Avatar Autor:in

DegitalisierungEin Gefühl von Sicherheit

Geht es um Sicherheit, passiert da psychologisch gesehen oft Widersprüchliches. Und damit sind wir mitten in der digitalen Welt voller digitaler Fahrradhelme, die risikoreiches Verhalten begünstigen oder reale Gefahren überdecken. In der Konsequenz nicht immer zum Besseren.

Eine Person leuchtet mit einer Helmlampe des nachts in eine Schlucht
Sicherheit kann ein verzerrtes Gefühl sein – Gemeinfrei-ähnlich freigegeben durch unsplash.com Isaac Davis

Die heutige Folge von Degitalisierung beginnt mit Fahrradhelmen. Oder der digitalen Entsprechung, die als „das ist sicher, das bleibt ja alles auf dem Device“ bezeichnet werden könnte. Aber bleiben wir bei Fahrradhelmen.

Fahrradhelme sind grundsätzlich sinnvoll, um im Falle eines Falles den Schädel zu schützen. Das gilt besonders in einer Verkehrsumgebung, die wie in Deutschland oftmals nur auf Autos ausgerichtet ist. Wenn es zum Sturz auf dem Kopf kommt, kann der Helm Schäden reduzieren, sinnvoll also auf jeden Fall.

Psychologisch gesehen passiert bei der Nutzung von Fahrradhelmen oftmals aber etwas Widersprüchliches: Träger*innen von Fahrradhelmen verhalten sich meist risikofreudiger, weil die gefühlte Sicherheit steigt, selbst wenn sie gar nicht auf einem Sattel sitzen. Das Phänomen ist ausführlich untersucht, wie etwa zuletzt 2019 in Experimenten an der Universität Jena.

Das Phänomen der höheren Risikobereitschaft hat bei Fahrradhelmen auch einen riskant auszusprechenden Namen: Risikohomöostase. Bestimmte Hilfsmittel oder technische Entwicklungen führen zu einem falschen Gefühl von Sicherheit, das dann wiederum zu riskanterem Verhalten führt. Vielleicht nicht immer im direkten Bezug zum Ausgangsproblem; manchmal führen diese Schutzmechanismen an der ein oder anderen Stelle zu ganz anderen Seiteneffekten.

Und damit sind wir mitten in der digitalen Welt voller digitaler Fahrradhelme, die risikoreiches Verhalten begünstigen oder reale Gefahren überdecken, in der Konsequenz nicht immer zum Besseren.

TotalRecall

Ein technologischer Aufreger in der Security- und Privacy-Bubble der vergangenen Tage ist Microsofts neue Recall-Funktion für Windows gewesen. Recall ist eine Art visueller Verlauf für die gesamte Arbeit am Rechner– ähnlich dem Browserverlauf, nur eben um einiges mächtiger.

Mit sogenannter Künstlicher Intelligenz, die auch herausfinden kann, ob in den zurückliegenden Tagen auf einer Webseite oder in einer Anwendung ein bestimmter Text oder bestimmte Bildinhalte enthalten waren. Alles an Texten zum Thema gefühlter Sicherheit oder Bildern von Fahrradhelmen, was ich in den letzten Tagen auf dem Rechner in meinem 205 Tabs (ja, dieser Kolumne ging auch viel Recherche voraus) angesehen habe? Kein Problem.

Das klingt alles erst einmal furchtbar bequem und praktisch, hat aber ein paar massive Seiteneffekte. Aber keine Sorge, Microsoft hat den Bedenken vorgegriffen und bewirbt die Funktion als sicher, weil alle Daten dazu ja „lokal gespeichert und lokal auf Ihrem PC analysiert“ werden.

Das klingt wie ein digitaler Fahrradhelm, der da automatisch mitgeliefert wird. Wenn mal was passiert, keine Sorge: Da ist ein Schutzmechanismus eingebaut. Kann also nicht so schlimm sein, die Funktion. Ohne das Sicherheitsversprechen würden wir uns sicher nicht von Windows alle fünf Sekunden automatisch screenshotten lassen, aber so ist das ja sicher umgesetzt. Das gibt doch gleich noch ein angenehmes Gefühl von Sicherheit bei gleichzeitiger Bequemlichkeit.

Nun ist eine Funktion, die alle fünf Sekunden einen vollständigen Screenshot des Bildschirms macht, diesen in einem unverschlüsselten Ordner ablegt, Textinhalte extrahiert und damit eine Datenbank aufbaut, eine digitale Dual-Use-Technik. Kann friedlich von der Anwender*in genutzt werden, um Inhalte im eigenen Computerverlauf wiederzufinden.

Kann aber auch kriegerisch allerhand anderen Akteur*innen helfen: Dem Ehepartner zum Beispiel, der digitale Gewalt ausüben wollen. Hacker-Gruppen, die vertrauliche Inhalte abgreifen möchten und dafür früher aufwändig eigene Tools schreiben hätten müssen. Unternehmen, die ihre Mitarbeitenden vollumfänglich überwachen wollen.

Die ersten Reaktionen auf Recall waren deswegen mehr als kritisch, zu Recht. Es folgten technische Demonstrationen, wie sicher das doch sei.

Wenig später kam es schon vor offiziellem Release der Funktion zum Unvermeidlichen: Kevin Beaumont, Security Experte, der früher selbst bei Microsoft war, brauchte nur zwei Zeilen Code, um an die Daten der Recall Funktion zu kommen. Es gibt nun ein praktisches Hacker-Tool, um die Recall-Rohdaten zu durchsuchen: TotalRecall.

Systemische Risiken

Am Ende ist Microsoft etwas zurückgerudert und hat zumindest technische Verbesserungen versprochen: Verschlüsselung der Daten auf dem Device, mehr Zugriffsschutz, Recall nun als Funktion, in die aktiv eingewilligt werden muss. Technisch alles gelöst, Happy End?

Nein, denn die technischen Verbesserungen an Recall lassen die systemischen Risiken einer solchen Funktion für vertrauliche digitale Kommunikation außer Acht. Kommunikation von Journalist*innen mit Whistleblowern oder anderen Gruppen, die vertrauliche, aber gleichzeitig abstreitbare Kommunikation führen müssen, sind hier nach wie vor systemisch nicht berücksichtigt.

Wie soll vertraulich miteinander digital kommuniziert werden, wenn möglicherweise Windows an einem der beiden Enden alle fünf Sekunden Screenshots macht? Für bestimmte Gruppen greifen die Implikationen einer solchen inzwischen vermeintlich sicheren, lokal ausgeführten und verschlüsselten Funktion eben weitaus tiefer.

Recall ist aber erst einmal nur ein technisches Detail mit gewissen Auswirkungen auf Teile der Gesellschaft, aber wie sieht es denn mit ähnlicher Technologie auf gesamtgesellschaftlicher Ebene aus?

Wir erleben diese seltsame Mischung aus Bequemlichkeit einer technischen Lösung, gefühlter Sicherheit und viel tiefergehenden, aber ignorierten gesellschaftlichen Risiken immer wieder: Chatkontrolle, Going Dark und Videoüberwachung, um nur einige Themen der vergangenen Tage zu nennen.

Einmal eingerichtete digitale Möglichkeiten und Infrastrukturen zur Unterstützung der inneren Sicherheit werden aber nicht zwangsläufig zurückgebaut, wenn sie sich als unnütz oder nicht klar wirksam erweisen. Beispiel Videoüberwachung: Eine „Evaluation der polizeilichen Videobeobachtung“ aus Nordrhein-Westfalen kommt 2019 zum Fazit, dass „der wissenschaftliche Nachweis eines allgemein kriminalitätsreduzierenden Effekts der Videoüberwachung … bisher allerdings nicht überzeugend geführt werden“ konnte. Auch bei Betrachtungen in Bayern muss die Polizei vergangenes Jahr anerkennen, dass man nicht wirklich Bilanz ziehen könne, ob „die Zahl der Straftaten durch die Videoüberwachung zurückgegangen“ sei.

Maßnahmen wie diese versuchen sich aber oftmals selbst ins Gleichgewicht zu bringen, um ihre Existenz zu rechtfertigen. Eine andere Art von Homöostase quasi, mit manchmal interessanten Ergebnissen. Dazu ein Beispiel aus den 1980er Jahren.

Lüchow-Danneberg

Der Landkreis Lüchow-Danneberg in Niedersachsen ist mit weniger als 50.000 Einwohnern der an Bevölkerung kleinste Landkreis Deutschlands. Wenn es um ein verzerrtes Gefühl von Sicherheit geht, ist Lüchöw-Danneberg aber ein ganz großes Beispiel.

1981 wurde im Landkreis wegen der Atommülltransporte nach Gorleben das Polizeipersonal massiv aufgestockt. Diese aufgestockten Kräfte mussten auch in eher ruhigen Zeiten ohne Transporte beschäftigt werden. Mehr Polizeibeamte unterstützten also den normalen Polizeialltag. Die Zahl der statisch erfassten Vergehen und Verbrechen stieg in Folge an. Mehr Kriminalität also? Nein, das Dunkelfeld wurde kleiner, es wurden also mehr Straftaten bekannt, aber nicht mehr begangen. Der Effekt ist als Lüchow-Dannenberg-Syndrom bekannt. Vereinfacht gesagt, erzeugte mehr Polizei mehr Kriminalität, obwohl sich eigentlich nichts an der Gesamtsituation veränderte.

Übertragen auf die heutige Zeit werden wir im Bereich digitaler Überwachungstechnologien einen ähnlichen Effekt erleben. Staatliche Überwachungsmaßnahmen wie eine anlasslose Vorratsdatenspeicherung, Chatkontrolle oder Videoüberwachung werden neben einem politisch versprochenen Gefühl von Sicherheit auch daran gemessen werden, inwieweit sie sich selbst rechtfertigen.

Digitale Überwachungstechnologien haben dabei gegenüber Maßnahmen in der analogen Welt den Vorteil, dass sie sich datenbasiert relativ einfach selbst eine Wirksamkeit attestieren können. Nur lassen wir dabei ähnlich wie in Lüchow-Danneberg außer Acht, dass diese selbst attestierte Wirksamkeit nur deshalb möglich ist, weil es vorher keine solchen Maßnahmen gab, die vergleichbare Werte hätten liefern können.

Am Ende steigt das Gefühl der Unsicherheit, weil jetzt plötzlich so viele neue, vorher unbekannte Straftaten und Vergehen mittels digitaler Technik aufgedeckt werden. Drastischer Anstieg in einem bestimmten Feld heißt es dann in der Berichterstattung zur Kriminalstatistik. Nur taugt schon die Auswertung der Kriminalstatistik in Deutschland wenig, um genau sagen zu können, ob die Kriminalität wirklich gestiegen ist.

Diesem fatalen Kreislauf aus statistischen Entwicklungen und deren verzerrter Interpretation, die mehr Überwachungstechnologien scheinbar rechtfertigen, gilt es vor allem durch differenzierte und kluge Politik entgegenzuwirken, auch im Digitalen. Ein Großteil dieser Politik, die Massenüberwachung gegen ein falsches Gefühl von Sicherheit eintauscht, wird dabei von europäischer Ebene kommen. Chatkontrolle, Going Dark, Videoüberwachung durch KI – alles Regelungen der gefühlten Sicherheit, die auf EU-Ebene verhandelt werden oder wurden.

Wenn ihr diese Kolumne also am Erscheinungstag lest: An diesem 9. Juni gilt also auch in Hinblick auf die Netzpolitik: Geht wählen!

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

7 Ergänzungen

  1. > Security Experte, der früher selbst bei Microsoft war, brauchte nur zwei Zeilen Code, um an die Daten der Recall Funktion zu kommen.

    Wartungsfreundlichkeit und Forensik-Freundlichkeit zeichnen Produkte aus, die der Sicherheit dienen, aber nicht sicher sind.

    Wie lange würde Microsoft als Konzern überleben, wenn deren Produkte niemand mehr kaufen würde?

  2. Liebe ist ein Gefühl, das Folgen hat, mitunter fatale.
    Liebe kann stärker sein als der Verstand.
    Zum Glück lassen Gefühle mit der Zeit nach.
    „Glück in der Liebe“ wäre stochastisch zu denken: Die Anzahl der Lose erhöht die Wahrscheinlichkeit eines Gewinns.

    Wer sich seinen Gefühlen überlässt, handelt ohne sich seines Verstandes (soweit vorhanden) zu bedienen.

    Ein geübter Schachspieler erkennt intuitiv, ob er besser oder schlechter steht, als sein Gegner. Ein intuitiver Schachzug (nicht überprüfter „Bauchzug“) ist jedoch oft ein Patzer.

  3. Recall Funktion kann schon praktisch sein aber Hauptsächlich geht es doch darum für den Gesetzeshüter ein einfaches und bequemes Hintertürchen zum PC zu haben.
    Das ist genauso wie mit dem Internet bei dem es erstmal keine Strafbarkeit gab sondern sich die Befugnisse besorgt bzw nachträglich hinzugefügt worden sind.
    Im Grunde ist die Aufhebung der Anonymität die eigentliche Rechtsverletzung jetzt soll dein Home PC auch noch dein Freund und Verräter werden. Cybercrime oder Cyberkriminalität ist eigentlich Gehirnwäsche bei dem das Regelwerk geändert worden ist die Rechtsfreie Internetpolitik formiert mittlerweile die Gesetzgebung und Rechtsprechung.

    1. Naja, Gesetzeshüter.

      Die Reihenfolge ist doch so:
      Werbung jetzt: Es läuft ausschließlich lokal. Daten verlassen den lokalen Rechner nicht.
      Plausibilisierung: Wäre sehr sehr illegal, wenn nicht so. Auch Urheberrecht, und davon gibt es ein paar Kilotonnen dort überm Teich.

      Jetzt + 1: Daten werden doch zu Microsoft übertragen. Sicherlich nur nach expliziter Übereinstimmung für einzelne Häppchen. Das Sprachinterface macht es möglich, je nach eingestelltem Radiokanal.
      Jetzt + 2: Gesetzeshüter…

      Also, nicht das „+ 1“ vergessen xdxd ;) 1111!1

  4. Also die Idee mit den Screenshots ist schon extrem.
    Verständlich für Menschen mit fiesen Einschränkungen, nicht aber als allgemeines Paradigma.

    Besser ?
    – Anwendungen könnten sich an Standards für automatische Auswertung halten, oder die Partizipation bewusst ablehnen.
    – Funktion niederschwellig aktivierbar und deaktivierbar, sowie einschränkbar auf Anwendungen, andere Anwendungen ausschließen. Fenster pixelieren nicht im freien Raum herum, sondern unter Kontrolle des unterbezahlten Fenstermanagers!
    – Anwendungshistorie aus Screenshots statt aus dem OS? Hier ist etwas völlig anderes im Busche.

    Schlimmer?
    – Totaler Datendurchfall vorprogrammiert.
    – Passworte, urheberrechtlich geschütztes Material, sonstwas.
    – Abfließen zu Microsoft irgendwie logisch – also auch meine neue Kompositionen?

    Tatsächlich?
    – Trainieren von (neuartiger) KI.
    – Nutzer sind süße Hamster.
    – Trainiert wird natürlich allgemein den Schirm auszuwerten. Vielleicht interessant für Blinde, sicher interessant für Geheimdienste. Antennenwirkung von Bildschirmkabeln, Trojaner auf Biosebene, Trojaner auf Bildschirmebene :p, etc.p.p. Ohne Microsoft wird das keiner so bauen können.
    – Allein wegen Urheberrecht kann Microsoft nichts direkt hochladen. Hier sollte eine technische Grenze sein. Aufrgrund von Sprachsteuerung z.B. ist aber „Consent“ sicherlich beliebig machbar, z.B. für einzelne Häppchen.

    Sachen erinnern – es ist kein Feature, es ist ein Witz!

    1. „Verständlich für Menschen mit fiesen Einschränkungen“

      Naja, gehässig gedacht, sind die Menschen in der Menge offenbar also nun mal mit fiesen Einschränkungen behaftet. Fachspezifisch und bzgl. der Einschätzung der Tragweite, kann das wohl auch hinkommen.

      Manifest kann man es sicherlich dann nennen, wenn Menschen massenhaft anfangen, Beispiele zu Microsoft einzusenden, um das Nutzererlebnis zu verbessern. Was auch immer die TOS dazu bedeuten.

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge! Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.