Menschen sagen, sie legten hohen Wert auf ihre Privatsphäre, doch in ihrem Verhalten geben sie ihre persönlichen Daten für kleine Gegenleistungen her, manchmal für gar nichts. Diese Diskrepanz wird als „Privatsphäre-Paradox” bezeichnet. In der Literatur haben sich zwei gegnerische Lager gebildet: auf der einen Seite jene, die argumentieren, das Verhalten zeige die wahre Präferenz, Privatsphäre sei daher von geringem Wert und die Regulierung solle gelockert werden; auf der anderen jene, die argumentieren, das Verhalten sei durch kognitive Verzerrungen, Manipulation und Unwissenheit verfälscht, weshalb die Verzerrung korrigiert werden müsse. Daniel Solove (2021) bezieht eine dritte und radikale Position: das Paradox ist ein Mythos, denn Verhalten ist eine Risikoentscheidung in einem bestimmten Kontext, eine Haltung dagegen ein allgemeines Werturteil; beides sind verschiedene Dinge, und ihr Auseinanderfallen ist kein Widerspruch.
Dieser Essay beginnt dort, wo Solove recht hat, bleibt aber nicht dort stehen, wo er stehen bleibt. Zuerst rücken wir eine Unterscheidung ins Licht, welche die Literatur weitgehend übersehen hat: Privatsphäre und Sicherheit sind nicht dasselbe. Privatsphäre ist die Frage, wer Informationen sieht und in welchem Kontext; Sicherheit ist die Frage, ob Informationen gegen unbefugte Aneignung geschützt sind. Die Literatur zum Privatsphäre-Paradox stellt das Phänomen im Wesentlichen entlang der Privatsphäre-Achse dar. Doch ein bestimmter Falltypus, der Nutzer, der Sicherheitsbedenken lautstark äußert, sein sensibles Dokument aber in einer großen kommerziellen Cloud aufbewahrt und seine Kommunikation über eine Plattform führt, die, selbst wenn der Inhalt verschlüsselt ist, die gesamte Landkarte der Beziehung kommerziell verwertet, spricht die Sprache der Sicherheit und passt nicht sauber in Soloves Rahmen des „kontextuellen rationalen Risikos”. Hier liegt der Widerspruch nicht zwischen Haltung und Verhalten; der Widerspruch liegt zwischen dem erklärten Bedrohungsmodell und der tatsächlichen Bedrohungsarchitektur. Mehr noch, die Person verwechselt zwei Achsen: sie hält den Sicherheits-Ruf einer großen Marke für eine Privatsphäre-Garantie. Am Ende wird der Diskurs „Sicherheit ist mir alles” zu einem performativen Ritual und tritt an die Stelle der tatsächlichen Erfahrung, geschützt zu sein: die Person fühlt sich geschützt, weil sie es erklärt hat. Wir untermauern diese Lesart mit den Befunden von Acquisti und Kollegen (2015) zum Kontrollparadox und zur Formbarkeit und versuchen zu zeigen, dass das Verhalten kein Charakterfehler ist, sondern ein vorhersehbares Ergebnis normaler Kognition innerhalb einer defekten Informationsarchitektur.
Stellen Sie sich eine verbreitete Szene vor. Eine Person legt hohen Wert auf Privatsphäre: sie sagt, ihre Daten müssten geschützt werden, sie erklärt, ohne Sicherheit gebe es kein Vertrauen, sie betont, der digitalen Welt sei mit Vorsicht zu begegnen. Beachten Sie, dass die Sprache, die sie verwendet, von Anfang bis Ende eine Sprache der Sicherheit ist: Geheimnis, Schutz, Passwort, die Gefahr eines Einbruchs. Dann lädt dieselbe Person ein sensibles Dokument mit Identitätsdaten und Unterschrift auf ein gewöhnliches kommerzielles Cloud-Speicherkonto hoch. Sie führt ihren alltäglichen Schriftwechsel über eine große Plattform, die, selbst wenn der Inhalt verschlüsselt ist, festhält, mit wem sie spricht, wann und wie oft, und diese Landkarte der Beziehungen an die Werbewirtschaft bindet. Von einer Alternative, die weit weniger ihrer Daten sammelt, hält sie sich fern und sagt, „ich kenne es nicht” oder „es ist nicht vertrauenswürdig”.
Die Szene wirkt widersprüchlich. Die erste Reaktion ist leicht und wird oft geäußert: „Diese Person weiß nicht, was sie sagt; was sie sagt, widerspricht dem, was sie tut.” Dieser Essay beginnt mit jener ersten Reaktion, behandelt sie aber als Frage und nicht als Schlussfolgerung. Denn diese Szene ist nicht die Ausnahme, sie ist die Regel. Millionen von Menschen verhalten sich millionenfach genau so. Wenn ein Phänomen derart verbreitet ist, ist es wissenschaftlich schwach, es als persönlichen Fehler zu erklären. Was verbreitet ist, verweist auf eine Struktur, die der Erklärung bedarf.
Unsere Frage lautet: warum schützt ein Mensch das nicht, was ihm nach eigenem Bekunden wichtig ist? Und, schärfer: warum fühlt er sich geschützt, ohne es zu schützen? Diese zweite Frage ist der Ort, an dem der eigentliche Beitrag dieses Essays entsteht.
Das Phänomen wird seit fast einem halben Jahrhundert beobachtet. In einem der frühesten Experimente teilten Menschen, die mit einem anthropomorphen Einkaufsbot interagierten, im flachen Widerspruch zu der von ihnen erklärten Sorge um Privatsphäre „genug Informationen, um in einer einzigen Einkaufssitzung ein recht aufschlussreiches Profil ihrer selbst zu erstellen” (Spiekermann et al., 2001, zit. nach Solove, 2021). In den folgenden Jahren wiederholten Dutzende Studien dasselbe Muster: Menschen geben ihr Geburtsdatum und ihr Monatseinkommen für einen Rabatt von einem Euro her; sie verkaufen ihren Browserverlauf für acht Dollar; und obwohl ein kostenloser E-Mail-Dienst den Inhalt durchsucht, sind sie nicht bereit, für eine Alternative, die dies nicht tut, mehr als fünfzehn Dollar im Jahr zu zahlen (Solove, 2021).
Bevor wir fortfahren, müssen wir zwei Begriffe trennen, die oft austauschbar verwendet werden, in Wahrheit aber verschieden sind, denn der Fall im Zentrum dieses Essays sitzt genau auf dieser Unterscheidung.
Sicherheit ist der Schutz von Informationen gegen unbefugten Zugriff, Aneignung und Beschädigung. Der klassische Rahmen der Informationssicherheit fasst dies unter drei Überschriften: Vertraulichkeit (nur der Befugte darf an die Information gelangen), Integrität (die Information darf nicht ohne Erlaubnis verändert werden) und Verfügbarkeit (die Information ist zur Hand, wenn sie gebraucht wird). Die Frage der Sicherheit lautet: Kann ein Angreifer diese Daten stehlen, abhören oder beschädigen? Ihr Bruch ist konkret: Kontoübernahme, Leck, Passwortknacken, ein Man-in-the-Middle-Angriff.
Privatsphäre ist eine andere Frage: Wer sieht diese Daten, in welchem Kontext und zu welchem Zweck? Privatsphäre wird verletzt, wenn Information aus ihrem eigenen Kontext gerissen und in einen anderen gegossen wird. Ein Datum mag technisch tadellos geschützt sein, für keinen Angreifer erreichbar; aber wenn das Unternehmen, das den Dienst anbietet, es selbst durchsucht, profiliert, Dritten öffnet oder auf ein rechtliches Ersuchen hin dem Staat übergibt, dann ist die Sicherheit hoch und die Privatsphäre niedrig.
Die beiden Achsen verändern sich unabhängig voneinander. Ein großer kommerzieller Cloud-Dienst mag gegen Angreifer äußerst sicher sein (starke Infrastruktur, verschlüsselte Speicherung, Zwei-Faktor-Bestätigung) und dennoch schwach in der Privatsphäre, weil der Eigentümer des Dienstes an die Daten gelangt. Eine Messaging-App mag die Sicherheit erhöhen, indem sie Inhalte Ende zu Ende verschlüsselt, und doch schwach in der Privatsphäre bleiben, wenn sie sammelt und kommerziell verwertet, wer mit wem, wann und wie oft spricht (also die Metadaten). Demgegenüber hebt eine App, die sowohl Inhalte Ende zu Ende verschlüsselt als auch die Erhebung von Metadaten minimiert, beide Achsen zugleich. Diese einfach anmutende Unterscheidung ist der Schlüssel, der in Abschnitt 6 das Herz des Falls aufschließen wird.
Hier ist auch auf eine begriffliche Falle hinzuweisen: die Unterüberschrift der Sicherheit namens „Vertraulichkeit” (also die Verhinderung unbefugten Zugriffs) und die alltagssprachliche Bedeutung von Privatsphäre als „etwas geheim halten” gehen unter demselben Wort und sind doch verschiedene Dinge. Soloves Warnung, die wir weiter unten sehen werden, dass „Privatsphäre nicht Geheimhaltung ist”, richtet sich genau gegen diese Verwechslung. Diese Verschränkung der Begriffe ist nicht bloß ein sprachliches Problem; wie wir gleich sehen werden, ist sie auch die Quelle der wirklichen Verwirrung in den Köpfen der Menschen.
Der große Korpus der Literatur zum Privatsphäre-Paradox baut das Phänomen entlang der Privatsphäre-Achse auf: wem öffnen Menschen ihre Daten, sind sie bereit, für Werbung profiliert zu werden, teilen sie selektiv. Der Fall dieses Essays dagegen rückt einen Nutzer ins Zentrum, der die Sprache der Sicherheit spricht. Die Spannung dazwischen ist die originäre Ader dieser Arbeit.
Die Antworten auf die Diskrepanz im Privatsphäre-Paradox sammeln sich in zwei Lagern.
Erstes Lager: das Argument der Verhaltensbewertung. Verhalten ist ein zuverlässigeres Maß als Bekundung. In der Sprache der Ökonomie gelten Haltungen als „bekundete Präferenz”, Verhalten als „offenbarte Präferenz”; die offenbarte Präferenz ist die wahre. Da Menschen ihre Daten billig eintauschen, müssen sie der Privatsphäre geringen Wert beimessen. Schluss: die Privatsphäre-Regulierung überbewertet die Privatsphäre und sollte zurückgenommen werden (Autoren wie Cooper, Ben-Shahar, Goldman; zit. nach Solove, 2021).
Zweites Lager: das Argument der Verhaltensverzerrung. Verhalten spiegelt die wahre Präferenz nicht wider, weil es verzerrt ist. Kognitive Verzerrungen, Framing-Effekte, manipulatives Interface-Design (Dark Patterns), Unwissenheit und Trägheit verzerren die Entscheidungen der Menschen. Schluss: die Regulierung sollte diese verzerrenden Effekte verringern, damit Menschen Entscheidungen im Einklang mit ihren wahren Präferenzen treffen können.
Interessant ist dies: die meisten, die das zweite Lager verteidigen, sind die Autoren eben jener Studien, die das Paradox zutage förderten. Es sind Forscher, denen ihre eigenen Befunde unbehaglich wurden, die sie „beunruhigend” und „verstörend” nannten und das Verhalten zu erklären versuchten (Solove, 2021). Genau hier werden die drei Beine des begrifflichen Rückgrats dieses Essays gesetzt: zuerst die stärkste Form des zweiten Lagers (Acquisti), dann die Position, die beide Lager verwirft (Solove), und schließlich der Riss, den keiner von beiden sieht.
Das Argument der Verhaltensbewertung ist intuitiv ansprechend: schau nicht darauf, was ein Mensch sagt, sondern was er tut. Doch es trägt einen logischen Fehler in sich, und Solove zeigt diesen Fehler am klarsten. Aus der Tatsache, dass eine Person einem bestimmten Laden, in einem bestimmten Moment, ein bestimmtes Datum für einen Dollar gibt, folgt nicht, dass diese Person „die Privatsphäre mit einem Dollar bewertet”. Das Einzige, was folgt, ist, dass sie in jener spezifischen Transaktion das Risiko als gering einschätzte. Das Argument springt von einer engen Beobachtung zu einer breiten Verallgemeinerung. Um zu sehen, warum der Sprung ungültig ist, müssen wir zuerst verstehen, wie schwankend Verhalten ist; und das führt uns zum zweiten Lager.
Acquisti, Brandimarte und Loewenstein (2015) ordnen in ihrer umfassenden Übersicht in Science das Privatsphäre-Verhalten um drei miteinander verbundene Themen. Diese drei Themen erklären das Paradox, ohne es als „Irrationalität” gering zu schätzen.
Ungewissheit. Der Mensch ist auf zwei Ebenen ungewiss: sowohl über die Folgen seines Teilens als auch über seine eigenen Präferenzen. In der treffenden Formulierung der Autoren sind Menschen, wenn es um die Folgen der Privatsphäre und um ihre eigenen Gefühle geht, oft „auf hoher See” (at sea) und suchen nach Hinweisen, um ihr Verhalten zu lenken (Acquisti et al., 2015). Information ist asymmetrisch: wann, von wem und mit welcher Folge Daten erhoben werden, ist meist unsichtbar. Mehr noch, der Mensch kennt nicht einmal seine eigene Präferenz; die Privatsphäre ist keine Ausnahme von der Regel, dass „Menschen nur schlecht bestimmte Vorstellungen davon haben, wie sehr sie ein Gut, eine Dienstleistung oder andere Menschen mögen”.
Kontextabhängigkeit. Dieselbe Person kann in einer Situation gleichgültig gegenüber der Privatsphäre und in einer anderen übermäßig besorgt sein. Weil ein in Ungewissheit verstrickter Mensch sich an Hinweise klammert, wandelt sich auch das Verhalten mit dem Kontext. Westins berühmte Typologie des „Privatsphäre-Fundamentalisten, -Pragmatikers und -Unbekümmerten” ist keine Menge fester Persönlichkeitstypen; in den Worten der Autoren „sind wir alle, je nach Zeit und Ort, Privatsphäre-Pragmatiker, -Fundamentalisten oder -Unbekümmerte” (Acquisti et al., 2015).
Formbarkeit. Hier ist das kritischste Thema für unseren Essay. Während der Mensch die Faktoren, die seine eigene Sorge formen, nicht kennt, sind die Institutionen, deren Wohlergehen von der Preisgabe anderer abhängt, Experten für diese Faktoren. Voreinstellungen, Interface-Design, das Gefühl von Kontrolle: diese können die Privatsphäre-Sorge aktivieren oder unterdrücken. Ein Satz, den die Autoren gleich zu Beginn setzen, ist der Keim unserer These: in sozialen Medien „kann mehr Kontrolle eine Illusion von Sicherheit erzeugen und zu mehr Teilen ermutigen” (Acquisti et al., 2015).
Diese drei Themen ergießen sich in konkrete und beunruhigende Befunde:
Das Kontrollparadox. Wird einer Person mehr ausdrückliche Kontrolle über ihre Daten gegeben, teilt sie mehr; das genaue Gegenteil des scheinbaren Zwecks der Kontrolle. Das Gefühl von Kontrolle senkt die Verteidigung, ohne das reale Risiko zu ändern (Brandimarte, Acquisti & Loewenstein, 2013, zit. nach Acquisti et al., 2015).
Der Richtlinien-Trugschluss. In einer Umfrage deuteten 62 Prozent der Teilnehmer die bloße Existenz einer Datenschutzrichtlinie einer Website falsch, nämlich so, dass „diese Website ihre Daten nicht ohne Erlaubnis teilen könne”. Mit anderen Worten: die bloße Anwesenheit einer meist nie gelesenen Richtlinie erzeugt, ohne Berechtigung, das Gefühl, „geschützt zu sein” (Acquisti et al., 2015; derselbe Befund wird auch bei Solove auf der Grundlage von Turow et al., 2009 berichtet).
Der falsche Hinweis, das falsche Vertrauen. In einem Online-Experiment gaben Menschen auf einer Website mit einem amateurhaften, hingeschluderten Design wie „How Bad R U” mehr persönliche, ja selbstbelastende Informationen preis als auf einer Website mit einem formellen, professionellen Interface. Dabei war die Website mit dem formellen Interface von anderen Teilnehmern als weit sicherer eingeschätzt worden (Acquisti et al., 2015). Menschen lesen das Sicherheitssignal systematisch falsch: sie mögen das Sichere für gefährlich und das Gefährliche für sicher halten.
Behalten Sie diesen letzten Befund im Kopf. Im Labor ist er der Beweis, dass ein Mensch die reale Bedrohung an den falschen Ort setzt, und er öffnet sich direkt auf den Riss dieses Essays.
Repräsentieren Acquistis drei Themen das ganze Feld? Die geordnetste Antwort auf diese Frage geben Übersichtsarbeiten, welche die Überschrift „Privatsphäre-Paradox” systematisch durchmustern. Gerber, Gerber und Volkamer (2018) teilen in einer Übersicht, in der sie 181 einschlägige Studien aussiebten und achtunddreißig quantitativ untersuchten, die Ansätze, welche die Literatur zur Erklärung des Paradoxes hervorgebracht hat, in acht Familien: die Kosten-Nutzen-Rechnung (Privacy Calculus), begrenzte Rationalität und Entscheidungsverzerrungen (der Kern von Acquistis Themen), Mangel an persönlicher Erfahrung und technischem Wissen, sozialer Einfluss, das Risiko-Vertrauens-Gleichgewicht, das Quanten-Entscheidungsmodell, die Kontrollillusion und schließlich die Behauptung, das Paradox könnte ein „methodisches Artefakt” sein. Dieses Inventar setzt Acquistis begrifflichen Rahmen in eine breitere Landkarte: Ungewissheit, Kontextabhängigkeit und Formbarkeit sind Muster, die das Feld unter verschiedenen Namen immer wieder neu entdeckt.
Die auffälligste Seite der Übersicht ist ihre empirische Abwägung. Legt man die Effektstärken Dutzender Studien nebeneinander, erweist sich die Kosten-Nutzen-Rechnung als der stärkste und stabilste Prädiktor: der konkrete Gewinn, den Menschen sich vom Teilen erwarten, ist die Variable, die sowohl die Absicht zu teilen als auch das tatsächliche Teilen am besten vorhersagt (Gerber et al., 2018). Demgegenüber ist die Evidenz für Modelle, die das Paradox allein durch „kognitive Verzerrung” erklären, schwächer als erwartet; und demografische Faktoren sind nahezu vernachlässigbar. Dieses Ergebnis trägt zwei Implikationen für unseren Essay. Erstens: das Verhalten als einen „irrationalen Haufen von Verzerrungen” zu lesen, ist eine kühnere Lesart, als die Daten stützen; ein Mensch stellt weitgehend, wenn auch fehlerhaft, eine Nutzenrechnung an. Zweitens, und wichtiger: dieser Befund öffnet die Tür des nächsten Abschnitts: wenn Verhalten im Wesentlichen eine in den Kontext eingebettete Nutzen-Risiko-Entscheidung ist, dann mag es ein von Grund auf falsch angesetzter Vergleich sein, es mit einem allgemeinen „Wert”-Urteil zu vergleichen und einen „Widerspruch” auszurufen.
Acquistis Thema der „Formbarkeit” öffnet eine Tür, bleibt aber abstrakt: welche Verzerrungen, welches Design? Ari Ezra Waldman (2020) nimmt dasselbe Phänomen genau auf dieser konkreten Ebene auf. Er argumentiert, das Modell des rationalen Akteurs, also die Annahme, ein Mensch treffe, einmal informiert, die seinem eigenen Interesse am besten dienende Preisgabeentscheidung, breche nicht nur in der Praxis, sondern im Prinzip zusammen, weil verbreitete kognitive Barrieren die Preisgabeentscheidung verzerren. Waldman zählt die fünf häufigsten auf.
Ankerung (anchoring). Unverhältnismäßige Bindung, im Augenblick der Entscheidung, an die zuerst gesehene Information. In einem Experiment, das Waldman berichtet, gaben Teilnehmer, denen zuerst immer freizügigere Selfies gezeigt wurden, anschließend mehr über sich preis; die gesehenen Bilder verankerten ihr Gefühl dafür, „was zu teilen angemessen ist” (Chang et al., 2016, zit. nach Waldman, 2020).
Framing. Die gute oder schlechte Darbietung derselben Option verändert die Entscheidung. Technologieunternehmen rahmen die Datenerhebung in lenkender Sprache: „wenn Sie keine Cookies zulassen, wird die Funktionalität eingeschränkt” oder „das Einschalten der Datenerhebung bringt neue Annehmlichkeiten” (Waldman, 2020). Die positive Seite wird hervorgehoben, der Preis unsichtbar gemacht.
Hyperbolische Diskontierung. Die unmittelbare Folge überschätzen und die künftige unterschätzen. Der Nutzen der Preisgabe (Bequemlichkeit, Zugang, soziale Interaktion) kommt sofort, während ihr Risiko oft erst viel später gefühlt wird; deshalb ist der Mensch geneigter, jetzt zu teilen. In einer Studie willigten Nutzer ein, für ein etwas billigeres Kinoticket mehr persönliche Informationen herzugeben, selbst wenn zum gleichen Preis eine datenschutzfreundliche Option verfügbar war (Jentzsch et al., 2012, zit. nach Waldman, 2020).
Überwahl (overchoice). Zu viele Wahlmöglichkeiten lähmen den Menschen. Bei der Privatsphäre ist das Problem nicht die Existenz von Optionen, sondern die Zahl der Entscheidungen, zu denen ein Mensch gezwungen wird; mobile Apps verlangen mitunter mehr als zweihundert Berechtigungen (Hartzog, 2018; Olmstead & Atkinson, 2015, zit. nach Waldman, 2020).
Metakognition. Ein Mensch liest die Schwierigkeit einer Entscheidung mal als Signal von „Wichtigkeit”, mal von „Unmöglichkeit”. Wenn der Schutz der Privatsphäre schwer erscheint, nehmen viele Menschen dies als Zeichen der Unmöglichkeit, geben nihilistisch auf und überlassen die Entscheidung der Voreinstellung (Mourey, 2019, zit. nach Waldman, 2020). Dies gibt Soloves „Resignation”, die wir gleich sehen werden, einen kognitiven Boden.
Diese Verzerrungen wirken nicht von selbst; das Design macht sie zu Waffen. Waldman nennt die Designtricks, die einen Nutzer zu Handlungen lenken, die er sonst nicht vornähme, „Dark Patterns” und berichtet die etablierte Definition des Feldes: Dark Patterns sind „Interface-Design-Entscheidungen, die einem Online-Dienst nützen, indem sie Nutzer zwingen, lenken oder täuschen, damit sie Entscheidungen treffen, die sie, wären sie voll informiert und in der Lage, Alternativen zu wählen, vielleicht nicht träfen” (Mathur et al., 2019, zit. nach Waldman, 2020; engl.: „interface design choices that benefit an online service by coercing, steering, or deceiving users into making decisions that, if fully informed and capable of selecting alternatives, they might not make”). Waldman vergleicht die Macht des Designs mit dem Fingergeschick eines Zauberers: der Zauberer „gibt den Menschen die Illusion freier Wahl, während er das Menü so einrichtet, dass er gewinnt, egal was sie wählen” (Harris, 2016, zit. nach Waldman, 2020).
Der Schluss, zu dem Waldman gelangt, deckt sich genau mit dem Rückgrat dieses Essays. Für ihn spiegelt das vermeintliche Paradox „nicht das Desinteresse der Nutzer an Privatsphäre wider; vielmehr spiegelt es, dass Nutzer auf vorhersehbare Weise darauf reagieren, wie Plattformen Design einsetzen, um unsere kognitiven Grenzen auszunutzen” (Waldman, 2020; engl.: „Any supposed paradox does not reflect users’ disinterest in privacy; rather, it reflects users responding in predictable ways to the ways in which platforms leverage design to take advantage of our cognitive limitations”). Das Regime des rationalen Akteurs ist in dieser Lesart nicht zufällig, sondern „so gestaltet, dass es scheitert” (Richards & Hartzog, 2019, zit. nach Waldman, 2020).
Solove (2021) bezieht eine Position, die beide Lager überschreitet: das Paradox ist kein Paradox, denn es gibt nicht zwei Dinge, die zusammenpassen müssten. Interessant ist, dass diese Intuition nicht allein steht. Auch die achte Erklärung der systematischen Übersicht, die wir in Abschnitt 4 erwähnten, legt nahe, dass zumindest ein Teil des Paradoxes ein „methodisches Artefakt” sein könnte: die Haltung wird oft auf einer stetigen Skala gemessen (wie sehr ist es dir wichtig?), das Verhalten auf einem binären Kriterium (hast du dieses Profil öffentlich gehalten?); zwei verschiedene Dinge mit verschiedenen Instrumenten zu messen und sich dann zu wundern, dass sie nicht zusammenpassen, mag heißen, einen Messfehler für ein Phänomen zu halten (Dienlin & Trepte, 2015, zit. nach Gerber et al., 2018). Gerber und Kollegen lassen diese Möglichkeit als vorsichtige Hypothese stehen; Solove trägt dieselbe Intuition auf begrifflicher und rechtlicher Ebene bis zum Äußersten.
Risiko ist nicht Wert. Das Verhalten in den Paradox-Studien handelt nicht vom Wert der Privatsphäre; es handelt vom Risiko in einem bestimmten Kontext. Risiko ist das Potenzial für Schaden; Wert ist die einer Sache zugeschriebene allgemeine Bedeutung. Wenn eine Person den Titel ihres Buches für einen Rabatt von einem Dollar hergibt, folgt daraus nur eines: „In diesem Moment, diesem Laden, für dieses Datum schätzte sie das Risiko gering genug ein, um die Belohnung von einem Dollar in Kauf zu nehmen.” Solove zeigt dies mit einem „kurzen Quiz” und sagt, die richtige Antwort sei „keine davon”.
Die eigene Privatsphäre zu schätzen ist etwas anderes, als Privatsphäre zu schätzen. Eine Person mag für sich selbst keine Privatsphäre wählen und dennoch Privatsphäre für wertvoll halten. Soloves Analogie ist klar: ein Mensch mag das Wahlrecht im Allgemeinen schätzen und selbst nicht wählen; dass er nicht wählt, bedeutet nicht, dass er das Wahlrecht nicht schätzt.
Privatsphäre ist nicht Geheimhaltung. Daten zu teilen heißt nicht, alle Privatsphäre aufzugeben. Menschen wollen ihre Informationen nicht vor allen verbergen; sie wollen selektiv teilen und sicherstellen, dass sie nicht schädlich verwendet werden. Im Informationszeitalter ist es nur möglich, gar keine Daten zu teilen, indem man „in einer Hütte im Wald lebt”; zu teilen bedeutet nicht, die Privatsphäre nicht zu schätzen. (Diese dritte Unterscheidung ist Soloves Gegenstück zu der begrifflichen Falle, die wir in Abschnitt 2 eröffneten: Privatsphäre ist nicht „alles geheim halten”.)
Selbstverwaltung skaliert nicht. Hier ist Soloves politischer Schlag. Die geltende Regulierung versucht, die Privatsphäre durch „Privatsphäre-Selbstverwaltung” zu schützen: lies die Richtlinien, widersprich (opt out), ändere die Einstellungen. Aber dieses Projekt ist gewaltig, komplex und endlos. Alle einschlägigen Datenschutzhinweise zu lesen würde einen Menschen etwa 201 Stunden im Jahr kosten (McDonald & Cranor, 2008, zit. nach Solove, 2021). Bei Tausenden von Institutionen ist es, tausendmal zu widersprechen, wie „den Ozean mit einer Tasse zu leeren”. Selbst ein vollkommen rationaler Mensch schafft es nicht.
Resignation ist rational. Angesichts dieser Unmöglichkeit ist Resignation eine rationale Reaktion. Solove gesteht, dass sogar er selbst als Datenschutzexperte aufgegeben hat. Die angebotene Kontrolle ist eine Illusion, „Beschäftigungstherapie” (busy work); man gibt den Menschen mehr Knöpfe, Schalter und Kästchen, aber das ist kein echter Schutz. Und ein Teufelskreis läuft: der Mensch äußert seine Sorge, man gibt ihm Selbstverwaltung, er scheitert an dem unmöglichen Projekt, er wird enttäuscht und resigniert, doch die Sorge bleibt; der Kreis wiederholt sich. Die Schuld wird dem Einzelnen zugeschoben, und der Einzelne gibt sogar sich selbst die Schuld.
Die Lösung: die Architektur regulieren. Die Privatsphäre-Regulierung muss also davon ablassen, den Einzelnen zum Verwalter zu machen, und stattdessen die Architektur regulieren, welche die Art strukturiert, wie Information genutzt, gespeichert und übertragen wird. Privatsphäre ist kein auf dem Markt gekauftes und verkauftes Gut, sondern ein konstitutives Element einer freien Gesellschaft; in Tufekcis (2018) Worten: „Datenschutz gleicht eher der Luftqualität oder sicherem Trinkwasser; ein öffentliches Gut, das nicht wirksam reguliert werden kann, indem man auf die Weisheit von Millionen einzelner Entscheidungen vertraut”.
Bemerkenswert ist dies: Acquisti und Solove treffen sich hier. Auch Acquisti gelangt zu dem Schluss, dass „politische Ansätze, die sich ausschließlich auf die Information oder Befähigung des Einzelnen stützen, kaum angemessenen Schutz bieten; dass Transparenz und Kontrolle, allein verwendet, radikal unzureichend sind und sogar nach hinten losgehen können” (Acquisti et al., 2015). Zwei Quellen gelangen auf verschiedenen Wegen an dieselbe Tür: nicht den Einzelnen beschuldigen, die Architektur regulieren.
Bis hierher hat die Literatur uns festen Boden gegeben. Nun beginnen wir dort, wo sie endet.
Kehren wir zur Szene in der Einleitung zurück. Der Nutzer, der Sicherheitsbedenken äußert, sein sensibles Dokument aber in eine allgemeine Cloud legt, seine Kommunikation über eine große Plattform führt, die ihre Metadaten kommerziell verwertet, und zu einer Alternative, die weniger Daten sammelt, „ich kenne es nicht” sagt. Soloves Rahmen erklärt einen Teil dieser Szene: „Sicherheit ist wichtig” (eine allgemeine Haltung) und „das Dokument liegt in der Cloud” (eine kontextuelle Risikoentscheidung) sind verschiedene Achsen, daher ist es ein Fehler, einen Widerspruch zwischen ihnen zu suchen. Richtig. Aber Soloves Rahmen kann das Herz der Szene nicht erklären. Denn der kritische Punkt hier ist nicht die Unterscheidung „allgemeine Haltung gegen spezifisches Risiko”. Der kritische Punkt ist dieser: die Person gibt, während sie die Sprache der Sicherheit spricht, genau das, was sie schützen will, auf der Privatsphäre-Achse preis. In Soloves Modell ist Verhalten eine kontextuelle, aber treffende Risikoeinschätzung. Hier dagegen ist die Risikoeinschätzung selbst von ihrer Achse abgekommen: die Person fixiert sich auf die Sicherheitsbedrohung und sieht die Privatsphäre-Bedrohung überhaupt nicht.
Was dieses Abkommen erklärt, ist nicht Solove, sondern Acquisti. Die Linse, die es am besten sieht, ist die Unterscheidung von Privatsphäre und Sicherheit, die wir in Abschnitt 2 aufstellten. Der Nutzer im Fall spricht die Sprache der Sicherheit, verwechselt aber zwei getrennte Dinge.
Erstens, Achsenverwechslung. Wenn die Person eine große kommerzielle Cloud oder eine große Messaging-Plattform wählt, stellt sie in Wahrheit eine intuitive Sicherheitsüberlegung an: „Dieses Unternehmen ist riesig, seine Infrastruktur ist solide, sein Dienst ist verschlüsselt, es schützt mich vor einem Angreifer.” Diese Überlegung ist, allein auf der Sicherheitsachse, weitgehend richtig; der Inhalt mag tatsächlich gegen unbefugten Zugriff geschützt sein. Der Fehler liegt darin, diese Sicherheitsgewähr für eine Privatsphäre-Gewähr zu halten. Denn jenes riesige Unternehmen selbst gelangt an die Daten oder an deren Metadaten; der gefürchtete „Dritte” ist bereits drinnen. Weil die Person den Sicherheitsruf der Marke sieht, sieht sie das Privatsphäre-Risiko überhaupt nicht. Sie hält zwei Achsen für eine; auf der einen recht zu haben, führt dazu, auf der anderen blind zu sein. Die begriffliche Falle aus Abschnitt 2 wird hier Fleisch und Blut: was sie für „sicher” hält, ist wirklich sicher, aber nicht „privat”; und die Person fühlt diesen Unterschied überhaupt nicht.
Das macht die Person nicht irrational; ein Punkt muss hier klar ausgesprochen werden, denn es mag mit dem empirischen Befund aus Abschnitt 4 zu kollidieren scheinen. Wie Gerber und Kollegen zeigten, stellt ein Mensch weitgehend eine Nutzen-Risiko-Rechnung an. Achsenverwechslung hebt diese Rechnung nicht auf; sie speist einen falschen Risiko-Input in sie ein. Weil die Person das Privatsphäre-Risiko für nahezu null hält, gelangt selbst eine gut funktionierende Rechnung zum falschen Ergebnis. Der Fehler liegt nicht im Denken selbst, sondern in der Risikokarte, die in das Denken eingeht. Deshalb kann dasselbe Verhalten sowohl rational (im Einklang mit der gegebenen Karte) als auch falsch (die Karte spiegelt die Wirklichkeit nicht) sein; beides steht nicht im Widerspruch. Gerbers Befund, dass „der stärkste Prädiktor die Kosten-Nutzen-Rechnung ist”, und unsere Feststellung, dass „die Person sich irrt”, versöhnen sich genau auf dieser Unterscheidung: der Irrtum liegt nicht in der Rechnung, sondern in den ihr gegebenen Daten.
Diese Unterscheidung hat ein konkretes Gegenstück. Eine verbreitete Messaging-App sichert den Inhalt, indem sie ihn Ende zu Ende verschlüsselt, während sie die Metadaten sammelt, die zeigen, wer mit wem, wann und wie oft in Verbindung trat, und dies an die Werbewirtschaft bindet; der Inhalt ist geschützt, die Landkarte der Beziehungen nicht. Zu demselben Dienst gibt es eine Alternative, die den Inhalt ebenfalls Ende zu Ende verschlüsselt, aber die Erhebung von Metadaten minimiert. Beide Apps sind auf der Sicherheitsachse stark; wo sie auseinandergehen, ist die Privatsphäre-Achse. Die Person wählt oft die vertrautere, größere, stärker beworbene als „sicher” und bemerkt den Punkt, an dem die beiden Achsen auseinandergehen, überhaupt nicht. Vertrautheit ist keine Privatsphäre-Gewähr; aber sie fühlt sich wie eine an.
Zweitens, die falsche Bedrohungskarte. Wenn eine Person einen Dienst „nicht vertrauenswürdig” oder einen anderen „vertrauenswürdig” nennt, betreibt sie ein Bedrohungsmodell; aber dieses Modell ist oft nicht aus der realen Datenarchitektur gebaut, sondern aus dem Komfort der Vertrautheit, der Größe der Marke und Hörensagen-Signalen. Das Vertraute und Große wird für sicher gehalten; das Wenig-Bekannte für unzuverlässig. Doch wie gut ein Dienst Ihre Daten schützt, entscheidet sich nicht daran, wie vertraut er ist, sondern daran, wer die Daten sieht und was er mit ihnen tut. Dies ist das genaue alltägliche Gegenstück zum „How Bad R U”-Experiment aus Abschnitt 4: ein Mensch liest das Sicherheitssignal falsch und verwechselt seine Quelle (Vertrautheit, visuelle Professionalität) mit realem Schutz. Es ist die direkte Folge der Themen Ungewissheit (ein Mensch kennt sein eigenes Risiko nicht, er ist „auf hoher See”) und Formbarkeit (falsche Hinweise lenken die Sorge in die falsche Richtung).
Diese beiden Fehler entstehen nicht von selbst im Kopf des Einzelnen; sie werden durch Design erzeugt. Die Achsenverwechslung hat einen Halt in der Literatur: Waldman (2020) zeigt, dass Vertrauen selbst das Ziel des Designs und ein Werkzeug der Manipulation ist. In seiner Feststellung „geben Websites durch professionelles Design ein Vertrauenssignal, während sie ihre invasiven Datenerhebungspraktiken in undurchdringlichen Datenschutzrichtlinien verbergen” (Waldman, 2020; engl.: „Websites cue trust through professional design while hiding their invasive data collection practices in inscrutable privacy policies”). Das heißt, dass eine Person die große, professionelle Marke als Vertrauenszeichen liest, ist keine individuelle Naivität, sondern ein Effekt, den das Design zu erzeugen sucht. Achsenverwechslung ist die auf der Achse von Privatsphäre und Sicherheit auskristallisierte Form dessen, was Waldman „die Manipulation des Vertrauens” nennt: die Person hält das von einem professionellen Interface ausgestrahlte Gefühl von Sicherheit für eine Privatsphäre-Gewähr darüber, wer an die Daten gelangt.
Von hier aus schlagen wir die erste Hälfte der These vor:
Der Widerspruch liegt nicht zwischen Haltung und Verhalten (Solove hat recht); der Widerspruch liegt zwischen dem erklärten Bedrohungsmodell und der tatsächlichen Bedrohungsarchitektur. Eine Person erklärt eine Bedrohungskarte, aber diese Karte deckt sich nicht mit der Geografie des realen Datenflusses. Mehr noch, eine Wurzel der Verzerrung der Karte ist das Unvermögen, Privatsphäre von Sicherheit zu trennen: die Person hält die auf der Sicherheitsachse getroffene richtige Entscheidung auch auf der Privatsphäre-Achse für gültig. Sie stellt ihre Verteidigung nicht gegen die reale Bedrohung auf, sondern gegen eine eingebildete; und so bleibt sie genau dort schutzlos, wo sie sich geschützt glaubt.
Die zweite Hälfte der These ist tiefer und trägt die eigentlich originäre Ader. Die Person im Fall hat nicht bloß eine falsche Karte gezeichnet; indem sie jene Karte laut erklärt, erzeugt sie sich eine Funktion. Der Satz „Sicherheit ist mir alles” ist keine Beschreibung, sondern eine Handlung. Indem die Person es sagt, gibt ihr das Sagen das Gefühl von Schutz. An die Stelle einer tatsächlichen Schutzhandlung (einen Dienst zu wählen, der keine Metadaten sammelt, die Daten sicher zu halten) tritt ein Diskurs des Schutzes. Wir nennen dies wie folgt:
Der Diskurs tritt an die Stelle der Erfahrung (performative Erklärung). Die Person erklärt, geschützt zu sein, und die Erklärung tritt an die Stelle der tatsächlichen Erfahrung, geschützt zu sein. Weil sie es erklärt hat, fühlt sie sich geschützt. Dieses Gefühl ist eine Schicht über Acquistis Kontrollparadox: dort senkte die dem Menschen gegebene Kontrolle die Verteidigung; hier senkt der vom Menschen erzeugte Diskurs die Verteidigung. In beiden ist der Mechanismus derselbe: das Gefühl von Sicherheit tritt an die Stelle der Sicherheit selbst und verringert, paradox genug, den Schutz.
Der Unterschied zwischen Soloves „Resignation” und diesem „falschen Komfort” ist wichtig. Soloves resignierter Mensch ist passiv: er ahnt, dass er nicht geschützt werden kann, er gibt auf, aber er weiß es. Der Mensch hier dagegen glaubt, geschützt zu sein: er ahnt nicht, dass er nicht geschützt werden kann; im Gegenteil, seine eigene Erklärung hat ihm diesen Glauben gegeben. Resignation ist Hilflosigkeit mit offenen Augen; falscher Komfort ist eine vom Gefühl des Schutzes verschleierte Offenheit. Der Unterschied zwischen beiden ist kein Verbrechen, sondern ein Unterschied des kognitiven Zustands; und dieser Unterschied wird in Abschnitt 8 erklären, warum die Lösung nicht „mehr Erklärung” sein kann.
Hier ist eine ehrliche Grenze zu ziehen. „Performative Erklärung” ist kein direkt gemessener Befund, sondern ein per Analogie aus dem experimentell bewiesenen Mechanismus des Kontrollparadoxes abgeleiteter Vorschlag. Dass das Gefühl von Kontrolle die Verteidigung senkt, ist gemessen (Brandimarte et al., 2013); ob der Akt des Erklärens ebenso ein „Gefühl von Schutz” erzeugt und die Verteidigung senkt, ist noch nicht geprüft und eine der Prüfung offene Hypothese. Dies ist der zerbrechlichste und zugleich am besten prüfbare Anspruch des Essays; wir markieren ihn nicht als bewiesene Tatsache, sondern als das, was er ist, einen Vorschlag.
Nun können wir zu jener ersten Reaktion in der Einleitung zurückkehren: „Diese Person weiß nicht, was sie sagt; sie ist widersprüchlich.”
Dieses Urteil ist falsch, und warum es falsch ist, ist nun klar. Das Verhalten im Fall ist keine Widersprüchlichkeit und kein Fehler, sondern ein vorhersehbares Ergebnis normaler menschlicher Kognition. Ungewissheit ist universell (Acquisti): ein Mensch kennt oft weder sein eigenes Risiko noch seine eigene Präferenz. Kontextabhängigkeit ist universell: dieselbe Person ist an einem Ort vorsichtig, an einem anderen offen. Das Fehllesen eines Hinweises ist im Labor immer wieder erzeugt worden: Menschen mögen das Sichere für gefährlich und das Gefährliche für sicher halten. Und um Privatsphäre mit Sicherheit zu verwechseln, muss ein Mensch nicht einmal nachlässig sein; die beiden Begriffe sind in Sprache und Erfahrung wahrhaft verflochten und gehen unter denselben Worten. Selbstverwaltung skaliert wirklich nicht (Solove); Resignation ist wirklich rational. Wenn ein Verhalten sich in Millionen von Menschen wiederholt und sein Mechanismus kognitiv erklärt werden kann, dann ist es sowohl wissenschaftlich falsch als auch methodisch unproduktiv, es für eine persönliche Schwäche zu halten. Die Schuld dem Einzelnen zuzuschieben, ist das letzte Glied jenes Teufelskreises, den Solove entlarvt hat: zuerst wird dem Menschen eine unmögliche Aufgabe gegeben, dann heißt es, weil er sie nicht schafft, „also kümmert es ihn nicht”.
Aber spielt sich das Phänomen ganz außerhalb der Person ab? Nein; doch die Bedeutung davon ist kein Verbrechen, sondern ein Mechanismus. Der eigentliche Bestimmende ist die Architektur, die den Menschen fortwährend dazu drängt, das falsche Signal zu geben, der großen Marke zu vertrauen, die er kennt, mit dem Gefühl von Kontrolle seine Verteidigung zu senken. Voreinstellungen, Dark Patterns, die durch das Abzeichen „wir haben eine Richtlinie” erzeugte falsche Gewähr, die Art, wie große Marken ihren Sicherheitsruf hervorheben (Robustheit, Verschlüsselung, Zertifikate), während sie den Privatsphäre-Preis (ihren eigenen Zugriff auf die Daten oder deren Metadaten) unsichtbar machen: das alles sind durch Design erzeugte Effekte. Selbst die Achsenverwechslung entsteht nicht von selbst, sie wird genährt. Der Einzelne spielt auf einer für ihn aufgebauten Bühne; auch die durch die performative Erklärung gegebene Erleichterung ist ein Teil dieser Bühne, denn die Architektur kann dem Menschen nicht die Wirklichkeit des Schutzes bieten, sondern nur dessen Gefühl, durch Instrumente (mehr Knöpfe, mehr Richtlinientext, mehr „Kontrolle”).
So kehrt sich das naive Urteil der Einleitung um. Was erklärt werden muss, ist nicht, warum die Person „unbeständig” handelt; was erklärt werden muss, ist, wie eine gut funktionierende Kognition innerhalb einer schlecht gebauten Informationsarchitektur vorhersehbar in die Irre geht. Dies ist keine Pathologie, sondern ein Ergebnis gewöhnlicher, vom Design geformter Kognition. Und deshalb verschiebt sich der Schwerpunkt der Verantwortung vom Einzelnen zur Architektur; der politische Vorschlag des nächsten Abschnitts wird direkt von hier geboren.
Das Privatsphäre-Paradox ist, in seinem klassischen Sinn, wirklich ein Mythos. Solove hat recht: Haltung und Verhalten sind verschiedene Dinge, und ihr Auseinanderfallen ist kein Widerspruch. Mehr noch, dieses falsche Paradox wird oft als Waffe benutzt, um die Privatsphäre-Regulierung zu untergraben. Aber die Widerlegung des Mythos bedeutet nicht, dass nichts zu erklären bliebe. Unter dem falschen Paradox liegt ein realer Riss: der Riss zwischen dem Bedrohungsmodell, das ein Mensch erklärt, und der tatsächlichen Bedrohungsarchitektur, in der er lebt. Zwei Dinge öffnen diesen Riss. Das eine ist die Verwechslung von Privatsphäre und Sicherheit: die Person hält die auf einer Achse (Sicherheit) getroffene richtige Entscheidung auch auf der anderen (Privatsphäre) für gültig und gibt so genau dort Information preis, wo sie vertraut. Das andere ist die Art, wie der Diskurs des Schutzes an die Stelle der Erfahrung des Schutzes tritt: das Erklären tritt an die Stelle des Schützens.
Diese Diagnose hat zwei Folgen. Auf der politischen Ebene ist die von Acquisti wie von Solove gewiesene Richtung richtig: den Einzelnen mehr zu „befähigen”, ihm mehr Knöpfe und Richtlinientext zu geben, funktioniert nicht und geht sogar nach hinten los, indem es den falschen Komfort nährt. Die Last des Schutzes muss vom Rücken des Einzelnen genommen und auf die Architektur der Datenwirtschaft geladen werden. Waldman (2020) schlägt in diese Richtung einen konkreten Rechtsmechanismus vor: Unternehmen, die Daten sammeln, sollten, gleich der Verantwortung, die ein Anwalt, ein Arzt oder ein Steuerberater uns gegenüber trägt, als „Informationstreuhänder” unserer Daten gelten und Pflichten der Sorgfalt, der Vertraulichkeit und der Loyalität eingehen. Die Loyalitätspflicht verbietet dem Unternehmen, dadurch Gewinn zu machen, dass es uns zu unserem eigenen Schaden nutzt; in diesem Rahmen ist es rechtlich untersagt, durch Dark Patterns zur Preisgabe zu zwingen. So gelangen drei Quellen (Acquisti, Solove, Waldman) auf verschiedenen Wegen an dieselbe Tür: die Last wird vom Einzelnen genommen und auf die Architektur geladen, die die Daten hält, und auf das Unternehmen, das sie baut.
Aber auch auf der Ebene des Einzelnen bleibt etwas zu sagen, und hier schweigt die Literatur: das Gegengift gegen den falschen Komfort ist nicht mehr Erklärung, sondern das Sehen zweier Dinge. Erstens: „sicher” und „privat” sind nicht dasselbe; der Schutz von Daten vor einem Angreifer bedeutet nicht ihren Schutz vor dem Unternehmen, das sie hält. Zweitens: zwischen „ich sage, es ist mir wichtig” und „ich bin geschützt” liegt ein Abstand. Diese beiden Unterscheidungen zu sehen, schließt den Abstand nicht von selbst; aber es macht ihn wenigstens sichtbar. Und ihn sichtbar zu machen, ist der erste Schritt, nicht den Einzelnen zu beschuldigen, sondern die Architektur zu berichtigen: wenn ein Mensch das Geschützte vom Ungeschützten unterscheiden kann, kann er beginnen, die richtige Frage an den richtigen Ort zu richten, nämlich an die Architektur, die den Dienst baut.
Seine Angst auszusprechen heißt nicht, geschützt zu sein. Den Unterschied zwischen beiden zu sehen ist der einzige und schwer genug wiegende Vorschlag dieses Essays.
(APA 7. Gelesene Primärquellen sind mit vollständigen bibliografischen Angaben aufgeführt; Sekundärquellen sind mit der Abkürzung „zit. nach” gekennzeichnet, weil auf ihre Volltexte in dieser Arbeit nicht direkt zugegriffen wurde. Direkte Zitate wurden dem Rohtext der Primärquellen entnommen und durch Vergleich bestätigt.)
Version 1.1 · Überarbeitet: 21. Juli 2026 · Das Tufekci-Zitat wurde am Original korrigiert, der Quellennachweis der richtigen Veröffentlichung zugeordnet
Dauerhafter Archiveintrag, alle Versionen: 10.17613/fy6k1-3hp37 · Knowledge Commons