K-Anonymität verständlich erklärt: Prinzip, Beispiel und Grenzen

Direkte Identifikatoren und Quasi-Identifikatoren

Ein direkter Identifikator bezeichnet eine Person für sich allein: Vor- und Nachname, Steuer-ID, Versichertennummer, Patientennummer, E-Mail-Adresse. Ein Quasi-Identifikator identifiziert niemanden isoliert, wohl aber in Kombination: Geburtsdatum, Postleitzahl, Geschlecht, Beruf, Staatsangehörigkeit, Aufnahmedatum im Krankenhaus. Das Entfernen direkter Identifikatoren macht eine Tabelle nicht anonym, wenn Quasi-Identifikatoren bleiben, die sich mit einer anderen Quelle abgleichen lassen, etwa mit einem Berufsprofil oder einem Lokalzeitungsartikel. Dieser Abgleich ist der Kern der Re-Identifizierung.

Die übrigen Spalten sind meist sensible Attribute (Diagnose, Gehalt, Disziplinarmaßnahme): genau das, was ausgewertet werden soll, und genau das, was niemandem zugeordnet werden darf.

So entsteht K-Anonymität: Generalisierung und Unterdrückung

• Generalisierung: Ein Wert wird durch einen ungenaueren ersetzt. Alter 34 wird zu „30–39“, die PLZ 80331 zu „80***“, das vollständige Geburtsdatum zum Geburtsjahr.
• Unterdrückung: Werte oder ganze Zeilen, die nach der Generalisierung noch einzigartig sind, werden entfernt, etwa die einzige 97-jährige Patientin einer kleinen Gemeinde.
• Wahl von k: Kein Gesetz schreibt einen Wert vor. Ein höheres k senkt das Risiko, kostet aber Detailgenauigkeit; entscheidend ist, wo die Daten veröffentlicht werden und wer Zugriff hat.

Beispiel mit einer fiktiven Tabelle

Ausgangspunkt sind vier fiktive Patientinnen und Patienten mit Name, PLZ, Alter, Geschlecht und Diagnose. Die Namen werden gestrichen, PLZ und Alter generalisiert, das Geschlecht unterdrückt. Das Ergebnis ist 2-anonym: Jede Kombination der Quasi-Identifikatoren kommt zweimal vor.

Die letzten beiden Zeilen zeigen das Problem: Welche davon Ihre 45-jährige Nachbarin aus Köln ist, lässt sich nicht sagen, wohl aber, dass sie Diabetes hat, denn beide Zeilen teilen dieselbe Diagnose. Das ist der Homogenitätsangriff; K-Anonymität allein verhindert also keine Offenlegung.

l-Diversität und t-Closeness

Um diese Lücke zu schließen, wurden zwei Erweiterungen vorgeschlagen. l-Diversität (Machanavajjhala u. a., 2006) verlangt, dass jede Gruppe gleichwertiger Zeilen mindestens l gut vertretene Werte des sensiblen Attributs enthält. t-Closeness (Li, Li und Venkatasubramanian, 2007) geht weiter: Die Verteilung des sensiblen Attributs in jeder Gruppe darf höchstens um einen Schwellenwert t von der Verteilung in der Gesamttabelle abweichen.

Die Artikel-29-Datenschutzgruppe ordnet in ihrer Stellungnahme 05/2014 zu Anonymisierungstechniken alle drei Ansätze der Generalisierung zu und hält fest, dass keiner unfehlbar ist: Sie verringern das Risiko des Herausgreifens, lassen aber unter Umständen Inferenzen oder Verknüpfungen zu. Auch das Positionspapier des BfDI zur Anonymisierung betont, dass Anonymität stets im Einzelfall und mit Blick auf Zusatzwissen zu bewerten ist.

Grenzen der K-Anonymität

• Sie hängt von der Liste der Quasi-Identifikatoren ab. Kennt ein Angreifer eine nicht bedachte Angabe, etwa den Beruf oder das genaue Unfalldatum, ist die Garantie dahin.
• Sie verschlechtert sich mit vielen Spalten. Bei Dutzenden Attributen erfordert die Bildung von k-Gruppen so viel Generalisierung, dass die Daten kaum noch nutzbar sind.
• Sie schützt nicht vor wiederholten Veröffentlichungen. Zwei k-anonyme Fassungen derselben Datenbank lassen sich miteinander abgleichen.
• Sie ist kein Rechtsmaßstab. Die DSGVO erwähnt K-Anonymität nicht; Erwägungsgrund 26 verlangt, alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden.

Tabellen und Fließtextdokumente

K-Anonymität wurde für Datenbanken und Tabellen mit einheitlichen Spalten entwickelt. Bei einer Patientenliste oder einem Aktenregister ist das Denken in Äquivalenzklassen sinnvoll: Excel-Dateien spaltenweise anonymisieren und anschließend prüfen, welche Kombinationen noch eindeutig sind.

Ein Urteil, ein Arztbrief oder eine E-Mail sind etwas anderes: keine Spalten, die identifizierenden Angaben stecken im Text. Entscheidend ist, direkte Identifikatoren (Namen, Ausweisnummern, Anschriften, Telefonnummern, Kfz-Kennzeichen) zu finden und zu entfernen und danach den Kontext zu prüfen: einmalige Funktionen, sehr genaue Daten, seltene Ereignisse oder Querverweise, die eine Person trotz geschwärztem Namen verraten. Eine anonymisierte Krankenakte, in der noch „die einzige Chirurgin des Kreiskrankenhauses“ steht, verweist weiterhin auf jemanden.

Anonimatum ist für diesen zweiten Fall gemacht: Es erkennt mit KI und Mustern Namen, Daten, Adressen, Beträge und Ausweisnummern in PDF, Word, Excel und weiteren Formaten und lässt Sie jeden Vorschlag prüfen, bevor die Schwärzung unumkehrbar angewendet wird. Welche Kontextangabe weg muss, bleibt eine menschliche Entscheidung; das Werkzeug übernimmt die mechanische Arbeit.