Re-Identifizierung: warum anonymisierte Daten wieder zuordenbar werden

Was Re-Identifizierung bedeutet

Daten können ohne Namen oder direkte Kontaktangaben veröffentlicht oder ausgewertet werden und trotzdem Rückschlüsse auf einzelne Personen zulassen. Werden solche Informationen mit weiteren Daten verknüpft, lässt sich unter Umständen erkennen, zu wem ein Datensatz gehört. Dieser Vorgang wird als Re-Identifizierung bezeichnet.

Das Risiko entsteht nicht nur durch ein einzelnes besonders verräterisches Merkmal. Häufig reicht eine Kombination aus Angaben, die für sich genommen gewöhnlich wirken: etwa ein Wohngebiet, eine Altersgruppe und ein bestimmter Zeitpunkt. Je genauer diese Merkmale sind und je mehr zusätzliche Informationen verfügbar werden, desto leichter kann eine Zuordnung fallen.

Für Privatsphäre und IT-Sicherheit ist deshalb entscheidend, nicht nur zu fragen, ob Namen entfernt wurden. Ebenso wichtig ist, welche Merkmale erhalten bleiben, wer auf die Daten zugreifen kann und mit welchen anderen Quellen sie verbunden werden könnten. Eine Einschätzung gilt zudem nicht automatisch dauerhaft: Neue Informationen können das Risiko verändern.

Wie Re-Identifizierung von Daten möglich wird

Einzelne Angaben ergeben zusammen ein erkennbares Muster

Ein direktes Identifikationsmerkmal wie ein vollständiger Name macht eine Person unmittelbar erkennbar. Doch auch Angaben, die keine Person allein eindeutig benennen, können gemeinsam eine Zuordnung ermöglichen. Dazu zählen beispielsweise Wohnort, Alter, Beruf, seltene Ereignisse oder genaue Zeitangaben.

Solche Merkmale können in einer Gruppe nur auf wenige Personen zutreffen. Eine Kombination aus einem kleinen Wohngebiet, einer bestimmten Tätigkeit und einem ungewöhnlichen Ereignis kann etwa so charakteristisch sein, dass sie mit öffentlich auffindbaren Informationen abgeglichen werden kann. Dafür muss keine einzelne Angabe geheim oder besonders sensibel sein.

Je enger eine Gruppe durch die Merkmale eingegrenzt wird, desto kleiner wird der Kreis möglicher Personen. Bleibt am Ende nur eine passende Person übrig, ist die Zuordnung besonders naheliegend. Auch wenn mehrere Personen infrage kommen, kann eine Verknüpfung mit weiteren Quellen den Kreis weiter verkleinern.

Datenquellen lassen sich miteinander verbinden

Ein Datensatz wird oft erst im Zusammenspiel mit anderen Informationen aussagekräftig. Eine Datei mit ungefähren Orts- und Zeitangaben kann beispielsweise mit öffentlich zugänglichen Beiträgen, einem Verzeichnis oder einem weiteren Datensatz abgeglichen werden. Dabei können sich einzelne Hinweise gegenseitig bestätigen.

Das setzt nicht zwingend einen umfassenden Zugriff auf vertrauliche Systeme voraus. Schon öffentlich verfügbare Informationen können zusätzliche Anhaltspunkte liefern. Auch Daten, die in unterschiedlichen Zusammenhängen erhoben wurden, können in Kombination eine Person erkennbar machen.

Das Risiko hängt deshalb nicht allein von der betrachteten Datei ab. Es kommt auch darauf an, welche ergänzenden Informationen realistisch verfügbar sind und wie einfach sich die Angaben vergleichen lassen. Eine Bewertung, die nur den Datensatz isoliert betrachtet, kann mögliche Verknüpfungen übersehen.

Kleine Gruppen und seltene Merkmale erhöhen die Auffälligkeit

Besonders auffällige Angaben sind solche, die nur auf wenige Menschen zutreffen. Dazu können seltene Tätigkeiten, ungewöhnliche Lebensumstände oder sehr präzise Orts- und Zeitinformationen gehören. Selbst grobe Angaben können heikel werden, wenn sie mit anderen seltenen Merkmalen zusammenfallen.

Auch eine große Datenmenge schützt nicht automatisch vor Zuordnung. Enthält sie viele Personen, kann eine bestimmte Merkmalskombination dennoch einzigartig sein. Entscheidend ist nicht nur die Gesamtzahl der Einträge, sondern auch, wie häufig jede Kombination in der betroffenen Gruppe vorkommt.

Umgekehrt lässt sich aus einer einzelnen auffälligen Angabe nicht immer sicher auf eine bestimmte Person schließen. Eine Zuordnung kann unsicher bleiben oder mehrere Menschen betreffen. Das ändert aber nichts daran, dass bereits eine plausible Verknüpfung ein Datenschutzrisiko darstellen kann.

Warum das Risiko mit der Zeit wachsen kann

Daten werden häufig über längere Zeit gespeichert, weitergegeben oder für neue Auswertungen genutzt. Währenddessen können zusätzliche Informationsquellen entstehen. Was zunächst nur eine grobe Beschreibung war, kann später mit genaueren Angaben aus einem anderen Zusammenhang zusammenpassen.

Auch die Merkmale selbst können sich verändern. Ein seltener Wohnort, ein besonderer Termin oder eine bestimmte Funktion lässt sich möglicherweise mit der Zeit leichter einordnen, wenn ergänzende Informationen verfügbar werden. Deshalb sollte die Einschätzung nicht nur die heutige Situation berücksichtigen.

Ein weiterer Einflussfaktor ist der Zweckwechsel. Werden Daten später anders ausgewertet als ursprünglich vorgesehen, können Merkmale bedeutsam werden, die bei der ersten Erhebung nebensächlich schienen. Eine neue Nutzung kann zudem andere Verknüpfungsmöglichkeiten eröffnen.

Das bedeutet nicht, dass jede Information irgendwann zwangsläufig einer Person zugeordnet wird. Es zeigt vielmehr, warum die Annahme „Namen entfernt, Risiko erledigt“ zu kurz greift. Schutzmaßnahmen sollten zur geplanten Nutzung, zur möglichen Weitergabe und zur erwartbaren Lebensdauer der Daten passen.

Welche Folgen eine Zuordnung haben kann

Wenn Daten einer Person zugeordnet werden, können daraus Rückschlüsse auf Lebensumstände, Verhalten oder persönliche Vorlieben entstehen. Welche Folgen möglich sind, hängt stark davon ab, welche Angaben vorliegen und wer sie nutzt. In manchen Fällen bleibt es bei einer unerwünschten Wiedererkennung; in anderen können Informationen zu Entscheidungen über eine Person beitragen.

Auch Unternehmen und kleine Organisationen können betroffen sein. Werden Datensätze veröffentlicht oder an Dritte übermittelt, kann eine unbedachte Kombination mit anderen Quellen Vertraulichkeit beeinträchtigen. Das kann Vertrauen schädigen und zusätzlichen Aufwand verursachen, etwa wenn die Nutzung eingeschränkt oder eine Weitergabe aufgearbeitet werden muss.

Bei sensiblen Angaben ist besondere Zurückhaltung wichtig. Selbst wenn eine Datei keine Namen enthält, können präzise Einzelheiten Rückschlüsse auf einzelne Menschen ermöglichen. Eine allgemeine Einschätzung ersetzt keine fachliche Prüfung, insbesondere wenn Daten in großem Umfang verarbeitet oder weitergegeben werden sollen.

Wie sich das Risiko vor der Nutzung einschätzen lässt

Eine sinnvolle Prüfung beginnt mit einer konkreten Betrachtung der Daten und ihres vorgesehenen Einsatzes. Die folgenden Fragen helfen, mögliche Zuordnungswege sichtbar zu machen:

• Welche direkten Identifikationsmerkmale und indirekten Hinweise enthält der Datensatz?
• Welche Merkmale sind selten oder besonders genau, etwa kleine Ortsangaben und Zeitpunkte?
• Mit welchen öffentlichen oder intern verfügbaren Quellen könnten die Angaben verknüpft werden?
• Wer erhält Zugriff, und kann die Datei weitergegeben oder mit anderen Beständen zusammengeführt werden?
• Wie lange sollen die Daten vorgehalten werden, und könnte sich das Umfeld währenddessen ändern?
• Welche Folgen hätte es, wenn einzelne Einträge einer Person zugeordnet würden?

Die Antworten sollten sich auf realistische Nutzungsszenarien beziehen. Es genügt nicht, nur zu prüfen, ob eine Zuordnung theoretisch denkbar ist. Ebenso sollte aber nicht unterstellt werden, dass fehlende Namen jede Verknüpfung unmöglich machen. Eine ausgewogene Einschätzung berücksichtigt sowohl die verfügbaren Hilfsinformationen als auch den Aufwand und die möglichen Folgen.

Wenn die Angaben für den Zweck nicht in ihrer vollen Genauigkeit gebraucht werden, kann eine weniger detaillierte Fassung das Risiko verringern. Worin sich Anonymisierung und Pseudonymisierung dabei unterscheiden, erklärt ein eigener Beitrag. Beispielsweise lassen sich Orts- oder Zeitangaben gröber darstellen oder seltene Kategorien zusammenfassen. Welche Maßnahme geeignet ist, hängt davon ab, welche Auswertungen weiterhin möglich sein müssen. Für statistische Auswertungen gibt es mit Differential Privacy zudem einen mathematischen Ansatz, der den Einfluss einzelner Personen auf das Ergebnis begrenzt.

Auch organisatorische Vorkehrungen sind wichtig. Begrenzen Sie den Zugriff auf Personen, die ihn für ihre Aufgaben benötigen, und legen Sie fest, ob Daten weitergegeben werden dürfen. Verschlüsselte Speicherung und Übertragung schützen vor bestimmten Zugriffsszenarien, verhindern jedoch nicht, dass berechtigte Empfänger Angaben mit anderem Wissen verbinden.

Vor einer Veröffentlichung oder externen Weitergabe kann eine unabhängige fachliche Einschätzung sinnvoll sein. Das gilt besonders, wenn sensible Informationen enthalten sind, viele Personen betroffen sein könnten oder eine langfristige Nutzung vorgesehen ist. Bei Fragen zu konkreten rechtlichen Pflichten sollten Sie geeignete Fachleute einbeziehen.

FAQ zur Re-Identifizierung

Kann eine Re-Identifizierung auch ohne vollständigen Namen gelingen?

Ja. Eine Person kann über eine Kombination indirekter Merkmale erkennbar werden, etwa über Wohngebiet, Tätigkeit und Zeitpunkt. Ob eine Zuordnung gelingt, hängt davon ab, wie auffällig diese Kombination ist und welche ergänzenden Informationen zur Verfügung stehen.

Ist ein einzelner Datensatz grundsätzlich sicherer als mehrere zusammengeführte Dateien?

Nicht unbedingt. Eine Datei kann bereits auffällige Kombinationen enthalten. Werden mehrere Quellen verbunden, können zusätzliche Hinweise hinzukommen und den Kreis möglicher Personen weiter verkleinern. Die sichere Einschätzung hängt daher von den konkreten Angaben und den verfügbaren Verknüpfungsmöglichkeiten ab.

Wer sollte eine Risikoeinschätzung vor einer Weitergabe vornehmen?

Das hängt von Art, Umfang und geplanter Nutzung der Daten ab. Verantwortliche sollten die Prüfung Personen übertragen, die sowohl die Datenstruktur als auch den vorgesehenen Einsatz verstehen. Bei sensiblen oder umfangreichen Vorhaben kann eine unabhängige Fachperson zusätzliche Risiken erkennen.

Was sollte geschehen, wenn nach einer Veröffentlichung ein Zuordnungsrisiko auffällt?

Begrenzen Sie zunächst weitere Zugriffe und Weitergaben, soweit das möglich ist. Prüfen Sie, welche Angaben betroffen sind und ob sich die Veröffentlichung oder Nutzung einschränken lässt. Bei möglichen rechtlichen Pflichten sollten zuständige Fachleute hinzugezogen werden.

Fazit

Entfernte Namen allein machen Daten nicht zuverlässig unzuordenbar. Re-Identifizierung wird vor allem dann möglich, wenn mehrere Hinweise zusammenkommen oder mit zusätzlichen Quellen abgeglichen werden können. Prüfen Sie deshalb Merkmale, Verknüpfbarkeit, Zugriff und geplante Nutzungsdauer gemeinsam, bevor Daten weitergegeben oder veröffentlicht werden. Einen Überblick über weitere Verfahren bietet die Rubrik Datenanonymisierung.