Leitfaden · Anleitung · Tabellen
Excel-Tabellen so anonymisieren, dass sich niemand rekonstruieren lässt
Anonimatum-Team
Kurz gesagt
Eine Excel-Tabelle zu anonymisieren heißt: für jede Spalte entscheiden (behalten, schwärzen, ersetzen, pseudonymisieren), ausgeblendete Blätter, Formeln und Pivot-Tabellen bereinigen und prüfen, dass keine Spaltenkombination eine Person erkennbar macht.
Tabellen sind das bequemste Format für die Arbeit mit personenbezogenen Daten und das tückischste, wenn sie weitergegeben werden. In einem Word-Dokument taucht ein Name ein- oder zweimal auf; in einer Personalliste steht er in jeder Zeile, neben Steuer-ID, Geburtsdatum, Postleitzahl und Gehalt. Wer eine Spalte oder ein ausgeblendetes Blatt übersieht, gibt eine „anonymisierte“ Datei heraus, die weiterhin die ganze Belegschaft identifiziert.
Diese Anleitung zeigt, wie Sie eine Tabelle Spalte für Spalte behandeln, welche verborgenen Elemente Sie prüfen müssen (Blätter, Zeilen, Formeln, Pivot-Caches), warum das Entfernen von Namen bei Tabellendaten nicht reicht und wie Sie beim Pseudonymisieren konsistent bleiben. Das Beispiel ist fiktiv: eine Personalliste mit den Spalten Name, Steuer-ID (12 345 678 901), Geburtsdatum, PLZ, Funktion, Gehalt und Bemerkungen.
Schritt für Schritt
Kopie anlegen, Verborgenes einblenden
Arbeiten Sie an einer Kopie, blenden Sie alle Blätter, Zeilen und Spalten ein, entfernen Sie Filter und suchen Sie Pivot-Tabellen, Diagramme und externe Verknüpfungen.
Unnötiges löschen
Entfernen Sie Spalten und Blätter, die der Empfänger nicht braucht, und fügen Sie Pivot-Tabellen und Formeln, die von zu entfernenden Daten abhängen, als Werte ein.
Spalten einordnen
Kennzeichnen Sie jede Spalte als direkten Identifikator, Quasi-Identifikator, Analysedaten oder Freitext.
Behandlung je Spalte wählen
Laden Sie die .xlsx-, .xls-, .ods- oder .csv-Datei in Anonimatum hoch, prüfen Sie den vorgeschlagenen Typ jeder Spalte und wählen Sie behalten, schwärzen, ersetzen, pseudonymisieren oder im Text erkennen.
Konsistenz sichern
Werden Blätter oder Dateien verknüpft, pseudonymisieren Sie Schlüsselspalten mit derselben Zuordnungstabelle, damit jede Person immer denselben Ersatzwert erhält.
Spaltenkombination testen
Prüfen Sie, dass keine Kombination von Quasi-Identifikatoren auf eine einzelne Person zeigt; bei Bedarf vergröbern oder zusammenfassen.
Ergebnis kontrollieren
Öffnen Sie die Enddatei, suchen Sie nach Steuer-IDs und Nachnamen aus dem Original, prüfen Sie Kommentare und Eigenschaften und führen Sie die Dokumentprüfung aus.
Direkte Identifikatoren und Quasi-Identifikatoren
Bei Tabellendaten lohnt es sich, zwei Arten von Spalten zu unterscheiden. Direkte Identifikatoren (Name, Steuer-ID, Sozialversicherungsnummer, E-Mail, Telefon, IBAN) bezeichnen eine Person für sich allein und sollten fast immer entfernt oder ersetzt werden. Quasi-Identifikatoren (Geburtsdatum, PLZ, Funktion, Geschlecht, Eintrittsdatum) wirken einzeln harmlos, können aber zusammen eine einzige Zeile herausgreifen: In einer kleinen Gemeinde ist „Sachgebietsleiterin, Jahrgang 1971, PLZ 9XXXX“ womöglich genau eine Person.
Dazu kommt eine dritte, oft vergessene Kategorie: Freitextspalten wie Bemerkungen, Grund oder Kommentar, in denen alles stehen kann, vom Namen eines Angehörigen bis zu einer Diagnose. Solche Zellen lassen sich nicht wie ein einzelner Wert behandeln; die personenbezogenen Daten darin müssen erkannt werden.
Für jede Spalte entscheiden
| Spalte | Typ | Empfohlene Behandlung |
|---|---|---|
| Name | Direkter Identifikator | Schwärzen oder pseudonymisieren, wenn mit anderen Blättern verknüpft wird |
| Steuer-ID | Direkter Identifikator | Schwärzen oder durch konsistenten fiktiven Wert ersetzen |
| Geburtsdatum | Quasi-Identifikator | Auf Jahr oder Altersgruppe vergröbern oder ersetzen |
| PLZ | Quasi-Identifikator | Auf die ersten Ziffern bzw. die Region kürzen oder streichen |
| Funktion | Quasi-Identifikator | Behalten, wenn nötig; seltene Funktionen zusammenfassen |
| Gehalt | Analysedaten | Behalten oder in Spannen runden, wenn die Funktion einmalig ist |
| Bemerkungen | Freitext | Personenbezogene Daten im Text erkennen |
Die Frage ist bei jeder Spalte dieselbe: Braucht der Empfänger sie? Wenn nicht, wird sie gelöscht. Braucht er sie zum Verknüpfen, aber nicht, um zu wissen, wer wer ist, wird sie pseudonymisiert. Braucht er sie unverändert und sie identifiziert niemanden, bleibt sie. Der Grundsatz der Datenminimierung klärt die meisten Fragen, bevor es um Techniken geht.
Was man in einer Tabelle nicht sieht
- Ausgeblendete und sehr ausgeblendete Blätter. Ein ausgeblendetes Blatt fehlt in den Registerkarten, seine Daten stehen aber in der Datei; per VBA „sehr ausgeblendete“ Blätter erscheinen nicht einmal unter Einblenden.
- Ausgeblendete oder gefilterte Zeilen und Spalten. Wer die Spalte Steuer-ID ausblendet oder Zeilen filtert, löscht nichts.
- Formeln. Eine Zelle kann eine Summe zeigen und dabei auf ein ausgeblendetes Blatt voller Namen verweisen oder auf eine externe Arbeitsmappe, deren Pfad Ordner- oder Benutzernamen verrät.
- Pivot-Caches. Eine Pivot-Tabelle speichert eine Kopie ihrer Quelldaten; selbst wenn das Quellblatt gelöscht ist, kann ein Doppelklick auf einen Wert die Detailzeilen wiederherstellen.
- Kommentare, Notizen und Eigenschaften der Mappe mit Autoren, Daten und Pfaden.
- Diagramme und definierte Namen, die auf Bereiche mit Personendaten zeigen.
Die Dokumentprüfung von Excel findet ausgeblendete Blätter, Zeilen und Spalten, Kommentare und Eigenschaften, entscheidet aber nicht, was mit jeder sichtbaren Spalte geschehen soll. Pivot-Tabellen fügen Sie vor der Weitergabe am sichersten als Werte ein oder löschen sie; Formeln, die von zu entfernenden Daten abhängen, ebenfalls als Werte einfügen.
Namen löschen reicht nicht: das Re-Identifizierungsrisiko
Bei Tabellendaten liegt das Risiko nicht in einer Zelle, sondern in der Kombination von Spalten. Die k-Anonymität misst genau das: Ein Datensatz ist k-anonym, wenn jede Kombination von Quasi-Identifikatoren in mindestens k Zeilen vorkommt. Die Stellungnahme der Artikel-29-Datenschutzgruppe zu Anonymisierungstechniken beschreibt sie als ein Mittel zur Risikosteuerung, nicht als absolute Garantie: Teilen alle k Zeilen denselben sensiblen Wert, ist dieser trotzdem offengelegt.
In der Praxis heißt das: vergröbern (Jahr statt Datum, Region statt vollständiger PLZ), seltene Kategorien zusammenfassen, Einzelzeilen unterdrücken, wenn sie nichts beitragen, und das Risiko vor einer Veröffentlichung bewerten, etwa bei Open Data. Ein Werkzeug kann Spalten schwärzen oder ersetzen; ob das Ergebnis anonym ist, hängt von Kontext und Empfänger ab.
Konsistent pseudonymisieren
Muss der Empfänger dieselbe Person über Zeilen, Blätter oder Dateien hinweg verfolgen (etwa die Lohnabrechnungen von Januar und Februar), muss die Ersetzung konsistent sein: dieselbe Steuer-ID wird immer zum selben Ersatzwert. Dient diese Spalte als Schlüssel zwischen den Blättern Personal und Abrechnung, müssen beide denselben Wert erhalten, sonst funktionieren die Verknüpfungen nicht mehr. Pseudonymisierte Daten bleiben personenbezogen (Art. 4 Nr. 5 DSGVO); die Zuordnungstabelle ist getrennt und geschützt aufzubewahren. Mehr dazu unter Pseudonymisierung von Dokumenten.
So geht es mit Anonimatum
Seit Version 1.9.0 behandelt Anonimatum Tabellen Spalte für Spalte in .xlsx, .xls, .ods und .csv: Es schlägt für jede Spalte den Datentyp vor, und Sie wählen behalten, schwärzen, ersetzen, pseudonymisieren oder im Text erkennen (praktisch für Bemerkungsspalten). Das Ergebnis kommt im selben Format zurück, mit Blättern, Formatierung und Formeln. Je 50 Zeilen wird 1 Seite Kontingent verbraucht, eine Liste mit 2.000 Zeilen zählt also wie 40 Seiten.
Für Konsistenz über Dateien hinweg sorgt die gemeinsame Zuordnungstabelle einer Akte: Derselbe Wert erhält in allen Dokumenten denselben Ersatz. Für Lohn- und Gehaltsdaten finden Sie typische Fälle auf der Seite Gehaltsabrechnungen in PDF und Excel anonymisieren.
Häufige Fragen
Ist eine ausgeblendete Excel-Spalte anonymisiert?
Nein. Eine ausgeblendete Spalte steht weiter in der Datei und lässt sich mit zwei Klicks wieder einblenden. Sie muss gelöscht oder ihr Inhalt behandelt werden.
Reicht es, Namen und Steuer-IDs zu löschen?
Nicht immer. Bei Tabellendaten können Geburtsdatum, PLZ und Funktion zusammen eine Person identifizieren. Diese Quasi-Identifikatoren müssen vergröbert oder zusammengefasst und das Risiko bewertet werden.
Bleiben Formeln mit Anonimatum erhalten?
Ja. Das Ergebnis behält Format, Blätter, Formatierung und Formeln. Prüfen Sie Formeln, die von geschwärzten Spalten abhängen, da sich ihr Ergebnis ändern kann.
Wie viel Kontingent verbraucht eine Tabelle?
Eine Seite Kontingent je 50 Zeilen. Eine Datei mit 500 Zeilen verbraucht 10 Seiten.
Tabellen Spalte für Spalte anonymisieren
Sehen Sie sich die Tarife an und anonymisieren oder pseudonymisieren Sie .xlsx-, .xls-, .ods- und .csv-Dateien mit Blättern, Formatierung und Formeln.