Glossar · Glossar · Risiken
Re-Identifizierung: wie „anonyme“ Daten wieder auf Menschen zeigen
Anonimatum-Team
Kurz gesagt
Re-Identifizierung bedeutet, Daten, die als anonym oder pseudonymisiert galten, wieder einer bestimmten Person zuzuordnen, meist durch Abgleich mit anderen Quellen über Quasi-Identifikatoren oder Kontext.
Von Re-Identifizierung spricht man, wenn jemand herausfindet, zu wem als anonym veröffentlichte oder weitergegebene Daten gehören. Ein Name ist dafür nicht nötig: Eine Kombination aus Merkmalen wie Alter, Wohnort, Beruf oder einem Datum kann auf eine einzige Person zeigen und mit einer anderen Quelle abgeglichen werden.
Dieses Risiko entscheidet darüber, ob Daten wirklich anonymisiert sind. Nach Erwägungsgrund 26 DSGVO fallen anonyme Informationen nicht unter die Verordnung; zu berücksichtigen sind aber alle Mittel, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden, einschließlich Kosten, Zeitaufwand und verfügbarer Technologie.
Quasi-Identifikatoren und Verknüpfungsangriffe
Ein Verknüpfungsangriff (Linkage Attack) führt eine „anonymisierte“ Datei mit einer namentlichen Datei zusammen, die einige Felder gemeinsam hat. Enthalten beide Geburtsdatum, Geschlecht und Postleitzahl, genügt es, übereinstimmende Zeilen zu verbinden. Solche Felder, die einzeln harmlos, zusammen aber identifizierend sind, heißen Quasi-Identifikatoren; gegen sie richten sich Verfahren wie die K-Anonymität.
Zwei veröffentlichte Studien zeigen das Ausmaß:
- Sweeney (2000) schätzte anhand von US-Volkszählungsdaten von 1990, dass rund 87 % der US-Bevölkerung allein über drei Merkmale wahrscheinlich eindeutig sind: fünfstellige ZIP-Postleitzahl, Geschlecht und vollständiges Geburtsdatum.
- Rocher, Hendrickx und de Montjoye (2019) entwickelten in Nature Communications ein statistisches Modell, nach dem 99,98 % der US-Amerikanerinnen und -Amerikaner in jedem Datensatz mit 15 demografischen Merkmalen korrekt re-identifiziert würden, selbst wenn nur eine Stichprobe veröffentlicht wird.
Die Lehre daraus: Anonymisierung ist nicht unmöglich, aber das Streichen des Namens reicht fast nie.
Herausgreifen, Verknüpfbarkeit, Inferenz
Die Artikel-29-Datenschutzgruppe hat in ihrer Stellungnahme 05/2014 drei Prüffragen für jedes Anonymisierungsverfahren formuliert. Sie sind bis heute Maßstab der europäischen Aufsichtsbehörden:
- Herausgreifen (Singling out): Lässt sich der Datensatz einer Person isolieren? Die einzige Akte einer 61-jährigen Frau in einem kleinen Dorf ist herausgegriffen, auch ohne Namen.
- Verknüpfbarkeit: Lassen sich mindestens zwei Datensätze derselben Person verbinden, in einem oder über mehrere Datensätze hinweg? Eine stabile Pseudonym-ID über mehrere Veröffentlichungen ermöglicht das.
- Inferenz: Lässt sich der Wert eines Merkmals mit erheblicher Wahrscheinlichkeit aus anderen ableiten? Haben alle Beschäftigten einer Abteilung dieselbe Maßnahme erhalten, ist sie für jeden bekannt.
Was Personen in Dokumenten verrät
In Urteilen, Gutachten, Protokollen oder E-Mails steckt das Risiko nicht in Spalten, sondern im Text und in der Datei selbst. Typische Versäumnisse:
| Hinweis | Fiktives Beispiel | Maßnahme |
|---|---|---|
| Kontext und einmalige Funktionen | „die Leiterin der einzigen Grundschule im Ort“ | Verallgemeinern: „eine Schulleitung“ |
| Seltene Ereignisse | Zusammenstoß mit einem Feuerwehrfahrzeug am 3. März | Datum und Besonderheit entfernen oder vergröbern |
| Unterschriften und Stempel | Eingescannte Unterschrift und Stempel mit Kammernummer | Unterschrift, Stempel und Prüf-QR-Codes schwärzen |
| Metadaten | PDF-Autor und interner Titel mit Patientennamen | Metadaten vor der Weitergabe entfernen |
| Scheinschwärzung | Schwarzer Balken über weiterhin kopierbarem Text | Schwärzung verwenden, die den Text darunter löscht |
Metadaten verdienen besondere Aufmerksamkeit: Autor, Organisation, Versionsverlauf, Kommentare und Dateinamen reisen mit dem Dokument, obwohl sie am Bildschirm niemand sieht. Dasselbe gilt für verborgene OCR-Textebenen in gescannten PDFs.
Re-Identifizierungsrisiko senken
- Klären, wer eine Re-Identifizierung versuchen könnte (Nachbarn, Presse, Arbeitgeber) und über welches Zusatzwissen diese Personen verfügen.
- Erst direkte Identifikatoren entfernen, dann den Kontext prüfen: Funktionen, Daten, Orte und einmalige Ereignisse.
- Sicherstellen, dass die Schwärzung unumkehrbar ist und unter den Balken kein Text verbleibt.
- Metadaten, Kommentare und Änderungsverfolgung bereinigen.
- Bei regelmäßigen Veröffentlichungen keine stabilen Kennungen oder Pseudonyme verwenden, die Ausgaben miteinander verknüpfen.
Mit Anonimatum können Sie ein PDF anonymisieren, ebenso Word-Dateien oder E-Mails mit Anhängen: KI und Muster erkennen Namen, Daten, Adressen, Beträge, digitale Signaturen und Stempel sowie QR-Codes; Sie prüfen jeden Vorschlag und wenden eine unumkehrbare Schwärzung an. Außerdem lassen sich PDF-Metadaten entfernen. Die Prüfung des Kontexts bleibt eine menschliche Aufgabe.
Häufige Fragen
Ist Re-Identifizierung dasselbe wie De-Anonymisierung?
In der Praxis werden beide Begriffe synonym verwendet: Gemeint ist die erneute Zuordnung angeblich anonymer Daten zu einer identifizierten oder identifizierbaren Person.
Können pseudonymisierte Daten re-identifiziert werden?
Ja, das ist so angelegt: Wer die Zuordnungstabelle besitzt, kann sie zurückführen, und sie lassen sich mit anderen Quellen abgleichen. Deshalb bleiben sie nach DSGVO personenbezogene Daten.
Genügt es, in einem Urteil Namen und Aktenzeichen zu schwärzen?
Meist nicht. Berufe, Verwandtschaftsverhältnisse, Orte und Daten können auf die Person verweisen. Prüfen Sie den gesamten Text und die Metadaten der Datei.
Verändert sich das Risiko mit der Zeit?
Ja. Neue öffentliche Quellen entstehen und Abgleichtechniken werden besser. Veröffentlichte Datensätze sollten daher regelmäßig neu bewertet werden.
Finden Sie, was Personen in Ihren Dokumenten verrät
Tarife ansehen und loslegen: Identifikatoren per KI erkennen, jeden Treffer prüfen, unumkehrbar schwärzen und Metadaten entfernen.