Falls Sie noch nie von „Dark Patterns“ gehört haben, geben Sie einfach „Google“ bei Google ein. Im Januar reichten vier Generalstaatsanwälte Klage gegen den Technologieriesen ein und behaupteten, das Unternehmen habe diese Praxis genutzt, um Verbraucher irrezuführen, indem es deren Standort auch dann noch verfolgte, wenn diese die Funktion „ “ bereits deaktiviert hatten.
„Dark Patterns“ sind irreführende Gestaltungselemente, die Unternehmen in Apps und auf Websites einsetzen, um Nutzer dazu zu manipulieren, Entscheidungen zu treffen, die ihren Absichten zuwiderlaufen oder ihnen schaden.
Angesichts der zunehmenden Verbreitung von Datenschutzvorschriften (oftmals in einer chaotischen, unübersichtlichen Weise, wie unter beschrieben) bemühen sich viele Organisationen nach Kräften, die von ihnen erfassten und gespeicherten sensiblen Daten zu erfassen, zu überwachen und zu schützen. Leider, so Safia Kazi, Leiterin des Bereichs „Privacy Professional Practices“ bei ISACA, dem internationalen Verband für IT-Governance, scheitern Organisationen häufig.
Kazi sprach kürzlich mit Endpoint- über „Dark Patterns“ und deren Pendant, die „Dark Data“, sowie darüber, was Unternehmen bei der Erhebung von Informationen beachten sollten, und – im Vorfeld des Internationalen Frauentags am 8. März – darüber, wie der Datenschutz davon profitieren könnte, wenn mehr Frauen in diesen Bereich einsteigen würden.
(Das folgende Interview wurde aus Gründen der Übersichtlichkeit gekürzt und überarbeitet.)
Beginnen wir mit den Grundlagen. Wie und warum setzen Unternehmen „Dark Patterns“ und „Dark Data“ ein?
„Dark Patterns“ sind Methoden, mit denen Unternehmen Sie dazu verleiten, der Nutzung Ihrer Daten zuzustimmen. Was mir manchmal auffällt, ist Folgendes: Ich rufe eine Website auf. Dort wird der Hinweis zu den Cookies angezeigt, wobei die Schaltfläche „Alle akzeptieren“ in einem leuchtenden Blau erscheint und die Schaltfläche „Ablehnen“ ausgegraut ist. Sie glauben, Sie könnten nicht darauf klicken. Wenn Sie jedoch mit der Maus darüberfahren, ist dies tatsächlich möglich. Ja, ich habe meine Einwilligung zu den Cookies erteilt, aber nur, weil ich dachte, ich hätte keine andere Wahl. Das ist hinterhältig und zudem frustrierend.
„Ich habe meine Einwilligung für Cookies erteilt, aber nur, weil ich dachte, ich hätte keine andere Wahl.“
Manchmal verlangt eine Website von Ihnen die Angabe Ihrer E-Mail-Adresse, nur damit Sie sich die angebotenen Produkte ansehen können. Nun, diese Informationen benötigen sie nicht. Sie möchten dies lediglich, um Ihnen Werbe-E-Mails zusenden zu können. Es ist falsch, Daten von Personen zu erheben, wenn diese sich nicht bewusst sind, dass sie eine Wahl haben und dass sie diese Daten eigentlich gar nicht angeben müssen. Ich hoffe, dass gegen diese „Dark Patterns“ strenger vorgegangen wird.
Die Erhebung personenbezogener Daten ist heutzutage ein großes Thema, da Unternehmen riesige Mengen davon speichern. Warum stellt dies ein Problem dar, und wie könnten diese sensiblen Daten gefährdet werden?
Nehmen wir einmal an, ich reiche einen Lebenslauf für eine Stelle ein. Das Unternehmen erklärt: „Wir werden Ihren Lebenslauf in unseren Unterlagen aufbewahren.“ Nun, in diesem Lebenslauf sind mein Name, meine Anschrift, meine Telefonnummer, meine E-Mail-Adresse, mein beruflicher Werdegang und möglicherweise auch meine Arbeitszeugnisse enthalten. Da zudem die Kosten für den Cloud-Speicher von so gering sind, was es Unternehmen ermöglicht, Informationen aufzubewahren und zu speichern, die sie niemals nutzen werden, häufen sich diese „Dark Data“ an. Nun könnten all diese sensiblen Daten über mich in die falschen Hände geraten und mir großen Schaden zufügen. Jemand könnte diese Daten verkaufen oder sogar meinem derzeitigen Chef mitteilen: „Hey, sie hat sich auf [eine andere] Stelle beworben.“ „Sie sollten sie wahrscheinlich nicht befördern.“
Deshalb ist es für Unternehmen so wichtig, die in ihrem Besitz befindlichen sensiblen Daten zu identifizieren und zu schützen. Oder fragen Sie sich: Warum halten wir daran fest? Sollten wir das tun? Verfügen wir über wirksame Kontrollmaßnahmen, um die Sicherheit und den Datenschutz zu gewährleisten? Wenn Sie nicht wissen, was Sie besitzen, können Sie es auch nicht schützen. Sie verstehen nicht, wie heikel diese Angelegenheit ist.
Wie können Unternehmen sensible Daten erfassen, überwachen und schützen?
Zunächst müssen sie wissen, welche Daten sie erheben. Welche Daten erhebt die Personalabteilung? Was versteht man unter Marketing-Collecting? Was versteht man unter „Forderungsmanagement“? Sie müssen sich fragen: Was haben wir? Warum haben wir das? Wo wird es aufbewahrt? Wie oft setzen sich unsere Fachleute für „ “, Datenschutz und Personalwesen tatsächlich zusammen und sprechen darüber, welche Daten sie erheben? Oder fragen Sie: „Brauchen wir diese Daten noch?“
„Organisationen [sollten] sich darüber im Klaren sein, wie die von ihnen gesammelten Informationen potenziell dazu genutzt werden könnten, Schaden anzurichten.“
Außerdem empfehle ich, dass Organisationen sich darüber im Klaren sind, wie die von ihnen gesammelten Informationen potenziell dazu genutzt werden könnten, Schaden anzurichten. Bestimmte Daten müssen Sie möglicherweise für einen bestimmten Zeitraum zur Hand haben. Sie legen Richtlinien fest, wie lange bestimmte Informationen aufbewahrt werden sollen. Wenn Sie sagen: „Alle zwei Jahre werden wir Bewerbungen löschen, auf die wir nicht eingegangen sind“, erleichtert eine solche Richtlinie die weitere Arbeit erheblich.
Auf diese Weise wissen Sie, über welche Daten Sie verfügen, und haben entsprechende Richtlinien festgelegt – was bei der Bekämpfung von „Dark Data“ sehr hilfreich sein kann. Doch das ist eine schwierige Aufgabe. Ich gehe davon aus, dass die meisten Organisationen keine wirklich guten Richtlinien haben. Allerdings glaube ich, dass sich dies angesichts der sich rasant verändernden Rahmenbedingungen in den Bereichen Datenschutz, Recht und Regulierung möglicherweise ändern könnte.
Benötigen wir gesetzliche Regelungen, um Unternehmen dazu zu bewegen, strenge Datenschutzrichtlinien zu entwickeln, oder wird negative Publicity aufgrund von Datenschutzverletzungen sie zum Handeln veranlassen?
Das hängt von der Organisation ab. Sie wissen ja, dass ein Unternehmen wie Facebook eine hohe Geldstrafe oder sogar negative Berichterstattung in den Medien problemlos verkraften könnte, während dies für eine kleinere Organisation weitaus schädlicher sein könnte. Die Schaffung eines rechtlichen Rahmens kann hilfreich sein, da er Organisationen dazu anhält, das Richtige zu tun.
Derzeit ergreifen einzelne Bundesländer die Initiative im Bereich des Datenschutzes, da es auf Bundesebene keine entsprechenden Regelungen gibt. Kalifornien erklärt also, dass es die Daten seiner Einwohner schützen möchte, und setzt dies mit dem „California Consumer Privacy Act“ um. Andere Bundesländer sind diesem Beispiel gefolgt. Allerdings kann ich mir nur vorstellen, wie schwierig die Arbeit eines Datenschutzbeauftragten sein wird, wenn er 50 verschiedene Vorschriften auf Landesebene einhalten muss. Realistisch betrachtet wäre es weitaus besser, wenn wir auf Bundesebene eine entsprechende Regelung hätten. Allerdings weiß ich nicht, wann dies geschehen würde.
Inwiefern hat sich die Pandemie auf den Datenschutz und den Umgang von Unternehmen mit Datensicherheit ausgewirkt?
Die Mitarbeiter arbeiten derzeit im Homeoffice , daher stellen wir ihnen Laptops zur Verfügung. Oder sie nutzen ihre eigenen Laptops. Wenn die Mitarbeiter ihre eigenen Laptops nutzen, welche Schutzmaßnahmen bestehen dann für die Unternehmensdaten? Was wäre, wenn ich einen Mitbewohner hätte, der für einen Konkurrenten von ISACA arbeitet, und ich einfach einige Unterlagen herumliegen lassen würde? Oder was wäre, wenn ich meinen Laptop während der Mittagspause ungesichert liegen gelassen hätte?
Andererseits zeige ich mich nun viel offener und bin in meinem Umfeld verletzlicher. Hätten wir dieses Gespräch in 2019 geführt, wäre ich im Büro und es wäre mir egal, was um mich herum vor sich geht. Bisher war es so, dass sich nun jeder, mit dem ich per Videochat spreche, in meiner Wohnung befindet.
Lassen Sie uns über Frauen in der Tech-Branche sprechen. Sie haben gesagt, dass wir mehr Frauen in die Bereiche Datenschutz und Sicherheit einbinden müssen, was einen überproportionalen Einfluss auf die Branche haben könnte. Könnten Sie das bitte etwas näher erläutern?
Der Diebstahl oder Missbrauch personenbezogener Daten betrifft Frauen überproportional stark. Bedenken Sie, dass fast jede sechste Frau bereits Opfer von Stalking geworden ist, während dies bei Männern nur bei jedem 17 . der Fall ist. Zudem beginnt Stalking zunehmend online oder findet dort statt und erfolgt über digitale Datensätze.
„Frauen haben die Möglichkeit, Technologien mitzugestalten, die für alle, die möglicherweise diskriminiert oder benachteiligt werden, wesentlich benutzerfreundlicher sind.“
Frauen haben die Möglichkeit, dazu beizutragen, Technologien zu entwickeln, die für Frauen – und für alle, die möglicherweise diskriminiert oder benachteiligt werden – wesentlich benutzerfreundlicher sind.
Vor welchen Herausforderungen stehen Frauen, die sich für die Bereiche Datenschutz und Cybersicherheit interessieren?
Die Kultur in der Technologiebranche ist ein großes Thema. Das sieht man manchmal in Reddit-Foren, wo Frauen etwas sagen und dann eine ganze Reihe von Leuten sich einschaltet und ihre persönlichen Daten veröffentlicht – und das ist ganz klar ein Datenschutzproblem.
Wir haben immer noch diese Vorstellung, dass Menschen, die im Bereich Cybersicherheit arbeiten, sozusagen Kapuzenpullis tragen und Gatorade trinken. Und das entspricht nicht wirklich der Realität. Wissen Sie, Cyber ist für jeden etwas. Datenschutz gilt für jeden.
[Lesen Sie auch: Internationaler Frauentag 2022—breaking – Vorurteile in der Tech-Branche]
Wir müssen dieses Klischee von „Hoodie und Gatorade“ ändern, um die Branche inklusiver und für Frauen attraktiver zu gestalten. Wir müssen uns zudem mit dem Lohngefälle befassen, was eine Möglichkeit darstellt, Frauen dabei zu unterstützen, in diesen Berufen zu verbleiben
. In unserer Kultur wird nicht über Geld gesprochen, doch genau das führt dazu, dass Lohnungleichheit fortbesteht. Im Zuge der COVID-Pandemie haben wir
beobachtet, dass viele Frauen aus dem Berufsleben ausgeschieden sind, da ihr Ehepartner
mehr verdiente.
Welche Bedenken haben Sie hinsichtlich der Zukunft sensibler Daten, des Datenschutzes und der Sicherheit?
Ich bin sehr gespannt darauf, welche Auswirkungen dies auf Kinder hat, die mit sozialen Medien aufwachsen und jeden Aspekt ihres Lebens online teilen. Welche Auswirkungen hat dies auf den Datenschutz? Wie wird es wohl
sein, wenn Sie in Ihrem 20ser- oder 30ser-Semester auf
auf Jobsuche sind, die peinlichen Erinnerungen aus der achten Klasse jedoch auf
im Internet verewigt sind?
Die Menschen neigen dazu, im Internet und über Apps zu viele persönliche Informationen preiszugeben, und sind sich der ethischen Auswirkungen davon nicht unbedingt bewusst. Ich habe viele Freunde, die gerade Kinder bekommen und einfach viel zu viel über ihre Kinder erzählen. Ich meine, Facebook gab es zwar schon, als ich noch zur Schule ging, aber es war ganz anders als heute.
