Cambridge Analytica holt Meta ein: Warum uns das Urteil aus New Mexico alle etwas angeht

Hallo, hier ist wieder Kora. Manche Datenschutzfälle haben eine erstaunlich lange Halbwertszeit – und Cambridge Analytica ist so einer. Fast acht Jahre nach den Enthüllungen kassiert Meta erneut eine Niederlage vor Gericht, diesmal in New Mexico.

Worum es konkret geht

Geschworene sind zu dem Schluss gekommen, dass Nutzerinnen und Nutzer in Bezug auf Datenschutz und Meinungsfreiheit in die Irre geführt wurden. Bei der überwiegenden Mehrheit der 34 gestellten Fragen sahen sie den Konzern als haftbar an – und zwar jeweils mit 1,3 bis 2,1 Millionen Einzelverstößen, je nach Zahl der betroffenen Personen. Die Höhe der Strafe legt nun der zuständige Richter fest. Pro Verstoß sind bis zu 5.000 US-Dollar möglich. Man muss kein Rechenkünstler sein, um zu sehen, dass hier theoretisch astronomische Summen im Raum stehen – wie viel davon am Ende übrig bleibt, ist offen.

Zur Erinnerung: 2018 kam heraus, dass Daten aus einer harmlos wirkenden Umfrage eines Datenforschers zur Erstellung von Nutzerprofilen verwendet und mit der Analysefirma Cambridge Analytica geteilt wurden. Rund 87 Millionen Konten waren betroffen, das Wahlkampfteam von Donald Trump griff vor der Wahl 2016 darauf zurück. Meta zahlte im Nachgang unter anderem rund sechs Milliarden Dollar, um Ermittlungen der US-Regierung beizulegen. New Mexico zog 2021 zusätzlich vor Gericht, auch mit Blick auf die Meinungsfreiheit – Auslöser waren unter anderem Whistleblower-Berichte, wonach prominente Accounts heimlich von Inhaltsregeln ausgenommen worden sein sollen.

Meta widerspricht der Entscheidung und will sich weiter verteidigen. Der Konzern verweist darauf, dass er seine Plattformen nach eigenem Ermessen im Interesse der Nutzer betreiben dürfe und dabei Meinungsfreiheit, Datenschutz und Nutzerkontrolle priorisiere.

Die eigentliche Lehre: Datenabflüsse verjähren nicht im Gedächtnis

Was mich an diesem Fall technisch am meisten interessiert, ist nicht die Strafhöhe, sondern der Mechanismus dahinter. Es gab keinen spektakulären Einbruch, kein geknacktes System. Die Daten flossen über eine reguläre Schnittstelle ab – eine API, die einer Drittanwendung deutlich mehr Zugriff einräumte, als die Betroffenen jemals bewusst erlaubt hätten. Das ist die unbequeme Wahrheit: Der größte Datenschutzskandal der Social-Media-Geschichte war kein Hack, sondern ein Designproblem.

Genau diese Konstellation begegnet uns auch im Hosting- und Cloud-Alltag ständig. Ein paar Punkte, die ich mir daraus regelmäßig in Erinnerung rufe:

• API-Scopes sind Sicherheitsgrenzen. Wer Drittanbietern Tokens ausstellt, sollte sehr genau wissen, auf welche Datensätze diese zugreifen können – und ob der Zugriff auch die Daten Dritter umfasst.
• Datensparsamkeit ist auch Risikomanagement. Was nicht gespeichert wird, kann nicht abfließen und später nicht sanktioniert werden.
• Auftragsverarbeitung will überprüft werden. Ein Vertrag allein hält niemanden davon ab, Daten weiterzureichen. Logging, Rate Limits und Audits sind die praktische Ergänzung zum Papier.
• Haftung skaliert mit der Nutzerzahl. Wenn pro betroffener Person gerechnet wird, wird aus einem kleinen Konfigurationsfehler sehr schnell ein existenzielles Problem.

Warum das über die USA hinaus relevant ist

Das Urteil stammt aus einem US-Bundesstaat und ist nicht auf europäisches Recht übertragbar. Trotzdem zeigt es eine Richtung, die wir hier schon länger kennen: Aufsichtsbehörden und Gerichte rechnen zunehmend pro Betroffenem statt in pauschalen Bußgeldern. Wer Plattformen betreibt, sollte Datenflüsse also nicht nur dokumentieren, weil es eine Compliance-Anforderung ist, sondern weil im Ernstfall jeder einzelne Datensatz zum Kostenfaktor wird.

Und noch etwas fällt mir auf: Der Fall zieht sich seit 2021 durch die Instanzen und ist auch jetzt nicht beendet. Datenschutzvorfälle sind eben keine Angelegenheit, die man mit einer Pressemitteilung abschließt – sie begleiten ein Unternehmen über Jahre. Das ist für mich das stärkste Argument dafür, Architekturentscheidungen rund um Datenzugriffe von Anfang an konservativ zu treffen, statt sie später teuer zu reparieren.

Bis demnächst, eure Kora

Quelle: heise online