Unzureichend informiert und ungefragt überwacht. Dr. Dominik Herrmann

Transkript

1 Unzureichend informiert und ungefragt überwacht Hürden auf dem Weg zur Datensouveränität Überwindung mittels unaufdringlicher Datenschutztechniken Dr. Dominik Herrmann Folien:

2

3 119 neu in den Google-Index aufgenommene Seiten mit dem Stichwort Datensouveränität Wir brauchen ein anderes Verständnis von Datenschutz [und] müssen in Richtung Datensouveränität gehen. 3

4 Datensouveränität heißt: Anwender sollen die Hoheit über ihre Daten haben und entscheiden können, mit wem sie ihre Daten teilen. Diese Forderung ist nicht neu. Informationelle Selbstbestimmung (1983) Jeder Bürger darf selbst über Preisgabe und Verwendung persönlicher Daten zu bestimmen. Bürger müssen wissen wer was wann und bei welcher Gelegenheit über sie weiß. Datenschutz-Grundsätze Erforderlichkeit Datensparsamkeit Datensouveränität mit neuer Perspektive Datensparsamkeit und Zweckbindung verhindern neue datenbasierte Dienste. Dienstanbieter sollen Techniken zur Herstellung von Transparenz und benutzbare Lösungen zur Einwilligung entwickeln. Zweckbindung Transparenz Einwilligung 4

5 Transparenz setzt voraus, dass Anwender nachvollziehen können, welche Daten sie welchem Anbieter zur Verfügung gestellt haben. Katja surft im Internet Welche Daten hat Pinterest und an wen werden sie übermittelt Wofür wurden meine Anfragen verwendet Welche anderen Anbieter haben noch Daten von mir 5

6 Die existierenden Transparenz-Mechanismen sind unzureichend oder bislang noch nicht systematisch untersucht worden. 1. Datenschutzerklärungen: unzureichend unverständlich keine konkrete Auskunft 2. Profilseiten: unzureichend konkrete Auskunft unvollständig 3. Betroffenenrechte: noch nicht untersucht Datenauskunft Berichtigung und Löschung empirische Untersuchung BDSG 34 f. und DSGVO Art

7 Unzureichend informiert Studie zur Wahrnehmbarkeit des Rechts auf Selbstauskunft und Löschung persönlicher Daten Herrmann & Lindemann (GI Sicherheit, 2016)

8 Es wurde untersucht, wie Website-Betreiber mit Anfragen auf Auskunft (Phase 1) und Datenlöschung (Phase 2) umgehen, die per /Web-Formular gestellt werden. Phase 1: Datenauskunft Registrierung Hypothesen zur Datenauskunft: Bezug auf BDSG und Beharrlichkeit zahlen sich aus. Bearbeitung erfolgt nicht mit gebührender Sorgfalt. Fake-Anfrage keine akzeptable Antwort innerhalb 1 Woche Sender: An: Paul Meier <paul.meier@fair-konsult.de> Datenschutzbeauftragter (sonst: Kunden-Support) informelle Anfrage keine akzeptable Antwort innerhalb 1 Woche formale Anfrage Sehr geehrte Damen und Herren, ich würde mich gerne darüber informieren, welche Daten Sie über mein Profil paul.meier@barmail.degespeichert haben und wie diese verwendet werden. Bitte lassen Sie mir diese Informationen zeitnah zukommen. Mit freundlichen Grüßen Paul Meier 8

9 Es wurde untersucht, wie Website-Betreiber mit Anfragen auf Auskunft (Phase 1) und Datenlöschung (Phase 2) umgehen, die per /Web-Formular gestellt werden. Phase 1: Datenauskunft 4 Wochen später Phase 2: Datenlöschung Registrierung Fake-Anfrage Registrierung mit anderem Pseudonym Zusätzliche Hypothese zur Datenlöschung: Anbieter löschen Daten nicht (vollständig). informelle Anfrage formale Anfrage Erkennung unvollständiger Löschung Login noch möglich Passwort vergessen reaktiviert Konto erneute Registrierung nicht möglich informelle Anfrage Konto nach 1 Woche noch vorhanden formale Anfrage 9

10 Die Studie wurde im Herbst 2014 mit 120 Webseiten aus der Alexa Top 500 DE -Liste durchgeführt (Bedingung: es lässt sich ein Benutzerkonto anlegen). Ergebnisse für Datenauskunft Erkenntnisse Bezug auf BDSG und Beharrlichkeit zahlen sich aus. Bearbeitung erfolgt nicht mit gebührender Sorgfalt. uneinheitliche Auskünfte, hoher Bearbeitungsaufwand Fake-Anfrage Antwort an barmail-adresse OK (0.18) 0.07 keine Reaktion (0.43) 0.02 Auskunft verweigert (0.30) informelle Anfrage unvollständig Konto verschwunden OK (0.28) unvollständig (0.28) 0.01 keine Reaktion (0.31) formale Anfrage nicht erreichbar verweigert OK (0.43) unvollständig 0.01 keine Reaktion (0.23)

11 Art und Umfang der ausgestellten Auskünfte variiert erheblich. 11

12 Die Ergebnisse zur Datenlöschung fallen besser aus aber nur auf den ersten Blick. Ergebnisse für Datenlöschung Erkenntnisse Bereitschaft zur Datenlöschung höher als zur Auskunft. Einige Anbieter löschen Daten nicht vollständig. Aber: Bearbeitung erfolgt nicht mit gebührender Sorgfalt. informelle Anfrage vollständig gelöscht (0.48) keine Reaktion (0.26) 0.08 formale Anfrage gesperrt verschwunden nicht erreicht unvollständig vollständig gelöscht (0.52) gesperrt (0.18) 0.11 keine Reaktion (0.17)

13 Viele Anbieter haben Accounts sofort nach Eingang der Anfrage gelöscht ohne Rückfrage beim Kontoinhaber. Dies ermöglicht es Dritten fremde Konten zu löschen. Sender: An: Support Guten Tag Michael, Ihr Konto ist hiermit gelöscht. Mit besten Grüßen aus Hamburg Mathilde 13

14 Damit ein Anwender über die Verarbeitung seiner Daten bestimmen kann muss er (oder sein Privacy-Agent) erst einmal davon Kenntnis erlangen. Trackingdienste 14

15 Gängige Trackingtechniken können im Browser erkannt und automatisiert abgewehrt werden. Trackingdienste sehen sich daher nach neuen Techniken um. Cookie-Verwaltung Font-Fingerprint Audio-Fingerprint PC 1 PC 2 Bisher: Tracker werten nutzen Data-Mining-Techniken, um aus dem Verhalten Interessen abzuleiten. Forschungsfrage: Reichen die Daten aus, die Trackingdienste ohne Cookies (etc.) erheben können, um allein damit Nutzer zu tracken empirische Untersuchung Acar et al.: The Web never forgets: Persistent tracking mechanisms in the wild. CCS Englehardt & Narayanan: Online tracking: A 1-million-site measurement and analysis,

16 Ungefragt überwacht Nicht-feststellbares Tracking als Gefahr für die Datensouveränität Herrmann, Banse & Federrath (Computers & Security, 2013)

17 Herausforderung Wiedererkennung von Nutzern trotz (meist täglich) wechselnder IP-Adressen Katja Mai Mai Mai Mai M

18 Herausforderung Wiedererkennung von Nutzern trotz (meist täglich) wechselnder IP-Adressen Katja Mai Mai Mai Mai M

19 Herausforderung Wiedererkennung von Nutzern trotz (meist täglich) wechselnder IP-Adressen Neues Verfahren verhaltensbasierte Wiedererkennung Katja Mai Mai Mai Mai M

20 3. Mai spiegel.de google.de apple.com siegen.de airbus.com 4 x 15 x 1 x 3 x 2 x Hypothese Surfverhalten vieler Nutzer weist wiederkehrende und charakteristische Muster auf 1 x 9 x 0 x 6 x 3 x 4. Mai spiegel.de google.de apple.com siegen.de airbus.com Mai Mai Mai Mai M

21 Tracking-Verfahren: Sessions werden als Vektoren modelliert und anhand ihrer Kosinus-Ähnlichkeit miteinander verglichen (1-Nächster-Nachbarn-Klassifikator). airbus.com bahn.de cos = 0, cos = 0,43 0 gestern heute 21

22 Genauigkeit des verhaltensbasierten Trackings Experimentelle Überprüfung 1. verdeckt DNS-Anfragen beobachten 2. Tracking simulieren (24h-Sitzungen) 3. Genauigkeit u. Robustheit bestimmen Tracking-Genauigkeit [%] 75 raw bigrams +10 log gängige Data-Mining- Transformationen +2 idf DNS-Log 2 Monate > 3800 Studenten 5 Mio. Domains mit»ground truth«(pseudonymisiert) raw 22

23 Genauigkeit des verhaltensbasierten Trackings Sonntag S S Montag M M2 S M3 S4 nicht aktiv M4 Tracking-Genauigkeit [%] mehrdeutige Vorhersagen können aufgelöst werden 75 raw mehrdeutige Vorhersagen +8 Fehler accuracy Genauigkeit 54 bigrams log idf number Anzahl der of Nutzer users 1000 date / / / / Datum raw 23

24 Genauigkeit des verhaltensbasierten Trackings S1 S2 Sonntag Montag M1 M2 S M3 S4 nicht aktiv M4 Tracking-Genauigkeit [%] Pruning raw accuracy Genauigkeit mit Pruning 54 bigrams log idf Pruning number Anzahl der of Nutzer 1000 users date / / / / Datum raw 24

25 Verhaltensbasiertes Tracking erweist sich als robust und kann auch auf größere Nutzergruppen angewendet werden. nur N populärste Domains (nicht alle 5 Mio.) 62 % 76 % Anzahl der Tage zwischen Sessions (anstatt 1 Tag) % % Anzahl der Nutzer (anstatt 3800) 25

26 Verhaltensbasiertes Tracking kann nicht nur von DNS-Servern sondern auch von Werbenetzen eingesetzt werden. DNS-Server Google DNS > 400 Mrd. Anfragen pro Tag (2014) Domain IP-Adresse Browser Webseiten 1 2 n Werbenetze Google Doubleclick auf > 80% der populärsten 1 Mio. Seiten (2015) Ungefragt und unbemerkt überwacht: Verdeckte Beobachtung bedroht die Datensouveränität von Internetnutzern. unaufdringliche Datenschutztechniken CircleID: Google Improving Location-Sensitive DNS Responses for Its 400B Responses-Per-Day Public DNS Service, (2014). Libert: Exposing the invisible web: An analysis of third-party http requests on 1 million websites, Int. Journal of Communication 9, 0 (2015). 26

27 Unaufdringliche Datenschutztechniken für das DNS im Besonderen und gegen verhaltensbasiertes Tracking im Allgemeinen. Federrath, Fuchs, Herrmann, Piosecny (ESORICS 2011)

28 Schutz im DNS: Unaufdringliche Schutztechniken schützen die Privatsphäre ohne die Benutzbarkeit (z.b. in Form der wahrnehmbaren Performanz) zu beeinträchtigen. 1. Beobachtung wenige Domains sind sehr populär Top 10,000 Domains: 80% aller Anfragen 2. Beobachtung IPs vieler Domains lange konstant für 50% der Domains TTL > 5 min PushDNS Service: sendet IP-Adressen der populärsten Domains automatisch zu den angeschlossenen Clients. next domain TTL expired no push to clients yes Datenvolumen (für Domains): Aktualisierung: 350 MB pro Tag Übermittlung: 0.8 KB/s pro Nutzer yes resolve domain new response no Ergebnis: Großteil der DNS-Anfragen unbeobachtbar und völlig verzögerungsfrei 28

29 Unaufdringlicher Schutz vor verhaltensbasiertem Tracking: könnte von den Internetzugangsanbietern angeboten werden. Sitzungsdauer Genauigkeit 5 min 31 % 10 min 34 % Schutz vor Tracking: IP-Adresse möglichst häufig ändern 1 h 55 % 6 h 70 % 24 h 86 % Carrier Grade NAT und IPv6 Prefix Bouquets airberlin.de spiegel.de tracking.net t IP 001 IP IP 100 IP 001 IP IP Tage 97 % 29

30 Unzureichend informiert und ungefragt überwacht Hürden auf dem Weg zur Datensouveränität Nutzer können sich nicht über die Daten informieren, die sie explizit preisgeben. Implizit preisgegebene Informationen erlauben nicht-feststellbares Tracking. Überwindung mit unaufdringlichen Schutztechniken PushDNS: unbeobachtbare und völlig verzögerungsfreie Auflösung populärer Domains. Schutz vor Tracking an Internetzugangsanbieter delegieren. Dr. Dominik Herrmann