w26M2

verursachen höhere Schäden in der KFZ-Versicherung« ist
sicherlich völlig unkritisch und publizierbar. Aber aus dem
Muster »Porschefahrer unter 20 Jahren mit Wohnsitz in
der PLZ 53727 verursachen häufiger Schäden über 1 Mio.
Euro« lassen sich mit hoher Wahrscheinlichkeit personenbezogene
Informationen zurückschließen – gerade wenn
andere Informationsquellen wie Lokalnachrichten aus
dem Internet zur Verfügung stehen.
Das Privacy-Preserving Data Mining beschäftigt sich mit
der Frage, wie Garantien über den Datenschutz in die
Datenanalyse integriert werden können. Aufgrund der
Komplexität der Fragestellung gibt es dabei kein Patentrezept,
verschiedene Ansätze haben sich aber als sinnvoll
herauskristallisiert.
Ansatz Anonymize-and-Mine
Beim Ansatz Anonymize-and-Mine werden Daten zuerst
anonymisiert (bzw. pseudonymisiert). Dies geschieht,
indem gezielt Informationen weggelassen werden,
bis klar definierte Anonymitätskriterien erfüllt sind.
Die gebräuchlichsten Anonymitätsmaße sind hier die
k-Anonymität, l-Diversität und t-Closeness. Geeignete
Tools dafür sind frei verfügbar. Der Vorteil dieses Ansatzes
ist, dass einmal anonymisierte Daten bedenkenlos
weiterverarbeitet werden können, die kritischen Informationen
sind ein für allemal zerstört. Der Nachteil ist, dass
dies ungerichtet erfolgt und dabei auch Informationen,
die für eine Analyse sehr relevant sein könnten, zerstört
werden können. Gerade bei sehr hochdimensionalen
Daten – typisch für Big Data – ist dies ein sehr schwieriges
Problem. Als Beispiel: wenn das Data Mining auf sehr
hochdimensionalen Versicherungsdaten herausfindet,
dass nur Alter und Wohnort für das Risiko relevant sind,
ist eine Anonymisierung einfach. Wird allerdings vorher
anonymisiert ist es sehr einfach möglich, dass gerade
Alter und Wohnort aus den Daten entfernt werden, da sie
zusammen mit wenigen anderen Daten eine Identifikation
erlauben.
Ansatz Mine-and-Anonymize
Der Ansatz Mine-and-Anonymize geht die entgegengesetzte
Richtung: die Datenanalyse erfolgt auf nichtanonymisierten
Daten, erst für das Ergebnis werden
Datenschutzgarantien gegeben. Dies erfolgt entweder
durch ein geeignetes Post-Processing – Ergebnisse, die
vorgegebenen Privacy-Kriterien widersprechen, werden
herausgefiltert – oder durch den direkten Einbau der
Kriterien in den Data-Mining-Algorithmus. Dadurch ist die
Umsetzung dieses Ansatzes eher kompliziert – für jedes
Data-Mining-Verfahren und jede Datenschutzanforderung
muss eine eigene Implementierung erfolgen – aber
dadurch sind hier auch die besten Ergebnisse zu erwarten.
Secure Distributed Computing
Ein Ansatz, der sich gerade bei verteilten Daten eignet, ist
das Secure Distributed Computing. Typische Einsatzfälle
sind, wenn mehrere Unternehmen bei der Datenanalyse
kooperieren wollen – etwa um Betrugsmuster zu
finden – ohne ihre eigenen Daten herauszugeben oder
die verschiedenen Informationen über dieselben Personen
an mehreren Stellen getrennt gespeichert sind und
aus Sicherheitsgründen keine kombinierte Datenbank
in Betracht kommt. Mittels spezieller kryptographischer
Techniken lassen sich Data-Mining-Algorithmen umsetzen,
die dieselben Ergebnisse erzeugen wie bei einer klassischen
Analyse auf einem kombinierten Datensatz, ohne
dass die einzelnen Daten exportiert werden müssen oder
erschließbar sind. Auch hier sind hochqualitative Ergebnisse
zu erwarten, bei der Umsetzung handelt es sich aber
wiederum um Speziallösungen, die zudem aufgrund der
eingesetzten kryptographischen Verfahren sehr laufzeitintensiv
sind.
Zusammengefasst lässt sich sagen, dass das Privacy-
Preserving Data Mining sehr gute Ansätze liefert, Datenschutzanforderungen
mit mathematischen Garantien zu
erfüllen. Aufgrund der Komplexität der Fragestellungen
sollten diese Fragestellungen aber auf jeden Fall direkt zu
Beginn eines Big-Data-Projektes adressiert werden, um
effektive Lösungen zu finden.
148