Was KI über unsere Bewegungsdaten verraten kann, Hochschule für Wirtschaft FHNW

Ende September habt Ihr eure Forschung mit der Studie «Agentic AI-Powered Re-Identification: An Emerging, Scalable Threat to Mobility Microdata Privacy» an der internationalen Fachkonferenz Privacy in Statistical Databases (PSD 2026) in Cádiz präsentiert. Worum geht es in eurer Studie und weshalb ist das Thema aktuell besonders relevant?

Jeden Tag sammeln Apps auf unseren Handys Standortdaten, die anschliessend von Datenhändlern weiterverkauft werden, meist mit dem Etikett «anonymisiert». Entfernt wird dabei aber bloss der Name, die Bewegungsspur selbst bleibt vollständig erhalten. Dass sich daraus Personen ermitteln lassen, ist seit Jahren bekannt. Bisher war das jedoch mühsame Handarbeit: Eine erfahrene Person musste pro Zielperson stundenlang Adressen, Register und soziale Netzwerke durchsuchen. Dieser Aufwand hat vor allem verhindert, dass solche Angriffe in grossem Massstab stattfinden. Eine einzelne Person liess sich auch früher ermitteln, nur eben nicht hunderte. Wir haben untersucht, was passiert, wenn KI-Agenten diese Arbeit übernehmen. Mit 43 einwilligenden Testpersonen und simulierten Bewegungsdaten haben wir eine Pipeline aus mehreren KI-Agenten getestet, die ausschliesslich öffentlich zugängliche Quellen nutzt. In 18 von 25 Fällen, in denen eine eindeutige Identifikation überhaupt möglich war, fand das System die richtige Person, im Schnitt in 17 Minuten und für rund 2.24 US-Dollar pro Versuch, vollständig ohne menschliches Zutun. Relevant ist das, weil damit nicht eine neue Gefahr entsteht, sondern eine bekannte plötzlich billig und in grosser Zahl verfügbar wird.

Die Studie zeigt, wie KI die Identifikation von Personen anhand von Standortdaten erleichtern kann. Was hat euch bei den Ergebnissen am meisten überrascht?

Zweierlei. Erstens, wie gut die Identifikation allein aus Standortdaten funktioniert, ohne dass ein Mensch eingreift. Die Agenten bestimmen aus den nächtlichen Aufenthalten die Wohnadresse, aus dem Tagesmuster den Arbeitsort, schlagen im Gebäuderegister nach, durchsuchen Telefonbuch und Firmenwebseiten und gleichen alles gegeneinander ab. In einem Testlauf prüfte das System die Öffnungszeiten eines Restaurants, um zu beurteilen, ob das Arbeitsmuster dazu passt. Zweitens, wie wenig Aufwand der Bau einer solchen Pipeline heute macht. Wir haben mehrere Wochen in Teilzeit daran gearbeitet. Vor wenigen Jahren wäre das ein Projekt für ein ganzes Team gewesen. Genau das ist die eigentliche Botschaft: Nicht die Idee ist neu, sondern wie zugänglich ihre Umsetzung geworden ist.

Viele Menschen gehen davon aus, dass anonymisierte Daten ausreichend geschützt sind. Was zeigt eure Forschung über die Grenzen solcher Anonymisierungsmethoden?

Vieles, was als «anonymisiert» verkauft wird, ist rechtlich betrachtet bloss pseudonymisiert. Datenhändler entfernen den Namen, behalten aber eine Gerätekennung bei. Sonst liesse sich aus den einzelnen Punkten gar keine Bewegungsspur bilden. Und eine Spur verrät sehr viel: wo jemand schläft, wo er arbeitet, wen er regelmässig besucht.

Entscheidend ist der Massstab, den das Datenschutzrecht anlegt. Nach Erwägungsgrund 26 der DSGVO gelten Daten als personenbezogen, solange eine Identifikation mit Mitteln möglich ist, die «nach allgemeinem Ermessen wahrscheinlich» eingesetzt werden. Ausdrücklich zu berücksichtigen sind dabei Kosten, Zeitaufwand und die technologische Entwicklung. Das Schweizer Datenschutzgesetz schützt Angaben über eine bestimmte oder bestimmbare Person (Art. 5 lit. a DSG). Wann jemand bestimmbar ist, hat das Bundesgericht geklärt: Nicht bestimmbar ist eine Person erst dann, wenn nach allgemeiner Lebenserfahrung niemand den Aufwand für eine Identifikation betreiben würde. Zu berücksichtigen sind dabei auch die verfügbare Technik und ihre absehbare Entwicklung. Beide Rechtsordnungen fragen also nicht, ob eine Identifikation theoretisch denkbar ist, sondern ob sie sich praktisch lohnt.

Genau diese Schwelle verschiebt sich gerade: 17 Minuten und gut zwei Dollar schrecken niemanden ab. Ob ein Datensatz als anonym gilt, ist deshalb keine Eigenschaft, die man einmal feststellt und dann abhakt, sondern eine Einschätzung des Aufwands, den ein Angreifer treiben müsste. Wie stark dieser Aufwand sinkt, hängt vom Einzelfall ab: von der Art der Daten, von den Quellen, die sich damit verknüpfen lassen, und von der verfügbaren Technik. Wer Daten als anonym bezeichnet, sollte diese Einschätzung deshalb regelmässig überprüfen.

Das öffentliche Interesse an solchen Themen ist gross, was auch der Artikel in der NZZ am Sonntag zeigt. Weshalb trifft das Thema eurer Meinung nach einen so sensiblen Nerv in der Gesellschaft?

Weil es alle betrifft. Fast jede und jeder trägt ein Handy mit sich, und kaum jemand hat bewusst zugestimmt, dass die eigenen Wege verkauft werden. Das Beispiel ist zudem konkret: eine Adresse, ein Arbeitsplatz, ein Name.

Dazu kommt das Gefühl, die Kontrolle verloren zu haben. Wir sind auf mobile Dienste angewiesen, und die Datensammlung läuft im Hintergrund, ohne dass man etwas davon bemerkt. Dass daraus mit wenig Aufwand ein Personenprofil wird, macht dieses Unbehagen greifbar.

Wie ist die Zusammenarbeit zwischen euch entstanden und welchen Mehrwert hatte die gemeinsame Arbeit an diesem Forschungsprojekt?

Die Studie ist am Zentrum für Datenqualität und Anonymisierung der FHNW entstanden, im Rahmen eines vom Schweizerischen Nationalfonds geförderten Projekts (Projektnummer 211751). Matthias Templ beschäftigt sich seit vielen Jahren mit statistischer Geheimhaltung und Anonymisierung und hat die Fragestellung aufgeworfen. Roman Müller und Oscar Thees haben die Pipeline entwickelt und die Studie umgesetzt.

Die Forschung wurde durch den Schweizerischen Nationalfonds im Rahmen des Förderprogramms Bridge Discovery unterstützt. Welche Bedeutung hatte diese Förderung für die Umsetzung des Projekts?

Sie war entscheidend, und zwar in zweierlei Hinsicht. Erstens inhaltlich: Im Projekt geht es um Verfahren, die Daten nutzbar machen und Personen zugleich schützen. Ob ein solches Verfahren genügt, lässt sich aber nur beurteilen, wenn man weiss, was ein Angreifer heute tatsächlich kann. Unsere Studie liefert diese Gegenprobe.

Zweitens ganz praktisch: Eine solche Studie lässt sich nicht nebenbei machen. Testpersonen gewinnen, Daten simulieren, die Pipeline entwickeln, 43 Fälle auswerten und das Ganze ethisch sauber aufsetzen. Das sind viele Stunden, die finanziert sein müssen. Die Förderung im Programm Bridge Discovery hat diesen Freiraum geschaffen und erlaubt, einer Frage nachzugehen, deren Ergebnis zu Beginn offen war.

Das Projekt ist am FHNW-internen Zentrum für Datenqualität und Anonymisierung der FHNW entstanden. Weiter gibt es euer Swiss Data Anonymization Competence Center (SwissAnon). Welche Rolle spielen diese Zentren bei der Erforschung von Datenschutz, Datensicherheit und Anonymisierung?

Das «interne» Zentrum ist Anlaufstelle an der FHNW während SwissAnon zu den wenigen Stellen in der Schweiz gehört, die sich schwerpunktmässig mit Anonymisierung befassen, und zwar in Forschung und Dienstleistung zugleich. Wir entwickeln und prüfen Verfahren, von klassischer Anonymisierung bis zu synthetischen Daten, und untersuchen zugleich, wie Angriffe auf anonymisierte Daten heute funktionieren, wie in dieser Studie. Daneben prüfen wir Re-Identifikationsrisiken in konkreten Datensätzen, begleiten Organisationen, die sensible Daten nutzen oder weitergeben wollen, und geben unser Wissen in Lehre und Weiterbildungen weiter. Beides gehört zusammen: Erst wenn man weiss, was ein Angreifer kann, lässt sich beurteilen, ob ein Schutz genügt.

Eure Arbeit zeigt potenzielle Risiken auf. Weshalb ist es wichtig, solche Schwachstellen wissenschaftlich zu untersuchen?

Es ist ein Katz-und-Maus-Spiel. Anonymisierungsverfahren sind immer nur so gut wie die Angriffe, gegen die sie geprüft wurden. Wenn die Technologie sich weiterentwickelt, die Risikobewertung aber auf dem Stand von vor zehn Jahren bleibt, entsteht eine Scheinsicherheit.

Deshalb braucht es Arbeiten, die systematisch zeigen, was heute möglich ist, bevor es jemand mit schlechteren Absichten tut. Das ist Sicherheitsforschung im klassischen Sinn: Wir machen eine Lücke sichtbar. Aus demselben Grund haben wir weder Code noch Prompts noch die Daten veröffentlicht.

Welche Konsequenzen ergeben sich aus den Erkenntnissen der Studie für Unternehmen, Behörden und Organisationen, die mit personenbezogenen Daten arbeiten?

Für Organisationen heisst das, wer Daten weitergibt oder veröffentlicht, die ursprünglich aus Personendaten entstanden sind, sollte das Re-Identifikationsrisiko vorher prüfen, statt sich auf das Etikett «anonymisiert» zu verlassen, auch dann wenn es von einem Lieferanten stammt. Besonders heikel sind Daten mit vielen Merkmalen pro Person, mit feiner Orts- oder Zeitauflösung sowie mit seltenen Ausprägungen – etwa eine ungewöhnliche Diagnose, ein spezieller Beruf oder eine kleine Gemeinde. Je detaillierter ein Datensatz ist, desto eher wird eine Person darin einzigartig. Wird eine Identifikation realistisch möglich, bleiben es rechtlich Personendaten, mit allen Pflichten, die daran hängen. Und weil sich der Aufwand für Angriffe verändert, ist eine solche Beurteilung kein einmaliger Akt.

Dazu kommt der Blick nach innen: Mitarbeitende an sensiblen Orten – in der Verwaltung, bei kritischer Infrastruktur, im Gesundheitswesen – hinterlassen über ihre privaten Geräte Spuren, die auf Arbeitsort, Wohnort und Freizeitaktivitäten schliessen lassen. So lassen sich auch die täglichen Wege von Entscheidungsträgerinnen und Entscheidungsträgern in Politik und Wirtschaft nachzeichnen, und das nicht nur durch Geheimdienste. Dagegen braucht es Sensibilisierung und verbindlichere Regeln.

Für Einzelne verringern ein paar einfache Schritte die Spuren, ausschliessen können sie sie nicht. Ortungsdienste nur dort erlauben, wo sie wirklich gebraucht werden, nur während der Nutzung der App und wenn möglich nur als ungefähren Standort; Browsern den Standortzugriff verweigern. Bei der Wetter-App genügt meist der ungefähre Standort oder die manuelle Ortseingabe. Die Werbe-ID lässt sich unter Android löschen (ein blosses Zurücksetzen vergibt nur eine neue Kennung), unter iOS hilft es, App-Tracking abzulehnen; bei Cookie-Bannern nur die notwendigen Cookies zulassen. Diese Einstellungen betreffen Apps und Werbe-Ökosystem, nicht das Mobilfunknetz: Mobilfunkanbieter speichern unabhängig davon sechs Monate lang Randdaten, die auch ungefähre Aufenthaltsorte enthalten. Wer an einem Ort keine Spur hinterlassen will oder darf, nimmt das Gerät am besten gar nicht mit; Ausschalten oder der Flugmodus unterbrechen zumindest die Verbindung zum Mobilfunknetz.

Die Entwicklung von KI schreitet rasant voran. Welche Herausforderungen seht ihr für den Datenschutz in den kommenden Jahren und welche Fragen sollten eurer Meinung nach in der Forschung als auch in der Gesellschaft jetzt diskutiert werden?

Die grösste Herausforderung ist ein beweglicher Massstab. Wie wir gesehen haben, hängt es vom Aufwand einer Identifikation ab, ob Daten als anonym gelten, und dieser Aufwand verändert sich mit neuen Werkzeugen und neuen Datenquellen. Was heute als anonym beurteilt wird, muss es in fünf Jahren nicht mehr sein. Freigaben brauchen deshalb ein Verfallsdatum statt eines einmaligen Häkchens. In der Forschung tut sich damit ein neues Feld auf: KI als Werkzeug im Datenschutz, auf beiden Seiten. Auf der Angriffsseite zeigt unsere Studie, was Agenten heute können, und das lässt sich weiterdenken: Sie könnten Bilder geolokalisieren, Personensuchdienste nutzen oder Kandidaten direkt kontaktieren, um eine Vermutung zu bestätigen. Auf der Schutzseite steht die Gegenfrage: Wie prüft man mit denselben Mitteln, ob ein Datensatz hält, was seine Anonymisierung verspricht? Um zu beurteilen, ob ein Datensatz anonym ist, werden in der Praxis häufig Angriffsszenarien durchgespielt, die Annahmen über das verfügbare Wissen und die eingesetzten Methoden eines potenziellen Angreifers treffen. Zukünftig könnten Agenten dazu verwendet werden, um solche Angriffsszenarien durchzuspielen und die Agenten selbstständig Schwachstellen in der Anonymisierung finden zu lassen. Künftig könnte man anonymisierte Datensätze deshalb automatisiert angreifen lassen, bevor man Daten freigibt. Gesellschaftlich ist das Wichtigste das Bewusstsein. Die meisten Menschen wissen nicht, dass ihre Standortdaten gehandelt werden, und halten das Thema für harmlos oder für etwas, das nur Prominente betrifft. Dabei genügt eine Wetter-App. Wer nicht weiss, dass die eigenen Wege verkauft werden, trifft auch keine Entscheidung dagegen. Es braucht deshalb Aufklärung, in der Schule, in Unternehmen und in den Medien. Und Einstellungen, die verständlich sind, statt in Untermenüs versteckt. Daran schliesst die gesellschaftliche Frage an, wie viel von unserem Alltag überhaupt zur Handelsware werden soll und wer kontrolliert, ob das Etikett «anonymisiert» zutrifft.

Zur StudieZur Studie in der Publikation