Mittlerweile habe ich den Eindruck, dass ein guter Skandal zu jedem Produktlaunch dazugehört. Ohne -Gate geht es nicht. Es ist also kein Wunder, dass auch der bemerkenswert gelungene Start von Windows 10 schnell in die Kritik geriet. Als Ziel hatten man sich alsbald auf die Datenschutzeinstellungen von Windows 10 eingeschossen. Unübersichtlich, unvollständig und ungenau sollten sie angeblich sein. Die daraufhin aufkommende „Berichterstattung“ so mancher Newsseiten hatte dann mit Niveau leider nicht mehr viel zu tun. Wenn ihr mich fragt, gibt es bei Windows 10 kaum mehr zu kritisieren als bei Mac OS X oder Windows 8.1. Microsoft macht es – soweit mein Eindruck bisher – weder schlechter, noch wesentlich besser als die Konkurrenz. Trotzdem melde ich mich jetzt doch zu Wort, weil mich ein Aspekt der ganzen Diskussion mächtig stört: Das Märchen der „anonymen Telemetriedaten“.

Ein bisschen Telemetrie tut nicht weh

Windows 10 ist niemals fertig. Es ist ein Service, der ständig verbessert werden soll. Dafür braucht Microsoft Daten über Fehler, Bugs und Macken in den aktuellen Versionen. Wer sonst soll die liefern, wenn nicht die Nutzer? Und überhaupt war Windows 10 ja gratis, da kann man sich doch zumindest so dankbar zeigen, dass man ein paar Telemetriedaten nach Redmond schickt, oder? In einem neuen Blogeintrag, mit dem Microsoft all diese Datenschutzbedenken aus dem Weg räumen wollte, heißt es dazu trocken:

„We collect a limited amount of information to help us provide a secure and reliable experience. This includes data like an anonymous device ID, device type, and application crash data which Microsoft and our developer partners use to continuously improve application reliability. This doesn’t include any of your content or files, and we take several steps to avoid collecting any information that directly identifies you, such as your name, email address or account ID.“

– Terry Myerson, Windows Blog

Im nächsten Absatz bringt Terry Myerson dann auch direkt ein schönes Beispiel, bei dem vor einem Monat ein kritischer Bug in Windows 10 aufgrund der erhaltenen Daten ausgemerzt werden konnte. So beruhigend das auf den ersten Blick wirken mag, so erstaunlich finde ich es, wie kritiklos diese Äußerung aufgenommen wird. Man muss sich einmal klar machen, was Microsoft da sagt. Ohne mein Einverständnis und ohne die Möglichkeit, diesen Datenfluss zu stoppen, erhält Microsoft eine jederzeit eindeutig erkennbare ID meines Geräts samt diverser Daten darüber, was für ein Gerät ich nutze, welche Hardware darin steckt und welche Software darauf Probleme macht. Da das Ganze über das Internet übermittelt wird, erhält Microsoft zwangsweise auch meine IP-Adresse, meinen groben Standort und die Erkenntnis, wann mein Computer angeschaltet ist.

Wer das noch als anonyme Datensammlung bezeichnet, hat wahrscheinlich auch kein Problem mit Werbetracking via Browser-Fingerprint oder der Vorratsdatenspeicherung. Was Microsoft da massenweise über seine Nutzer zusammenträgt, ist ein gigantischer Topf an Meta-Daten. Nur weil Microsoft gnädigerweise nicht auch meine E-Mail-Adresse oder meinen Windows Account mit übermittelt, macht das die Sammlung von Meta-Daten noch lange nicht harmlos. Ganz im Gegenteil: Das Wissen, das Microsoft über uns zusammenträgt, entspricht mehr oder weniger dem, was bei einer Funkzellenabfrage erfasst wird. Und eine Funkzellenabfrage darf nur in Ausnahmefällen und mit Segen eines Richters erfolgen. Einfach deshalb, weil das Wissen, wer sich wann an welchem Ort aufhält bereits sehr viele Rückschlüsse ermöglicht.

Mit Leichtigkeit kann Microsoft diese Meta-Daten auch den unmittelbaren Nutzerdaten zuordnen. Es reicht, wenn ich im gleichen W-Lan mit meinem Windows Phone eingeloggt bin oder mit meinem XBox Live Account eine Runde im Wohnzimmer zocke. Über die identische IP-Adresse weiß Microsoft sofort, wer sich hinter der anonymen Device-ID verbirgt, inklusive Name, Adresse und sonstigen Kontoinformationen. Aber selbst, wenn man diese Möglichkeit außer Acht lässt – was naiv wäre – kann sich jeder einmal ausrechnen, wieviele Microsoft Kunden mit exakt meinem Hardware- und Softwaresetup es gibt. Ein Dell XPS 13 mit 3200 x 1800 Display, ein USB-Stick von Corsair und dazu noch zwei, drei seltene Programme und schon ist der Fingerabdruck meines Geräts mehr als eindeutig. Genauso wie mein Browser völlig ohne Cookies jederzeit wiedererkannt werden kann, gehe ich jede Wette ein, dass Microsoft problemlos nachvollziehen kann, wer sich hinter den „anonymen Telemetriedaten“  verbirgt. Anonyme Telemetriedaten sind ein Märchen.

Das weiß natürlich auch Microsoft und verspricht seinen Geschäftskunden schon einmal vorsorglich, dass diese die Übermittlung von Telemetriedaten bald werden deaktivieren können. Privatanwender müssen weiter die digitalen Hosen runterlassen. Vielen Dank!

Aber Microsoft gehört doch zu den Guten?

Zugegeben, wir reden hier von Microsoft, einem Konzern, der sich bisher weder durch aggressive Datensammelei für Werbezwecke hervorgetan hat und der sich immerhin – wenn auch auf Druck der deutschen Regierung –  gegen Offenbarungspflichten an den US-Geheimdienst wehrt. Microsoft ist nicht Google. Und Google ist böse. Microsoft hingegen gehört zu den Guten. Wenn also jemandem vertrauensvoll das Futter für Nutzerprofile überlassen wird, dann ja wohl den sympathisch unbeholfenen Redmondern, richtig? Diese Auffassung scheint auch Microsoft selbst zu haben und versichert im gleichen Blog-Eintrag, dass man diese (und andere) Daten nicht für zielgerichtete Werbung verwenden werde und stets in „sicheren Einrichtungen“ speichere.

Als ich kürzlich bei den Kollegen von WindowsUnited.de im Podcast zu Gast war,  haben wir das Thema ebenfalls angesprochen und ich habe schon damals gesagt, dass Microsoft alleine nicht das Problem ist. Selbst wenn Microsoft diese Daten aktuell nur für Wartungs- und Supportaufgaben benutzt, heißt das nicht, dass das auch in Zukunft so bleibt. Microsofts Image hat sich im Laufe der Zeit genauso gewandelt wie sein Geschäftsmodell. Niemand kann vorhersagen, auf was für Ideen die Marketing-Abteilung dort in Zukunft kommt. Vorhersagen kann man nur eines: Die heute gesammelten Daten sind auch morgen noch da und Daten ist es egal, wozu man sie benutzt. Warum Microsoft, anders als Google oder Facebook, grundsätzlich so sehr vertraut wird, ist mir ein Rätsel.

Das Problem ist aber wie gesagt nicht allein Microsoft, sondern die Begehrlichkeiten, die ein solcher Datenberg weckt. Wäre ich der Chef eines international operierenden Geheimdienstes müsste ich nicht lange überlegen, was ich von Microsoft verlangen würde: Vollen Zugriff auf all die schönen Meta-Daten natürlich. Da die Daten auch lediglich auf dem Weg zu Microsoft verschlüsselt sind, dürfte Microsoft dem Chef eines solchen (natürlich rein fiktiven) Geheimdienstes wenig entgegensetzen können. Mit entsprechenden Verschwiegenheitspflichten gesegnet, bliebe Microsoft überhaupt keine andere Wahl, als die über uns gesammelten Telemetriedaten preiszugeben.

Was will ich mit all dem sagen? Egal ob Microsoft, Google oder Apple: Telemetriedaten sind keine harmlose „Kompensation für Gratissoftware“. Sie sind nicht minder sensibel als andere Daten und müssen genauso gegen Missbrauch geschützt werden. Und der beste Schutz gegen Missbrauch von Daten ist der Verzicht auf deren Speicherung. Das Mindeste, das ich von Microsoft & Co erwarte, ist deshalb, dass ich selbst entscheiden kann, ob derartige Telemetriedaten übermittelt werden, egal ob ich Geschäfts- oder Privatkunde bin. Vor allem aber erstaunt mich, mit welcher Selbstverständlichkeit Microsoft davon ausgeht, dass Telemetriedaten unproblematisch sind. Sie sind es nicht, schon gar nicht in einer Welt nach Snowden.

See you in the comments!