Was als anonymisiert gilt
Ein Datensatz ist nur dann anonymisiert, wenn niemand, der ihn besitzt, die darin enthaltenen Personen vernünftigerweise re-identifizieren kann. Das Löschen offensichtlicher Identifikatoren wie Namen und Ausweisnummern reicht nicht aus, weil der Rest eines Datensatzes weiterhin eine reale Person beschreiben kann. Datensätze mit sensiblen Daten brauchen den strengsten Test.
Aufsichtsbehörden und Normungsgremien beurteilen das im Gesamtkontext. Sie fragen, welche anderen Datenquellen existieren, wer sie kombinieren könnte und wie viel Aufwand eine Re-Identifizierung erfordern würde. Einen Namen zu entfernen, aber eine seltene Kombination aus Postleitzahl, Geburtsdatum und Geschlecht zu behalten, ist ein bekannter Weg, diesen Test nicht zu bestehen, denn diese Kombination allein kann eine Person in öffentlichen Registern eindeutig bestimmen.
Wichtigste Anonymisierungstechniken
Vier Techniken decken die meisten Fälle ab. Verwechseln Sie sie nicht mit Datenmaskierung, die Werte verbirgt, ohne unbedingt die Identifizierbarkeit von Personen aufzuheben.
Formale Modelle wie k-Anonymität, l-Diversität und differenzielle Privatsphäre geben diesen Techniken eine messbare Garantie. So stellt k-Anonymität sicher, dass jede Kombination von Quasi-Identifikatoren mindestens k Personen im Datensatz entspricht.
| Technik | Was sie tut | Wichtigste Grenze |
|---|---|---|
| Generalisierung | Ersetzt einen präzisen Wert durch eine breitere Kategorie | Zu breite Kategorien können die Daten unbrauchbar machen |
| Unterdrückung | Löscht Felder oder Datensätze, die zu identifizierend sind, um sie sicher zu generalisieren | Gelöschte Datensätze können die verbleibenden Daten verzerren |
| Aggregation | Weist Statistiken für eine Gruppe statt einzelner Datensätze aus | Kleine Gruppen können trotzdem Einzelpersonen offenlegen |
| Rauschzugabe und Perturbation | Verändert Werte leicht und zufällig oder tauscht sie zwischen ähnlichen Datensätzen | Ergebnisse verschieben sich, daher muss die Genauigkeit geprüft werden |
Anonymisierung versus Pseudonymisierung
Beide Begriffe werden häufig verwechselt, doch Vorschriften behandeln sie sehr unterschiedlich. Pseudonymisierung ersetzt identifizierende Werte durch konsistente Platzhalter, etwa indem eine Kunden-ID auf ein Token abgebildet wird. Ein separater Schlüssel kann den Vorgang umkehren, daher bleiben die Daten personenbezogen, nur geschützt.
Anonymisierung schließt diese Möglichkeit aus. Es gibt keinen Schlüssel und keinen legitimen Weg zurück zur Person. Deshalb unterliegen pseudonymisierte Daten weiterhin dem Datenschutzrecht, während ordnungsgemäß anonymisierte Daten im Allgemeinen nicht darunterfallen.
So wird ein Datensatz anonymisiert
Anonymisierung ist ein Prozess, und jeder Schritt verringert das Risiko. Beginnen Sie mit der Datenklassifizierung, die jedes Feld kennzeichnet, bevor etwas verändert wird.
- 1
Zweck festlegen
Legen Sie fest, wer die Daten erhält und warum. Die Antwort bestimmt, wie viel Detail bleiben darf.
- 2
Jedes Feld klassifizieren
Markieren Sie direkte Identifikatoren, Quasi-Identifikatoren wie Postleitzahl oder Geburtsdatum und sensible Merkmale wie Diagnosen.
- 3
Verfahren anwenden
Generalisieren, unterdrücken oder aggregieren Sie die riskanten Felder und entfernen Sie direkte Identifikatoren vollständig.
- 4
Mit externen Daten prüfen
Fragen Sie, ob jemand mit anderen Datensätzen einen Datensatz einer Person zuordnen könnte. Wenn ja, wiederholen Sie den vorherigen Schritt mit stärkeren Änderungen.
Identifikatoren vor der Freigabe finden
Bevor ein Datensatz anonymisiert werden kann, müssen seine Identifikatoren gefunden werden. Die Anexet DLP-Konsole enthält integrierte Thesauri für SSN, Kreditkarten und Finanzdaten sowie reguläre Ausdrücke für Werte wie Postleitzahlen und Bankkonten. Die beiden Ausschnitte unten zeigen diese Wörterbücher und Muster.
1 / 2
Wo Anonymisierung eingesetzt wird
Organisationen nutzen Anonymisierung in vier häufigen Situationen:
- Forschung und öffentliche Datenveröffentlichung. Gesundheits-, Zensus- und Umfragedaten werden anonymisiert, bevor sie veröffentlicht oder außerhalb der erhebenden Organisation geteilt werden.
- Analytik und maschinelles Lernen. Trainingsdaten und Nutzungsstatistiken werden anonymisiert, damit Muster untersucht werden können, ohne die dahinterstehenden Personen offenzulegen.
- Regulatorische Compliance. Wirklich anonyme Daten gelten im Allgemeinen nicht mehr als personenbezogene Daten nach der DSGVO.
- Datenaufbewahrung. Alte Datensätze behalten ihren statistischen Wert, ohne auf Einzelpersonen zurückführbar zu sein, statt vollständig gelöscht zu werden.
Warum Anonymisierung in der Praxis scheitert
Re-Identifizierungsangriffe haben wiederholt gezeigt, dass vermeintlich anonyme Datensätze durch Abgleich mit anderen, scheinbar unverbundenen Daten aufgedeckt werden können, etwa Standortspuren, Kaufhistorien oder öffentliche Beiträge in sozialen Medien. Freitext ist der schwierigste Fall, weil Namen und Orte in unstrukturierten Daten versteckt sind und leicht übersehen werden.
Das Risiko wächst mit dem Reichtum des Datensatzes. Je mehr Merkmale ein Datensatz trägt, desto wahrscheinlicher ist eine Kombination davon für eine Person einzigartig. Anonymisierung ist daher eine fortlaufende Risikobewertung und kein einmaliger technischer Schritt.
Das Löschen von Namen und Ausweisnummern allein macht Daten nicht anonym.
Wo man anfangen sollte
Beginnen Sie mit den Datensätzen, deren Abfluss den größten Schaden anrichten würde, und dann mit den Feldern, die zusammen eine Identität ergeben. Anonymisieren Sie diese zuerst.
Ein Datensatz, der heute besteht, kann nächstes Jahr scheitern, wenn neue öffentliche Daten auftauchen, mit denen er sich abgleichen lässt.
Weiterlesen: Wie schütze ich meine personenbezogenen Daten?; Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.
Eine anonymisierte Datei ist nur so sicher wie die anderen Daten, mit denen sie sich abgleichen lässt, deshalb sollte sie vor jeder Freigabe erneut geprüft werden.
Anexet Team