«Worauf Konzerne Ihre Privatsphäre setzen», Arthur Khachuyan (Tazeros Global)

Tag zum Schutz personenbezogener Daten, Minsk, 2019. Veranstalter: die Menschenrechtsorganisation Human Constanta.

Moderator (im Folgenden – M): – Arthur Khachuyan beschäftigt sich… Kann man sagen „auf der dunklen Seite“ im Kontext unserer Konferenz?

Arthur Khachuyan (im Folgenden – AK): – Auf der Seite der Konzerne – ja.

Frage: – Er sammelt Ihre Daten und verkauft sie an Konzerne.

AK: – Eigentlich nicht…

Frage: – Und er wird uns erzählen, wie Konzerne Ihre Daten nutzen können, was mit den Daten passiert, wenn sie online sind. Er wird wahrscheinlich nicht erzählen, was man damit machen soll. Wir werden weiter darüber nachdenken…

AK: – Ich werde erzählen, ich werde erzählen. Eigentlich werde ich nicht lange erzählen, aber auf der letzten Veranstaltung stellte man mir jemanden vor, dem „Facebook“ sogar den Account seines Hundes gesperrt hat.
Hallo zusammen! Ich heiße Arthur. Ich arbeite tatsächlich mit der Verarbeitung und Sammlung von Daten. Natürlich verkaufe ich keine persönlichen Daten öffentlich. Nur Spaß. Mein Tätigkeitsfeld ist die Extraktion von Wissen aus Daten, die in offenen Quellen vorhanden sind. Wenn etwas rechtlich keine persönlichen Daten ist, kann man daraus Wissen extrahieren und dessen Bedeutung ähnlich machen, wie wenn diese Daten aus persönlichen Daten gewonnen wurden. Ich werde hier nichts Dramatisches erzählen. Es geht um Russland, aber ich habe auch Zahlen über Weißrussland.

Wie groß sind die tatsächlichen Ausmaße?

Gestern war ich in Moskau bei einer der führenden Regierungsparteien (ich werde nicht sagen, bei welcher), und wir diskutierten die Einführung eines Projekts. Der IT-Direktor dieser Partei steht auf und sagt: 'Wie Sie gesagt haben – Zahlen und so weiter – wissen Sie, ich habe hier ein Memo vom FSB 2. Management, wo steht, dass es 24 Millionen Russen in sozialen Netzwerken gibt. Und Sie sagen – über 120. Tatsächlich nutzen mehr als dreißig [Millionen] von uns kein Internet.'

Die Leute realisieren tatsächlich nicht das Ausmaß. Es sind nicht nur staatliche Stellen, die wohl nicht ganz verstehen, wie das Internet funktioniert, sondern auch meine Mutter, zum Beispiel. Sie beginnt gerade erst zu begreifen, dass die Karte im „Perekrestok“ ihr nicht einfach so gegeben wird, nicht für die mageren Rabatte, die dieser „Perekrestok“ anbietet, sondern weil ihre Daten später im OFD, beim Einkaufen, in Prognosemodellen und so weiter verwendet werden.

Insgesamt gibt es so viele Einwohner, und über so viele gibt es Informationen in öffentlichen Quellen. Über manche ist nur der Nachname bekannt, über andere wird alles gewusst, bis hin zu den порно, die sie mögen (ich mache immer einen Scherz darüber, aber es ist tatsächlich so); und allerlei Informationen: wie oft die Leute reisen, mit wem sie ausgehen, welche Einkäufe sie tätigen, mit wem sie zusammenleben, wie sie sich fortbewegen – es gibt viele Informationen, die von schlechten, nicht ganz schlechten und guten Leuten genutzt werden können (ich weiß nicht einmal, welche Skala ich mir jetzt ausdenken soll, aber dennoch).

Es gibt soziale Netzwerke, die zweifellos eine riesige Sammlung offener Daten darstellen und die Schwächen der Menschen ausnutzen, die angeblich um ihre Privatsphäre besorgt sind. In Wirklichkeit sieht es so aus: Wenn man sich eine Grafik der letzten 5 Jahre anschaut, steigt das Maß der Hysterie hinsichtlich persönlicher Daten, während die Anzahl der geschlossenen Konten in sozialen Netzwerken von Jahr zu Jahr sinkt. Vielleicht ist es nicht ganz richtig, daraus Schlussfolgerungen zu ziehen, aber: Das Erste, was jede Firma, die Daten sammelt, stoppt, ist einfach ein geschlossenes Sozialkonto. Denn die Meinung einer Person in ihrem privaten Account, wenn sie nicht 100.000 Follower hat, ist tatsächlich nicht besonders interessant für eine bestimmte Analyse; aber es gibt auch andere Fälle.

Woher beziehen sie Informationen über uns?

Hatten Sie jemals Anfragen von alten Schulfreunden, mit denen Sie lange nicht mehr gesprochen haben, und dann verschwand dieses Konto? Es gibt solche schlechten Akteure, die die Telefonnummern sammeln: Sie analysieren die Freunde (und die Freundesliste ist fast immer sichtbar, selbst wenn jemand sein Profil privat macht; alternativ kann die Freundesliste "rückwärts" wiederhergestellt werden, indem man alle anderen Benutzer zusammenstellt). Sie nehmen einen der inaktiven Freunde von Ihnen, erstellen eine Kopie seines Profils, senden Ihnen eine Freundschaftsanfrage, Sie fügen ihn hinzu, und nach zwei Sekunden wird das Konto gelöscht; jedoch bleibt die Kopie Ihres Profils bestehen. So haben das kürzlich Leute gemacht, als 68 Millionen Profile von "Facebook" irgendwohin verschwanden – sie haben sich ähnlich um alle befreundet, diese Informationen kopiert, sogar einigen persönliche Nachrichten geschrieben und so weiter...

Soziale Netzwerke sind eine riesige Informationsquelle. In nahezu 80 % der Fälle stammen die Informationen über eine bestimmte Person nicht direkt von ihr, sondern aus ihrem näheren Umfeld – das sind verschiedene indirekte Kenntnisse und Hinweise (wir nennen das den "Algorithmus der bösen Ex-Freundin"). Eine Bekannte von mir hat mich auf diesen absolut genialen Gedanken gebracht. Sie hat nie ihren Freund beobachtet – sie hat immer fünf seiner Freunde im Auge behalten und wusste immer, wo er sich aufhielt. Das ist tatsächlich ein Grund, um einen ganzen wissenschaftlichen Artikel zu schreiben.

Es gibt eine riesige Menge an Bots, die allerlei gute und schlechte Dinge tun. Es gibt harmlose, die einfach nur auf dich klicken, um dir dann Kosmetikprodukte zu bewerben; und es gibt ernsthafte Netzwerke, die versuchen, ihre Meinungen aufzudrängen, besonders vor Wahlen. Ich weiß nicht, wie es in Weißrussland ist, aber hier in Moskau habe ich vor den Kommunalwahlen seltsamerweise eine große Anzahl von Freunden bekommen, die für verschiedene Kandidaten werben. Sie analysieren überhaupt nicht die Inhalte, die ich konsumieren, sondern versuchen einfach, irgendeine unklare Reform aufzudrängen, obwohl ich in Moskau überhaupt nicht angemeldet bin und gar nicht wählen gehen werde.

Der Müll ist eine Quelle gefährlicher Informationen

Außerdem gibt es das Darknet, das oft unterschätzt wird – viele denken, es sei nur ein Ort, um Drogen zu kaufen oder zu lernen, wie man Waffen herstellt. In Wirklichkeit gibt es dort jedoch eine Vielzahl von Datenquellen. Fast alle sind illegal (oder zumindest rechtlich fragwürdig), da jemand möglicherweise eine Datenbank von Fluggesellschaften auf einer Hacking-Website gehackt und sie dort veröffentlicht hat. Juristisch dürfen Sie diese Daten nicht nutzen, aber wenn Sie daraus Informationen gewinnen (ähnlich wie im amerikanischen Rechtssystem), wie etwa ein ohne Durchsuchungsbefehl aufgenommenes Audio-Gespräch, dürfen Sie es nicht verwenden, aber das Wissen, das Sie aus diesem Gespräch gewonnen haben, bleibt Ihnen – und hier funktioniert es ähnlich.

Das ist tatsächlich eine sehr gefährliche Angelegenheit, deshalb mache ich immer Witze darüber, aber es ist wahr. Ich bestelle immer mein Essen im Nachbarhaus, weil "Delivery Club" sehr oft Schwierigkeiten hat und es wirklich solche Probleme gibt. Neulich war ich sehr überrascht: Ich bestellte Lebensmittel, und auf der Kiste, die ich zum Müll brachte, war ein Aufkleber mit dem Namen – "Arthur Khachuyan", Telefonnummer, Wohnungsadresse, Zugangscode zur Gegensprechanlage und E-Mail. Wir haben tatsächlich versucht, mit der Moskauer Gemeinde zu verhandeln, um Zugang zum Müllplatz zu bekommen: kurz gesagt, um zum Abfalllager zu fahren und aus purer Neugier nach irgendwelchen Hinweisen auf diese persönlichen Daten zu suchen – eine Art Mini-Studie durchzuführen. Aber sie haben abgelehnt, als sie erfuhren, dass wir mit den Mitarbeitern der Roskomnadzor kommen wollen.

Aber das ist wirklich so. Hast du den genialen Film "Hackers" gesehen? Sie haben im Müll gewühlt, um ein Stück eines Virus zu finden. Das ist auch eine gängige Sache – wenn Leute etwas in offene Quellen werfen, vergessen sie meistens darüber. Das könnte eine Schulwebsite sein, auf der sie eine Dissertation über die Überlegenheit der weißen Rasse geschrieben haben, und dann sind sie in die Duma gegangen und haben das vergessen. Solche Fälle gab es tatsächlich.

Was liken die "Einigern"?

Wenn du in den "Top" der Website "LifeNews" gehst… Meine Studenten haben vor zwei Jahren eine Studie gemacht: Sie haben alle Teilnehmer der Vorwahlen der "Einigeren" genommen (alle haben offiziell ihre Social-Media-Accounts beim WCIK eingereicht), geschaut, was sie überhaupt liken – Kinderporno, Trash, seltsame Anzeigen von komischen, erwachsenen Frauen… Kurz gesagt, die Leute haben das irgendwie vergessen.

Dann schrieben sie einen Brief, dass 20 Personen ihre Konten gestohlen wurden. Aber die Konten wurden vor zwei Wochen gestohlen, vor acht Monaten haben sie sie beim Wahlkomitee eingereicht, und die Likes waren vor zwei Jahren... Im Allgemeinen verstehen Sie, oder? Es gibt wirklich eine Menge Informationen, die man sogar zu Forschungszwecken immer nutzen kann.

Mini-Offtopic: Gestern sah ich die Nachricht, dass Roskomnadsor die Studien der Studenten der 'Hochschule' von vor zwei Jahren blockiert hat. Hat das jemand gesehen, oder? Das waren meine Studenten, die diese Studie gemacht haben: Sie von 'Tor', von der 'Hydra'-Website, wo Drogen verkauft werden (Entschuldigung – von 'Ramp'), haben Informationen gesammelt, was, wo und in welcher Region Russlands es kostet, und eine Untersuchung erstellt. Sie hieß 'Konsumkorb des Partygängers'. Das ist natürlich eine lustige Sache, aber aus Sicht der Datenanalyse ist es tatsächlich ein interessantes Datenset – danach bin ich noch zwei Jahre bei verschiedenen 'Hackathons' herumgelaufen. Das ist eine echte Sache – da gibt es viele interessante Dinge.

Wie Get Contact die 'Seelen' neugieriger Nutzer kaufte und warum man die Nutzungsbedingungen lesen sollte.

Normalerweise, wenn man jemanden fragt, vor welcher Art von Datenlecks er Angst hat (insbesondere, wenn die Person ihre Webcam abgeklebt hat), stellt er seine Prioritäten immer so auf: Hacker, Staat, Unternehmen.

Das ist natürlich ein Scherz. Aber tatsächlich haben aktive Datenanalysten und verschiedene Datenforscher viel mehr gestohlen als, wie ich finde, die beängstigenden russischen, amerikanischen oder sonstigen Hacker (ersetzen Sie dies je nach Ihren politischen Ansichten). Generell haben die meisten Angst davor – schließlich haben alle sicher ihre Webcam abgeklebt, oder? Heben Sie sogar die Hände nicht.

Aber wenn Hacker etwas Illegales tun und der Staat eine gerichtliche Genehmigung zur Datenbeschaffung benötigt, dann brauchen die letzten Jungs [Unternehmen] überhaupt nichts, denn sie haben so etwas wie eine Nutzungsvereinbarung, die niemand je im Leben liest. Ich hoffe sehr, dass solche Maßnahmen die Menschen dazu bringen, die Vereinbarungen tatsächlich zu lesen. Ich weiß nicht, wie es in Weißrussland ist, aber in Moskau gab es Mitte dieses Jahres einen Hype um die App 'GetContact' (Sie waren wahrscheinlich darüber informiert), als plötzlich eine App auftauchte, die sagt: Gib der App Zugang zu all deinen Kontakten, und wir zeigen dir, wie du bei wem komisch gespeichert warst.

In den Medien wurde es nicht erwähnt, aber viele hochrangige Mitarbeiter haben sich bei mir beschwert, dass sie ständig Anrufe erhalten. Offensichtlich haben die Administratoren beschlossen, in dieser Datenbank die Telefonnummer von Shoigu zu finden, oder auch die von Wolotschkowa... Eine harmlose Sache. Doch diejenigen, die das Lizenzabkommen von "GetContact" gelesen haben, wissen, dass es dort heißt: unbegrenzter Spam zu unbegrenzter Zeit, der Verkauf Ihrer Daten ohne Kontrolle an Dritte, ohne Einschränkung der Rechte, der Verjährung und überhaupt von allem, was nur denkbar ist. Tatsächlich ist das keine außergewöhnliche Geschichte. Während meiner Zeit bei "Facebook" erhielt ich 15 Mal am Tag Benachrichtigungen: "Synchronisiere deine Kontakte, und ich finde dir all deine Freunde, die du hast!"

Die Konzerne interessiert das nicht. FZ 152 und DSGVO

Aber tatsächlich sind die Prioritäten umgekehrt, denn das private Recht schützt die Konzerne, und deshalb ist es in den meisten Fällen praktisch unmöglich zu beweisen, dass sie unrecht haben. Angesichts ihrer Größe, ihrer Einschüchterungskraft und der hohen Kosten ist es nahezu unmöglich. Und wenn Sie dann auch noch in Russland sind, wo die Gesetzgebung veraltet ist, wird es besonders traurig.

Wissen Sie, wie sich das russische Gesetz (das im Grunde genommen fast dem belarussischen entspricht) vom GDPR unterscheidet? Das russische Gesetz 152-FZ schützt Daten (eine Überbleibsel der sowjetischen Vergangenheit) – ein Dokument, das Daten vor Lecks schützt. GDPR hingegen schützt die Rechte der Benutzer – das Recht, dass sie keine Freiheiten, Privilegien oder Ähnliches verlieren, wenn ihre Daten irgendwohin abfließen (es wird sogar der Begriff „data leak“ direkt in die „Datenlinien“ eingeführt). Unser Problem besteht darin, dass das Einzige, wofür man bestraft werden kann, eine Geldstrafe ist, weil man kein zertifiziertes „Open“-„Excel“ zur Verarbeitung personenbezogener Daten hat. Ich hoffe, das wird sich eines Tages ändern, aber ich denke, nicht in naher Zukunft.

Was sind die tatsächlichen Möglichkeiten des Targetings heute?

Die erste, wahrscheinlich angsteinflößende Geschichte, über die alle ständig nachgedacht haben – ist das Lesen persönlicher Nachrichten. Sicherlich gibt es unter Ihnen jemanden, der irgendwann etwas laut gesagt hat und dann gezielte Werbung dafür bekommen hat. Ja, gab es das? Heben Sie die Hände.

Ich glaube tatsächlich nicht an die Geschichte, dass der sogenannte "Yandex Navigator" Audio in Echtzeit für alle Nutzer erkennt. Denn diejenigen, die ein wenig mit Spracherkennung zu tun hatten, wissen, dass: Erstens das Rechenzentrum von Yandex fünfmal größer sein müsste; aber vor allem würde es enorme Kosten verursachen, um eine solche Person zu gewinnen, damit Audio in Echtzeit erkannt und verstanden wird, worüber der Mensch spricht. Aber! Es gibt tatsächlich Algorithmen, die Sie anhand bestimmter Schlüsselwörter taggen, um anschließend irgendeine Art von Werbekommunikation durchzuführen.

Es gibt viele solcher Studien, und ich habe 100 Mal saubere Konten erstellt, jemandem etwas in Nachrichten geschrieben und dann plötzlich Werbung erhalten, die scheinbar überhaupt nicht damit zusammenhängt. Es gibt zwei mögliche Erklärungen dafür. Gegen diese Geschichte wird argumentiert, dass die Person einfach in eine statistische Stichprobe gerät; sagen wir, Sie sind ein 25-jähriger Mann, der gerade in diesem Moment auf Englischkurse stoßen sollte, genau in dem Moment, als Sie jemandem geschrieben haben. Zumindest sagt Facebook immer im Gericht: Es gibt ein bestimmtes Verhaltensmodell, das wir Ihnen nicht zeigen werden, basierend auf Daten, die wir Ihnen nicht zeigen werden; wir haben interne Studien, die wir Ihnen sicherlich nicht zeigen werden (weil alles Geschäftsgeheimnis ist); im Grunde genommen sind Sie in eine statistische Stichprobe geraten, und deshalb haben wir Ihnen das gezeigt.

Wie Facebook die Privatsphäre der Nutzer auf die Palme brachte

Leider ist es völlig unmöglich, dies zu beweisen, wenn man keine Person innerhalb des Unternehmens hat, die diese Handlungen irgendwie bestätigen kann. Im amerikanischen Recht ist in einem solchen Fall die Geheimhaltungserklärung dieses Mitarbeiters wichtiger als sein Wunsch, Ihnen zu helfen, weshalb niemand dies tun wird. Interessant ist auch, dass vor etwa einem Jahr oder eineinhalb Jahren ein Trend in Amerika aufkam, bei dem Menschen eine Browsererweiterung nutzten, um Nachrichten auf Facebook zu verschlüsseln: Man schreibt etwas an jemanden, es wird mit einem Schlüssel auf das Gerät verschlüsselt und eine willkürliche Nachricht in offenem Zugang gesendet.

Facebook hat über anderthalb Jahre hinweg mit diesem Unternehmen geklagt, und es ist unklar, auf welcher Grundlage (da ich mich im amerikanischen Recht nicht gut auskenne) sie dazu gebracht haben, diese App zu entfernen. Danach änderten sie die Nutzungsbedingungen: Wenn man genau hinsieht, gibt es einen Punkt, der besagt, dass es verboten ist, Nachrichten in verschlüsselter Form zu übertragen – das ist so clever formuliert, dass man keine kryptografischen Algorithmen verwenden darf, um Nachrichten zu verändern – ja, das gibt es. Das bedeutet, sie sagten: Entweder du nutzt unsere Plattform und schreibst öffentlich, oder du schreibst nicht. Und daraus ergibt sich die Frage: Warum brauchen sie überhaupt persönliche Nachrichten?

Persönliche Nachrichten sind eine Quelle von hundertprozentig verlässlichen Informationen.

Hier ist eine ganz einfache Sache. Alle, die sich mit der Analyse des digitalen Fußabdrucks und der Aktivitäten von Personen beschäftigen, versuchen irgendwie, diese Daten für Marketing oder Ähnliches zu nutzen – sie haben eine Kennzahl, die Vertrauenswürdigkeit genannt wird. Das bedeutet, dass es ein Bild von einer Person gibt – Sie verstehen, das ist nicht die Person selbst – dieses Bild ist immer ein wenig erfolgreicher, ein wenig besser. Private Nachrichten sind echte Erkenntnisse über eine Person, sie sind fast immer zu 100 % vertrauenswürdig. Denn es ist selten, dass jemand in privaten Nachrichten etwas schreibt oder lügt, und das kann sehr leicht überprüft werden – entsprechend an anderen Nachrichten (Sie wissen, wovon ich spreche). Der Punkt ist, dass das auf diese Weise gewonnene Wissen fast zu 100 % vertrauenswürdig ist, deshalb versuchen immer alle, es zu erlangen.

Dennoch ist dies alles wiederum eine sehr schwer nachweisbare Geschichte. Und die, die glauben, dass es bei dem hypothetischen "Vkontakten" einen solchen Zugang für die Strafverfolgungsbehörden zu persönlichen Nachrichten gibt – das ist nicht ganz wahr. Wenn man sich einfach die Geschichte der gerichtlichen Anfragen zur Informationsweitergabe ansieht – wie "Vkontakte" sehr clever (in diesem Fall Mail.ru) von diesen Anfragen abwehrt.
Ihr Hauptargument ist immer: Laut Gesetz müssen die Strafverfolgungsbehörden begründen, warum genau der Zugang zu persönlichen Nachrichten notwendig ist. In der Regel, wenn es um Mord geht, sagt der Ermittler immer, dass die Person wahrscheinlich gesagt hat, wo sie die Waffe versteckt hat (in persönlichen Nachrichten). Aber wir verstehen ja, dass kein vernünftiger Krimineller jemals in seinem Leben bei 'Vkontakte' seinen Komplizen schreibt, wo er eine Schusswaffe versteckt hat. Aber das ist eine der verbreiteten Erklärungen, mit denen sich die Beamten rechtfertigen.

Hier ist ein weiteres erschreckendes Beispiel (ich wurde heute gebeten, schreckliche Beispiele zu bringen) – über Russland (ich hoffe, in Weißrussland wird es so etwas nicht geben): Nach dem Gesetz muss der Ermittler überzeugende Gründe haben, um Informationen vom Betreiber preiszugeben. Natürlich sind diese verbindlichen Parameter nirgendwo beschrieben (welche und in welcher Form sie vorliegen müssen), aber in Russland gibt es immer mehr Präzedenzfälle, bei denen das Gericht solche Gründe anerkennt, wenn es ein Modell gibt, das ein bestimmtes Verhalten prognostiziert hat, sei es gut oder schlecht.

Das heißt, niemand kann verhaftet werden (und das ist gut), nur weil man in eine statistische Stichprobe reiner Mörder geraten ist – und das ist gut, weil es die Unschuldsvermutung verletzt; aber es gibt Präzedenzfälle, in denen die Ergebnisse solcher Prognosen verwendet wurden, um gerichtliche Genehmigungen für den Zugriff auf Daten zu erhalten. Übrigens nicht nur in Russland. Auch in Amerika gibt es so etwas. Dort hat „Palantir“ auch schon lange solche Daten analysiert und ähnliche Dinge genutzt. Eine gruselige Geschichte.

Das ist meine Untersuchung. Wir haben Folgendes gemacht: Wir sind durch St. Petersburg gelaufen und an Orten mit grünen Punkten haben wir einige Schlüsselmomente an Freunde von "sauberen" Konten geschrieben – wie "Ich möchte einen Kaffee trinken" oder "Wo kann ich Waschmittel kaufen?" und so weiter. Und dann haben wir entsprechend geo-targetierte Werbung erhalten. Auf mysteriöse Weise... Oder wie man sagte: "Zufall? Glaube ich nicht!" Das sind persönliche Nachrichten "VKontakte". Möge mir Mail.ru verzeihen, aber so ist es. Jeder kann ein ähnliches Experiment wiederholen.

Übrigens hat Mail, als wir eine Anfrage an den Support geschrieben haben, gesagt, dass dort Wi-Fi-Punkte standen, die eure MAC-Adresse erfasst haben. So etwas gibt es auch.

Methoden zur Beschaffung und verbreitete Varianten des "Leakings" persönlicher Daten

Die folgende Geschichte handelt von der Gewinnung zusätzlicher Erkenntnisse, eines Aspekts, den ich tatsächlich berührt habe. Ein wirklich ausgefülltes Profil einer Person in sozialen Medien enthält tatsächlich 15–20 % an echten Kenntnissen, die der Datenverarbeiter über sie speichert. Die gesamte restliche Geschichte ergibt sich aus sehr interessanten Aspekten. Warum, denken Sie, entwickelt Google stark Bibliotheken für Computer Vision? Insbesondere waren sie eine der ersten, die Bibliotheken zur Analyse und Kategorisierung von Objekten entwickelt haben – im Hintergrund, im Vordergrund, ganz gleich wo. Denn das ist eine riesige Quelle zusätzlicher Informationen darüber, wie die Wohnung eines Menschen aussieht, welches Auto er fährt, wo er lebt, Luxusgegenstände…

Es gab zahlreiche "Hacker"-Leaks, bei denen trainierte neuronale Netze von Google geleakt wurden (ich weiß nicht, deren sind, aber dennoch). Es gab viele interessante Themen über Brust- und Taillengröße – was versuchen die Menschen nicht alles über andere Menschen herauszufinden, basierend auf der Analyse von Fotos. Denn wenn jemand ein Bild macht, denkt er nicht immer darüber nach, wie viel Interessantes man darüber erfahren könnte? Und wie viele Pässe von Neugeborenen werden jetzt in Russland hochgeladen? Oder: "Hurra, mein Kind hat ein Visum bekommen"! Das ist wirklich ein Schmerz der modernen Gesellschaft.

Das ist noch ein Off-Topic (ich werde heute Fakten mit Ihnen teilen): In Moskau ist der häufigste Leak von persönlichen Daten im Bereich der Wohnungsverwaltung, wenn eine Liste von Schuldnern an die Tür gehängt wird, und diese Schuldner dann klagen, weil ihre persönlichen Daten ohne ihre Zustimmung öffentlich gemacht wurden. Plötzlich könnte so etwas Ihnen passieren… Der Punkt ist, dass eine Person, wenn sie etwas tut, nicht weiß, was auf diesem Foto war und was nicht. Es gibt jetzt viele Autonummern.

Wir haben einmal eine Umfrage durchgeführt – wir wollten herausfinden, wie viele Menschen Fotos von ihren Fahrzeugen veröffentlicht haben (bei denen es, entsprechend, Verstöße und Ähnliches gibt) – das konnte leider nur anhand der geleakten Daten der Verkehrsbehörde gemacht werden, bei denen nur die Nummer vorhanden ist (nicht sehr zuverlässige Informationen), aber es war trotzdem interessant.

Ihre nächste Werbung hängt davon ab, wie Sie die vorherige «verbraucht» haben.

Dies ist die erste Geschichte. Die zweite Geschichte handelt von Verhaltensmodellen, vom Inhalt, den Menschen konsumieren, denn eine der wichtigsten Kennzahlen, die soziale Netzwerke über Sie erstellen wollen, ist, wie Sie mit Werbung interagieren. Egal wie präzise oder "fantastisch" die Algorithmen auch sein mögen, egal wie hervorragend künstliche Intelligenzen und all das andere funktionieren, die wahre Priorität eines sozialen Netzwerks ist immer Geld zu verdienen. Wenn also ein hypothetisches "Coca-Cola" kommt und sagt: "Ich möchte, dass alle Bewohner von Weißrussland meinen Post sehen" – werden sie ihn sehen, unabhängig davon, was die Algorithmen über diese Person denken oder wie sie sie ansprechen. Sie haben sicherlich auch Werbung erhalten, die jenseits von super-targetierter Werbung völlig irrelevant war. Denn für diesen völlig irrelevanten Content wurden sehr viel Geld ausgegeben.

Eine der zentralen Metriken ist zu verstehen, mit welchem Inhalt Sie am besten interagieren, also wie Sie darauf reagieren, damit Ihnen ähnliche Werbung angezeigt werden kann. Dies ist auch die Metrik dafür, wie Sie mit Werbung interagieren: Wer sie blockiert, wer nicht, wie eine Person klicken, ob sie nur die Überschriften liest oder vollständig in den Inhalt eintaucht; und auf dieser Grundlage Sie weiterhin in diesem, wie es jetzt heißt, "Filterblase" gehalten zu werden, damit Sie weiterhin mit diesem Inhalt interagieren.

Falls Sie jemals interessiert sind, versuchen Sie einmal über einen längeren Zeitraum, vielleicht eine Woche oder einen Monat, einfach alle Werbeanzeigen aus sozialen Medien zu blockieren: Wenn Ihnen eine Anzeige angezeigt wird, schließen Sie sie. Wenn man das analysiert und auf ein Diagramm überträgt, entsteht eine interessante Geschichte: Wenn Sie eine Woche lang Werbung blockieren, wird Ihnen in der folgenden Woche eine verstärkte Variante und insgesamt aus verschiedenen Kategorien angezeigt; das heißt, wenn Sie zum Beispiel Hunde mögen und Ihnen Werbung mit Hunden angezeigt wird – wenn Sie alle Hunde blockieren, werden Ihnen danach verschiedene Arten von unsinnigen Anzeigen aus unterschiedlichen Bereichen gezeigt, um herauszufinden, was Sie wirklich brauchen.

Und schließlich wird man Sie als jemanden markieren, der nicht mit Werbung interagiert, und wird Ihnen einen imaginären Strich durch die Rechnung machen. Ab diesem Moment sehen Sie nur noch die Werbung von wohlhabenden Marken. Sie werden also Werbung von ‚Coca-Cola‘, ‚KitKat‘, ‚Unilever‘ und all den Unternehmen sehen, die massig Geld ausgeben, um die Aufrufe zu steigern. Führen Sie einen Monat lang ein Experiment durch: zwei Wochen lang verbannen Sie alle Werbung, dann sehen Sie alles, was Ihnen begegnet, und verbannen es – am Ende werden Sie nur noch Werbung sehen von, wie sich später herausstellt (und wie Werbeagenturen sagen), nur Kunden, die für Aufrufe bezahlen, weil es unmöglich ist zu verstehen, wie Sie mit dieser Werbung interagieren.

Pornografie wird häufiger von Menschen konsumiert, die dazu neigen, tief in Inhalte einzutauchen.

Hier geht es um das vielfältige Verfolgen von Verhaltensweisen. Ich habe ein interessantes Beispiel – die Besucher einer staatlichen Webseite. Das Lustige ist, je tiefer die Nutzer im Netz surfen, desto mehr von ihnen zieht das Anschauen von Pornografie traditionellen Beziehungen vor. Es tut mir leid, dass ich ständig über dieses Thema spreche, aber ich habe tatsächlich sehr gute Beziehungen zu "Pornhub". Das sind immer sehr interessante Studien, denn es ist ein recht heikles Thema, das aber sehr viel über den Menschen aussagt. Und die daraus folgenden Punkte über den Traffic... Wir werden "Pornhub" noch erwähnen!

Was gelten als persönliche Daten und kann man ein iPhone mit einem 3D-Gesichtsmodell entsperren?

Mein Favorit ist die Umgehung des Datenschutzgesetzes. Wenn man die technische Dokumentation von Facebook liest, das irgendwelche internen Dokumente (zum Beispiel im Gericht) bereitgestellt hat, findet man dort keine Erwähnung von Gesichtserkennung oder Sprachanalyse. Dort werden sehr komplexe Formulierungen verwendet, die kein qualifizierter Jurist in den Gesetzen finden wird. So funktioniert es bei uns in Russland ungefähr auch – ich zeige Ihnen jetzt so einen Trick.

Was sehen Sie hier? Jeder normale Mensch würde sagen, das ist ein Gesicht. Das ist übrigens Sasha Grey, meiner Meinung nach. Juristisch gesehen ist das eine Matrix aus dreidimensionalen Punkten, von denen hier 300.000 Stück existieren. Ob das gut oder schlecht ist, aber nach dem Gesetz gilt das nicht als personenbezogene Daten. Generell betrachtet die russische RKDN ein einzelnes Foto nicht als personenbezogene Daten – es gilt nur dann als solche, wenn noch etwas anderes dabei ist (zum Beispiel ein Name oder eine Telefonnummer), und das Foto an sich ist überhaupt nichts. Sobald das Gesetz über Biometrie eingeführt wurde und biometrische Daten den personenbezogenen Daten gleichgestellt wurden (sehr grob gesagt), haben sofort alle angefangen zu sagen: Das sind keine biometrischen Daten, das ist ein Punktarray! Besonders wenn man von diesem Punktarray eine direkte oder inverse Fourier-Transformation durchführt, können Sie eine Person aufgrund dieses Transformationsprozesses nicht de-anonymisieren, aber Sie können sie identifizieren. Theoretisch verletzt dieses Gesetz also nichts.
Außerdem habe ich eine andere Forschung betrieben: Es handelt sich um einen Algorithmus, der eine 3D-Rekonstruktion des Gesichts aus öffentlichen Quellen erstellt – man nimmt ein Instagram-Konto und kann dann das Gesicht auf einem 3D-Drucker ausdrucken. Für die, die interessiert sind, habe ich einen Link im öffentlichen Zugang; falls jemand das iPhone von jemandem entsperren möchte... Nur ein Scherz – ein iPhone kann nicht entsperrt werden, da die Qualität beeinträchtigt ist.

Ein geschlossenes Profil ist ein Vorteil für die Sicherheit.

Das ist die erste Sache, und die zweite... Ich habe bereits erwähnt, dass Informationen hauptsächlich aus der Umgebung des Nutzers stammen. Dieses Bild habe ich 2017 gezeichnet: Der durchschnittliche Nutzer russischer sozialer Netzwerke befindet sich intern, hat im Durchschnitt 200–300 Freunde, die Freunde seiner Freunde und die Freunde der Freunde ihrer Freunde.

Danke an die sozialen Netzwerke, dass sie die Algorithmen für "intelligente" Feeds eingeführt haben, die angeblich die Wahrscheinlichkeit erhöhen, dass Sie auf interessanten Content stoßen. Diese Anzahl von Personen kann jederzeit Inhalte sehen, die Sie produzieren, selbst wenn Ihr Konto auf die höchsten Privatsphärenebenen (nur für Freunde von Freunden usw.) beschränkt ist. Das sind Freunde von Freunden:

Wenn jemand denkt, dass er in VK in „Meinen Beiträgen“ die Option „Freunde von Freunden“ auswählt, dann sind drei Händedrücke etwa 800.000 Personen, was im Grunde genommen nicht wenig ist, aber von Ihrem Content abhängt. Vielleicht führen Sie einige anstößige Streams durch, und all diese Freunde von Freunden könnten mit diesem Content interagieren. Jemand von ihnen könnte etwas irgendwohin repostieren, und jeder hat einen Feed von Likes, der tatsächlich wahrscheinlich abgeschafft wird, da es nicht sehr ansprechend ist. Daher kann der Content jederzeit irgendwohin gelangen.

Im letzten Jahr wurde bei VK die Funktion der supergeschützten Profile eingeführt, aber nur eine sehr kleine Anzahl von Menschen hat sie bisher genutzt (ich werde nicht verraten, wie viele, aber es ist wirklich wenig!). Vielleicht wird irgendwann die Allgemeinheit darauf kommen – ich hoffe wirklich, dass dies geschieht. Alle Studien zielen ständig darauf ab, den Menschen das Ausmaß der Probleme zu verdeutlichen. Denn solange es jemandem konkret nicht gut geht, wird er nie darüber nachdenken. Lassen Sie uns weitermachen.

In den staatlichen Institutionen weiß man nicht, was persönliche Daten sind, und man eilt nicht, eine Definition zu geben.

Jeder Fachmann im Bereich des Datenschutzrechts sagt Folgendes: Man sollte niemals verschiedene Datenquellen zusammenführen, denn hier liegen E-Mails (das sind bestimmte persönliche Daten mit anonymisierten Identifikatoren), und hier sind Namen… Wenn man all dies kombiniert, erscheinen sie plötzlich als persönliche Daten. Es wäre auf jeden Fall richtig, dieses Thema zuerst anzusprechen, aber ich denke, Sie sind bereits damit vertraut und wissen, wie das Gesetz funktioniert.

Tatsächlich weiß niemand, was persönliche Daten sind. Eine wichtige Konzept! Wenn ich zu den Behörden gehe, sage ich: „Eine Flasche Cognac für denjenigen, der mir sagt, was persönliche Daten sind“. Und niemand kann es sagen. Warum? Nicht weil sie dumm sind, sondern weil niemand die Verantwortung übernehmen möchte. Denn wenn die Roskomnadzor erklärt, dass das persönliche Daten sind, wird morgen jemand etwas tun, und sie sind schuld; und sie sind die Exekutive und sollten für nichts verantwortlich sein.

Der Punkt ist, dass im Gesetz klar steht, dass persönliche Daten diejenigen Informationen sind, anhand derer man eine Person identifizieren kann. Es wird ein Beispiel gegeben: Vorname, Nachname, Adresse, Telefonnummer. Aber wir wissen, dass man eine Person auch daran identifizieren kann, wie sie auf Knöpfe drückt, wie sie mit der Benutzeroberfläche interagiert und durch andere indirekte Parameter. Für diejenigen, die es interessiert: In praktisch jedem Bereich gibt es riesige Lücken.

Identifikatoren, die uns offenbaren

Hier ist ein Beispiel: Alle begannen, Punkte für die Erfassung von MAC-Adressen zu setzen (habt ihr wahrscheinlich selbst schon erlebt?) – clevere (oder ich weiß nicht, gierige) Hersteller von mobiler Hardware, wie Apple und Google, führten schnell Algorithmen ein, die eine zufällige MAC-Adresse generieren, damit man nicht identifiziert werden kann, wenn man durch die Stadt geht und allen seine MAC-Adresse sendet. Aber die cleveren Leute dachten noch weiter und entwickelten die folgende Geschichte.

Zum Beispiel können Sie eine Lizenz als Mobilfunkanbieter erhalten; mit dieser Lizenz erhalten Sie Zugang zu einer Sache – dem SS7-Protokoll, über das Sie eine Art Äther der Mobilfunkanbieter sehen können; dort gibt es viele verschiedene Identifikatoren, die keine persönlichen Daten darstellen. Früher war das die IMEI, und jetzt hat jemand wörtlich das Bedürfnis erkannt, in Russland (so eine Initiative) eine einheitliche Datenbank dieser "IMEIs" zu führen. Sie scheint zu existieren, aber trotzdem.

Es gibt zum Beispiel viele Identifikatoren – wie den IMCI (Identifier für mobile Geräte), der weder personenbezogene Daten ist noch an andere Dinge gebunden ist, und somit ohne gesetzliche Konsequenzen gespeichert werden kann. Man kann diese Identifikatoren dann mit jemandem austauschen, um mit dieser Person zu kommunizieren.

Die Kultur im Umgang mit personenbezogenen Daten ist auf einem niedrigen Niveau.

Im Grunde genommen geht es darum, dass alle derzeit sehr besorgt sind, Daten miteinander zu verknüpfen, und die meisten Unternehmen, die dies tun, denken manchmal überhaupt nicht darüber nach. Zum Beispiel kommt eine Bank, schließt eine Geheimhaltungsvereinbarung mit einem Scoring-Unternehmen ab und übergibt ihr 100.000 ihrer Kunden...

Und nicht immer enthält diese Vereinbarung der Bank einen Punkt über die Weitergabe von Daten an Dritte. Diese Kunden haben etwas gescored, und es ist unklar, wohin diese Datenbank danach gegangen ist – in den meisten Unternehmen in Russland gibt es keine Kultur des Datenlöschens… – sicherlich bleibt diese Excel-Tabelle irgendwo auf dem Computer der Sekretärin liegen.

Unsere Daten können mit jedem Einkauf im Geschäft verkauft werden.

Es gibt sehr viele Systeme, die scheinbar legal sind (also tatsächlich legal). Zum Beispiel die folgende Geschichte: Von den 15 größten russischen Banken ist nur zwei als SMS-Gateway zu betrachten – „Tinkoff“ und „Alfa“, das heißt, sie senden selbst ihre SMS. Die anderen Banken verwenden SMS-Gateways, um SMS an Endkunden zu senden. Diese SMS-Gateways haben fast immer das Recht, den Inhalt zu analysieren (zum Beispiel hinsichtlich Sicherheit und für eigene Schlussfolgerungen), um dann aggregierte Statistiken zu verkaufen. Diese SMS-Gateways arbeiten mit Anbietern von fiskalen Daten zusammen, die Kassenzettel verarbeiten.

Und das ergibt Folgendes: Sie sind zur Kasse gekommen, der Betreiber der Fiskaldaten (ob Sie Ihre Telefonnummer gegeben haben oder nicht – irgendwie ist diese dort verknüpft)... Sie erhalten eine SMS auf Ihre Telefonnummer, das Gateway dieser SMS sieht die letzten 4 Ziffern der Karte und die Telefonnummer. Wir wissen, in welchem Moment Sie die Transaktion beim Fiskaldatenbetreiber durchgeführt haben, und in den SMS wissen wir (jetzt schon), auf welche Nummer die Information über den Abzug eines bestimmten Betrags mit diesen vier letzten Ziffern der Karte gesendet wurde. Die letzten vier Ziffern der Karte sind keine Identifikatoren für Sie, sie verletzen kein Gesetz, da man Sie nicht anhand dieser de-anonymisieren kann, ebenso wenig die Höhe der Transaktion.

Wenn Sie jedoch mit dem Betreiber der Fiskaldaten vereinbart haben, wissen Sie, in welchem Zeitfenster (plus/minus 5 Minuten) Ihnen diese SMS zugeschickt werden sollte. So sind Sie schnell beim OFD mit Ihrer Telefonnummer verbunden, und Ihre Telefonnummer ist mit den Werbeidentifikatoren und überhaupt allem verknüpft. Daher kann man Sie später wiederfinden: Sie gehen in den Laden und erhalten dann auch irgendeinen Unsinn ohne Erlaubnis. Ich glaube, in diesem Raum gibt es wohl kaum jemanden, der schon einmal eine Beschwerde bei der FAS wegen Spam eingereicht hat. Kaum... Außer mir wahrscheinlich.

Papierkram – ein archaischer, aber effektiver Weg, um seine Rechte zu verteidigen.

Das funktioniert wirklich gut. Allerdings muss man anderthalb Jahre warten, aber die FAS wird tatsächlich eine Überprüfung durchführen: Wer, wie, wem die Daten übergeben hat, warum und so weiter.

Frage aus dem Publikum (F): – In Weißrussland gibt es keine FAS. Es ist ein anderes Land.

AK: – Ja, das verstehe ich. Es gibt sicherlich eine Art Pendant...

Es gibt Einwände aus dem Publikum.

AK: – Ein schlechtes Beispiel, sorry. Ist nicht wichtig. Unter meinen Freunden kenne ich niemanden, der überhaupt von so einer Geschichte weiß – dass man schreiben kann, und sie dann noch ein Jahr lang daran arbeiten werden.

Die zweite Geschichte, die in Russland ebenfalls sehr populär wird, aber ich denke, dass ihr etwas Ähnliches bei euch finden werdet. Ich mache das sehr gern, wenn ein staatliches Organ schlecht mit mir kommuniziert, irgendeine Bank oder etwas anderes – du sagst: "Geben Sie mir ein Dokument." Und schreibst auf das Papier: "Gemäß Punkt 14 des 152. Gesetzes bitte ich um die Verarbeitung personenbezogener Daten in schriftlicher Form." Ich weiß nicht, wie genau das in Weißrussland gemacht wird, aber sicherlich wird es dort auch gemacht. Laut dem russischen Recht können sie dir aufgrund dessen keinen Service verweigern.

Ich kenne sogar viele Leute, die so etwas bei Mail.ru versucht haben und um die Verarbeitung ihrer personenbezogenen Daten in schriftlicher Form gebeten haben. Mail.ru hat sich lange dagegen gewehrt. Ich kenne sogar einen Entwickler von Yandex, über den man Witze gemacht hat: Sie haben sein VK-Konto gelöscht und ihm eine Menge ausgedruckter Screenshots geschickt und gesagt, dass sie ihm jedes Mal Screenshots schicken werden, wenn er seine Seite aktualisieren möchte.

Es mag lustig erscheinen, aber dennoch ist es eine reale Alternative, falls jemand ernsthaft um die Daten besorgt ist, einerseits... Andererseits hat mir derselbe RKN gesagt, dass diese Vereinbarung zur Verarbeitung personenbezogener Daten formal ist und das Gesetz mehrere Möglichkeiten vorsieht, um diese Einwilligung zu geben. Mir wurde beispielsweise hierher zu einer Veranstaltung eingeladen, und wenn, sagen wir, Human Constanta nicht im Rahmen der russischen Gesetze eine Vereinbarung zur Verarbeitung personenbezogener Daten mit mir abschließen kann (weil schon die Tatsache, dass ich gekommen bin und mich bereit erklärt habe, zu sprechen, die Einwilligung zur Verarbeitung personenbezogener Daten darstellt), nehmen trotzdem alle diese Papiergenehmigungen an. Aber der RKN hat mir so eine Sache gesagt, dass das eigentlich nicht sicher ist, dass sie wahrscheinlich irgendwann entfallen werden.

Ich hoffe, dass in Russland niemals ein einheitlicher Betreiber personenbezogener Daten geschaffen wird, Gott bewahre, denn schlimmer als alle personenbezogenen Daten in einen Topf zu werfen, kann es nur sein, sie in die staatliche Schublade zu stecken. Denn man weiß nie, was aus all dem werden kann.

Unternehmen tauschen personenbezogene Daten aus, und die Gesetze regeln dies nur schwach.

Die meisten Unternehmen tauschen untereinander verschiedene Daten und Identifikatoren aus. Das kann ein Geschäft mit einer Bank sein, und dann – eine Bank mit einem sozialen Netzwerk, das soziale Netzwerk – noch mit etwas anderem… Und letztendlich haben diese Personen eine gewisse kritische Masse an Wissen, die sie irgendwie nutzen können. Diese Informationen werden jedoch derzeit versucht, auf ihrer Seite zu behalten. Dennoch landen sie später trotzdem in irgendeinem Werbe-Traffic oder anderswo.

Die Übertragung von Daten an Dritte – das ist die unterhaltsamste Angelegenheit, die man sich vorstellen kann, denn in den Gesetzen ist nicht festgelegt, wer diese Dritten sind und daher auch, wer überhaupt als "Dritte" gelten sollte. Übrigens ist das eine sehr gängige Phrase unter amerikanischen Anwälten – dort spricht man von "Third parties" – wer, denken Sie, zählt zu den Dritten: die Großmutter, die Urgroßmutter? Es gab sogar einen Präzedenzfall in Amerika, bei dem die Daten einer Person offengelegt wurden; diese Person klagte und es wurde bewiesen, dass sie über mehrere Freunde mit dem Dateninhaber bekannt war – eine bestimmte Anzahl von Händedrucken wurde angeführt; irgendwelche seltsamen soziologischen Studien wurden zitiert – auf diese Weise wurde nachgewiesen, dass diese Leute sich gegenseitig nicht als Dritte betrachten konnten. Lustig. Aber die Tatsache, dass solche Daten übertragen werden, ist sehr verbreitet.

Selbst wenn Sie eine Website besuchen, die einen Zähler zur Identifizierung enthält – dieser Zähler hat das Recht, diese Verkehrsdaten irgendwohin weiterzugeben (z. B. an "Clickstream", an Eigentümer von Werbeplattformen wie "Pornhub"). "Pornhub" – falls jemand von Ihnen ein Webentwickler ist, schauen Sie mal, wie viele Tracking-Pixel auf der "Pornhub"-Website vorhanden sind. Man besucht die Seite und es wird eine riesige Menge an JavaScript geladen, angeblich zur Verbesserung der Benutzererfahrung. In Wirklichkeit werden dort auch cross-domain Cookies gesetzt, und es gibt dort so viele Dinge, denn diese Informationen sind auf dem "Clickstream"-Markt immer sehr wertvoll.

"Facebook" wendet sich und wird die Maske nicht abnehmen.

Natürlich erzählt niemand der großen Akteure jemals, an wen und wie sie Daten verkaufen. Deshalb versucht Europa jetzt, "Facebook" zu klagen. Gerade nach der Einführung der DSGVO versucht die Europäische Union, von "Facebook" die Offenlegung seiner Algorithmen für den Weiterverkauf von Daten an Dritte zu erzwingen.

Facebook macht das nicht und erklärt laut und deutlich, dass sie das nicht tun, weil sie eine "Weltgesellschaft" sind (ich zitiere aus einem Schreiben, das sie mir geschickt haben), und sie sind "gegen den Missbrauch von Technologien" (besonders wenn man Gesichtserkennung an den Kreml verkauft). Im Grunde genommen geht es darum, dass Facebook das nicht ganz ehrlich macht: Ihr Hauptziel und das, was passieren wird, sobald ein solches System enthüllt wird – man wird tatsächlich die Rentabilität der Werbung berechnen können, man wird die tatsächlichen Kosten für Werbeanzeigen verstehen können.

Bedingt könnte man sagen, dass, wenn "Facebook" Ihnen jetzt mitteilt, dass die Kosten für eine Anzeige 5 Rubel betragen und wir sie Ihnen für 3 verkaufen (und, in Anführungszeichen, uns 2 Rubel bleiben), sie, hypothetisch, 5 % Gewinn aus diesen Anzeigen erhalten. In Wirklichkeit sind es jedoch nicht 5 %, sondern 505, denn wenn dieser Algorithmus ans Licht kommt (wer und wie oft "Facebook" Daten über "Clickstream", Besucherdaten und Pixelinformationen an verschiedene Werbenetzwerke weitergegeben hat), wird sich herausstellen, dass sie viel mehr Geld verdienen, als sie behaupten. Es geht hier nicht nur um das Geld selbst, sondern darum, dass die Kosten pro Klick 1 Rubel betragen, tatsächlich aber nur Bruchteile von diesem Wert sind.

Im Allgemeinen besteht der Sinn darin, dass alle versuchen, eine solche Übertragung zu verbergen, egal ob es sich um Werbe- oder Nicht-Werbe-Traffic handelt, aber sie existiert. Leider kann man das rechtlich nicht herausfinden, weil die Unternehmen privat sind, und alles, was in ihnen ist, ihr Privatvergnügen und ihr Geschäftsgeheimnis ist. Aber solche Geschichten sind dort sehr häufig an die Oberfläche gekommen.

Drogendealer sind vorhersehbar und "entlarven" sich auf "Avito".

Das letzte Bild aus dieser Präsentation. Es ist lustig, und der Kern der Botschaft ist, dass es bestimmte Kategorien von Menschen gibt, die sich sehr um ihre persönlichen Daten sorgen. Und das ist tatsächlich gut! Dieses Beispiel handelt von einer solchen Kategorie von Menschen, nämlich Drogenhändlern. Man könnte denken, dass Menschen, die sich sehr um ihre persönlichen Daten sorgen sollten…

Das ist eine Studie, die zu Beginn dieses Jahres unter der Aufsicht von kompetenten Behörden durchgeführt wurde. Ja, es handelt sich um ein Skript, das Geld erhalten hat, um Drogen über Telegram und im Darknet zu kaufen, aber nur bei denen, die identifiziert werden konnten.

Tatsächlich verbrennen fast alle Drogenhändler in Moskau daran, dass ihre Telefonnummer in keine öffentlichen Quellen eingetragen ist. Früher oder später verkaufen sie jedoch auf „Avito“ etwas, an dem man den etwaigen Standort dieser Personen erkennen kann. Die Idee ist, dass die roten Punkte anzeigen, wo die Leute wohnen, und die grünen, wo sie hingehen, um das zu hinterlassen, was Sie wissen. Dies war ein Teil des Algorithmus, der die Anordnung der patrouillierenden Dienste vorhersagte, aber diese Typen aus Moskau versuchen immer, diagonal zu fahren, um auf Abstand zu bleiben.

Sie glauben, dass, wenn sie oben links wohnen, sie oben rechts fahren sollten, und dass sie dort auf keinen Fall gefunden werden. Ich sage Ihnen das, um zu verdeutlichen, dass, wenn Sie sich vor allgegenwärtigen Algorithmen verstecken möchten, die wirkliche, beste Möglichkeit darin besteht, Ihr Verhalten zu ändern: einen bestimmten „Hoster“ zur Randomisierung Ihrer Besuche, Besitzverhältnisse usw. einzurichten. Es gibt sogar Algorithmen, Plugins, die die Größe des Browsers um ein paar Pixel ändern, damit die Browser-ID, der „Fingerprint“, nicht erkannt werden kann und man Sie nicht identifizieren kann.
Ich bin fertig. Wenn Sie Fragen haben, stellen Sie sie gerne. Hier ist der Link zur Präsentation.

Frage aus dem Publikum (F): – Können Sie bitte sagen, ob Sie hinsichtlich der Nutzung von "Tor" und der Traffic-Überwachung eine Empfehlung aussprechen?

Es ist schwer, sich zu verstecken, aber es ist möglich.

AK: – "Tor"? Überhaupt nicht, in keiner Form. Ich weiß allerdings nicht, wie es in Weißrussland ist – in Russland sollte man auf keinen Fall dort hineingehen, da praktisch die meisten "Graysnods" verifiziert plötzliche Pakete zu Ihrem Traffic hinzufügen. Ich weiß nicht, welche, aber wenn Sie darauf schauen: Es gibt "Nodes", die den Traffic kennzeichnen – unklar, wer das macht und zu welchem Zweck, aber jemand markiert ihn im Header, damit man später verstehen kann. In Russland wird jetzt der gesamte Traffic gespeichert; auch wenn er verschlüsselt gespeichert wird, wird alles mit dem "Jarovaya-Paket" gequält, dass der verschlüsselte Traffic gespeichert wird, bleibt er doch markiert, das heißt, zu nutzen oder zu entschlüsseln ist nicht möglich…

F: – In Europa wird er schon lange gespeichert, wahrscheinlich seit zehn Jahren.

AK: – Ja, ich verstehe. Alle lachen darüber – so nach dem Motto, Sie speichern https, das man nicht lesen kann. Den Inhalt kann man nicht lesen, aber man kann anhand des Paketgewichts, der Länge und so weiter herausfinden, woher die Pakete kamen, mittels bestimmter Algorithmen. Und wenn man all die Provider im Griff hat, hat man entsprechend auch die gesamte Infrastruktur und alle Pässe... Verstehen Sie, worüber ich spreche?

F: – Welchen Browser empfehlen Sie?

AK: – Für „Tor“?

F: – Nein, überhaupt nicht.

AK: – Nun, ich weiß nicht. Ich benutze tatsächlich „Chrome“, aber nur, weil dort die Entwicklertools am bequemsten sind. Falls ich zufällig irgendwohin gehen muss, gehe ich in ein Café. Allerdings sollte man sich dort nicht mit einer echten SIM-Karte anmelden.

F: – Sie haben von einigen Studenten gesprochen. Unterrichten Sie irgendwo oder halten Sie Kurse ab?

AK: – Ja, wir haben Masterstudiengänge in Datenjournalismus. Wir bringen Journalisten bei, Daten zu sammeln und zu analysieren – sie führen gelegentlich solche Forschungen durch.
Es gibt keine sicheren Anwendungen.

F: – Auf Facebook und VKontakte ist es unsicher, mit Freunden zu kommunizieren, um später keine kontextbezogene Werbung zu erhalten. Wie kann man die Sicherheit erhöhen?

AK: – Die Frage ist, welches Sicherheitsniveau Sie für akzeptabel halten. Im Prinzip gibt es das Wort „sicher“ nicht. Es geht vielmehr darum, was Sie als akzeptabel erachten. Einige halten es für in Ordnung, intime Fotos über Facebook auszutauschen, während einige Mitarbeiter von Geheimdiensten der Meinung sind, dass alles, was ausgesprochen wird, selbst gegenüber der engsten Person, bereits faktisch unsicher ist. Wenn Sie nicht möchten, dass das soziale Netzwerk etwas darüber erfährt, dann ja – es ist besser, nichts darüber zu schreiben. Ich kenne keine sicheren Anwendungen. Ich fürchte, die gibt es nicht. Und das ist aus der Sicht der Monetarisierung der Anwendungen auch normal, denn jeder Entwickler muss ja irgendwie Geld verdienen, selbst wenn die Anwendung kostenlos oder ein gewisses Medium ist. Es scheint zwar kostenlos zu sein, aber es muss dennoch von etwas leben. Daher gibt es nichts, das sicher ist. Sie müssen lediglich für sich selbst entscheiden, was Ihnen angenehm ist.

F: – Was nutzen Sie?

AK: – Soziale Netzwerke?

F: – Aus Messengern.

AK: – Ich nutze den Hauptstaatlichen Messenger der Russischen Föderation – „Telegram“.

F: – Ist „Viber“ sicher?

AK: – Hör zu, ich kenne mich nicht gut mit Messengern aus. Um ehrlich zu sein, glaube ich nicht an Sicherheit oder an irgendetwas, denn das wäre wahrscheinlich sehr seltsam. Obwohl „Telegram“ irgendwie open source ist und seine Verschlüsselungsalgorithmen offengelegt sind. Aber das ist auch so eine knifflige Sache, denn der Client ist zwar open source, aber die Server hat niemand gesehen. Ich denke nicht, dass „Viber“ wirklich sicher ist: Es gibt dort sehr viel Spam, Bots usw. Wer weiß. Ich habe das Gefühl, das funktioniert alles nicht wirklich gut.

Wer ist gefährlicher – Konzerne oder der Staat?

Moderator (M): – Ich habe da eine Frage an dich. Sieh mal, du hast das ein paar Mal angedeutet – dass der Staat… Zu viele Daten sind nicht gut… Ein Konzern hat zu viele Daten. Nun, das ist einfach das Leben, oder? Vor wem sollten wir mehr Angst haben – vor den Konzernen oder dem Staat? Wo liegen die Stolpersteine?

AK: – Das ist eine sehr komplexe Frage. Sie ist grenzwertig. Ein schwieriger ethischer Barrier. Warum sollte eine Person, die nichts zu befürchten hat und das Gesetz nicht verletzt hat, im Prinzip Privatsphäre brauchen? Obwohl ich das nicht so sehe – das glaubt der Staat. Vielleicht steckt da ein gewisser Kern Wahrheit drin. Hör mal, ich habe am meisten Angst vor Hackern – so etwas in der Art. Tatsächlich ist das Schlimmste, was ich in meinem Leben gesehen habe (aus all dem Thema): Vor etwa eineinhalb bis zwei Jahren wurde in der Region Moskau ein Pädophiler verhaftet, und während der Ermittlungen fanden sie auf seinem Computer mehrere Selbstlernprogramme zu „Python“, Skripte, API VK. Er sammelte Konten von Mädchen, analysierte, wer von ihnen in der Nähe war, sammelte Inhalte, die sie… Kurz gesagt, du verstehst. Das ist das Schlimmste, was ich je gesehen habe. Und davor habe ich tatsächlich Angst, dass irgendwann jemand so etwas Ähnliches macht.

Noch ein kleiner "Offtopic": Die europäische Sicherheitsbehörde berichtete im vergangenen Jahr, dass die Zahl der Bankkonto-Diebstähle durch das Knacken geheimer Fragen um etwa 20 bis 25 Prozent gestiegen ist. Überlegen Sie einfach mal, was Ihre geheime Frage bei der Bank ist, und denken Sie darüber nach, ob ich die Antwort aus öffentlichen Quellen herausfinden könnte. Wenn da der Mädchenname Ihrer Mutter steht oder Ihr Lieblingsgericht... Insgesamt analysierten die Leute die Konten und konnten auf dieser Basis den Spitznamen des Lieblingshaustieres herausfinden – so ungefähr...

F: – Sie haben gesagt, dass Unternehmen und Konzerne mit Hilfe von Algorithmen die benötigten Informationen sammeln? Wissen Sie sicher, wie das funktioniert?

AK: Es gab ein Aufregung unter Menschen, die eine Zeit lang Fotos durch einen speziellen Filter liefen ließen, um die Bildanalyse zu stören, damit man diese Personen später nicht mehr identifizieren konnte. Ich habe Ihnen das Beispiel gegeben, dass Facebook gegen die Verschlüsselung von Nachrichten kämpfte. Wenn dieses Ding erscheinen und populär werden sollte, werden soziale Netzwerke sicher versuchen, damit umzugehen. Außerdem funktioniert die Bilderkennung derzeit sehr gut, und wir erreichen einen Punkt, an dem der erforderliche Grad, um dieses Foto zu "brechen" (um den Algorithmus, der diese Bilder erkennt, zu "brechen"), wahrscheinlich etwas ist, was nichts mehr klar zeigen wird.

Verschiedene Glitch-Filter funktionieren gut, wenn es eine starke Verschiebung über die Hälfte des Fotos gibt. Ihr Konto wird dann alle LSD-Farben annehmen. Theoretisch halte ich es nicht für sehr schlimm, wenn Facebook beispielsweise erkennt, welches Auto ich habe – wahrscheinlich, solange ich im Auto nicht über Facebook angemeldet bin.

Das Recht auf Vergessen funktioniert, aber nicht im Internet.

F: – Hatten Sie schon einmal mit einem Nutzer zu tun, der Sie dazu brachte, ihn zu respektieren, zu löschen oder Zugriff zu erhalten? Sie arbeiten mit großen Datenmengen, da informieren Sie wahrscheinlich darüber. Menschen können sich an Sie wenden. Wie viel Prozent?

AK: – Ich erzähle es gleich. Jetzt wird es wirklich interessant. Ich werde jetzt ausrechnen, wie viele Leute kommen, denn nach der Veranstaltung kommen immer 15-20 % vorbei und füllen das Formular zur Datenlöschung aus — das gibt es. Realistisch sind das etwa 7-8 % geschlossener Konten, die wir nicht analysieren, und ungefähr 5 von tausend, die um die Löschung ihrer Daten bitten. Das ist sehr wenig, sogar aus meiner bescheidenen Sicht.

Das Problem ist folgendes: Es gibt so etwas wie das Recht auf Vergessenwerden. Aber das Recht auf Vergessenwerden wird, zumindest in Russland, rechtlich nur auf Suchmaschinen angewendet. Es steht da klar: Suchmaschinen. Und selbst dann betrifft es nur die Löschung von Links zu Materialien, nicht die Materialien selbst. Um wirklich etwas aus dem Internet zu löschen, müsste man all diese Quellen durchgehen, daher glaube ich grundsätzlich nicht daran. Wir versuchen, die Nutzer darauf hinzuweisen, dass sie zuerst nachdenken sollten, bevor sie veröffentlichen.

Momentan ist dieser Prozentsatz sehr gering – 5-7 Personen von Tausenden. Übrigens, zum Thema Gesetz über das Vergessen: Jeder kennt den beeindruckenden Fall „Sechin gegen RBC“. Das Gesetz über das Vergessen hat funktioniert, der Artikel wurde entfernt, aber er ist überall vorhanden. Verstehen Sie, dass wenn etwas einmal ins Internet gelangt ist, es dort niemals verschwindet.

Benutzer werden gelöscht, aber sie werden durch typisches Verhalten identifiziert.

F: - Glauben Sie nicht, dass Menschen, die ihre Konten löschen und versuchen, „schwarze Löcher“ zu werden, in einer ungünstigeren Position im Vergleich zu anderen wirtschaftlichen Akteuren sein werden?

AK: – Wahrscheinlich ja – diese Situation wäre für sie selbst nachteilig. Es gibt viele verschiedene Rabatte und Angebote, die von ihnen abhängen. Aber rein theoretisch, wenn jemand jetzt sein Konto löscht ... Es ist bei verschiedenen Extremisten beliebt, Konten zu löschen und gefälschte Konten zu erstellen, aber weiterhin mit demselben Inhalt zu interagieren – diese Person kann wiederum identifiziert werden (besonders, wenn es innerhalb eines sozialen Netzwerks und von einem Computer aus geschieht – das ist überhaupt kein Problem); allein anhand des Konsummusters von Inhalten könnte diese Person gefunden werden, wenn dies angestrebt wird.

Ich hoffe, dass in den nächsten fünf Jahren eine Technologie zur Monetarisierung dieser Daten entwickelt wird, bei der man tatsächlich Geld für seine Daten bekommen kann — du zahlst selbst und wir werden deine Daten nicht nutzen. Ich denke, dass, wenn Instagram ein kostenpflichtiges Abonnement einführt, es niemand nutzen wird. Daher liegt die Alternative darin, den Nutzern für ihre Daten zu bezahlen. Doch das wird nicht so bald geschehen, weil die Lobby der großen Unternehmen die Einführung eines solchen Gesetzes verhindern wird, obwohl es interessant wäre. Das Problem ist, dass man den realen Wert der Daten einer Person zu einem bestimmten Zeitpunkt nicht abschätzen kann.

Facebook – durchlässige Typen

F: – Guten Tag. Vor kurzem gab es die Nachricht, dass Facebook plant, all seine Projekte zu integrieren, einschließlich Instagram und Facebook, WhatsApp und so weiter. Wie sehen Sie das in Bezug auf persönliche Daten, da diese Programme momentan auf meinem Smartphone separat angezeigt werden, aber sie gehören ja dennoch Facebook?.. Was wird als Nächstes passieren?

AK: – Ich verstehe. Juristisch gehören sie ohnehin Facebook, und das Unternehmen kann sie unkontrolliert innerhalb seiner Plattform zusammenfassen, also denke ich, dass sich nichts ändern wird. Das Einzige, was jetzt nötig ist, ist, eine Anwendung zu hacken, um sofort alles zu erhalten. Und Facebook… Ich hoffe, sie beobachten das. Diese Jungs haben wirklich überall riesige Sicherheitslücken.

In letzter Zeit gab es sehr viele Informationen über dies – über Datenlecks bei Facebook. Das geschah nicht, weil Facebook plötzlich begann, diese Daten zu verlieren, sondern weil die DSGVO das Unternehmen nun zwingt, vorher zu warnen. Und die größte Geldstrafe droht, wenn ein Leck passiert ist und das Unternehmen es geheim gehalten hat, weshalb Facebook jetzt selbst darüber berichtet. Das bedeutet nicht, dass es zuvor keine Datenlecks gab.

F: – Guten Tag. Ich habe eine Frage zur Datenspeicherung. Derzeit führt jedes Land Gesetze ein, die vorschreiben, dass die Daten der Bürger im jeweiligen Land gespeichert werden. Welche Voraussetzungen müssen erfüllt sein, um diese Gesetze einzuhalten, insbesondere für eine internationale Anwendung?.. Zum Beispiel bei "Facebook": Es gibt eine zentrale Datenbank...

Wie kann man diese Bedingungen einhalten?

AK: – Hören Sie, rechtlich gesehen reicht es aus, einfach einen Server in diesem Land zu mieten und darauf etwas zu speichern. Das Problem ist, dass es keine zuständige Aufsichtsbehörde gibt. Die Daten von "Facebook" liegen nicht in Russland. Roskomnadzor kämpft ständig dagegen... "Facebook" hat einige Server, auf denen die Oberfläche von "Facebook" gespeichert ist, und es ist unmöglich zu überprüfen, wo die Daten tatsächlich liegen und wie sie synchronisiert werden.

F: – Den Traffic überprüfen?

AK: – Traffic überprüfen? Ja. Aber der Traffic kann später zu einem bestimmten Knotenpunkt weitergeleitet werden. Außerdem kann zwischen den Servern etwas wie ein VPN oder Ähnliches sein. Rein theoretisch ist es unmöglich zu kontrollieren, ob zum Beispiel ein Systemadministrator irgendwann auf diesen Server zugreift und etwas entnimmt. Das heißt, dieses Gesetz wurde nicht zum Schutz von Daten eingeführt, sondern damit Unternehmen ihre Niederlassungen eröffnen, Steuern zahlen und ihre Daten im Land speichern. Meiner Meinung nach ist das eine sehr seltsame Initiative, um ehrlich zu sein.

F: – Also reicht es aus, eigentlich die Benutzeroberfläche zu überprüfen?

AK: Jemand kann kommen und überprüfen, ob Ihre Daten da liegen. Aber Sie können eine Art 'Excel' zeigen, und niemand kann das überprüfen, wahrscheinlich wird das auch niemand überprüfen. Momentan wird einfach nur nach den IP-Adressen geschaut: ob die IP-Adresse, die mit der Domain verbunden ist, im Land ist—das wird nicht weiter überprüft. Jetzt, wahrscheinlich, wird jemand zu mir kommen und prüfen.

Es gibt keine Dienste, denen man zu 100 % vertrauen kann, aber anständigen Menschen braucht man keine Angst haben.

F: – Diese Nachricht wurde vielerorts verbreitet: Ein Typ von «Microsoft» hat einen Dienst zur Überprüfung seiner...

AK: – Irgendetwas in der Art: Sind Ihre Passwörter möglicherweise geleakt? Tatsächlich startet «Facebook» nach solchen Leaks immer irgendwelche Notfallseiten, auf denen man überprüfen kann, ob man in dieser Datenbank gelandet ist — das verlangt auch die GDPR. Das heißt, wenn Sie so etwas nicht einrichten, wird es für Sie nicht gut aussehen. Deshalb präsentieren jetzt alle diese Projekte als «das ist unsere Initiative»; tatsächlich verlangt das Gesetz das. Es ist wirklich eine coole Sache, aber ich würde solchen Überprüfungsdiensten nicht viel Vertrauen schenken, wenn man dort etwas Komplizierteres als das eigene Passwort eingeben muss, da viele Leute die gleichen Passwörter haben.

F: – Dort gibt man einfach die E-Mail-Adresse ein und es wird sofort angezeigt, wie oft sie kompromittiert wurde...

AK: – Ich vertraue solchen Dingen wirklich nicht, denn es ist sehr einfach, Sie später mit diesem Browser an ein echtes Konto zu binden. Besonders, wenn Sie Dienste der gleichen Leute nutzen, die diese Seite betrieben haben. So war es letztes Jahr, als Facebook sagte: Wenn Ihre intimen Fotos in Facebook durchgesickert sind, senden Sie sie uns und wir überprüfen, wo sie erwähnt wurden.

Ich weiß nicht, welche PR-Katastrophe das ist und wer sich das bei Facebook ausgedacht hat, aber es ist tatsächlich passiert. Sie wollten überprüfen, ob jemand Ihre Nacktfotos in privaten Nachrichten weitergeleitet hat. Im Grunde genommen verfolgt das gute Ziele, ist aber maximal seltsam. Ich würde dem nicht vertrauen.

F: – Und noch eine Frage. Wie hoch sind die Risiken eines Datenlecks für den normalen Nutzer? Die Risiken des Schadens durch Lecks.

AK: – Ich verstehe Sie. Es kommt darauf an, welche Daten aufbewahrt werden. Ich denke, dass die Risiken nicht sehr hoch sind. Das Schlimmste wäre, wenn E-Mails und Passwörter irgendwo durchgesickert sind und Sie dieses Passwort überall benutzen – dann ja. Ich denke, die Nutzer haben wenig zu befürchten. Aber es sei denn, sie haben irgendwelche schockierenden Inhalte in ihrem Google-Mail gespeichert. Es gab viele Beispiele.

Die bekannteste Geschichte ist die von Google, als in Utah ein Mädchen entführt wurde und nicht gefunden werden konnte. Irgendwann schickten die Entführer Fotos in einer komprimierten Datei. Google fand beim Scannen dieses Anhangs Hinweise auf Kinderpornografie. Alle wurden gefunden. Eigentlich haben sie sogar gegen Google geklagt, weil sie die Privatsphäre verletzt hätten. Dieser Rechtsstreit zog sich ziemlich lange hin. Dennoch denke ich, dass der normale Nutzer nichts zu befürchten hat, solange er zum Beispiel seinen Pass nicht öffentlich macht. Das ist eine zweischneidige Sache – es kommt darauf an, welche Daten es sind und was für ein Nutzer. Vielleicht ist jetzt alles in Ordnung, aber in 15 Jahren, wenn er eine Art Beamter wird, könnten seine Daten ans Licht kommen.

Wie arbeitet man mit dem Staat zusammen?

F: – Danke. Sie haben ein wenig darüber gesprochen, dass Sie Forschungen für den Staat, staatliche Stellen und Behörden machen, und mit ihnen zusammenarbeiten. Können Sie vielleicht ein wenig ausführlicher über einige aktuelle Projekte berichten? Und sogar mehr, wenn Sie können, über… Zwei Fragen: Erstens – aktuelle Projekte, und zweitens – gab es Vorschläge von staatlichen Behörden…

AK: – Unanständig!

F: – Ja. Als Sie dachten: Vielleicht sollten wir das nicht tun.

AK: – Ich werde es Ihnen erzählen. Ich erzähle es allen. Ich habe lange mit dieser Person auf Twitter gestritten. Von Milonovs Team habe ich einmal eine Anfrage erhalten, Lehrer zu finden, die Gay-Pornos schauen. Wir haben sofort gesagt, dass wir das nicht tun. Aber es gibt solche Anfragen, die oft kommen, und es hat sehr häufig mit einigen Oppositionellen, Protesten zu tun. Mit so etwas beschäftigen wir uns nicht, wir werden ohnehin schon von allen beschmutzt. Ich schäme mich dafür nicht.

Unsere Politik in Bezug auf "Staatsaufträge" ist folgende: Wir entwickeln Software, Software für 3D-Rekonstruktionen, Gesichtserkennung, Datenanalyse. Was genau sie tun, ist sehr schwer zu sagen, aber es handelt sich um Modelle – die Vorhersage von Verbrechen, alles, was mit der innerstädtischen Sicherheit zu tun hat, Bewegungen von Personen, Geomarketing und so weiter. Von der Platzierung von Objekten in der städtischen Umgebung bis hin zur Identifizierung von Pädophilen, Vergewaltigern, Psychopathen und anderen schlimmen Leuten.

Ehrlich gesagt haben wir uns mit keinen Oppositionsgruppen beschäftigt. Vielleicht wird uns das nicht direkt ins Gesicht gesagt. Tatsächlich ist das ein großes Problem – die Zusammenarbeit mit „Staaten“, denn nicht immer wird erklärt, worum es genau geht. Man sagt dir: „Entwickle eine Software zur Identifizierung von Hausfrauen“, und sie haben tatsächlich ganz andere Pläne damit – alles bricht dort zusammen.

Zudem ist der Staat ein sehr interessanter und seltsamer Kunde, der ständig versucht, ein paar Cent in deine Forschung einzufügen, und oft sind ihre Ansätze und ihr Verständnis für maschinelles Lernen sehr oberflächlich. Zum Beispiel habe ich eine separate Vorlesung über Maschinenlernfehler. Dabei gebe ich immer das Beispiel an, als wir ein System zur Verbrechensvorhersage in der Region Moskau entwickelten, und der Auftraggeber sagte: „Dort, wo Wassermelonen verkauft werden, bitte den Koeffizienten um das Vierfache erhöhen.“ Und später stellte sich heraus, dass die Verkaufsstellen für Wassermelonen völlig unkriminalisiert sind. Das sind einfach Fehler, weil der Mensch seine Gedanken einbringt.

Kurz gesagt, der Staat ist ein interessanter Kunde, es gibt dort viele spannende Aufgaben. Die meisten davon beziehen sich auf ähnliche Modelle zur Vorhersage von irgendetwas. Am häufigsten handelt es sich um städtische Infrastrukturen.

F: – Gibt es Quellen, wo ich eure Forschungen verfolgen kann? Es gibt viele Informationen. Soweit ich verstehe, ist da noch viel ungenutzt geblieben. Eure Seiten, noch etwas anderes...

AK: – Ich habe keine persönlichen Seiten.

F: – Wurde „Facebook“ wahrscheinlich schon geschlossen?

AK: – Vor etwa vier Monaten gab es eine Geschichte: Sie schickten uns allen so große Briefe, in denen stand, dass wir "Monster" seien, alles an den Kreml verkaufen und alle Facebook-Regeln verletzen. Sogar meiner Hündin schickten sie einen Brief: "Hallo, Mars der Blue Corgi, du sammelst Daten!" und so weiter. Hört zu, wir haben gerade ein Rebranding. In zwei bis drei Wochen wird unsere Website aktualisiert. Das kann man dann verfolgen. Aber wir sind einfach sehr faul in dieser Hinsicht.

Wie kann man die Zuverlässigkeit eines VPNs bestimmen?

F: – Als du sagtest, du würdest in ein Café gehen, ohne dich dort unter deiner Telefonnummer zu identifizieren. Und unter welcher?

AK: – Man sollte nicht unter falschem Namen sprechen, denn das ist ein Aufruf zur Verletzung der Identifikationsvorschriften. Nein, nein, nein. Ich mache nur Spaß. Heutzutage identifizieren fast alle Cafés alles Mögliche – da sind nicht nur Telefonnummern, sondern auch eine Menge Pixel, die Geräteidentifikation, MAC-Adressen und was weiß ich noch alles, um das später zu nutzen – von Werbezwecken bis hin zu Ermittlungsmaßnahmen. Deshalb muss man mit solchen Dingen sehr vorsichtig sein. Man kann nicht nur etwas schreiben, sondern auch von Ihrem Gerät aus kann etwas geschrieben werden, und dann könnte etwas passieren.

Vielleicht haben Sie die Geschichte gehört, dass derzeit untersucht wird, wie (übrigens auch in Weißrussland) Facebook-Konten vermietet werden, angeblich für Casino-Werbung. In Wirklichkeit ist unklar, wofür, und man gibt auch Zugriff auf den Computer. Solche Dinge sollten unbedingt vermieden werden. Wenn Sie sich entscheiden, anonym etwas irgendwo zu schreiben... Ich würde in ein Café gehen und einen coolen VPN einschalten. Aber tatsächlich (ich zeige wieder auf niemanden), wenn Sie ein Konto über einen VPN benutzen, überprüfen Sie, wem dieser VPN gehört, welche Firma und wem diese Firma gehört, und so weiter. Denn die meisten Marktteilnehmer im VPN-Sektor sind nicht gerade die besten Leute.
Naja, in Weißrussland ist das unwichtig. In Russland wird ein guter VPN danach geprüft, ob dort azino777 blockiert ist, oder nicht. Denn wenn nicht, besteht eine hohe Wahrscheinlichkeit, dass dieser VPN-Service innerhalb einer Woche geschlossen wird. Überprüfen Sie also alles.

Über die automatische Löschung von Nachrichten

F: – Ihr habt so viel über private Nachrichten gesprochen, dass ihre sozialen Netzwerke sie lesen... Aber zum Beispiel hat Facebook geheime private Nachrichten, die man (außer dass sie auch verschlüsselt sind) zur Vernichtung einstellen kann. Wie kommentieren Sie das?

AK: – Gar nicht. Erstens bin ich kein Krypto-Experte, und zweitens liegt das Problem darin, dass niemand die Server von Facebook gesehen hat, und niemand weiß, wie das alles funktioniert. In irgendeiner Spezifikation steht, dass es End-to-End-Verschlüsselung ist, aber das könnte nicht der Fall sein, oder es ist End-to-End, aber mit irgendwelchen Ungenauigkeiten oder sonst was. Solch eine Funktion macht Sinn, wenn Sie Angst haben, dass die Person, an die Sie das senden, irgendwann etwas damit machen könnte.

In Telegram gibt es eine praktische Funktion zum Versenden von intimen Fotos, die sich selbst löschen: Wenn du versuchst, einen Screenshot zu machen, wird es automatisch gelöscht. Auf dem iPhone gibt es die Funktion, den Bildschirm zu videoaufzeichnen, und du kannst den Bildschirm aufnehmen und so weiter… Ich bekomme oft Materialien mit dieser Funktion (Selbstlöschung) – ich verstehe nie, warum. Ich kann es einfach sofort herunterladen! Es liegt ganz bei euch.

Sozialer Kredit in China: Mythen, Realität, Perspektiven

Frage: – Ich übertreibe tatsächlich ein wenig, obwohl ich kein VPN brauche (übrigens haben wir ein bewährtes VPN). Aber die Frage betrifft die Ethik. Wir haben einen wunderbaren Freund aus Kasachstan, den wir auch zu einem Vortrag eingeladen haben. Irgendwann saßen wir auf einer Konferenz, bei der verschiedene Themen besprochen wurden, und er sagt (er beschäftigt sich mit Cybersicherheit, also mit reiner Ingenieursicherheit, ein Mensch, dem technische Lösungen interessieren): „Ich bin gerade aus China zurückgekommen. Dort machen sie so eine coole Sache – sozialen Kredit“. Hast du zufällig irgendetwas zu diesem Thema recherchiert, wie das dort funktioniert?

AK: – Wir verkaufen Scoring in Russland, darüber weiß ich viel.

Frage: – Und hier habe ich die Frage, ob du mehr darüber erzählen könntest – darüber, was uns möglicherweise in Zukunft erwartet. Aber auch eine Frage zur Ethik. Er sprach so erfreut: „Eine interessante ingenieurtechnische Lösung!“ Hast du deinen eigenen Ethikkodex?

AK: – Ja, das gibt es tatsächlich. Vor zwei Jahren haben wir ihn eingeführt – genau nach der Geschichte mit Milonow haben wir beschlossen, diese Projekte irgendwie zu bewerten. Zurück zum Ranking: Das ist eine der beliebten Fragen, weil die Medien diese ganze Sache stark dämonisieren – dass die Menschen nicht ins Ausland reisen können, dass sie mit einem Laser vom Mond getötet werden. Ich präsentiere euch, wieder einmal, ingenieurtechnische Aspekte...

Wenn Sie anfangen, dieser Geschichte auf den Grund zu gehen, und sich anschauen, welche Parameter in dieses soziale Rating einfließen, werden Sie verstehen: Es umfasst unter anderem offene Unterhaltszahlungen, Vorstrafen, und die Kreditgeschichte – das ist aus technischer Sicht wirklich beeindruckend. Wenn Sie ein gesetzestreues Leben führen und es Ihnen gut geht, erhalten Sie einen niedrigen Zinssatz für Kredite. Wenn Sie eine wichtige soziale Rolle (zum Beispiel als Lehrer) ausfüllen, bekommen Sie angemessenen Wohnraum. Zunächst waren viele darüber verwirrt, da die Geschichte aufkam, dass, wenn man schlecht über den Präsidenten schreibt, dieses Rating gesenkt wird. Obwohl es dafür keine Beweise gab. Um das Rating zu verteidigen, kann ich aber sagen, dass auch niemand den Algorithmus gesehen hat, welche Parameter dort tatsächlich verwendet werden.

Dann gab es die Geschichte, dass mehr als eine Million Menschen nicht ins Ausland reisen durften. Das ist nicht ganz korrekt formuliert. Wenn Sie ein Visum erhalten (zum Beispiel für Europa), wird dieses Visum auf der Basis von "70 Euro pro Tag" ausgestellt; wenn Sie keinen Einkommensnachweis liefern, bekommen Sie kein Visum. In China hat das Außenministerium beschlossen, einen Schritt weiterzugehen: Es hat einfach die Menschen, die nicht genug Geld haben, sofort gewarnt, dass sie für eine Reise ins Ausland nicht genug Geld haben werden. Dementsprechend wurde das alles später in die Vorstellung verwiesen, dass Arme nicht ins Ausland reisen dürfen. Das ist eine komplexe ethische Sache, die an einer gewissen Unschuldsvermutung kratzt, aber in der Tat kann ich keine Bewertung abgeben.

Menschen werden getötet, nicht Waffen.

Das Wichtigste, was man verstehen sollte: Alle diese Algorithmen, die von der Gesellschaft verurteilt werden, sind nicht das Problem. Algorithmen ermöglichen es lediglich, sehr schnell eine große „Menge“ von Menschen zu analysieren, und dieses soziale Problem ist nach oben gekommen. Es ist nicht der Microsoft-Bot, der auf Tweets trainiert wurde und zum Rassisten wurde, der schuld ist, sondern die Tweets, die er gelesen hat. Oder das Unternehmen, das beschließt, ein Modell für den idealen Mitarbeiter zu erstellen, indem es die bestehenden analysiert, und herausfindet, dass dies ein weißer, männlicher Akademiker ist.

Es geht hierbei nicht um ein Modell – ob rassistisch, sexistisch oder sonst etwas; es sind Menschen, die diese Menschen eingestellt haben (unrechtmäßig oder nicht, das spielt keine Rolle). Es grenzt alles an der Vorstellung, dass Künstliche Intelligenz böse ist, schlecht und die Welt zerstören wird, aber in Wirklichkeit… Wenn beispielsweise die russische Regierung jetzt ein Gesetz erlässt, dass Oppositionellen kein kostenloses Studium gewährt werden darf, und sie eine Software entwickeln, die diese identifiziert und vom kostenlosen Bildungsangebot ausschließt – dann ist der Algorithmus nicht schuld. Obwohl niemand mein Konzept unterstützt, denn wenn ich sage, dass nicht die Waffe die Menschen tötet, sondern die Menschen selbst, werde ich als „Faschist“ bezeichnet und Ähnliches.

Insgesamt ist dies wirklich eine großartige technische Lösung. Man muss verstehen, warum es das beispielsweise in Russland nicht geben wird. In [Belarus] wird es das nicht geben, weil Sie ein europäischer Staat sind, bei Ihnen läuft alles gut. In Russland wird es aus vielen Gründen nicht geben: Erstens haben wir nicht das gleiche Vertrauen in das Rechtssystem wie in China; wir haben lange nicht das gleiche Maß an Digitalisierung. Warum hat es in China funktioniert? Weil die Regierung dort digitale Medizin, digitale Versicherungen, digitale Polizei hat. Und jemand kluger hat sich gedacht: Lassen Sie uns das alles bündeln und umsetzen – letztendlich ist das ein Treueprogramm. Dort gibt es mehr Vorteile als „keine Vorteile“.
Deshalb ja – ich denke, dass es in Russland nicht eingeführt wird. Zuerst muss das gesamte Gesundheitsministerium digitalisiert werden (und das ist eine Aufgabe für die nächsten 50 Jahre) – jemand muss sein Leben dafür opfern, um das zu tun, und natürlich wird das niemand machen. Auf der anderen Seite sind die russischen Banken weltweit führend in der Bewertung von Personen, sie machen allerlei Dinge: „Aha, Kerl? Du magst junge Mädchen? Hier ist deine Kreditkarte für die Geliebte“. Dort ist alles sehr fortgeschritten. Zum Beispiel ist in den USA eine vergleichbare Bewertung nahezu überall verboten, weil es dort Gesetze gibt, nach denen die Bank dir erklären muss, warum: „Aha! Weil das Unternehmen Social Data Hub 10 Jahre lang Daten speichert, und das hat folgendes über dich ergeben“! Und du kannst sowohl die einen als auch die anderen verklagen! Solche Geschichten haben wir nicht.

Warum wird die Statistik totgeschwiegen?

Ich unterstütze grundsätzlich das Scoring, solange es nicht eine Art 'totalitäre' Geschichte ist. Aber die ganze Frage ist, dass man es unmöglich vorhersagen oder bewerten kann. Das ist die größte Herausforderung in der Ethik großer Daten – den sozialen Effekt vorherzusagen, der in 15 Jahren eintreten wird. Ich zum Beispiel habe lange die Staatsanwaltschaft um die Offenlegung von Kriminalitätsdaten gebeten. Diese Daten sind einer der Grundpfeiler jeder Statistik; alle wollen das sehr. Aber in Russland werden Kriminalstatistiken aus einem sehr einfachen Grund nicht offengelegt: Man fürchtet, die Demografie innerhalb der Städte zu stören. Man denkt, dass die Menschen aufhören werden in bestimmten Städten zu wohnen, sogar innerhalb einer Stadt wird sich alles irgendwie umverteilen. Aus dem gleichen Grund werden auch die Ergebnisse des Zentralen Abiturs (EGE) nicht offenbart – Sie verstehen ja, dass die Menschen in bestimmte Schulen gehen werden, in andere nicht.

Es mag richtig sein, es mag auch nicht stimmen, aber es gab viele Projekte… Zum Beispiel hat „Yandex“ zeitweise (wiederum laut „gelben“ Gerüchten, ich habe es nicht gesehen, kann es nicht bestätigen) beschlossen, in das Prognosemodell für den Immobilienmarkt die Anzahl der Angriffe auf Taxifahrer einzubeziehen, also eine Art Herangehensweise an das Niveau der Kriminalität, indem die Zahl der Beschwerden von Taxifahrern über Belästigungen, Drohungen usw. gezählt wurde. Dies wurde schnell innerhalb des Unternehmens eingestellt, um solche Dinge zu vermeiden.

F: – Sie kommunizieren mit Studenten, Sie sprechen mit dem Publikum in Ihrem Land, hier bei uns. Haben Sie an der Anzahl der Fragen aus dem Publikum bemerkt, dass wir uns noch in der Entwicklungsphase befinden, in der wir denken, dass wir Privatsphäre benötigen, dass wir uns vor jemandem verstecken können, unsere Daten schützen, ohne sie preiszugeben, indem wir sie verstecken oder verschlüsseln. Wenn die Europäische Union bereits zur nächsten Phase übergegangen ist, zur Stufe der Privatheit, die Kontrolle über personenbezogene Daten impliziert – und alle dazu zwingt, die Ihre Daten sammeln, Ihnen eine wirksame Kontrolle darüber zu geben… Laut Umfragen in den Regionen, in den sozialen Schichten – welche der Bürgerkategorien hat die zweite Phase bereits erreicht, oder wer sitzt noch überwiegend in der ersten?

Wer macht sich am meisten um den Schutz personenbezogener Daten Sorgen?

AK: – Die überwiegende Mehrheit… Ich würde sagen: Es kümmert niemanden! Momentan sind das vor allem Spitzenmanager. In den Städten Russlands sind das Moskau und St. Petersburg. Der aktive Kern sind IT-Spezialisten, Designer, kreative Berufe, alle, die in der Lage sind, Inhalte zu filtern, neues Wissen zu erwerben und ein hohes Interesse an internationalen Problemen haben. Hauptsächlich sind das Spitzenmanager; ja, ITler (außer den Sicherheitsfachleuten); Banker – also alle, auf die ein Datenleck Einfluss haben könnte.

Wenn beispielsweise die Daten einer Hausfrau aus Kaluge gestohlen werden: Es wird in ihrem Leben kaum etwas ernsthaft verändert, wenn jemand zum Beispiel ihren Zugang zu Gmail stiehlt, wo sie ihre Serien speichert. Die Frage ist, dass das Gesetz alle gleich schützt, und das ist richtig, denn… aus rechtlicher Sicht sind alle gleich – haha… aber das Wichtigste ist, dass es unmöglich ist zu verstehen, wie viel jemandes Daten wert sind, solange diese Daten nicht fehlen – leider sehr schwer vorherzusagen. Aber im Allgemeinen gehört diese Kategorie von Bürgern dazu.

Das Telefon – in Folie!

Ich habe einmal im Leben gesehen, wie das vollständige Speichern von allem und jedem in zwei Unternehmen funktioniert. Eines ist der größte Integrator für Informationssicherheit: dort ist alles, sogar USB-Sticks, im Büro mit Kleber verklebt; und die Menschen dort sind genauso – ich traf dort einen Mann, dessen Telefon in einem Folienbeutel war. Ich erfuhr, dass es Firmen gibt, die solche speziellen Beutel verkaufen. Und das zweite Mal sah ich eine ähnliche Geschichte bei Bloomberg bei den Mitarbeitern: wir standen in der Raucherzone, und jemand wurde irgendwo fotografiert, und einer von ihnen sagte: „So, dass wir im Hintergrund nicht zu sehen sind!“ Ich dachte: „Oh, wow!“

„Lieber wir als die FSB“

Ich möchte nicht sagen, dass es weniger als ein Prozent der Bevölkerung sind, aber leider ist es der breiten Masse praktisch egal. Auf der anderen Seite habe ich einen skandalösen Dienst zur Kontrolle von Minderjährigen (den wir vor langer Zeit unter dem Slogan „Lieber wir als die FSB“ gestartet haben), um die Eltern zu warnen, bevor unser Algorithmus, der irgendwo eingestellt ist, jemanden zu ihnen schickt.

Bei der Verifizierung eines Kindes muss ein Scan des Reisepasses eingereicht werden (das ist grundsätzlich eine normale Praxis). Wir haben jedoch angegeben, dass Sie die Passnummer zuschneiden können, da diese uns nicht interessiert; wichtig sind nur Ihr Foto, das Hologramm sowie Ihr Vor- und Nachname. Praktisch 100 % der Menschen – naja, etwa 95 Reisepässe von 100 – haben die Nummern ordentlich in Photoshop weggeschnitten und nur den benötigten Teil gesendet. Das heißt, sie haben verstanden – aha, wenn das nicht notwendig ist, dann brauchen sie das auch nicht zu schicken. Meiner Meinung nach zeigt das einen echten Fortschritt, den das Misstrauen gegenüber uns angestoßen hat.

F: – Die Auswahl ist so – spezifisch. Dort sind Menschen, die sich an uns wenden, bereits fortgeschritten.

Die Menschen wollen nicht, dass sie überwacht werden, lesen aber die Vereinbarungen nicht.

AK: – Ja. Und die zweite ähnliche Sache: Wir haben Ende des Jahres einen Test gestartet, bei dem eine Dating-App (bald werden wir sie erneut starten) untersucht wurde. Es gab eine Kontrollgruppe von 100.000 Personen. Und gemäß den GDPR-Vorgaben im persönlichen Bereich gab es 15 Checkboxen – ich erteile die Erlaubnis zur Analyse der Interaktion mit der Benutzeroberfläche, zum Zugang zu meiner Demografie, zum Zugriff auf die 3D-Rekonstruktion meines Gesichts, zum Zugriff auf meine persönlichen Nachrichten und so weiter. Wir haben alle möglichen Zugriffsrechte ausführlich aufgelistet. Sogar irgendwo gibt es Statistiken, wer welche Checkboxen gesetzt hat. 98 % haben alle Checkboxen standardmäßig aktiviert gelassen (obwohl sie auf diese Seite gegangen sind und alles gesehen haben, war es ihnen egal), aber es war interessant zu analysieren, was für die weiteren 2 % prioritär war.

Alle haben die Erlaubnis zum Zugriff auf persönliche Nachrichten entzogen, und praktisch alle haben die Erlaubnis zum Zugriff auf die Daten des sexuellen Tests entfernt (was ihnen gefällt, was sie dort ausgefüllt haben, ihre Vorlieben – nur ein Scherz). Aber die Leute wurden darauf hingewiesen: Die Benutzeroberfläche sagt ihnen – lies das aufmerksam, sie haben die Möglichkeit, diese Vereinbarung bis zum Ende zu scrollen. Aber das wurde ausschließlich gemacht, weil es sich um ein Forschungsprojekt handelte, und alle wurden gewarnt. Keine Firma, einschließlich uns, wird, wenn sie diese App für die Öffentlichkeit freigibt, jemanden dazu zwingen, diese Nachricht bis zum Ende zu lesen, weil… nun, tut mir leid, so funktioniert das Ganze.

Vorausgesetzt, sie sind zu uns gekommen, wissend, womit das Unternehmen beschäftigt ist, wissend, dass sie einen Dienst betreten haben, der dir Kandidaten auf Basis dessen vorschlägt, welches Porno du magst – selbst basierend auf nur diesem Punkt haben nur 2 % diese Häkchen gelesen und überhaupt etwas gemacht. Und fast niemand von ihnen hat das Häkchen für „Zugriff auf Traffic und Daten über den Besuch anderer Webseiten“ entfernt. Hauptsächlich interessierten sich alle für persönliche Nachrichten.

Nacktfotos und Likes – interessante Gesetze der Bruderstaaten

F: – Ich habe eine Frage zum Datenschutz. Man kann das Handy in Folie wickeln, so tun als wäre es nicht da… Dann stellt sich heraus, dass man scheinbar seine Daten schützt, aber letztendlich muss man diese dem Staat übergeben, weil er das einfordert, und man kann nichts dagegen tun… Und dabei stellt sich heraus, dass alle Staatsauftragnehmer total durchlässig sind. In Weißrussland gibt es sogar so eine Regel: wenn ich die Sicherheit meiner persönlichen Daten überprüfe (ein paar Dinge ändere und Zugang zu ihnen bekomme), bin ich sofort ein Krimineller. Derselbe Paragraph wurde verwendet, um Journalist*innen im „BelTA“-Fall zu beschuldigen, unbefugten Zugang zu Daten erlangt zu haben (könnt ihr selbst nachlesen). Und die Frage lautet: sind solche Einschränkungen eine effektive Maßnahme für die Privatsphäre, allgemein für die Sicherheit persönlicher Daten?

AK: – Ich verstehe. In Weißrussland gibt es viele sehr interessante Gesetze. Ich habe kürzlich erfahren… Ich mache immer Witze über das Übertragen von Nacktfotos, aber bei euch ist das anscheinend verboten.

F: – Die Demonstration ist verboten!

AK: – Das ist irgendwie seltsam.

F: – Man kann schauen, aber nicht übertragen oder liken. Gemeinsames Anschauen ist auch nicht erlaubt!

AK: – Ich werde Ihre Frage beantworten. Ich komme zurück auf das Thema "sitzen für Likes" in Moskau. In Russland ist das das Top-Thema. Ich weiß nicht, wie es in Weißrussland ist, aber ehrlich gesagt, der Staat... Wenn man die Statistiken analysiert, sind in Moskau 95 von 100 Verhaftungen wegen Likes solche, bei denen Menschen andere angeschwärzt haben, oder jemand schreibt an die Staatsanwaltschaft gegen eine andere Person. Der Staat erhebt solche Anklagen sehr selten. Mir scheint, dieses Gesetz ist absolut absurd. Ich kenne keinen einzigen echten Verbrecher, der deswegen verhaftet wurde. Aber diese Maßnahme wird verwendet, um irgendetwas gegen eine Person zu erheben. Ich finde, das ist sehr seltsam. Ich denke, dass es irgendwann abgeschafft wird.

F: – Das nennt man unter einer Glocke halten.

AK: – Nun ja, ich kann es nicht genau sagen. Ich bin nicht unbedingt ein staatliches Ungeheuer, aber meine Wahrnehmung hat sich durch die Menschen, die zu uns kommen und sagen: „Mein Kind ist verschwunden, bitte helfen Sie mir, es zu finden“, ein wenig verändert. Ich sage dann: „Ich kann nichts ohne die Genehmigung des Gerichts tun.“ Du siehst diese Eltern, die alles in ihrem Leben geben würden, jede Datenzugriffsberechtigung gewähren würden – nur um ihr Problem gelöst zu bekommen. Daher fällt es mir sehr schwer, eine derartige Diskussion zu führen: Auf der einen Seite denke ich, dass der Staat die richtigen Dinge tut, wenn er reale Menschen aufspürt, auf der anderen Seite ist es jedoch eine furchtbare Geschichte, unbegrenzten Zugang zu gewähren.

Ich komme zurück auf deine Sache, „sorry“, dass ich abgelenkt habe. Ich glaube überhaupt nicht an Folientaschen. Es ist irgendwie absurd, ein Mobiltelefon zu haben und es in Folie zu wickeln. Wozu das Ganze? Damit das Telefon sich nicht mit dem „WLAN“ verbindet? Es ist einfacher, es auszuschalten. Damit der Mobilfunkanbieter dich nicht identifizieren kann? Sie können das Signal trotzdem triangulieren und irgendwie zählen. Für mich sind die einzigen effektiven Sicherheitsmaßnahmen ein sicheres Speichersystem, wie ein lokales Netzwerk – vielleicht in der Wohnung, wo man etwas aufbewahren kann.

F: - Hier ist die Frage nach der Gesetzgebung. Ist die Gesetzgebung repressiv gegenüber jemandem, der seine Daten überprüfen möchte?

AK: – Ich verstehe, ja. Ich hatte sogar keine Ahnung von dieser Sache, deshalb kann ich Ihnen nicht genau sagen. In Russland gibt es so etwas nicht, dort ist alles sehr kompliziert. Man könnte vielleicht mit qualifizierten Juristen konsultieren, und vielleicht gibt es einen Schlupfloch – vielleicht kann man vor ein europäisches Gericht gehen ... Nein? Dazu kann ich Ihnen nichts sagen. Mein Wissen im Recht ist oberflächlich, auf dem Niveau eines Unternehmensleiters. Ich weiß, was man nicht tun sollte, damit dir niemand etwas sagt. Das ist natürlich sehr traurig.

F: – Ich wollte damit sagen, dass es in anderen Ländern (zum Beispiel in den USA) eine gängige Praxis ist, dass du einige Schwachstellen testen kannst, und dann darüber berichtest, aber nicht veröffentlichen.

AK: – Ja, "Bug Bounty". Ich verstehe, so etwas gibt es.

F: – Und Unternehmen haben keine Mechanismen, um dich auszuschließen, weil das günstiger ist.

AK: – Diese Sache berührt auch die gesetzliche Ebene. Es kommt darauf an, wie Sie diese Sicherheitslücke finden. Ich glaube, dass ein großer Teil des Geldes, das für diese Sicherheitslücke in Amerika bezahlt wurde, unter einer Geheimhaltungsvereinbarung und unter Androhung von Klagen an diese Person gezahlt wurde. Auch hier halte ich mich nicht für den Richter. Wir riskieren immer solche Dinge. Meine Mitarbeiter haben ein paar Mal ähnliche Lücken in verschiedenen staatlichen Anwendungen gefunden – ich sage immer: 'Schickt lieber einen anonymen Brief, als ihnen zu sagen, dass es dort ein Problem gibt.' Und dann kommt irgendein Institut, das diesen Service bereitgestellt hat... Ich werde nicht weiterreden.

Es ist nicht möglich, ein Unternehmen auf Ehrlichkeit zu überprüfen: Wenn es dir nicht gefällt, nutze es nicht.

F: – Eine Frage. Sie sagten, dass Sie einen Test durchgeführt haben – man musste 15 Häkchen setzen... Angenommen, der Benutzer hebt alle Häkchen auf. Wer und wie wird das kontrollieren? Wie kann man das überhaupt überprüfen?

AK: – Ehrlich gesagt: niemand und auf keine Weise. Im Ernst. Dass Sie bei „Google“ das Kästchen für „Werbe-Tracking deaktivieren“ angeklickt oder abgewählt haben, bedeutet überhaupt nichts. Leider indizieren Suchmaschinen selbst dann, wenn Sie bei „VKontakte“ das Indizieren durch Suchmaschinen verbieten. Diese Ergebnisse werden einfach bestimmten Personen nicht angezeigt. Das liegt alles an einem Mangel an kompetenten Behörden, die das überprüfen können. Zudem sind die Unternehmen, die das tun, privat. Facebook hat eine klare Position: Gefällt Ihnen das nicht, nutzen Sie es nicht.

Zur Regulierung

F: – Ich habe nur eine einfache Frage. Wie stehen Sie zur Regulierung in der Datenverarbeitung, zur Selbstregulierung?

AK: – Ich glaube als Vertreter des Unternehmens, dass der Markt und die Wirtschaft Selbstregulierung brauchen. Ich glaube, dass die Vereinigung großer Daten dies selbst ohne staatliche Einmischung regeln kann. Ich habe sehr wenig Vertrauen in staatliche Regelungen und in all die Geschichten, bei denen der Staat etwas für sich aufbewahren möchte, denn jeder Fall hat gezeigt, dass das sehr schlecht ist. Irgendjemand wird mit Sicherheit seinen Benutzernamen und sein Passwort auf einen gelben Zettel am Monitor kleben, und so weiter.

Insgesamt glaube ich an Selbstregulierung. Außerdem bin ich überzeugt, dass wir in den nächsten 5 Jahren zu einer gewissen Offenheit kommen werden. Selbst jetzt sieht man das bereits an den Nachrichtenereignissen, dass es dem Staat sehr schwerfällt, den Nutzern zu lügen, und den Nutzern fällt es sehr schwer, das System zu belügen. Das ist im Grunde genommen vielleicht etwas Gutes. Schließlich können unsere Mitarbeiter in den Geheimdiensten aufgrund öffentlicher Fotos identifiziert werden.
All das führt wahrscheinlich zu einem Rückgang der Kriminalitätsrate. Nun, rein mathematisch gesehen. Wenn es jemanden interessiert, über den Rückgang der Kriminalität zu sprechen, gibt es viele verschiedene Schlussfolgerungen, die man ziehen kann. Im Allgemeinen bin ich für die Selbstregulierung des Marktes. Vielen Dank!

Ein wenig Werbung 🙂

Danke, dass Sie bei uns bleiben. Gefallen Ihnen unsere Artikel? Möchten Sie mehr interessante Inhalte sehen? Unterstützen Sie uns, indem Sie eine Bestellung aufgeben oder uns Ihren Freunden empfehlen. Cloud-VPS für Entwickler ab 4,99 $, eine einzigartige Alternative zu Einsteiger-Servern, die wir für Sie entwickelt haben: Alles über VPS (KVM) E5-2697 v3 (6 Kerne) 10GB DDR4 480GB SSD 1Gbps ab 19 $ oder wie man einen Server richtig teilt? (Verfügbar sind Optionen mit RAID1 und RAID10, bis zu 24 Kerne und bis zu 40GB DDR4).

Dell R730xd im Equinix Tier IV Rechenzentrum in Amsterdam zum halben Preis? Nur bei uns 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TB ab 199 $ in den Niederlanden! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — ab 99 $! Lesen Sie darüber Wie man eine Unternehmenskosten-Infrastruktur mit Dell R730xd E5-2650 v4-Servern für ein paar Euro aufbaut?

Quelle: habr.com