Der Zufall, der die Privatsphäre schützt: Differential Privacy und die Kunst, nichts über den Einzelnen zu verraten

Der Aufhänger: Ein Versprechen, das man beweisen kann

Fast jede Idee, die wir „Datenschutz" nennen, beruht auf einem Versprechen, das niemand einhalten kann. „Wir haben Ihre Daten anonymisiert." „Wir speichern nur aggregierte Statistiken." „Aus diesen Zahlen kann man niemanden zurückverfolgen." Diese Sätze klingen beruhigend, aber sie sind, streng genommen, meist falsch – und zwar auf eine Weise, die man mathematisch nachweisen kann. Die Geschichte der Datenanonymisierung ist ein Friedhof gebrochener Versprechen: Datensätze, die man für sicher hielt, wurden immer wieder de-anonymisiert, oft von Studierenden mit einem Laptop und ein bisschen öffentlich verfügbarem Hintergrundwissen.

Differential Privacy – auf Deutsch etwas holprig „differentielle Privatsphäre" – ist die erste Antwort auf dieses Problem, die kein Versprechen macht, das sie nicht halten kann. Statt zu behaupten, ein bestimmter Datensatz sei anonym, dreht sie die Frage um. Sie definiert eine Eigenschaft nicht der Daten, sondern des Verfahrens, mit dem man die Daten auswertet. Und sie gibt dieser Eigenschaft eine präzise, überprüfbare Form: Das Ergebnis einer Analyse soll sich fast genauso verhalten, ob deine Daten nun im Datensatz enthalten sind oder nicht. Wenn das gilt, kann kein Angreifer – gleichgültig, wie viel er sonst weiß und wie clever er rechnet – aus dem Ergebnis mehr über dich lernen, als er ohnehin gewusst hätte. Deine Teilnahme wird buchstäblich unsichtbar.

Das Bemerkenswerte an dieser Idee ist, dass sie ein Naturgesetz der Informationsverarbeitung ernst nimmt, statt es zu ignorieren. Cynthia Dwork und Aaron Roth formulierten es in ihrer Standardmonografie als fundamentales Gesetz der Informationsrückgewinnung (fundamental law of information recovery): Zu genaue Antworten auf zu viele Fragen zerstören die Privatsphäre unweigerlich. Man kann diesem Gesetz nicht entkommen – aber man kann es quantifizieren. Differential Privacy verwandelt Privatsphäre von einem vagen Gefühl in eine Währung, die man messen, budgetieren und ausgeben kann.

Dieser Artikel nimmt dich mit auf die vollständige Strecke: von den spektakulären Fehlschlägen der klassischen Anonymisierung über die geniale Umdefinition des Problems im Jahr 2006, die eigentliche Mathematik (Sensitivität, Rauschen, das Budget \(\varepsilon\)), die zwei großen Architekturen zentral und lokal, bis zu den großen Praxiseinsätzen – dem US-Zensus 2020 und dem datenschutzfreundlichen Training moderner KI-Modelle. Am Ende sollte klar sein, warum eine Definition, die wie abstrakte Theorie aussieht, heute im Chrome-Browser, auf dem iPhone und im Fundament der amtlichen US-Statistik steckt.

Teil 1: Der Friedhof der Anonymisierung

Warum „Namen entfernen" nicht genügt

Die naive Vorstellung von Anonymisierung lautet: Man streicht Namen, Adressen und Sozialversicherungsnummern aus einem Datensatz, und schon ist niemand mehr identifizierbar. Diese Vorstellung ist tot, und man kann ziemlich genau datieren, wann sie gestorben ist.

Der erste berühmte Sargnagel stammt aus den späten 1990er Jahren. Die damalige Doktorandin Latanya Sweeney zeigte, dass die Kombination aus Postleitzahl, Geburtsdatum und Geschlecht genügt, um etwa 87 Prozent der US-Bevölkerung eindeutig zu identifizieren. Diese drei Angaben galten als harmlose „demografische" Merkmale und wurden in vermeintlich anonymisierten medizinischen Datensätzen munter mitveröffentlicht. Sweeney verknüpfte einen solchen Krankenversicherungs-Datensatz mit einem öffentlichen Wählerverzeichnis und identifizierte darin die Krankenakte des damaligen Gouverneurs von Massachusetts. Die Lektion: Ein Merkmal ist nicht deshalb harmlos, weil es für sich genommen viele Menschen betrifft. Entscheidend ist die Kombination – und in hochdimensionalen Daten ist fast jeder eine Kombination, die es nur einmal gibt.

Netflix und AOL: die Angriffe, die alles veränderten

2006 veröffentlichte Netflix im Rahmen des „Netflix Prize" einen Datensatz mit den Filmbewertungen von rund 500.000 Abonnenten – sorgfältig anonymisiert, nur numerische Nutzer-IDs, Filme und Sterne-Bewertungen. Zwei Forscher der University of Texas, Arvind Narayanan und Vitaly Shmatikov, zeigten 2008 in ihrer inzwischen preisgekrönten Arbeit „Robust De-anonymization of Large Sparse Datasets", wie fragil dieser Schutz war. Ihr Trick: Sie glichen den Netflix-Datensatz mit öffentlich zugänglichen Bewertungen auf der Filmdatenbank IMDb ab. Wer auf IMDb unter Klarnamen ein paar Filme bewertet hatte, ließ sich mit hoher Wahrscheinlichkeit in den „anonymen" Netflix-Daten wiederfinden – und damit auch die dortigen, womöglich heiklen Bewertungen (etwa zu politischer oder sexueller Orientierung). Die entscheidende Einsicht: Schon ein wenig Hintergrundwissen über eine Person genügt, um ihren vollständigen Eintrag zu enttarnen. Hochdimensionale Präferenzdaten sind so einzigartig wie ein Fingerabdruck.

Ähnlich lief es beim AOL-Skandal von 2006: Der Konzern veröffentlichte „zu Forschungszwecken" die Suchanfragen von 650.000 Nutzern, ersetzte Namen durch Nummern – und Journalisten der New York Times identifizierten binnen Tagen eine einzelne Nutzerin allein aus dem Inhalt ihrer Suchen (Anfragen nach Orten, Krankheiten und Personen ihrer Umgebung ergaben zusammen ein eindeutiges Profil).

Das eigentliche Problem: Rekonstruktionsangriffe

Man könnte hoffen, das Problem lasse sich lösen, indem man nur noch aggregierte Statistiken veröffentlicht – Summen, Durchschnitte, Häufigkeiten – und keine Einzeldatensätze mehr. Auch diese Hoffnung ist trügerisch, und der Grund ist tiefer, als viele annehmen. Dinur und Nissim zeigten schon 2003 formal, was später als Rekonstruktionsangriff (database reconstruction) bekannt wurde: Wenn man genügend viele hinreichend genaue Antworten auf statistische Anfragen zulässt, kann ein Angreifer die zugrunde liegende Datenbank Zeile für Zeile rekonstruieren. Jede exakte aggregierte Zahl ist eine Gleichung; genug Gleichungen mit wenig Fehler ergeben ein lösbares Gleichungssystem über die Individualdaten. Genau das ist das fundamentale Gesetz der Informationsrückgewinnung: Präzision und Privatsphäre sind Gegenspieler, und zwar prinzipiell, nicht nur wegen schlampiger Implementierung.

Das US Census Bureau nahm dieses Ergebnis so ernst, dass es an den eigenen, klassisch geschützten Daten von 2010 einen internen Rekonstruktionsangriff durchführte – mit alarmierendem Erfolg. Das war der unmittelbare Auslöser für den radikalen Kurswechsel beim Zensus 2020, auf den wir später zurückkommen.

Die Summe all dessen: Anonymisierung im klassischen Sinn ist kein tragfähiges Konzept. Man braucht eine Definition, die nicht davon abhängt, was ein Angreifer sonst noch weiß – denn was er wissen könnte, kann man nie im Voraus überblicken.

Teil 2: Die Umkehrung des Problems

Privatsphäre als Eigenschaft des Prozesses

Der geniale Zug von Cynthia Dwork, Frank McSherry, Kobbi Nissim und Adam Smith in ihrer Arbeit „Calibrating Noise to Sensitivity in Private Data Analysis" (Theory of Cryptography Conference, 2006) war, die Frage vollständig umzudrehen. Alle bisherigen Ansätze fragten: Ist dieser Datensatz anonym? Diese Frage ist unbeantwortbar, weil die Antwort davon abhängt, welche Zusatzinformationen irgendwo auf der Welt existieren. Dwork und Kollegen fragten stattdessen: Verhält sich dieser Auswertungsprozess so, dass die Anwesenheit einer einzelnen Person kaum einen Unterschied macht?

Diese Verschiebung ist subtil, aber alles entscheidend. Privatsphäre wird nicht länger als Eigenschaft eines Datensatzes gedacht, sondern als Eigenschaft eines randomisierten Algorithmus \(M\) (eines „Mechanismus"), der Daten entgegennimmt und ein Ergebnis ausgibt. Und die zu schützende Größe ist nicht „Identität", sondern Teilnahme: Niemand soll durch die Entscheidung, seine Daten beizusteuern, einem messbar höheren Risiko ausgesetzt sein.

Das Versprechen von Differential Privacy lautet in Worten: Egal, was ein Angreifer über dich weiß, und egal, welchen Aufwand er treibt – das Ergebnis der Analyse sieht praktisch genauso aus, ob deine Daten enthalten sind oder nicht. Also kann er aus dem Ergebnis nichts über dich lernen, das spezifisch von deiner Teilnahme abhängt. Was er über dich schließen kann, hätte er auch schließen können, wenn du dich nie beteiligt hättest.

Die formale Definition

Betrachten wir zwei Datensätze \(D\) und \(D'\), die sich in genau einer Person unterscheiden – einer ist enthalten, im anderen nicht. Solche Datensätze heißen benachbart (neighboring). Ein randomisierter Mechanismus \(M\) erfüllt \(\varepsilon\)-Differential-Privacy, wenn für jedes mögliche Ergebnis (genauer: jede messbare Ergebnismenge \(S\)) gilt:

$$\Pr[M(D) \in S] \;\le\; e^{\varepsilon} \cdot \Pr[M(D') \in S].$$

Man liest das so: Die Wahrscheinlichkeit, ein bestimmtes Ergebnis zu sehen, ändert sich höchstens um den Faktor \(e^{\varepsilon}\), wenn man eine einzelne Person hinzufügt oder entfernt. Für kleines \(\varepsilon\) ist \(e^{\varepsilon} \approx 1 + \varepsilon\), das heißt, die beiden Welten – mit dir und ohne dich – sind kaum unterscheidbar. Der Parameter \(\varepsilon\) (oft Privacy-Budget oder Privacy-Loss genannt) misst die Stärke des Schutzes: \(\varepsilon = 0\) bedeutet perfekte, aber nutzlose Privatsphäre (das Ergebnis hängt gar nicht von den Daten ab); je größer \(\varepsilon\), desto schwächer der Schutz und desto genauer potenziell das Ergebnis.

Drei Eigenschaften machen diese Definition so mächtig, und es lohnt sich, sie einzeln zu würdigen.

Erstens: Sie ist unabhängig vom Hintergrundwissen des Angreifers. In der Ungleichung kommt kein „was der Angreifer sonst weiß" vor. Die Garantie gilt gegen jeden Gegner, mit beliebigem Zusatzwissen, beliebiger Rechenleistung und beliebigen zukünftigen Datensätzen, die es heute noch gar nicht gibt. Genau das haben Netflix und AOL nicht geschafft.

Zweitens: Sie ist immun gegen Nachverarbeitung (post-processing). Wenn \(M\) die Definition erfüllt, dann erfüllt auch jede Funktion \(f(M(D))\) dieselbe Garantie – man kann das Ergebnis beliebig weiterverarbeiten, kombinieren, in Modelle stecken, ohne die Privatsphäre zu verschlechtern. Information, die einmal nicht drin ist, kommt durch Rechnen nicht wieder hinein.

Drittens: Sie komponiert vorhersagbar. Führt man mehrere private Analysen durch, addieren sich die \(\varepsilon\)-Werte in kontrollierter Weise. Das erlaubt es, ein Gesamtbudget zu verwalten – dazu gleich mehr.

Teil 3: Die Mechanik – wie man Rauschen richtig dosiert

Sensitivität: Wie viel kann ein Mensch bewegen?

Die zentrale technische Frage lautet: Wie viel Zufall muss man einer Auswertung beimischen, damit ein einzelner Mensch unsichtbar wird? Die Antwort hängt davon ab, wie stark eine einzelne Person das Ergebnis überhaupt verschieben kann. Diese Größe heißt Sensitivität (sensitivity).

Für eine Funktion \(f\), die einen Datensatz auf eine Zahl (oder einen Vektor) abbildet, ist die \(L_1\)-Sensitivität definiert als

$$\Delta f \;=\; \max_{D, D' \text{ benachbart}} \; \lVert f(D) - f(D') \rVert_1.$$

In Worten: der größtmögliche Betrag, um den sich das Ergebnis ändert, wenn man eine einzelne Person hinzufügt oder entfernt. Zwei Beispiele machen es anschaulich.

Eine Zählung („Wie viele Personen im Datensatz haben Merkmal X?") hat die Sensitivität \(\Delta f = 1\): Eine einzelne Person kann die Zahl um höchstens eins verändern. Ein Durchschnitt über \(n\) Personen hat eine kleine Sensitivität in der Größenordnung von (Wertebereich)\(/n\), weil ein Einzelner im Mittel untergeht. Eine Summe von Einkommen dagegen kann sehr sensitiv sein, wenn ein einzelner Milliardär dabei ist – ein Grund, warum man in der Praxis Werte oft nach oben abschneidet (clipping), um die Sensitivität überhaupt zu beschränken. Die Sensitivität ist also das Maß dafür, wie „laut" eine einzelne Stimme im Chor ist – und genau so laut muss das Rauschen sein, das sie übertönt.

Der Laplace-Mechanismus

Der einfachste und älteste Baustein ist der Laplace-Mechanismus. Um eine Funktion \(f\) mit \(\varepsilon\)-Differential-Privacy zu berechnen, gibt man aus:

$$M(D) \;=\; f(D) \;+\; \text{Laplace}!\left(\frac{\Delta f}{\varepsilon}\right).$$

Man addiert also zum echten Ergebnis eine Zufallszahl aus einer Laplace-Verteilung (einer symmetrischen, spitz zulaufenden Verteilung), deren Streuung dem Quotienten aus Sensitivität und Budget entspricht. Die Logik ist bestechend: Je mehr eine Einzelperson bewegen kann (\(\Delta f\) groß), desto mehr Rauschen braucht man; je strengere Privatsphäre man verlangt (\(\varepsilon\) klein), desto mehr Rauschen braucht man. Bei einer Zählung mit \(\Delta f = 1\) und \(\varepsilon = 1\) addiert man Rauschen mit Skala 1 – für eine Zählung in der Größenordnung von Tausenden ist das vernachlässigbar, für eine Zählung von „drei Personen" verändert es das Ergebnis empfindlich. Genau darin liegt der Schutz: Kleine Gruppen, in denen ein Einzelner heraussticht, werden verrauscht; große Aggregate bleiben aussagekräftig.

Es ist wichtig zu verstehen, dass dieses Rauschen kein Implementierungstrick ist, sondern der eigentliche Mechanismus. Der Zufall ist nicht ein Ärgernis, das man in Kauf nimmt – er ist der Datenschutz. Ohne Rauschen keine Ununterscheidbarkeit, und ohne Ununterscheidbarkeit keine Privatsphäre.

(ε, δ) und der Gauß-Mechanismus

Die reine \(\varepsilon\)-Definition ist streng, aber manchmal unhandlich. Deshalb führte man eine Relaxierung ein, die \((\varepsilon, \delta)\)-Differential-Privacy:

$$\Pr[M(D) \in S] \;\le\; e^{\varepsilon} \cdot \Pr[M(D') \in S] \;+\; \delta.$$

Der zusätzliche Summand \(\delta\) ist eine kleine Wahrscheinlichkeit, dass die \(\varepsilon\)-Garantie einmal nicht hält – man wählt \(\delta\) typischerweise winzig, kleiner als der Kehrwert der Datensatzgröße (etwa \(10^{-6}\) oder kleiner). Man kann sich \(\delta\) als „Ausfallwahrscheinlichkeit" des Versprechens vorstellen. Diese Relaxierung erlaubt den Gauß-Mechanismus, der statt Laplace- normalverteiltes Rauschen addiert. Gaußsches Rauschen verhält sich unter Komposition und in hohen Dimensionen (etwa bei Vektoren von Modellgradienten) angenehmer und ist deshalb das Arbeitspferd des maschinellen Lernens.

Neben Laplace und Gauß gibt es weitere Bausteine für Fälle, in denen Rauschen keinen Sinn ergibt – etwa den Exponential-Mechanismus (McSherry & Talwar 2007), um aus einer diskreten Menge von Optionen datenschutzfreundlich die „beste" auszuwählen (z. B. den häufigsten Kategoriewert), ohne dass man einfach eine Zahl verrauschen könnte.

Teil 4: Das Budget – Privatsphäre als endliche Ressource

Komposition: Warum jede Frage kostet

Die vielleicht praktisch folgenreichste Eigenschaft von Differential Privacy ist die Komposition. Das einfache Kompositionstheorem besagt: Beantwortet man dieselben Daten mit einem \(\varepsilon_1\)-privaten und einem \(\varepsilon_2\)-privaten Mechanismus, so ist die gemeinsame Veröffentlichung \((\varepsilon_1 + \varepsilon_2)\)-privat. Die Budgets addieren sich. Und das gilt sogar adaptiv – man darf die zweite Frage auswählen, nachdem man die Antwort auf die erste gesehen hat.

Das hat eine ernüchternde Konsequenz und eine befreiende zugleich. Ernüchternd: Jede Abfrage kostet etwas. Man kann eine Datenbank nicht beliebig oft mit knappem Rauschen befragen, ohne die Privatsphäre irgendwann vollständig zu verbrauchen – genau das sagt das fundamentale Gesetz der Informationsrückgewinnung. Befreiend: Weil der Verbrauch berechenbar ist, kann man ihn budgetieren. Man legt ein Gesamtbudget \(\varepsilon_{\text{gesamt}}\) fest und verteilt es auf alle geplanten Analysen. Ist das Budget aufgebraucht, ist Schluss. Privatsphäre wird damit zu einer buchhalterisch verwalteten, endlichen Ressource – eine Vorstellung, die es vor 2006 schlicht nicht gab.

Für viele kleine Schritte ist die reine Addition zu pessimistisch. Das fortgeschrittene Kompositionstheorem zeigt, dass der Budgetverbrauch bei \(k\) Abfragen nur mit etwa \(\sqrt{k}\) statt mit \(k\) wächst (auf Kosten eines kleinen \(\delta\)). Noch schärfere Buchführung liefert die Rényi-Differential-Privacy (Ilya Mironov, 2017), die den Privatsphäre-Verlust über Rényi-Divergenzen einer Ordnung \(\alpha\) verfolgt und heute in fast allen ernsthaften Implementierungen die Grundlage der Budgetverwaltung bildet. Sie ist die Verallgemeinerung des Moments-Accountant, den wir bei DP-SGD wiedersehen.

Gruppenprivatsphäre und ihre Grenzen

Was ist mit Familien oder mit einer Person, die mehrere Zeilen beisteuert? Differential Privacy skaliert graziös: Der Schutz für eine Gruppe von \(k\) Personen entspricht \(k\varepsilon\)-Privatsphäre – die Garantie schwächt sich linear ab. Für kleine Gruppen ist das brauchbar, für große verwässert es. Das ist keine Schwäche der Definition, sondern eine ehrliche Buchführung darüber, was man versprechen kann: Wenn eine Analyse gegen die Enttarnung ganzer Bevölkerungsgruppen schützen soll, muss man das Budget entsprechend knapper wählen.

Teil 5: Zwei Architekturen – zentral und lokal

Das zentrale Modell: Ein vertrauenswürdiger Kurator

Bis hierhin haben wir stillschweigend angenommen, dass es einen vertrauenswürdigen Kurator gibt: eine Instanz, die alle Rohdaten sammelt, im Klartext hält und die verrauschte Auswertung berechnet, bevor sie irgendetwas veröffentlicht. Das ist das zentrale Modell (central oder curator model). Sein Vorteil: Weil das Rauschen erst auf dem fertigen Aggregat liegt, braucht man vergleichsweise wenig davon, und die Ergebnisse sind genau. Sein Nachteil: Man muss dem Kurator vertrauen – der Rohdatensatz existiert an einer Stelle und ist ein Angriffsziel, ein Ziel für Vorladungen, ein Ziel für Insider.

Das lokale Modell: Niemandem vertrauen müssen

Das lokale Modell (local differential privacy, LDP) verzichtet auf diese Vertrauensannahme. Hier verrauscht jeder Nutzer seine Daten auf dem eigenen Gerät, bevor er sie überhaupt versendet. Der Server bekommt nie die echten Werte zu sehen – nur bereits gestörte. Selbst wenn der Server kompromittiert wird oder böswillig ist, bleibt die Privatsphäre jedes Einzelnen gewahrt. Der Preis ist Genauigkeit: Weil das Rauschen pro Person und nicht pro Aggregat anfällt, summiert es sich, und man braucht sehr viele Teilnehmer, um verlässliche Statistiken herauszuziehen.

Die Wurzel des lokalen Modells ist über sechzig Jahre alt und wunderbar einfach: die Randomized Response von Stanley Warner (1965). Um in einer Umfrage den Anteil der Menschen zu schätzen, die eine peinliche oder illegale Handlung begangen haben, lässt man jeden Befragten heimlich eine Münze werfen: Bei „Kopf" antwortet er ehrlich, bei „Zahl" wirft er noch einmal und antwortet je nach Ergebnis „ja" oder „nein". Jede einzelne Antwort ist damit abstreitbar – niemand kann aus einem „Ja" schließen, dass die Person die Handlung wirklich begangen hat. Aber über viele Befragte lässt sich der wahre Anteil sauber herausrechnen, weil man die Wahrscheinlichkeiten der Münzwürfe kennt. Das ist Differential Privacy avant la lettre: plausible Abstreitbarkeit für den Einzelnen, verlässliche Statistik im Aggregat.

RAPPOR und Apple: Milliarden Geräte

Google brachte diese Idee 2014 mit RAPPOR (Randomized Aggregatable Privacy-Preserving Ordinal Responses; Erlingsson, Pihur, Korolova) auf Internet-Maßstab. Im Chrome-Browser sammelte RAPPOR Einstellungen wie die voreingestellte Startseite oder Suchmaschine – um etwa Schadsoftware zu erkennen, die Browsereinstellungen kapert –, ohne je die echte Einstellung eines einzelnen Nutzers zu erfahren. Der Trick: Der Wert wird in einen kompakten Bitvektor (einen Bloom-Filter) gehasht, und auf jedes Bit wird Randomized Response angewandt. Es war die erste LDP-Bereitstellung im Milliardenmaßstab.

Apple kündigte 2016 an, lokale Differential Privacy ebenfalls einzusetzen – etwa um beliebte Emojis, neue Trend-Wörter oder Nutzungsmuster zu erkennen, ohne individuelle Eingaben preiszugeben. Apples Einsatz wurde aber auch zum Lehrstück in Sachen ehrlicher Buchführung: Unabhängige Forscher (Tang et al. 2017) analysierten die Implementierung und stellten fest, dass zwar das Budget pro Meldung klein war (etwa \(\varepsilon = 1\) oder \(2\)), das gesamte über einen Tag zulässige Budget je nach Datentyp jedoch bis auf Werte um \(\varepsilon \approx 16\) anstieg – deutlich schwächer, als der Marketing-Begriff „Differential Privacy" nahelegte. Ich bin der Meinung, dass gerade dieser Streit den größten Wert der Definition zeigt: Weil \(\varepsilon\) eine harte Zahl ist, konnte man überhaupt objektiv streiten, statt nur Marketing-Behauptungen gegenüberzustehen. Man muss die Zahl nennen, sonst ist die Aussage leer.

Teil 6: Der US-Zensus 2020 – der Lackmustest

Die bislang folgenreichste und meistdiskutierte Anwendung von Differential Privacy ist die US-Volkszählung 2020. Wie erwähnt, hatte das Census Bureau an den Daten von 2010 einen internen Rekonstruktionsangriff durchgeführt und war erschrocken, wie viele Einzelpersonen sich aus den veröffentlichten Tabellen zurückrechnen ließen. Die Konsequenz war ein historischer Bruch: Zum ersten Mal überhaupt schützte eine große statistische Behörde eine komplette Volkszählung mit formaler Differential Privacy, umgesetzt im sogenannten Disclosure Avoidance System mit dem TopDown-Algorithmus.

TopDown arbeitet hierarchisch: Es fügt zunächst verrauschte Zählungen auf der obersten geografischen Ebene (dem ganzen Land) hinzu und arbeitet sich dann über Bundesstaaten, Countys, Tracts bis hinunter zu den einzelnen Blocks vor. Weil naives Rauschen unsinnige Ergebnisse liefern kann (negative Einwohnerzahlen, Kinder ohne Erwachsene im Haushalt, Summen, die nicht aufgehen), folgt ein aufwändiger Post-Processing-Schritt, der die verrauschten Zahlen wieder in konsistente, nichtnegative, ganzzahlige Tabellen zwingt – und zwar so, dass die Differential-Privacy-Garantie dank Immunität gegen Nachverarbeitung erhalten bleibt.

Der eigentliche Kulturkampf entzündete sich am Parameter \(\varepsilon\). Wo soll man den Regler zwischen Privatsphäre und Genauigkeit einrasten lassen? Die frühen Demonstrationsdaten mit strengeren Budgets erzeugten heftigen Widerstand bei Demografen, Kommunen und Redistricting-Fachleuten, die um die Brauchbarkeit der Zahlen für kleine Gebiete fürchteten. Das Bureau lockerte den Regler in mehreren Schritten – von anfänglich niedrigen Werten schrittweise nach oben –, bis der finale Privatsphäre-Verlust-Budget-Wert für die Personendaten bei rund \(\varepsilon \approx 19{,}6\) landete (über alle Abfragen des Personen-Datenprodukts summiert; für weitere Datenprodukte kamen eigene Budgets hinzu). Der Streit landete sogar vor Gericht (Alabama klagte gegen die Methode und verlor). Ich bin der Meinung, dass dieser Streit weniger ein Versagen der Methode als ihr eigentlicher Triumph war: Zum ersten Mal musste eine Behörde die Abwägung zwischen Privatsphäre und Nutzen öffentlich, zahlenmäßig und überprüfbar austragen, statt sie in undurchsichtigen Ad-hoc-Verfahren zu verstecken. Differential Privacy machte den Zielkonflikt sichtbar, den es immer schon gab.

Teil 7: Differential Privacy trifft künstliche Intelligenz

Warum Modelle ihre Trainingsdaten verraten

Moderne neuronale Netze haben ein unangenehmes Talent: Sie merken sich Teile ihrer Trainingsdaten. Sprachmodelle können, geschickt abgefragt, wörtlich Passagen aus ihrem Training ausspucken – darunter Namen, Adressen oder Kreditkartennummern, wenn solche im Trainingskorpus lagen. Membership-Inference-Angriffe können bestimmen, ob ein bestimmter Datensatz im Training war. Für jeden, der Modelle auf sensiblen Daten trainiert – Patientenakten, Nachrichten, Finanztransaktionen –, ist das ein ernstes Problem. Der Bezug zu den früheren Artikeln über die Architektur und die Skalierung dieser Modelle liegt nahe: Je größer die Kapazität, desto mehr können sie sich merken.

DP-SGD: privates Training

Die Antwort heißt DP-SGD (Differentially Private Stochastic Gradient Descent), eingeführt von Martín Abadi und Kollegen bei Google in „Deep Learning with Differential Privacy" (ACM CCS, 2016). Die Idee greift genau an der Stelle an, an der das Modell aus einzelnen Datenpunkten lernt – beim Gradienten. Zwei Modifikationen des gewöhnlichen Trainings genügen im Kern:

Erstens das Clipping: Der Beitrag jedes einzelnen Trainingsbeispiels zum Gradienten wird in seiner Länge nach oben beschränkt (auf eine feste Norm gekappt). Damit begrenzt man die Sensitivität – kein einzelnes Beispiel darf das Update beliebig weit ziehen. Zweitens das Rauschen: Zum aggregierten (geklippten) Gradienten eines Mini-Batches wird Gaußsches Rauschen addiert, bevor das Modellgewicht aktualisiert wird. Über die vielen tausend Trainingsschritte summiert sich der Privatsphäre-Verlust – und hier kam Abadis eigentliche technische Innovation ins Spiel: der Moments Accountant, eine Buchführung, die den kumulierten \(\varepsilon\)-Verbrauch über die Log-Momente der Privatsphäre-Verlust-Zufallsvariablen verfolgt und dabei viel engere (kleinere) \(\varepsilon\)-Werte liefert als naive Komposition. Damit ließen sich Netze überhaupt erst mit brauchbarer Genauigkeit und sinnvollen Budgets trainieren. Der Moments Accountant wurde später als Spezialfall der Rényi-Differential-Privacy erkannt und steckt heute in Bibliotheken wie Opacus (PyTorch) und TensorFlow Privacy.

Der Preis ist real: Differenziell privat trainierte Modelle sind in der Regel etwas weniger genau, brauchen mehr Daten und mehr Rechenzeit, und sie treffen besonders die „Ränder" der Datenverteilung – seltene Beispiele und Minderheiten werden vom Rauschen stärker geschluckt. Das ist eine ernste und aktiv erforschte Fairness-Frage: Der Schutz des Einzelnen und die Genauigkeit für kleine Gruppen ziehen in dieselbe unangenehme Richtung.

Teil 8: Die harten Grenzen und offenen Streitfragen

So elegant Differential Privacy ist – man tut ihr keinen Gefallen, wenn man sie als Allheilmittel verkauft. Es lohnt sich, die Grenzen so klar zu benennen wie die Stärken.

Was schützt sie eigentlich? Differential Privacy schützt die Teilnahme eines Individuums, nicht die Wahrheit über die Welt. Wenn eine Studie feststellt, dass Rauchen Krebs verursacht, dann „schadet" das jedem Raucher – aber dieser Schaden entsteht aus der Korrelation in der Bevölkerung, nicht aus der Teilnahme einer bestimmten Person. Differential Privacy verhindert (korrekterweise) nur Letzteres. Sie ist kein Schutz gegen zutreffende statistische Schlüsse über Gruppen.

Die Wahl von \(\varepsilon\) bleibt eine Politik, keine Wissenschaft. Es gibt keine naturgegebene „richtige" Zahl. \(\varepsilon = 0{,}1\) ist sehr streng, \(\varepsilon = 1\) gilt vielen als guter Kompromiss, \(\varepsilon = 10\) ist schon recht schwach – und der Zensus landete deutlich darüber. Die Definition sagt einem, was ein gegebenes \(\varepsilon\) bedeutet, aber nicht, welches man wählen soll; das ist eine gesellschaftliche und wirtschaftliche Abwägung. Immerhin: Man muss die Abwägung benennen.

Implementierung ist tückisch. Die schöne Theorie setzt idealen Zufall und reelle Zahlen voraus. Reale Computer rechnen mit endlicher Fließkommagenauigkeit, und Mironov zeigte 2012, dass eine naive Laplace-Implementierung über die niederwertigsten Bits der Fließkommazahlen die Privatsphäre komplett aushebeln kann. Timing-Seitenkanäle und fehlerhafte Zufallsquellen sind weitere Fallstricke. Differential Privacy ist ein mathematischer Schild – aber nur, wenn die Implementierung ihn nicht durchlöchert.

Das Budget ist endlich, das Leben nicht. Wenn eine Organisation dieselben Personen über Jahre immer wieder befragt, verbraucht sich das Budget über die Zeit. Wie man Privatsphäre über viele Veröffentlichungen hinweg sinnvoll verwaltet, ohne irgendwann „pleite" zu sein, ist ein aktives Forschungsfeld – ebenso wie die Frage, wie man das Verhältnis zu Rechtsrahmen wie der DSGVO sauber fasst (Differential Privacy erfüllt nicht automatisch „Anonymisierung" im Rechtssinne, kann aber ein starkes technisches Argument sein).

Trotz alledem: Differential Privacy ist die einzige Datenschutzdefinition, die ihr Versprechen mathematisch beweisen kann, statt es nur zu behaupten. Das allein hebt sie über alles, was vorher da war.

Erkenntnis zum Mitnehmen

Die zentrale Lektion von Differential Privacy reicht weit über den Datenschutz hinaus, und sie lautet in einem Satz: Ein starkes Sicherheitsversprechen definiert man am besten nicht über das, was ein Angreifer weiß, sondern über das, was das eigene Verfahren garantiert – unabhängig vom Angreifer. Klassische Anonymisierung scheiterte, weil sie gegen ein bewegliches Ziel kämpfte: das unbekannte, ständig wachsende Hintergrundwissen der Welt. Differential Privacy gewann, weil sie dieses Ziel aus der Gleichung strich und stattdessen eine Eigenschaft des Prozesses forderte, die gegen jeden Gegner hält.

Der praktische Handlungsanstoß daraus ist übertragbar und unmittelbar nützlich – gerade für alle, die Systeme entwerfen. Wenn du das nächste Mal eine Sicherheits- oder Datenschutzannahme triffst, frage nicht „Wer könnte das angreifen und wie?", denn diese Liste ist nie vollständig. Frage stattdessen: „Welche Garantie hält unabhängig davon, wer angreift und was er weiß?" Und wenn du eine Datenschutzbehauptung hörst – „anonymisiert", „aggregiert", „kann man nicht zurückverfolgen" –, dann verlange die Zahl dahinter. Wo kein \(\varepsilon\) genannt wird, ist das Versprechen unüberprüfbar. Differential Privacy hat den Datenschutz von einem Adjektiv („anonym") in eine Größe („\(\varepsilon = 1\)") verwandelt, und das ist der eigentliche Fortschritt: Über Adjektive kann man nur glauben, über Größen kann man rechnen, budgetieren und streiten.

Reflexionsfrage

Differential Privacy zwingt jede Organisation, den Zielkonflikt zwischen Nutzen und Schutz in einer einzigen, öffentlich nennbaren Zahl auszudrücken – und macht damit sichtbar, was vorher im Vagen blieb. Welche Datenschutz- oder Sicherheitsversprechen in deiner eigenen Arbeit beruhen heute noch auf einem beruhigenden Adjektiv statt auf einer überprüfbaren Größe – und was würde sich ändern, wenn du gezwungen wärst, für jedes von ihnen ein konkretes, verteidigbares \(\varepsilon\) zu nennen?

Querverweise im Vault

• Der Ausweis, der schweigt: eIDAS 2.0, die EU-Identitäts-Wallet und die Kunst, nur das Nötigste preiszugeben – Datenminimierung und selektive Offenlegung als das komplementäre Prinzip: nur das Nötigste preisgeben, statt Aggregate zu verrauschen.
• Beweisen ohne zu verraten: Zero-Knowledge-Beweise von Ali Babas Höhle bis zu zk-SNARKs – die andere große kryptografische Antwort auf „beweisen, ohne zu verraten"; oft mit Differential Privacy kombiniert.
• Die Pyramide des Risikos: Wie der EU AI Act künstliche Intelligenz bändigt – und warum das die ganze Welt betrifft – der regulatorische Rahmen, in dem datenschutzfreundliches KI-Training zunehmend zur Pflicht wird.
• Der Schlüssel, der nach jeder Nachricht stirbt: Das Signal-Protokoll, die Double Ratchet und die Kunst der Ende-zu-Ende-Verschlüsselung – Datenschutz durch beweisbare Protokolleigenschaften statt durch Vertrauen in den Betreiber.
• Ernte jetzt, entschlüssle später: Post-Quanten-Kryptographie und das Rennen gegen den Quantencomputer – ein weiterer Fall, in dem eine mathematische Garantie an die Stelle bloßer Hoffnung tritt.

Quellen

• Dwork, McSherry, Nissim & Smith, „Calibrating Noise to Sensitivity in Private Data Analysis", Theory of Cryptography Conference (TCC) 2006: https://link.springer.com/chapter/10.1007/11681878_14
• Dwork & Roth, „The Algorithmic Foundations of Differential Privacy", Foundations and Trends in Theoretical Computer Science 9(3–4), 2014: https://www.nowpublishers.com/article/Details/TCS-042
• Narayanan & Shmatikov, „Robust De-anonymization of Large Sparse Datasets" (Netflix Prize), IEEE Symposium on Security and Privacy 2008: https://arxiv.org/abs/cs/0610105
• Erlingsson, Pihur & Korolova, „RAPPOR: Randomized Aggregatable Privacy-Preserving Ordinal Response", ACM CCS 2014: https://dl.acm.org/doi/10.1145/2660267.2660348
• Abadi et al., „Deep Learning with Differential Privacy", ACM CCS 2016: https://arxiv.org/abs/1607.00133
• Abowd et al. / U.S. Census Bureau, „The 2020 Census Disclosure Avoidance System TopDown Algorithm", 2022: https://arxiv.org/abs/2204.08986

← All articles