Telemedicus Logo
Weiterempfehlen Drucken

Deutsche Datenschützer fühlen sich hintergangen. Nicht nur, dass Google bei Street View mit seinen mobilen Außenposten ganze Straßen fotografisch erfasst, das Unternehmen soll nun WLAN-Netze kartographieren. Bundesdatenschutzbeauftragter Peter Schaar und sein Hamburger Kollege Johannes Caspar wittern einen Datenschutzverstoß. Doch worin genau soll der bestehen?

Personenbezogene Daten

Mit den Standorten und technischen Angaben der WLAN-Netze erhebe Google personenbezogene Daten, so der Vorwurf. Um das nachvollziehen zu können, muss man sich zunächst vergegenwärtigen, welche Informationen so ein WLAN durch die Umgebung funkt.

SSID – Der Name des Netzes

Da wäre zunächst der Name des Netzes, der sog. Service Set Identifier (SSID). Der Name wird von den meisten Herstellern von Access-Points mit einer mehr oder weniger kryptischen Zeichenkette voreingestellt. Dieser Artikel wird zum Beispiel über das Netz „WLAN-057-356-AB” geschrieben.

Zunächst ist also von einem Personenbezug keine Spur – anhand des WLAN-Namens könnte niemand herausfinden, wer das Netz betreibt. Allerdings ist der Name eines WLANs frei wählbar. Ich könnte mein Netz also auch „telemedicus” oder „adrianschneider” nennen, wenn ich das möchte. Und genau bei letzterer Variante sehen Schaar und Caspar das datenschutzrechtliche Problem. Denn in diesem Fall wird mit dem Namen des WLANs auch der Name des Besitzers durch die Gegend gefunkt – und schon haben wir ein personenbezogenes Datum.

WLAN-Netze ohne Personenbezug
Andererseits ist nicht nur der Name des WLANs frei wählbar, auch die Sichtbarkeit kann mit einem Klick geändert werden. Ob ein WLAN seinen Namen also an jedermann funkt, oder ob man sich nur verbinden kann, wenn man den Namen kennt, bleibt dem Benutzer selbst überlassen. Das ist natürlich etwas unkomfortabel, weil man sich den Namen seines Netzes dann auch selbst merken muss und ihn nicht einfach aus einer Liste auf seinem Computer auswählen kann.

Im Ergebnis hat der Besitzer eines Access Points dennoch gleich doppelt die Möglichkeit, sein Netz nach außen hin anonym zu halten: Er kann einerseits einen Namen wählen, der keine Rückschlüsse auf seine Person zulässt und kann andererseits sein Netz gleich unsichtbar für Dritte machen.

MAC-Adresse – Die eindeutige Identifikation

Ein weiteres Datum, das ein WLAN freimütig der Welt kundtut, ist die sog. MAC-Adresse. Dabei handelt es sich um eine weltweit eindeutige Zeichenkombination, die einen Netzwerkadapter (Netzwerk-Karte, WLAN-Stick oder auch Access Point) kennzeichnet. Anders als etwa bei IP-Adressen gibt es jedoch keine Möglichkeit, eine MAC-Adresse einer realen Person zuzuordnen. Es gibt also kein Register, wo die Käufer von Geräten mit einer bestimmten MAC-Adresse registriert sind. Sie kann auch nicht zur Adressierung im Internet verwendet werden. Insofern ist eine MAC-Adresse auch kein sonderlich großes Geheimnis, sodass sie auch bedenkenlos von den Access Point bekannt gegeben werden kann.

Dieser Artikel wird etwa über einen WLAN-Adapter mit der Mac-Adresse „0C:60:76:2C:75:62” ins Netz gestellt. Wer Spaß daran hat, könnte jetzt herausfinden, dass diese WLAN-Karte von der Firma „Hon Hai Precision Ind. Co.” aus Shanghai hergestellt wurde. Zu mehr Informationen taugt die Adresse aber nicht.

Selbst wenn man also mit einer MAC-Adresse einen bestimmten Access-Point identifizieren kann, wird man keinerlei Rückschlüsse auf die Person ziehen können, der dieser gehört – ein Personenbezug lässt sich nicht herstellen.

Die informationelle Selbstbestimmung

Wir stellen also fest, dass Google mit der Erfassung von öffentlich zugänglichen WLANs nur dann personenbezogene Daten erhebt, wenn die Besitzer dieser Netze selbst ihre Daten nach außen tragen. Nur wenn der Besitzer des Netzes selbst entscheidet, sein Netzwerk nach sich selbst zu benennen und es gleichzeitig für jedermann sichtbar macht, könnte es sich bei dem Namen des Netzes um ein personenbezogenes Datum handeln. In diesem Fall würden sich tatsächlich datenschutzrechtliche Probleme ergeben. Zwar könnte die Erhebung der Daten in Deutschland noch gerechtfertigt sein (§ 29 Abs. 1 Nr. 2 BDSG, denn die Daten entstammen einer „allgemein zugänglichen Quelle”), die Übermittlung in die USA zur Google-Zentrale wäre aber höchst problematisch.

Dies gilt aber – wie gesagt – nur in dem Sonderfall, wo ein WLAN-Besitzer selbst seine Daten in Form des WLAN-Namens funkt. „Nicht selten” komme dies vor, behaupten die Datenschützer. Für konkrete Maßnahmen gegen Google müssten sie das aber auch nachweisen können. Ob das gelingt, ist zweifelhaft.

Außerdem muss man sich fragen, ob es das Recht auf informationelle Selbstbestimmung wirklich erfordert, dass der Staat den Bürger in einem solchen Fall vor sich selbst schützt. Oder ist es vielmehr Teil dieses Rechtes, sich bewusst dafür zu entscheiden, seinen Namen frei durch die Umgebung zu funken?

Der Sicherheitsaspekt

Neben dem rein datenschutzrechtlichen Aspekt werfen die Datenschützer Google auch vor, den Verschlüsselungsstatus der Netze zu speichern. Also ob und mit welchem Algorithmus ein Netz gesichert ist. Diese Informationen seien „höchst missbrauchsanfällig” und könnten als „Wegweiser für Schwarzsurfer” benutzt werden.

Indes sind auch diese Informationen keine Geheimnisse – jedes WLAN-Netz teilt sie öffentlich mit. Schließlich müssen die Computer, die sich verbinden wollen, auch wissen, mit welcher Methode sie sich authentifizieren können. Richtig ist, dass es veraltete Algorithmen gibt, die relativ leicht geknackt werden können. Und es ist auch gut möglich, dass man die Google-Informationen dazu nutzen könnte, gezielt solche Netze aufzustöbern und sich einzuklinken (was eine Straftat wäre). Das setzt aber voraus, dass Google die Informationen veröffentlicht. Bislang ist das nicht geschehen, ob es je passieren wird weiß man nicht. Und ein Netz wird auch nicht dadurch sicher, dass man versucht, die schwache Verschlüsselung „geheim” zu halten.

Abgesehen davon stellt sich die Frage, ob dies wirklich ein Problem ist, wo die Datenschutzbehörden eingreifen müssen. Denn für allgemeine Sicherheit von Netzwerken sind die gar nicht zuständig.

Einschätzung

Es ist gut und richtig, dass die Datenschutzbehörden ein Auge auf aktuelle Entwicklungen haben (auch wenn die WLAN-Erfassung nicht ganz so neu ist, wie behauptet). Bisweilen hat man jedoch den Eindruck, dass jede Datenverarbeitung prinzipiell dem Generalverdacht eines Datenschutzverstoßes unterliegt. Es täte der Akzeptanz und Glaubwürdigkeit der Aufsichtsbehörden gut, gelegentlich etwas besonnener und weniger polemisch auf neue Entwicklungen zu reagieren. Die WLAN-Erfassung von Google ist da nur ein Fall von vielen.

Wir brauchen starke Aufsichtsbehörden im Datenschutz. Dazu gehört aber auch, Gefahren angemessen einzuschätzen, weil irgendwann die Bagatelle nicht mehr vom echten Skandal zu unterscheiden ist. Wenn Peter Schaar nun „entsetzt” ist über die „rechtswidrig erhobenen personenbezogenen Daten” und Johannes Caspar von „nicht akzeptablem” Verhalten spricht, ist das dem Anlass nicht angemessen und schadet dem Datenschutz mehr, als es ihm nutzt.

Die Stellungnahmen von Peter Schaar und Johannes Caspar bei datenschutz.de.

Weitere Hintergründe bei Spiegel online.
Anzeige:

Kommentare

* Tom 23.04.2010 06:04
Das iPhone übermittelt übrigens ebenso alle gefundenen Wlan Netze in seiner Umgebung bei vorhandener Position über Netzmasten/GPS ungefragt an Skyhook (Quelle: CCC Vortrag bzw. Wireshark Sniffing)
* Heiner 23.04.2010 06:38
Ich wohne auf dem Lande. Wenn Google vor meinem Haus ein WLAN-Netz findet, dann ist völlig klar, wem das gehört. Grundsätzlich habe ich nix dagegen, dass das so ist! Aber wieso zum Geier sollte einer beliebigen Aktiengesellschaft gestattet werden dieses private Datum in einer Datenbank zu speichern?

Mir geht es nicht um die Sichtbarkeit meines Netzes sondern darum dass diese Daten in irgendeiner Datenbank verschwinden, dass mir niemand freiwillig sagt, wie lange sie dort gespeichert werden und hauptsächlich dass mir niemand sagt, mit welchen anderen Daten sie kombiniert werden.
* Jens Ferner 23.04.2010 08:01
* Olli 23.04.2010 09:09
Ich sehe es an sich auch unproblematisch. Klar hätte google das bekannt geben können. Haben sie aber nicht. Und? Welcher Schaden ist gleich nochmal entstanden? Die Daten sind (noch) nicht publiziert und der Hype um die Erfassung hat doch eher Vorteile als Folge: Leute die ein ungesichertes WLAN haben, werden sich nun doch wohl eher darum kümmern, das zu ändern.

Und wenn sich trotzdem jemand daran stört, soll er sein Netz verstecken, es ggf. umbenennen, die Sendeleistung minimieren oder - für die ganz Paranoiden - sich Kabel in die Wohnung legen.

PS: Und nicht vergessen: Autokennzeichen überkleben. Könnte ja jemand beim Vorbeigehen sehen (Benutzen kann er das Auto trotzdem nicht - ist ja "verschlüsselt")... ;-)
* Adrian 23.04.2010 10:49
QUOTE Heiner:
Ich wohne auf dem Lande. Wenn Google vor meinem Haus ein WLAN-Netz findet, dann ist völlig klar, wem das gehört. Grundsätzlich habe ich nix dagegen, dass das so ist! Aber wieso zum Geier sollte einer beliebigen Aktiengesellschaft gestattet werden dieses private Datum in einer Datenbank zu speichern?

Wie gesagt: Es steht Ihnen frei, Ihr WLAN für Google unsichtbar zu machen. Und der Name und die Position des WLANs mögen vielleicht noch einem einzelnen Haus zuzuordnen sein, einer Person in diesem Haus allerdings nicht. Und ob Google solch ländliche Gebiete erfassen wird, weiß ja auch noch niemand.

Im Übrigen gehe ich davon aus, dass Google diese WLAN-Erfassung vor allem zur Geolokalisierung sammelt, siehe der Hinweis von Spiegel Online auf die Technologie des Fraunhofer Instituts (http://www.spiegel.de/netzwelt/tech/0,1518,528797,00.html). In diesem Fall wäre ein einzelnes WLAN auf dem Lande auch vollkommen nutzlos für Google, weil man zur Triangulation mindestens drei benötigt.

QUOTE Jens:
Was mir nicht gefällt ist, dass es nicht von Anfang an bekannt gegeben wurde.

Ich glaube, das ist ein reines PR-Problem von Google gewesen, denn es war ja nie ein Geheimnis. In der englischsprachigen Wikipedia steht das zum Beispiel gleich in der Einleitung und das nicht erst seit gestern. Ich vermute, Google hat das WLAN-Scannen einfach nicht als Problem gesehen. Hätte ich ehrlich gesagt bis gestern auch nicht.

QUOTE Jens:
Das ändert aber nichts daran, dass mir mulmig ist und ich es schlichtweg nicht gut finde und auch gar nicht will.

Das Datenschutzrecht ist aber nicht dazu da, um Technologien zu blockieren, bei denen man "irgendwie ein dummes Gefühl" hat. Genau dazu wird es aber m.E. gerne versuchsweise herangezogen. Und das halte ich für gefährlich, weil der Datenschutz durch genau sowas banalisiert wird.
* NR 23.04.2010 12:38
Kein Unternehmen posaunt gerne raus woran gerade gearbeitet, geforscht oder gebastelt wird. Das Recht schützt solche Informationen uU als Betriebsgeheimnis. Aus welchen Grund sollte Google solche Informationen verbreiten aktiv verbreiten wollen/sollen/müssen.
Es war schon eine Weile bekannt, da aufmerksame Leute einen Blick auf die Autos geworfen hat. Dass Google der Konkurrenz nicht auf die Nase bindet von Ihr gerade unabhängiger zu werden ist legitim.
* KlammerKarl 23.04.2010 12:44
* Hans-Werner 23.04.2010 13:20
Das mit dem "Unsichtbarmachen" ist aber eigentlich verkehrt. Das ist nämlich eine Funktionalität, die der Standard, nach dem gefunkt wird, nicht vorsieht. D.h. also standardkonforme WLAN-Geräte müssen das Deaktivieren des Beacon-Versands nicht zwangsläufig unterstützen. Mit der Freiwilligkeit ist das an dieser Stelle dann eben nicht so weit her.
* Micha 23.04.2010 13:22
Welche Technologie soll hier denn blockiert werden?

Und beim Datenschutz geht es um den Schutz des Persönlichkeitsreichts (siehe Volkszählungsurteil).

Wenn also die Möglichkeit besteht, dass ein Datum einer Person zugeordnet werden kann, dann findet das BDSG Anwendung.

Ich finde nicht, das durch den "Aufschrei" das Gesetz banalisiert wird, sondern es muss die Awareness geschaffen werden, das vor der Einführung / Umsetzung einer Maßnahme die Datenschutzaspekte ausgiebig gewürdigt werden. Die wollen einige Personen und Konzerne nicht so ganz akzeptieren und dann muss man auch bei kleineren Abweichung den Zeigefinger heben.
* Adrian 23.04.2010 13:41
QUOTE Hans-Werner:
D.h. also standardkonforme WLAN-Geräte müssen das Deaktivieren des Beacon-Versands nicht zwangsläufig unterstützen.

Danke für die Ergänzung. Am Ergebnis ändert das m.E. aber nichts. Denn erstens unterstützen die meisten handelsüblichen Access-Points dennoch dieses Feature, zweitens wird das "Unsichtbarmachen" des WLANs nur dann entscheidend, wenn man dem Netz seinen Namen geben möchte und es gleichzeitig nicht jedermann mitteilen möchte.

QUOTE Micha:
Und beim Datenschutz geht es um den Schutz des Persönlichkeitsreichts (siehe Volkszählungsurteil).

Genau hier bezweifle ich, dass eine Beeinträchtigung des Persönlichkeitsrechtes vorliegt, wenn jemand selbst bewusst seinen Namen der Öffentlichkeit mitteilt. Im Gegenteil halte ich es für einen Teil der informationellen Selbstbestimmung, dass man dazu das Recht hat.

QUOTE Micha:
Wenn also die Möglichkeit besteht, dass ein Datum einer Person zugeordnet werden kann, dann findet das BDSG Anwendung.

Wir haben hier den Fall, wo massenhaft datenschutzrechtlich nicht relevante Informationen erhoben werden. Nur in bestimmten Sonderkonstellationen, wo der betroffene Bürger selbst zu einem Personenbezug beigetragen hat, kann ausnahmsweise in einem Bruchteil aller Fälle möglicherweise mal eine datenschutzrechtliche Relevanz entstehen. Ich meine, dass das sehr wohl berücksichtigt werden muss. Denn auch das BDSG unterliegt dem Grundsatz der Verhältnismäßigkeit. Auch wenn einfachgesetzlich oftmals keine Abwägung vorgesehen ist, halte ich sie verfassungsrechtlich für geboten.
* Hans-Werner 23.04.2010 14:00
Ja, da war ich etwas kurz angebunden: In der Sache stimme ich zu. Ich würde gern ein paar vergleichende Beispiele bringen: Z.B. schreibe ich groß meinen Namen auf den aufgespannten Regenschirm und klage dann gegen Luftbilder. Oder ich mähe meinen Namen in den Rasen und beschwere mich ebenso. Oder ich gebe hier im Forum meinen richtigen vollständigen Namen an und beschwere mich über die Suchmaschinenindizierung. Etc.pp. -- letztlich ist die Konfiguration der SSID nicht mal ein Feld, bei dem typischerweise nach dem Namen des Besitzers gefragt wird. Wer ein Funknetz dazu verwendet, ständig weithin "hörbar" seinen Namen in die Welt zu rufen, begibt sich wohl auch eines großen Teils seines Schutzinteresses.

Übrigens dürfte es Google völlig reichen -- und deshalb halte ich es auch für nicht ganz unwahrscheinlich, dass die Aussagen seitens Google auch dahingehend zu deuten sind -- einfach Hash-Werte von SSID und MAC zu speichern. Womit auch datenschutzrechtlich die Luft 'raus sein sollte.
* Marc B. 24.04.2010 09:06
Diese Diskussion berücksichtigt nicht, dass Google (und alle anderen, die die selben Daten erheben und nutzen) die eventuell personenbezogenen Daten gar nicht veröffentlichen!

Sie werden lediglich in eine Datenbank eingetragen, die live abgeglichen wird mit den Daten, die ein nutzendes Smartphone, Netbook oder Notebook an den Betreiber sendet.

Wegen der fehlenden Veröffentlichung ist doch höchst fraglich, ob das BDSG überhaupt betroffen ist - selbst wenn wir mal annehmen, dass es sich im Einzelfall durchaus um personenbeziehbare Daten handelt und keine (konkludente) Einwilligung vorliegt.
* Adrian 24.04.2010 11:26
QUOTE Marc B.:
Wegen der fehlenden Veröffentlichung ist doch höchst fraglich, ob das BDSG überhaupt betroffen ist

Für eine Anwendbarkeit des BDSG kommt es nicht darauf an, ob die Daten auch veröffentlicht werden. Schon die Erhebung von personenbezogenen Daten untersteht dem Verbot mit Erlaubnisvorbehalt.
* Heiner 25.04.2010 09:10
@adrian
> Wie gesagt: Es steht Ihnen frei, Ihr WLAN für Google unsichtbar zu machen.

Ganz genau, das möchte ich mir keineswegs von Google vorschreiben lassen. Die Sichtbarkeit von WLAN-Netzten hat doch durchaus seinen praktischen Sinn.

> Und der Name und die Position des WLANs mögen vielleicht noch einem einzelnen Haus zuzuordnen sein, einer Person in diesem Haus allerdings nicht. Und ob Google solch ländliche Gebiete erfassen wird, weiß ja auch noch niemand.

Du wohnst offenbar in einem großen Haus voller Leute in einer großen Stadt voller Leute ;-)
* Muschl 27.04.2010 09:31
@Adrian

Ich glaube nicht, das Google die WLANs mit Windows Mitteln identifiziert. Und dann bringt es auch nichts die SSID nicht mitzusenden. Ihr werdet trotzdem gefunden...
* Heiner 23.06.2010 23:32
Oje, ich hoffe sehr, dass Du bei Thema Datensicherheit nicht wirklich auf das Konzept "Glauben" vertraust ...
* Annekaa 04.07.2010 18:20
Ja das Konzept glauben ist bei der Datensicherheit sicherlich ein Thema für sich!
Informationen sind Macht! Das war schon immer so und niemand gibt freiwiillig seine Macht her.

Kommentar schreiben

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
BBCode-Formatierung erlaubt
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.