Privacy ist nicht Security: Die Tech-Englisch-Falle, auf die es ankommt

Eine App verkündet stolz "Your data is secure", und Sie entspannen sich und denken: "Super, dann ist es auch private." Doch das sind zwei verschiedene Versprechen. Eine Firma kann Ihre Daten hinter starken Mauern einschließen (security) und sie trotzdem mit Dutzenden anderer Firmen teilen (keine privacy). Beide Wörter fühlen sich wie dieselbe warme Beruhigung an, und genau deshalb werden sie zusammengeworfen.

Diese Wörter richtig zu verwenden ist nicht bloß pedantisch. Der Unterschied entscheidet, ob "we protect your data" tatsächlich "wir verkaufen es nicht" heißt oder nur "Außenstehende können nicht einbrechen". Das sind sehr verschiedene Versprechen.

Hier eine einfache Art, sie für den Rest Ihres Lebens auseinanderzuhalten: security geht um die Tür, privacy um die Gästeliste. Security fragt: "Können die Falschen hereinkommen?" Privacy fragt: "Was dürfen die Erlaubten mit dem tun, was sie sehen?" Zwei verschiedene Fragen, zwei verschiedene Antworten, und eine Firma kann die eine bestehen und bei der anderen durchfallen.

Schnelle Antwort

Security geht um Schutz vor Angriffen und unbefugtem Zugriff: Eindringlinge draußen halten. Privacy geht darum, wer Ihre Daten sehen oder nutzen darf und zu welchem Zweck, einschließlich der Firma selbst. Sie können gleichzeitig starke security und schwache privacy haben. Security bewacht die Tür; privacy entscheidet, wer hineingebeten wird und was er mit dem tun darf, was er findet.

Schlüsselwörter

• Security. Schutz vor Angriffen, Diebstahl und unbefugtem Zugriff. Schlösser, Passwörter, Abwehr. Die Frage, die es beantwortet: Können die Falschen hereinkommen?
• Privacy. Kontrolle darüber, wer Ihre Informationen sieht oder nutzt und warum, einschließlich der Leute, die sie rechtmäßig halten. Die Frage: Wer darf hinsehen, und was darf er damit tun?
• Confidential. Gemeint zum Teilen nur mit bestimmten, befugten Personen. Ein confidential document ist nicht für jedermanns Augen.
• Anonymous. Ohne angehängten Namen; keine Identität preisgegeben. Sie können nicht mit den Daten verknüpft werden.
• Encrypted. So verschlüsselt, dass nur jemand mit dem richtigen Schlüssel es lesen kann. Schutz bei Übertragung oder Speicherung.
• Personal data. Informationen, die sich auf eine identifizierbare Person beziehen. Privacy-Regeln kümmern sich meist am meisten um diese Kategorie, weil sie zu jemandem zurückverfolgt werden kann.
• Consent. Ihre Zustimmung, dass Daten auf eine bestimmte Weise genutzt werden. Eine Privacy-Idee: Es geht um Erlaubnis, nicht um Schutz. Starke security ohne consent ist immer noch ein Privacy-Problem.

Häufige Fallen

Eine häufige Falle ist, privacy und security als Synonyme zu behandeln. Sie überschneiden sich, aber sie beantworten verschiedene Fragen. Security hält Unbefugte draußen. Privacy kontrolliert, was Befugte, einschließlich der Firma selbst, mit Ihren Daten tun dürfen. Ein Dienst kann hochsicher sein und trotzdem Ihre Informationen an Werbetreibende weitergeben. Das ist gute security und schlechte privacy. Das Umgekehrte kann auch passieren: Ein Dienst verspricht vielleicht, Ihre Daten nicht zu teilen (gute Privacy-Absichten), schützt sie aber schwach (schlechte security).

Wenn ein Produkt also sagt "we keep your data secure", achten Sie darauf, was es nicht sagt. Es schweigt darüber, ob die Firma selbst Ihre Daten nutzt oder teilt. "Secure" ist kein Privacy-Versprechen.

Confidential wird mit beiden verwechselt. Confidential heißt "nur mit befugten Personen teilen". Es ist näher an privacy (wer es sehen darf), aber um Beschränkung herum gerahmt. Etwas "confidential" zu nennen sagt nichts darüber, wie gut es technisch geschützt ist.

Anonymous wird weithin überreizt. Viele nehmen an, "anonymous" heiße "für immer völlig unauffindbar". In der Praxis können angeblich anonyme Daten manchmal wieder mit einer Person verknüpft werden, wenn man sie mit anderen Informationen kombiniert. "Anonymous" und "private" sind nicht dasselbe: anonymous heißt, kein Name ist angehängt; private heißt, der Zugriff ist kontrolliert. Sie können Daten mit Ihrem Namen haben, die privat gehalten werden, und Daten ohne Namen, die weithin geteilt werden.

Die gefährlichste Falle ist die Annahme, encrypted heiße automatisch private. Verschlüsselung verwürfelt Daten, sodass Außenstehende sie ohne Schlüssel nicht lesen können – das ist eine Sicherheitsmaßnahme. Doch die Firma, die den Schlüssel hält, kann es oft trotzdem lesen, nutzen und teilen. "Encrypted" sagt Ihnen etwas über Schutz vor Außenstehenden, nicht darüber, was die Firma selbst mit dem Inhalt tut. Verschlüsselung ist wunderbar, aber für sich allein keine Privacy-Garantie.

Das Wort consent ist der Punkt, an dem viele zu früh aufhören zu denken. Sie nehmen an, wenn Daten gut geschützt sind, seien ihre Wünsche respektiert worden. Doch Schutz und Erlaubnis sind getrennt. Ein Dienst kann Ihre Daten makellos bewachen und sie trotzdem auf Weisen nutzen, denen Sie nie zugestimmt haben. "We keep it safe" ist nicht dasselbe wie "wir nutzen es nur so, wie Sie es erlaubt haben". Wenn Sie starke Versprechen über Sicherheit sehen, suchen Sie getrennt nach Versprechen über consent: Wozu genau haben Sie zugestimmt, und zu welchem Zweck?

Es hilft, bei jeder beruhigenden Behauptung einen kurzen Gedankentest zu machen. Fragen Sie: Geht es in diesem Satz darum, Eindringlinge draußen zu halten, oder darum, was Insider tun dürfen? "Encrypted", "secure" und "protected" beantworten fast immer das Erste. "We don't sell your data", "only with your consent" und "we delete it after thirty days" beantworten das Zweite. Ein vertrauenswürdiges Versprechen braucht meist beide Hälften. Wenn eine Aussage immer nur von Schlössern und nie von Nutzung spricht, ist dieses Schweigen die Botschaft.

Natürlich vs. Holprig

Holprig: Your data is secure, so of course it's completely private.

Natürlich: Your data is secure from outsiders; how we use it is a separate question.

Weniger natürlich: It's encrypted, which means no one, including the company, can ever use it.

Besser: It's encrypted, so outsiders can't read it, though the company may still access it.

Holprig: This is anonymous, so it can never be traced to anyone.

Natürlich: This is anonymous, meaning no name is attached, though it might still be re-linked in some cases.

Holprig: We keep your messages confidential, so they're technically unbreakable.

Natürlich: We keep your messages confidential, meaning only authorized people may see them.

Weniger natürlich: We protect your data, so we'd never use it without asking.

Besser: We protect your data, and we only use it with your consent.

Die "bessere" Version fügt die fehlende Hälfte hinzu: Schutz (security) und Erlaubnis (consent und privacy) werden beide genannt, sodass das Versprechen vollständig statt halb erzählt ist.

Mini-Tabelle

Schnelle Übung

Benennen Sie für jede Aussage die Lücke (was sie NICHT verspricht). Antworten folgen.

1. "Your data is secure." What is left unsaid?
2. "It's encrypted." What might still happen?
3. "This survey is anonymous." What is the caution?
4. "These files are confidential." What does this not tell you?
5. "We protect your privacy." What does this not by itself promise?

Mögliche Antworten:

1. Es sagt nichts darüber, ob die Firma Ihre Daten nutzt oder teilt (privacy).
2. Die Firma, die den Schlüssel hält, kann es trotzdem lesen, nutzen oder teilen.
3. Es kann trotzdem wieder mit Personen verknüpft werden, wenn man es mit anderen Daten kombiniert.
4. Es sagt nicht, wie stark die Dateien technisch geschützt sind.
5. Es garantiert keinen starken Schutz vor Angreifern von außen (security).

Fazit

Privacy und security fühlen sich wie dasselbe beruhigende Versprechen an, doch sie bewachen Verschiedenes. Security hält Eindringlinge draußen; privacy kontrolliert, was die Insider, einschließlich der Firma, mit Ihren Daten tun dürfen. Verschlüsselung ist ein Schloss gegen Außenstehende, kein Schwur auf privacy. Anonymous heißt kein Name, nicht unauffindbar. Wenn Sie eine beruhigende Zeile wie "secure and protected" lesen, fragen Sie, welches Versprechen tatsächlich gemacht wird und welches leise fehlt. Diese eine Gewohnheit macht Sie zu einem klareren Leser von Tech-Texten und zu jemandem, der schwerer in die Irre zu führen ist.