonstrationen, Kirchen, Moscheen, Hotels, Bordelle oder andere Orte, die niemanden etwas angehen. Für Kriminelle lassen sich daraus Abwesenheitszeiten und Gewohnheiten ableiten. Für ausländische Nachrichtendienste können Mitarbeiter von Behörden und deren Kontakte interessant werden. Für autoritäre Regime bieten die Daten Möglichkeiten, Oppositionelle oder Mitglieder der eigenen Diaspora auch im Ausland zu verfolgen. Die Infrastruktur dafür muss niemand erst bauen. Sie existiert bereits.
KI macht aus dem Datenberg ein Überwachungsinstrument
Bislang gab es wenigstens noch eine natürliche Bremse: Jemand musste die Daten auswerten. Millionen Standortpunkte sind für sich genommen nur ein gigantischer Haufen Koordinaten. Erst die Analyse macht daraus verwertbare Informationen. Und diese Bremse beginnt KI nun zu beseitigen. Wohnort finden, Arbeitgeber ermitteln, öffentliche Register durchsuchen, mögliche Namen vergleichen – solche Arbeiten kosten plötzlich nicht mehr Stunden menschlicher Recherche. Im Schweizer Experiment erledigte das System sie für ein paar Dollar.
Damit wird aus einem kommerziellen Datenschatz ein Instrument, das auch kleinere Akteure nutzen können. Für flächendeckende Auswertung braucht es nicht mehr zwangsläufig die Ressourcen eines großen Geheimdienstes. Und wer ein frei verfügbares KI-Modell auf eigenen Rechnern betreibt, benötigt dafür nicht einmal die Zustimmung eines kommerziellen Anbieters. Keine Nutzungsbedingungen eines KI-Konzerns verhindern die Analyse, wenn das Modell lokal läuft.
Der gläserne Bürger wurde längst geschaffen
Die Überwachung des modernen Menschen beginnt dabei nicht erst bei irgendeiner staatlichen Superdatenbank. Wir produzieren die notwendigen Informationen jeden Tag selbst. Das Smartphone registriert unseren Standort. Diverse Apps liefern Daten an Werbenetzwerke. Moderne Fahrzeuge sammeln GPS- und Nutzungsinformationen. Kameras erfassen Kennzeichen, digitale Zahlungen hinterlassen weitere Spuren. Jeder Datensatz für sich mag harmlos erscheinen. Zusammen ergeben sie ein immer genaueres Bild. Report24 berichtete bereits darüber, welche Daten moderne Autos mittlerweile sammeln und weshalb auch Nachrichtendienste Interesse an diesen Informationen haben.
Das Versprechen der Anonymität war schon bisher dünn. Die KI macht nun deutlich, dass offensichtlich niemand mehr vor solchen Überwachungsmaßnahmen sicher ist. Die Werbeindustrie und ihre Datenhändler haben über Jahre einen gigantischen Rohstoffberg aus unseren digitalen Spuren angehäuft. Jetzt stehen Werkzeuge bereit, die daraus für Kleingeld Namen, Adressen, Arbeitsplätze und Bewegungsprofile herausfiltern können. Der gläserne Bürger kommt nicht irgendwann. Er ist längst da. Und seinen eigenen mobilen Peilsender lädt er jeden Abend selbst wieder auf.
