Forschungsbericht 2009 - Max-Planck-Institut für Softwaresysteme, Standort Kaiserslautern

Wirtschaftliche Online-Werbung unter Berücksichtigung des Datenschutzes

Autoren
Francis, Paul; Ohlmann, Michael
Abteilungen

Verteilte Systeme (Ph.D. Peter Druschel)
MPI für Softwaresysteme, Kaiserslautern

Zusammenfassung
Heutzutage hat Online-Werbung einen wesentlichen Einfluss auf das Internet. Die gängigen Werbesysteme ignorieren jedoch gänzlich Datenschutzbestimmungen. Das MPI für Softwaresysteme arbeitet am System Privad, einem verteilten System für Online-Werbung, das den Datenschutz berücksichtigen und gleichzeitig wirtschaftliche Effizienz ermöglichen soll. Privad wurde bereits prototypisch realisiert und in einer kleinen Gruppe getestet. In der nächsten Stufe soll Privad einer größeren Gruppe zugänglich gemacht werden, um detailliertere Untersuchungen durchführen zu können.

Wann immer man im Internet nach irgendetwas sucht, wird diese Suche irgendwo aufgezeichnet. Falls man eine Webseite besucht, so wird dieser Besuch ebenfalls aufgezeichnet. Eine steigende Anzahl von Dokumenten, E-Mails, Vorlieben und Abneigungen, Freunde und Bekannte, Aktivitäten, Zeitpläne und Bilder von Menschen werden in der sogenannten „Wolke“ gespeichert. Die Sorge über den ständigen Schwund der Privatsphäre wächst. Die Titelseite einer unlängst erschienenen Spiegel-Ausgabe sagt über Google: „Der Konzern, der mehr über Sie weiß als Sie selbst“ (Abb. 1). Natürlich geht es nicht nur um Google. Soziale Netzwerkseiten wie Facebook und LinkedIn speichern Details über Ihr Privat- und Berufsleben und Photoseiten wie Flickr und Shutterfly speichern Ihre Bilder.

Manch einer mag argumentieren, dass der Verlust der Privatsphäre freiwillig geschieht – schließlich zwingt Sie niemand, Gmail zu nutzen, Ihre Photos bei Flickr hochzuladen oder Ihr Profil bei Facebook abzuspeichern. Für viele Benutzer entschädigt der Wert dieser Dienste jedoch den Verlust der Privatsphäre. Außerdem gibt es für einige dieser Probleme technische Lösungen. Benutzer können die Browser-Cookies abschalten oder durch anonymisierende Proxies im Netz surfen. Die meisten Benutzer besitzen jedoch nicht den technischen Durchblick, um zu wissen, wie man das macht. Sogar jene Benutzer, die über das Wissen verfügen, kümmern sich nicht darum: Der Verlust der Privatsphäre ist eine ziemliche vage Bedrohung, und es entstehen Kosten in Form von Zeitaufwand, Surfqualität und sogar Geld, die nach Ansicht der Benutzer oft nicht gerechtfertigt sind.

Die Ironie all dessen ist, dass das Internet geschaffen wurde, um jedem Computer zu erlauben, mit jedem anderen Computer zu kommunizieren. Wenn mein Rechner mit den Rechnern meiner Freunde kommunizieren kann, warum muss mein persönliches Profil dann „in der Wolke“ bei Facebook (d. h. auf Facebook-Rechnern in Rechenzentren) gespeichert werden? Warum kann es nicht auf meinem Rechner verbleiben, um direkt von jenen Freunden gelesen zu werden, denen der Zugriff gestattet wurde? Warum müssen meine E-Mails auf Google-Rechnern gespeichert werden? Warum können sie nicht direkt von meinem Computer zum Computer des Empfängers geschickt werden? Oder warum werden meine Informationen nicht ganz selbstverständlich verschlüsselt, wenn sie sich in der Wolke befinden? Warum müssen sie unverschlüsselt gespeichert werden?

Auf diese Fragen gibt es keine einfachen Antworten. Wenn sich meine Daten in der Wolke befinden, habe ich von überall Zugriff auf sie. Sollte mein Rechner den Geist aufgeben, sind meine Daten immer noch verfügbar. Falls meine Daten unverschlüsselt sind, muss ich mir keine Passwörter merken. Andererseits gibt es technische Lösungen, die ein Verbleiben der Daten in der Wolke nicht erforderlich machen. Zum Beispiel könnte sich zuhause auf meinem Modem eine Festplatte befinden, die sich mit dem Internet Service Provider (ISP) verbindet. Im Prinzip könnten meine Daten auf dieser Platte gespeichert werden, jederzeit zugänglich für autorisierte Personen, jederzeit gesichert für den Fall eines Ausfalls.

Warum hat sich nun im Internet, angesichts der technischen Alternativen, ein „wolkenbasierendes“ Modell der Datenspeicherung und des Zugriffs mit einem Verlust an Privatsphäre etabliert anstatt eines „endnutzerbasierenden“ Modells, das die Privatsphäre schützt? Auf die Gefahr hin, eine komplexe Frage zu stark zu vereinfachen, lautet die Antwort mit einem Wort: Werbung. Werbung ist eine Schlüsselkomponente des Geschäftsmodells, das den Diensten zugrunde liegt, die von Google und vielen anderen Internetunternehmen zur Verfügung gestellt werden. Werbung ist natürlich effektiver, wenn Anzeigen personalisiert sind; das ist der Fall, wenn die Anzeige auf die Interessen und Demographie einer Person abzielt. Somit gibt es eine grundsätzliche Motivation für werbeunterstützte Webdienste, nämlich das Analysieren von Benutzerinformationen, um Werbung zielgruppenspezifisch zu kanalisieren.

Wissenschaftliche Forschung zur wirtschaftlichen Online-Werbung unter Berücksichtigung des Datenschutzes

Das MPI für Softwaresysteme hat die Vision, eine wirtschaftliche Online-Werbung unter Berücksichtigung des Datenschutzes zu ermöglichen. Im Rahmen unserer Forschung gibt es viele Probleme, die gelöst werden müssen, zum Beispiel: Können Benutzerdaten zu Hause gespeichert werden, um einen zuverlässigen und sicheren Zugriff von überall und jederzeit zu gewährleisten? Können die Benutzer den Zugriff auf ihre Daten sinnvoll kontrollieren? Gibt es einen Weg, Anwendungen einen einfachen und allgegenwärtigen Zugriff zum Datenspeicher des Benutzers zu ermöglichen, selbst wenn der Speicher sich auf einer anderen Maschine befindet?

Während diese und andere Fragen beantwortet werden müssen, fällt auf, dass es hierzu keine einfachen Lösungen gibt, genauer: Es muss einerseits ein Ansatz gefunden werden, wie man Werbung zielgruppenspezifisch kanalisiert, ohne die Privatsphäre der Nutzer zu verletzen. Andererseits muss ein solcher Ansatz auch noch wirtschaftlich sein, um Erfolg haben zu können (Abb. 2).

Am MPI für Softwaresysteme wurde im Rahmen eines Forschungsprojekts das System Privad entworfen, um wirtschaftliche Online-Werbung unter Berücksichtigung des Datenschutzes zu ermöglichen. Die Ziele für Privad sind:

1) Schutz der Privatsphäre der Endnutzer im Gegensatz zu den etablierten Systemen
2) Eine mindestens genauso gute Skalierbarkeit wie die gängigen Systeme
3) Eine mindestens genauso gute Kanalisierbarkeit der für Werbung relevanten Zielgruppe wie die üblichen Werbesysteme, und damit dessen Wirtschaftlichkeit

Privad schützt die Privatsphäre, indem es das Benutzerprofil auf dem Rechner des Benutzers anstatt in der Wolke vorhält. Zur Bestimmung relevanter Werbung stellt Privad nur sehr selektiv kategorisierte Informationen (insbesondere für die Skalierbarkeit) anonym zur Verfügung. Für die Abrechnung der Werbetreibenden untereinander informiert Privad anonym darüber, welche Werbung auf welchen Webseiten eingeblendet und auch vom Benutzer angeklickt wurde. Diese Informationen werden jedoch in einer Weise behandelt, dass keine Partei sie in den Zusammenhang mit dem individuellen Benutzer bringen kann. Darüberhinaus verbirgt ein anonymisierender Proxy die Netzwerkadresse des Benutzers, während die Verschlüsselung von Informationen den Proxy daran hindert, irgendeine Benutzerinformation mitzulesen.

Eine Schlüsselfrage ist: „Wie privat ist privat genug?“. Derzeitige Werbesysteme wie Google und Yahoo sind in einem tiefen architektonischen Sinn nicht privat: sie sammeln Informationen über Benutzer und speichern sie in ihren Rechenzentren. Die Benutzer haben keine Kontrolle darüber, wie und wann diese Daten verwendet werden. Ebenso wenig ermöglichen diese Systeme nicht, von Datenschutzbeauftragten verifiziert zu werden. Somit sind Benutzer gezwungen, diesen Systemen vollständig zu vertrauen.

Privad schützt ihre Privatsphäre. Privad erfordert zum Beispiel kein Vertrauen in irgendeine einzelne Organisation. Darüberhinaus wurde Privad entworfen, um von Dritten überprüft werden zu können. Hierzu bietet Privad die Einbindung eines einfachen Referenzmonitors an. Die Protokolle dieses Referenzmonitors lassen sich dann z.B. automatisiert analysieren um Fehlfunktionen aufzudecken. Aber ist Privad auch privat genug? Es gibt offensichtlich keine einzelne, allgemeingültige Antwort auf diese Frage. Es liegt vermutlich am Ende an der Gesellschaft, zu entscheiden, was privat genug ist. Die Gesellschaft tendiert hier dazu, sich von Datenschutzorganisationen wie der Electronic Frontier Foundation (EFF), der American Civil Liberties Union (ACLU) und anderen repräsentieren zu lassen. Unsere Strategie ist es also, ein System zu entwerfen und zu erstellen, das den Datenschutz im Sinne der etablierten Datenschutzorganisationen gewährleistet, während die praktischen Ziele noch erreicht werden.

Eine weitere Schlüsselherausforderung ist die Verbreitung von Privad. Privad wendet sich nicht an Benutzer, die heute alle Werbung abschalten, sondern an Benutzer, die sich Werbung gelegentlich ansehen und auch anklicken. Um das gewohnte Erscheinungsbild bei Online-Werbung nicht zu ändern, stellt Privad sicher, dass Werbung nur in den bereits vorhandenen Werbebereichen der Inhaltsanbieter angezeigt wird. Für die Verbreitung von Privad muss es besonders früh einige positive Anreize für die Benutzer geben, es zu installieren. Dies kann durch das Bündeln anderer nützlicher Software, Einkaufsrabatte oder anderer Anreize geschehen. Schließlich erfordert es, dass die Datenschutzbeauftragten (z. B. EFF, ACLU und Regierungsbehörden) Privad billigen. Dies verhindert zumindest, dass Anti-Virus-Software Privad von den Kundenrechnern entfernen könnte. Idealerweise könnte es sogar dazu führen, dass datenschutzbewusste Browseranbieter (z. B. Firefox) oder Betriebssystemanbieter Privad standardmäßig ausliefern oder aufgrund von Regierungsweisungen verbreiten.

Architektur von Privad

Privad besteht aus sechs Komponenten: dem Privad-Client, dem Referenzmonitor, dem Inhalteanbieter, den Werbetreibenden, einem Makler und einem Mediator. Inhalteanbieter, Werbetreibende und Makler haben alle ihre Analogien in den heutigen Werbesystemen und repräsentieren grundlegende Geschäftsrollen. Die Benutzer besuchen die Webseiten der Inhalteanbieter. Die Werbetreibenden wollen, dass ihre Werbung den Benutzern auf diesen Webseiten angezeigt wird. Der Makler (z. B. Google) bringt Werbetreibende, Inhalteanbieter und Benutzer zusammen. Für jede angezeigte oder durch den Benutzer angeklickte Werbung bezahlt der Werbetreibende den Makler, und der Makler bezahlt den Inhalteanbieter.

In Privad gibt es darüberhinaus drei weitere Schlüsselkomponenten zur Wahrung des Datenschutzes. Der Privad-Client übernimmt die Aufgabe der Profilerfassung und Speicherung auf dem Rechner des Benutzers und nicht wie bisher auf dem des Maklers. Der Mediator anonymisiert jegliche Kommunikation zwischen dem Benutzer und dem Makler und hindert somit den Makler daran, die Identität des Benutzers herauszufinden oder mehrere Nachrichten desselben Benutzers mit ihm zu verknüpfen. Darüber hinaus werden Nachrichten über den Mediator hinweg verschlüsselt versandt, um den Mediator daran zu hindern, Nachrichteninhalte zwischen Benutzer und Makler einzusehen. Der Mediator stimmt sich des Weiteren mit dem Makler ab, um Benutzer zu identifizieren, die sich am „Klick-Betrug“ beteiligen. Schließlich stellt ein offener Referenzmonitor zwischen dem Benutzer und dem Internet sicher, dass Nachrichten zwischen dem Privad-Client und dem Internet auch dem Privad-Nachrichtenprotokoll genügen, um so Missbrauch zu vermeiden (Abb. 3).

Weitere Informationen zum Privad-Projekt finden Sie unter:
http://adresearch.mpi-sws.org/

Zur Redakteursansicht