Datenschutz im Internet

Datenschutz im Internet bezeichnet die Anwendung des Datenschutzes bei über das Internet übertragenen Daten. Es beinhaltet die Anwendung der Kontrolle über die Art und die Menge an Informationen, die über eine Person im Internet freigegeben wird, und wer Zugang zu diesen Informationen hat.

Datenschutz im Internet ist eine Unterkategorie des Computer-Datenschutzes. Manche Personen im Bereich der Internetsicherheit und des Datenschutzes glauben, dass Datenschutz nicht existiert. Diese Einstellung wird auch Post-Privacy genannt; “Privacy is dead – get over it” („Datenschutz ist tot – nehmt es endlich so hin“). Steve Rambam, ein Privatdetektiv, welcher auf Internet-Datenschutzfälle spezialisiert ist, meint, dass mehr dazu ermutigt werden sollte, sich dessen bewusst zu werden. Tatsächlich wurde vorgeschlagen, dass der Zweck von Onlinediensten sein könnte, persönliche Informationen in der Welt zu verteilen. Auf der anderen Seite meint der Sicherheitsexperte Bruce Schneier: “Privacy protects us from abuses by those in power, even if we’re doing nothing wrong at the time of surveillance.” („Datenschutz schützt uns von Missbrauch von denen die an der Macht sind, selbst wenn wir nichts Falsches machen während wir überwacht werden.“)

Ausprägungen des Datenschutzes

Personen haben in der Regel ein Recht auf selbstbestimmte Anonymität im Internet. Internetbenutzer können beispielsweise einen angemessen Schutz ihrer Daten erreichen, indem sie kontrolliert festlegen, welche Daten sie veröffentlichen wollen. Die Auflösung der IP-Adresse, nichtpersonenzuordbare Profile und ähnliche Informationen können möglicherweise ein akzeptabler Kompromiss sein, um den Komfort nicht zu verlieren, der in anderen Fällen verlorengehen könnte, wenn Benutzer Abhilfen verwenden, um solche Datenaufzeichnungen streng zu verhindern. In diesem Fall wird möglicherweise Anonymität genutzt, um Datenschutz herzustellen – also das Internet zu nutzen, ohne dritten Personen die Möglichkeit zu geben, personenbezogene Daten mit den Internetaktivitäten des Internetnutzers zu verbinden. Damit ein Internetbenutzer seine Informationen privat halten kann, muss er vorsichtig darauf achten, was er abschickt und online nachschaut. Wenn er Formulare ausfüllt oder Güter kauft, wird dies möglicherweise aufgezeichnet, und weil diese Information nicht als privat behandelt wird, können Unternehmen dem Internetbenutzer nun Spam und Werbung über ähnliche Produkte zusenden.

Das Urteil im Fall des Klägers Sanders beruhte wesentlich auf einer einem anderen kalifornischen Urteil vor einem Jahr. Im Fall Shulman v. Group W Productions von 1998, folgerten die Richter, dass zwei Personen, die bei einem Auto-Unfall verletzt wurden, gegen eine Datenschutzverletzung klagen könnten, weil ein Kameramann den Notdienst gefilmt hatte, der im Rettungshelikopter geleistet wurde. Während die Unfallopfer dem Gericht nach in der Unfallsituation den Datenschutz nicht erwarten können, sollten sie aber im Rettungshelikopter eine begründete Annahme haben, dass dort Datenschutz einzuhalten ist, selbst wenn sie erwarten können, dass deren Gespräche im Helikopter mitgehört werden würden.

Aufgrund dieser Fälle ist es schwieriger zu ermitteln, in welchen Fällen investigativer Journalismus eine verständliche Erwartung von Datenschutz verletzen würde. Folglich überdenken Journalisten, die für haftbare Organisationen arbeiten, mehr denn je ihre Herangehensweise bei investigativen Journalismus. Auf jeden Fall ist es daher in Kalifornien so, dass Richter zögern, solche Fälle vor dem Prozess fallen zu lassen, um ihnen zu erlauben, vor den Geschworenen entschieden zu werden. Und weil Medienrichter unsicher sind, ob Privatsphäreverletzungen durch ein „berechtigtes“ Interesse daran, Nachrichten zu sammeln, gerechtfertigt werden können, tendieren sie dazu einen zurückhaltenden Hinweis zu geben und Nachrichtendiensten abzuhalten sich in bestimmten Recherchen zu engagieren. Dies führt, wieder einmal, zu einem Chilling effect in den Medien.

US-Staatengesetze, die Bezug auf Datenschutz nehmen

Nevada und Minnesota schreiben Internetprovidern vor, Informationen über ihre Kunden nicht weiterzugeben. Dies gilt aber nur für den Fall, dass der Kunde nicht zugestimmt hat, diese Informationen weiterzugeben. Auf Beschluss der National Conference of State Legislator haben die folgenden Staaten bestimmte Datenschutzrechte für ihre Bürger eingeführt:

Minnesota Statutes §§ 325M.01 to .09 - Verbieten Internetanbietern, persönliche Informationen zu veröffentlichen, wie die Kundenanschrift, elektronische Anschlusskennung oder Telefonnummer, besuchte Webseiten oder jegliche Informationen, die der Kunde auf seinem Computer speichert. Es werden auch bestimmte Umstände geregelt, bei denen Informationen herausgegeben werden müssen, wie z. B. bei einer Anforderung durch das "Große Geschworenengericht" oder einem Staat oder einen durch das Gesetz berechtigten “federal law enforcement officer” sowie bei einer Gerichtstätigkeit oder eines Gerichtsurteils.

Nevada Revised Statutes § 205.498 - Zusätzlich erfordern Gesetze von Kalifornien und Utah, auch wenn sie sich nicht speziell auf Online-Geschäfte beziehen, allen Unternehmen, außer Finanz-Unternehmen, ihren Kunden offenzulegen – schriftlich oder per E-Mail –, welche Arten von Information das Unternehmen mit Dritten teilt, um Werbung zu machen, oder ihnen verkauft, um Geld zu verdienen. Nach kalifornischem Recht können Unternehmen, eine Datenschutzerklärung veröffentlichen, welche den Kunden die Möglichkeit gibt, die Verteilung ihrer Informationen kostenlos zu untersagen.

Es gibt zusätzlich bestimmte Gesetze für Angestellte und Geschäfte sowie Datenschutzrichtlinien für Internetauftritte.

California, Connecticut, Nebraska und Pennsylvania haben alle spezielle Datenschutzrichtlinien, bezogen auf Internetauftritte:

California (Calif. Bus. & Prof. Code §§ 22575-22578) Kaliforniens Online-Datenschutz-Gesetz verlangt einen Betreiber, definiert als eine Person, welche personenbezogene Daten von kalifornischen Bürgern durch Webseiten oder Internetdienste für kommerzielle Zwecke sammelt, ihre Datenschutzbestimmungen sichtbar auf seinem Internetauftritt oder Internetdienst zu platzieren. Der Gesetzesvorschlag würde unter anderem erfordern, dass die Arten von Informationen genannt werden, die das Unternehmen über Kunden des Unternehmens oder Besucher des Internetauftritts sammelt, sowie diejenigen, die es von Dritten (Unternehmen) erhält, oder mit welchen Unternehmen es diese Informationen teilt.

Connecticut (Conn. Gen Stat. § 42-471) In Connecticut wird verlangt, dass jede Person, die Social-Security-Nummern (SSN) geschäftsmäßig speichert, eine Datenschutzbestimmung zu erstellt. Diese Bestimmung muss öffentlich auf einer Webseite einsehbar sein und die Bestimmung muss 1. die Vertraulichkeit der SSN schützen, 2. die illegale Veröffentlichung der SSN untersagen und 3. den Zugang zur SSN einschränken.

Nebraska (Nebraska Stat. § 87-302(14)) Nebraska verbietet wissentlich falsche oder fehlleitende Aussagen in der Datenschutzbestimmung, welche im Internet oder anderswo verteilt oder veröffentlicht wurde, die Bezug auf persönliche Informationen von Bürgern nehmen.

Pennsylvania (18 Pa. C.S.A. § 4107(a)(10)) Pennsylvania behandelt falsche oder fehlleitende Aussagen in Datenschutzbestimmungen, welche auf Webseiten veröffentlicht wurden oder auf andere Weise zu verteilt werden, in den deceptive or fraudulent business practices statute.

Es gibt zudem mindestens 16 Staaten, welche Webauftritten von Regierungen vorschreiben, eine Datenschutzbestimmung zu erstellen und diese auf ihrem Webauftritt zu veröffentlichen. Diese Staaten sind Arizona, Arkansas, California, Colorado, Delaware, Iowa, Illinois, Maine, Maryland, Michigan, Minnesota, Montana, New York, South Carolina, Texas, Utah, und Virginia.

Gefahren für den Datenschutz im Internet

In der heutigen Welt sind Millionen Personen von Datenschutzverletzungen bedroht. Unternehmen werden nicht nur dazu beauftragt, zu schauen, welche Seiten von einem Webnutzer besucht werden, sondern auch diese Information zu erschleichen und Werbung, basierend auf den besuchten Seiten, zu senden. Dies ist möglich, da viele Leute Facebook-Konten haben und Bank- und Kreditkarten-Daten auf verschiedensten Webseiten eingeben.

Die Leute, die über Datenschutz im Internet besorgt sind, führen häufig einige Gefahren für den Datenschutz auf – also Ereignisse, welche möglicherweise durch die Internetnutzung auftreten. Die Methoden dazu reichen von der Erstellung von Statistiken der Nutzer bis zu schädlichen Handlungen wie der Verbreitung von Spyware oder die Verwendung von Exploits.

Datenschutzmaßnahmen werden auf verschiedenen sozialen Netzwerken ergriffen. Zum Beispiel auf Facebook gibt es Datenschutzeinstellungen für registrierte Benutzer. Die auf Facebook angebotenen Einstellungen beinhalten die Möglichkeit, bestimmte Personen daran zu hindern, das Profil des Facebook-Nutzers einzusehen, die Möglichkeit, bestimmte „Freunde“ festzulegen und die Möglichkeit, den Zugriff auf Bilder und Videos zu beschränken. Datenschutzeinstellungen werden auch in anderen sozialen Netzwerken, wie z. B. E-harmony oder MySpace, angeboten. Dabei ist es die Aufgabe des Nutzers, zu entscheiden, welche persönlichen Informationen über das Internet verbreitet werden sollen.

Ende 2007 startete Facebook das Beacon-Programm, bei dem Aktivitäten auf anderen Webseiten auf Facebook im Profil zu sehen waren. Viele Leute waren von dieser Datenschutzverletzung erbost, und so entstand der Fall Lane v. Facebook, Inc..

Bilder im Internet

'No photos'-Aufkleber bei der Wikimania

Heutzutage haben viele Leute Digitalkameras, meist im Smartphone, und veröffentlichen ihre Fotos online. Die abgebildeten Personen aber möchten möglicherweise nicht auf diesen Fotos im Internet zu sehen sein.

Manche Organisationen versuchen auf dieses datenschutzbezogene Anliegen zu reagieren. Z. B. wurde auf der Wikimania 2005 entschieden, dass Fotografen grundsätzlich das Recht haben, Personen in ihren Bildern zu zeigen. Manche Personen aber trugen ein 'no photos'-Aufkleber („Keine Fotos“), um zu zeigen, dass sie nicht abgebildet werden möchten.

In der Harvard Law Review erschien der kurze Artikel In The Face of Danger: Facial Recognition and Privacy Law, welcher hauptsächlich erklärt, warum Datenschutzrecht in seiner jetzigen Form keine Hilfe für diejenigen sind, die ohne Zustimmung auf Fotos markiert werden. Jede Person kann ohne Zustimmung auf einem Foto markiert werden oder in einer Art dargestellt werden, welche sie persönlich verletzt, und in der Zeit, in der Facebook die Fotos herunternehmen würde, hätten viele Menschen bereits die Möglichkeit, das Bild zu betrachten oder es anderen zuzuschicken. Außerdem schützt herkömmliches Schadenersatzrecht nicht Personen, welche öffentlich fotografiert worden sind, weil dies nicht als Datenschutzverletzung angesehen wird. Die umfangreiche Facebook-Datenschutzbestimmung umfasst aber auch diese Probleme und weitere. Zum Beispiel legt die Bestimmung fest, dass sie sich das Recht vorbehalten, Informationen ihrer Nutzer oder dessen Fotos an Unternehmen, Anwälte, Gerichte, Regierungsbehörden und weitere weiterzugeben, wenn sie dies für absolut notwendig halten. Die Bestimmung informiert die Nutzer außerdem, dass Profilbilder hauptsächlich dazu dienen, zu helfen, dass sich Freunde verbinden können. Jedoch können diese, wie auch andere Bilder, von anderen Personen dazu genutzt werden, den Datenschutz zu verletzen, indem Informationen gefunden werden, die dazu genutzt werden können, einen Benutzer zu verfolgen und zu lokalisieren. In einem Artikel der ABC news wurde erklärt, dass zwei Gruppen von Wissenschaftlern herausfanden, dass Hollywood-Stars Informationen darüber, wo sie sich gerade befinden, sehr einfach über ihre Bilder, die sie im Internet hochgeladen haben, geben können. Es wurde herausgefunden, dass Bilder, die von einem iPhone gemacht werden, automatisch die geographischen Koordinaten in den Metadaten des Bildes speichern, außer wenn diese Funktion explizit ausgeschaltet wird.

Suchmaschinen

Suchmaschinen haben die Möglichkeit, die Suchvorgänge eines Benutzers zu verfolgen. Durch die Suche kann auf persönliche Informationen geschlussfolgert werden. Suchmaschinen beanspruchen die Notwendigkeit, solche Informationen zu speichern, um komfortabler für den Nutzer zu sein und vor Sicherheitsgefahren und Betrug zu warnen.

Eine Suchmaschine sammelt alle Informationen seiner Nutzer und ordnet jeden einer eindeutigen Nummer, einer "ID", zu. Häufig wird gespeichert, welche Seiten von wem aufgerufen worden sind. AOL etwa hat eine Datenbank mit 21 Millionen Nutzern, jeder mit einer eigenen ID. AOLSearch ist so aufgebaut, dass die Suchanfragen aller Kunden aufgezeichnet und ihnen zugeordnet werden können. Obwohl die wahre Identität der Nutzer nicht bekannt ist, kann ein umfangreiches Persönlichkeitsprofil nur anhand eingegebener und gesammelter Daten erstellt werden. Eine Datensammlung kann viele Informationen über einen Nutzer enthalten, ohne seinen Namen zu kennen. Für eine kommerzielle Verwertung von Daten genügt einem Nachfrager z. B. die Information „IP-Adresse xxxxx interessiert sich für französische Rotweine“.

Google ersetzte seine bis dahin mehr als 60 verschiedenen Datenschutzbestimmungen für die unterschiedlichen Google-Produkte zum 1. März 2012 durch eine einzige Version; diese soll kompakter und verständlicher sein.

Datenaufzeichnung

Viele Programme und Betriebssysteme sind so eingestellt, dass sie Aufzeichnungen von der Nutzung anlegen. Dies kann unter Umständen die Zeiten, wann der Computer verwendet wird oder welche Webseiten besucht werden beinhalten. Wenn jemand anderer ausreichenden Zugriff auf den Computer hat, unabhängig davon ob er diesen legitimerweise hat, ist möglicherweise der Datenschutz des Nutzers in Gefahr. Dies kann aber verhindert werden, indem Aufzeichnungen (Protokolldateien, engl. “log files”) ausgeschaltet werden oder regelmäßig gelöscht werden.

Datenschutz in sozialen Netzwerken

Vor der explosionsartigen Verbreitung von sozialen Netzwerken im ersten Jahrzehnt nach 2000 gab es frühe Formen dieser sozialen Techniken wie Online-Mehrspieler-Spiele, Blogs, Nachrichtengruppen, Mailinglisten und Online-Partnervermittlungsagenturen. Diese bildeten das Rückgrat für die modernen Dienste, und schon bei ihnen gab es Datenschutzprobleme. 1996 hatte eine junge Frau aus New York City ihr erstes Treffen mit einer Internetbekanntschaft und klagte später gerichtlich gegen die sexuelle Belästigung, die stattgefunden haben soll, nachdem die beiden zu ihrem Appartement zurückgekehrt waren. Dies ist aber nur ein frühes Beispiel von vielen anderen Fällen, bezogen auf den Internetdatenschutz.

Soziale Netzwerke sind zwischen 2006 und 2011 sehr beliebt geworden. Mit der Gründung von Facebook und der anhaltenden Beliebtheit von MySpace gaben viele Menschen ihre persönlichen Informationen dem Internet preis. Diese protokollieren alle Arten von Interaktionen, welche auf ihnen stattfinden, um sie später verwenden zu können. Vielen Benutzern ist nicht klar, dass sie ihre Datenschutzeinstellungen ändern können und dass, wenn sie diese nicht ändern, ihre Daten öffentlich einsehbar sind. Auf Facebook können die Datenschutzeinstellungen über ein Dropdown-Menü unter dem „Account“-Knopf in der rechten oberen Ecke erreicht werden. Dort können Benutzer einstellen, wer ihr Profil anschauen kann und welche Informationen auf diesem für diese Personen angezeigt werden sollen.

In den meisten Fällen sind Profile entweder offen sichtbar für „alle meine Netzwerke und Freunde“ oder für „alle meine Freunde“. Zusätzlich können Informationen wie Geburtstag, religiöse Ansichten und Beziehungsstatus in den Datenschutzeinstellungen für andere Benutzer ausgeblendet werden. Wenn ein Benutzer jünger als 13 Jahre ist, darf er kein Facebook oder MySpace-Konto anlegen. Dies wird aber nicht wirklich sichergestellt.

Ein anderes Problem mit sozialen Netzwerken ist die Datenschutzerklärung. Diese Erklärung legt fest, dass das Unternehmen die Rechte an allen Inhalten erwirbt, die der Benutzer hochlädt. Dies beinhaltet Bilder, Filme und Nachrichten, welche alle in der Datenbank des Unternehmens gespeichert werden, auch wenn der Benutzer sein Konto löschen lässt. Zusätzlich erlaubt das neue Web 2.0, welches dem Benutzer ermöglicht, an der Erarbeitung von Informationen teilzunehmen, Facebook und anderen sozialen Netzwerken speziell zugeschnittene Anzeigen im WWW dem Benutzer zu präsentieren. Dazu werden auch Alter, Geschlecht und sogar Ethnie ausgewertet, was ein wachsendes Problem für den Internetdatenschutz darstellt.

Soziale Netzwerke haben die Aufgabe des Internetdatenschutzes neu definiert. Seit Benutzer willentlich persönliche Informationen öffentlich online stellen, ist die Aufgabe des Internetdatenschutzes ein wenig verschwommen geworden. Angebote wie Facebook, MySpace und Twitter sind dadurch beliebt geworden, dass sie Statusnachrichten und private Informationen wie den Aufenthaltsort verbreiten. Benutzer können ihren Aufenthaltsort an verschiedensten Örtlichkeiten wie Geschäften und Restaurants festmachen. Zusätzliche können sie auch eigene „Plätze“ erstellen, um einem Ort einen Namen zu geben. Diese Form der Ortsverfolgung erfolgt automatisch und muss händisch ausgestellt werden. Verschiedene Einstellungen müssen geändert werden, um den Datenschutz zu sichern. epic.org nach sollten Facebook-Nutzer 1. „Freunde können meinen Aufenthaltsort festlegen“ ausschalten, 2. „Orte, an denen ich mich aufhalte“ anpassen, 3. „Leute die gerade hier sind“ ausschalten und 4. „Plätze, die ich besucht habe“ ausschalten. Die Federal Trade Commission hat zwei Beschwerden erhalten, welche Facebooks Nutzung von diesen Ortsangaben für Werbezwecke kritisieren.

Auch die Einführung von Chatbots als neuer Kommunikationskanal zwischen teilnehmenden Unternehmen und Nutzern sozialer Netzwerke – wie etwa von Facebook am 13. April 2016 während der F8-Konferenz vorgestellt – werfen neue Fragen zum Datenschutz auf.

Internetzugangsanbieter

Internetnutzer werden mit dem Internet über einen Internetdienstanbieter (ISP) verbunden. Jede übertragende Informationen von und zu diesem Benutzer wird über diesen ISP übertragen. Daher hat der Internetzugangsanbieter die theoretische Möglichkeit, den Internetverkehr zu überwachen. Doch diese machen dies meist aus gesetzlichen, moralischen, geschäftlichen oder technischen Gründen nicht.

Dagegen plant BT mittels Deep Packet Inspection, welches von Phorm angeboten wird, den Inhalt der besuchten Internetangebote der Kunden zu überwachen, um so Informationen für die Werbebranche zu sammeln.

Andere potentielle Datenschutzgefahren des Internets

• Malware (dt. „Schadprogramme“) ist ein Kofferwort, welches „böse Software“ beschreibt, also einem einzelnen PC, Server oder Netzwerk schadet, sei es durch einen Virus, einen Trojaner (eigentlich: trojanisches Pferd) oder durch Spionage-Mechanismen (“spyware”).
• Spyware ist ein Programm, welche Informationen eines Computerbenutzers ohne dessen Zustimmung sammelt und weitergibt.
• Ein Zählpixel ist ein transparent kleines Bild, welches in eine Webseite oder E-Mail eingebunden wird. Es ermöglicht zu überprüfen, wer wann welche Seiten oder E-Mails aufruft.
• Phishing bezeichnet ein Verbrechen, bei dem versucht wird, vertrauliche Informationen wie Passwörter, Kreditkarten- oder Kontodaten von einem Computernutzer zu erfahren.
• Pharming bezeichnet den Versuch eines Hackers, den Datenverkehr einer Website zu einer anderen, gefälschten Website umzuleiten. Dies wird ermöglicht, indem beim Opfer die hosts-Datei manipuliert wird oder eine Sicherheitslücke eines DNS-Servers ausgenutzt wird.
• Social Engineering
• Böse Proxy-Server (Gefahren der Verwendung von anonymen Proxy-Servern oder anderen „Anonymitäts“-Diensten)

Literatur

• Helmut Bäumler: E-Privacy – Datenschutz im Internet. Vieweg Verlag, ISBN 3-528-03921-3.

Rundfunkberichte

• Falk Steiner: Sicherheitspolitik und Datenschutz – Sind Datenschützer überfordert?, Deutschlandfunk – „Hintergrund“ vom 23. August 2016

Weblinks

• Steve Lohr: How Privacy Can Vanish Online, a Bit at a Time. In: The New York Times, vom 17. März 2010 (englisch)
• Mark Gazaleh: Online trust and perceived utility for consumers of web privacy statements – Overview. (PDF) auf WBS, Juni 2008 (englisch)
• Federal Trade Commission, Protecting Consumer Privacy in an Era of Rapid Change: A Proposed Framework for Businesses and Policymakers (PDF; 3,2 MB), Dezember 2010 (englisch)
• Selbstdatenschutz und digitale Selbstverteidigung – Mehr Datenschutz und Privatsphäre im Internet durch Datensparsamkeit und Verschlüsseln
• Datenschutz im Internet – Alternativen zu den Datenkraken | ARD.de
• Expectation of privacy for company email not deemed objectively reasonable – Bourke v. Nissan (englisch; PDF; 37 kB)
• Internet Privacy as Pertains to Anonymous Online Purchasing (englisch)
• Internet Privacy Infographic: Google Privacy & Your Privacy on Facebook | WordStream (englisch)