GI-Radar 331: Verbraucherschutz durch Aufklärung?

Liebe Leserinnen und Leser,

in unseren Kurzmitteilungen geht es in dieser Woche unter anderem – mal wieder – um ChatGPT, um die Position des Ethikrates zu KI-Anwendungen und die Blauäugigkeit beim Onlinebanking. Um Blauäuigkeit geht es auch im Thema im Fokus – und zwar im Kontext des digitalen Verbraucherschutzes. Im Fundstück stellen wir Ihnen das künstlerische Experiment „Made to Measure“ vor.

Wir wünschen Ihnen viel Spaß mit dieser Ausgabe!

auf gi-radar.de weiterlesen

KURZMITTEILUNGEN

ChatGPT, Schockstarre: ein Kulturtheoretiker denkt nach (taz): An Schulen und Hochschulen geht das Gespenst von komplett maschinengeschriebenen Arbeiten um. Was, wenn Seminarbeiten nicht mehr von den Studierenden, sondern aus der Maschine kommen? Findet man das heraus? Wie geht es mit der Wissenschaft weiter? Ist das womöglich der Untergang des wissenschaftlichen Arbeitens? Provokante These: Nur anders denken ist Wissenschaft. Der Rest kann getrost von Software übernommen werden.  weiterlesen

ChatGPT, Urheberrecht und Kontrolle (Spiegel). Neben der Frage, wer seriös Wissenschaften betreiben kann (s.o.) stellt sich unter anderem auch die Frage, wie Urheberrechte geschützt werden, wenn ein Bot meine Texte ohne Quellenangabe verarbeitet. Und natürlich stellt sich auch die Frage, aus welchen (möglicherweise verbotenen oder nicht erwünschten) Texten „Wissen“ geschaffen wird und ob und wie man das gesetzlich regulieren kann.  weiterlesen

Nicht alles, was geht, darf umgesetzt werden: Stellungnahme des Ethikrates zum Einsatz von KI (Tagesschau). Der Ethikrat hat eine Stellungnahme vorgelegt, in der er den Einsatz künstlicher Intelligenz in den vier Feldern Medizin, schulische Bildung, öffentliche Kommunikation und Meinungsbildung sowie öffentliche Verwaltung bewertet. Fazit: Künstliche Intelligenz darf den Menschen nicht ersetzen.  weiterlesen

Elektronische Patientenakte & Vertrauen (Netzpolitik). Das Thema elektronische Patientenakte (ePA) wühlt die Gemüter auf. Es geht um Vereinfachung, Vertrauen und Misstrauen, Selbstbestimmtheit und vieles mehr. Dass das Thema Vertrauen gerade bei digitalen Lösungen, die hakeliger sind als die Installation einer Tageszeitung als App, das A und O für die Akzeptanz ist, beschreibt ein Kommentar.  weiterlesen

Onlinebanking: Sicherheitsmaßnahmen und Selbstverantwortung (SZ). Gut 100.000 Euro weg an einem Wochenende: wer ist schuld? Ein Fall aus München zeigt, wie raffiniert Onlinebetrug mittlerweile funktioniert. Eigentlich sollten wir das alle wissen und gewappnet sein, dennoch …  weiterlesen

THEMA IM FOKUS

Digitaler Verbraucherschutz durch Aufklärung? Wie sollen die Interessen und Rechte von Verbraucherinnen und Verbraucher durchgesetzt werden? Im Verbraucherschutz gibt es dazu zwei Ansätze: entweder durch Kontrollen und gesetzliche Regulierung in den Markt einzugreifen, sodass angebotene Produkte von angemessener Qualität sind; oder Verbraucherinnen und Verbraucher „mündig“ zu machen, sodass sie informierte Kaufentscheidungen treffen und die Folgen ihrer Entscheidungen überblicken. Gerade im digitalen Verbraucherschutz haben beide Ansätze ihre Tücken.

Betrachten wir die Kaufentscheidung für eine Smartwatch. Im Rahmen des vom BMBF geförderten Forschungsprojekts InviDas, an dem auch die GI beteiligt ist, analysierten wir sieben Smartwatches namhafter Anbieter aus der Sicht einer Person, die sich vor dem Kauf über Sicherheits- und Datenschutzmerkmale der Produkte informieren möchte. Bei keinem der Produkte wurden auf den Webseiten, Verpackungen oder Beipackzetteln Fragen zu Sicherheit und Datenschutz behandelt. Erst während der Einrichtung der zugehörigen Smartphone-Apps fanden sich vereinzelt Hinweise auf Datenschutzerklärungen, welche jedoch meist mehrere Dutzend Bildschirmseiten umfassten und schwer verständlich waren. Eine informierte Kaufentscheidung scheitert bei diesen Produkten an unzureichenden und unverständlichen Informationen seitens der Anbieter. Eine solche Informationsasymmetrie zwischen Anbietern und Nachfragern existiert nicht nur bei digitalen Produkten, sondern beispielsweise auch bei Gebrauchtwagen; dort wurden die negativen Auswirkungen auf den Markt bereits vor Jahrzehnten untersucht (siehe „Market for Lemons“ von George Akerlof, Gabler Wirtschaftslexikon).

Würde sich die Lage bessern, wenn Verbraucherschutzorganisationen dieses Informationsdefizit durch Aufklärungsangebote schließen oder wir die Anbieter gar durch Gesetze verpflichteten, Hinweise zu Sicherheit und Datenschutz auf die Packung zu drucken? Wahrscheinlich nicht. Unter Unsicherheit entscheiden Menschen oft nicht rational, selbst wenn sie gut informiert sind. Dies gilt insbesondere bei der Bewertung von langfristigen Risiken, vor denen die Sicherheitsmerkmale und Datenschutzmaßnahmen bei einer Smartwatch schützen sollen. Gerade beim Schutz ihrer Privatsphäre weisen wir zahlreiche verhaltensökonomische Schwächen auf (siehe z.B. Acquisti und andere).

Wenig hilfreich ist auch die Tatsache, dass bei Sicherheitsmängeln in Produkten häufig nicht die Hersteller oder Käufer betroffen sind, sondern Dritte, wie Anderson und Moore bereits 2007 feststellten (siehe das gut verständliche Papier auf www.cl.cam.ac.uk). Dieses als „externalisierte Kosten“ bezeichnete Phänomen tritt nicht nur, aber insbesondere bei digitalen Produkten auf. Ein bekanntes Beispiel sind unsichere digitale Videorekorder, die 2016 zum Mirai-Botnetz zusammengeschlossen wurden und erhebliche Internetstörungen verursachten (gute Zusammenfassung bei golem). Solange weder die Hersteller noch die Käufer einen Anreiz haben, sich um ausreichende Sicherheit zu kümmern, werden vorrangig unsichere und die Privatsphäre vernachlässigende Produkte angeboten. Andere Hersteller können am Markt nicht bestehen („adverse selection“).

Abgesehen davon ist Verbraucherschutz durch Aufklärung gerade im Bereich der IT-Sicherheit und des Datenschutzes ein schwieriges Unterfangen. Die Erfahrung zeigt, dass es kaum möglich ist, einfache und universelle Ratschläge zu geben, die sich von Verbraucherinnen und Verbrauchern unmittelbar umsetzen lassen.

Ein griffiges Beispiel sind etwa die Empfehlungen zur Passwortsicherheit. Durch den Versuch, möglichst einfache Ratschläge zu geben, wurden jahrelang menschenunfreundliche Anforderungen aufgestellt: „mindestens 8 zufällig gewählte Zeichen, nicht aus dem Wörterbuch, bei jedem Dienst ein anderes, alle paar Monate ändern“). Dies führte bei den Nutzenden zu viel Frust – und zu schlechten bzw. schlecht merkbaren Passwörtern. Dass ein recht angenehm einzugebendes, mit dem Diceware-Ansatz erzeugtes Passwort wie „kurort ausdruck besetzen pauschal“ tatsächlich jedoch schwerer zu erraten ist (vier zufällig gezogene Wörter aus einer Menge von 7776 möglichen Wörtern, also 7776 hoch 4 = 3,6 Billiarden Möglichkeiten) als das zufällig erzeugte Passwort „7Gdm-q1x“ (acht zufällige Zeichen aus einer Menge von 82 möglichen Zeichen, also 82 hoch 8 = 2,0 Billiarden Möglichkeiten), dürfte viele überraschen.

Ist das nicht ein Argument dafür, dass noch sehr viel mehr Aufklärung notwendig ist? Daran bestehen Zweifel. In einer 2017 veröffentlichten Studie wurden 231 IT-Security-Fachleute gefragt, was die wichtigsten Sicherheits- und Datenschutzempfehlungen seien, die sie Laien geben würden (research.google). Das Ergebnis ist eine Liste von 152 Ratschlägen – von „Systemupdates einspielen“ über „immer misstrauisch sein“ und „Linux verwenden“ bis „immer starke Passwörter setzen“. Interessant: In der Studie wurden auch Nutzerinnen und Nutzer nach den ihrer Meinung nach wichtigsten Maßnahmen gefragt – und in vielen Fällen schätzten sie die Wichtigkeit völlig anders ein als die Fachleute.

Aufklärung kann auch schaden: Informierte bzw. geschulte Menschen machen unter Umständen öfter Fehler. So stellte sich in einer im Jahr 2019 veröffentlichten Studie heraus, dass Haushalte, in denen Firefox, Antiviren-Software und ein Passwort-Manager zum Einsatz kamen, öfter von Schadsoftware infiziert waren als andere (dl.acm.org) – und eine groß angelegte Studie zur Effektivität von Phishing-Trainings ergab, dass diejenigen Mitarbeitenden, die ein Phishing-Training durchlaufen hatten, öfter auf Phishing-Links klickten (arxiv.org). Es gibt sogar Hinweise dafür, dass Verbraucherinnen und Verbraucher völlig rational handeln, wenn sie Sicherheitsempfehlungen ignorieren (microsoft.com).

Die Komplexität der Technik ist hoch und nicht einmal Fachleute sind sich einig, welche Fakten und welche Handlungskompetenzen wichtig und richtig sind. Diese Situation gibt es auch in anderen Situationen, etwa bei Fragen zur gesunden Ernährung oder Finanzanlagen. Auch in diesen Feldern gibt es Versuche zur besseren Aufklärung – mit überschaubarem Erfolg, wie sich beispielsweise an den Unzulänglichkeiten der Lebensmittelampel („Nutriscore“) zeigen lässt, die hier nicht näher ausgeführt werden sollen. Ob sich Nutzungsentscheidungen für digitale Produkte durch Kennzeichnung und zusätzliche Informationen (wie dem „Basisinformationsblatt“ bei Finanzanlagen) verbessern lassen? Auf jeden Fall ist das ein schwieriges Problem, in dem noch viel Grundlagenforschung möglich ist.

Was ließe sich kurzfristig tun? Unmittelbar hilfreich wäre fachkundige Beratung zu konkreten Produkten, am besten durch neutrale Stellen. Die einschlägigen Behörden halten sich damit allerdings zurück, etwa weil sie zur Neutralität verpflichtet sind und nicht in den Markt eingreifen dürfen. Beratung findet daher bislang häufig durch engagierte Privatpersonen statt – und durch nichtkommerzielle Angebote wie Privacy not Included, Mobilsicher und ToS;DR.

Schlecht informierte oder irrational agierende Verbraucherinnen und Verbrauchern sind allerdings nur ein Teil des Problems. Die eigentliche Ursache für Sicherheitsmängel und unzureichenden Datenschutz sind schließlich die Anbieter. Viel gewonnen wäre schon damit, die geltenden rechtlichen Anforderungen konsequent zu verfolgen – womit Aufsichtsbehörden und Verbraucherzentralen aber bis auf weiteres überfordert sind. 

Wünschenswert wären auch mehr anlassunabhängige Kontrollen. Bisher werden diese vor allem von Wissenschaftlerinnen und Wissenschaftlern im Rahmen ihrer Forschungsarbeit durchgeführt, wodurch immer wieder Mängel aufgedeckt werden. Allerdings fehlt es vielen Hochschulen und Mitgliedern der wissenschaftlichen Community an Möglichkeiten zur zielgruppenorientierten Öffentlichkeitsarbeit – und gerade der wissenschaftliche Nachwuchs ist erheblichen rechtlichen Risiken ausgesetzt, wie beispielsweise ein Fall aus dem Jahr 2018 zeigt (heise).

Angesichts der unzureichenden Ressourcenausstattung bei den Aufsichtsbehörden sollten wir jedenfalls nicht den Kopf in den Sand stecken – wenn wir den Verbraucherschutz auf die Verbraucher abwälzen, dann machen wir es uns zu leicht!

Diesen Text hat unser GI-Radar-Herausgeber Dominik Herrmann geschrieben.

GI-MELDUNGEN

Neue Zeitschrift „Informatische Bildung in Schulen“. Jahrzehntelang gab es für Informatiklehrkräfte in der GI die Zeitschrift LOG IN, in der das Thema Informatikunterricht in den Schulen in all seinen Facetten und direkt nutzbar aufbereitet wurde. Nach der Einstellung der LOG IN gibt es nun ein Nachfolgeformat, initiiert vom Fachausschuss „Informatische Bildung in Schulen“ und der Fachgruppe „Didaktik der Informatik“. Für eine erste Ausgabe dieser Open-Access-Zeitschrift suchen die Aktiven Beiträge mit Bezug zur Informatischen Bildung in Schulen. Herzlichen Dank für diese tolle Aktivität! Details zum Beitragsaufruf und der Zeitschrift gibt es hinter dem Link. weiterlesen

Ausgezeichnete Softwarequalität. Unter der Federführung der FG „Test, Analyse und Verifikation von Software“ (TAV) verleihen der ASQF, die GI-TAV und das German Testing Board zum dritten Mal den „Deutschen Preis für Software-Qualität“ (DPSQ23)“. Mit diesem Preis sollen diejenigen Personen, Personengruppen, Firmen, Initiativen oder Institutionen ausgezeichnet werden, die sich in besonderer Weise für die Qualität von Software eingesetzt haben. Bis zum 30. April können Vorschläge eingereicht werden. Weitere Informationen hinter dem Link.  weiterlesen

Nachhaltige Software – geht das? Das Programmieren und die Nutzung von Software verbrauchen naturgemäß Energie. Der Frage, ob und wie sich der Verbrauch reduzieren lässt, sind Interessierte in einem Workshop des GI-Projektes „Potential of Green Coding“ nachgegangen.  weiterlesen

Webtalk aus dem GI-Projekt TrainDL. Die Qualität digitaler Bildung hängt häufig von ganz unterschiedlichen Faktoren ab. Eine gleichbleibend angemessene Qualität ist so schwer herzustellen, Der Frage, wie digitale Bildung vergleichbar gestaltet werden kann, gehen Fachleute in einem GI-Webtalk am 19. April nach.  weiterlesen

Kennen Sie eigentlich den GI-Pressespiegel dort sammeln wir die Berichterstattung über unsere Fachgesellschaft in Zeitungs-, Radio- und Fernsehbeiträgen. Schauen Sie rein, es gibt da immer wieder Neues oder auch ältere Fundstücke.

FUNDSTÜCK

Made to Measure – mit Google-Daten ein Double erschaffen. Im August 2021 hat die Künstlergruppe Laokoon ein Experiment veröffentlicht, das die Macht von Google-Daten zeigt: Sie hat eine Frau aus ihren Daten rekonstruiert und ihr eine Schauspielerin als Double vorgestellt. Wie ähnlich sind sich die beiden? Und was sagt das über unsere digitale Identität aus? Das Experiment ist Teil des Projekts „Made to Measure“, das von der Kulturstiftung des Bundes gefördert wurde. Eine aufwändig gestaltete interaktive Website macht den Versuch anschaulich nachvollziehbar.  Zum Fundstück (madetomeasure.online)

Welches Fundstück hat Sie zuletzt inspiriert? Senden Sie uns Ihre Ideen!

Dies war Ausgabe 331 des GI-Radars vom 24.03.2023. Zusammengestellt wurde diese Ausgabe von Dominik Herrmann, der sich furchtbar gerne mit seinem digitalen Double unterhalten würde. GI-Geschäftsführerin Cornelia Winter hat die Mitteilungen und Meldungen zusammengetragen. Das nächste GI-Radar erscheint am 7. April 2023.

Im GI-Radar berichten wir alle zwei Wochen über ausgewählte Informatik-Themen. Wir sind sehr an Ihrer Meinung interessiert. Für Anregungen und Kritik haben wir ein offenes Ohr, entweder per E-Mail (redaktion@gi-radar.de) oder über das Feedback-Formular bei SurveyMonkey. Links und Texte können Sie uns auch über Twitter (@informatikradar) zukommen lassen.