Rumms! Da ist es passiert: Datenschutzpanne in Berlin! Bei den Piraten! Ausgerechnet bei diesen Vorreitern von Datensicherheit und Privatsphäre.
Im Rahmen des Bewerbungsprozesses für die dortige Fraktionsgeschäftsstelle wurde eine Rund-E-Mail an alle Bewerber versehentlich so verschickt, dass jeder Empfänger die Adressen aller anderen Empfänger (also der Mitbewerber) in der E-Mail sehen konnte. Technisch gesprochen: Die Empfänger wurden nicht in das Feld für „Blindkopien” („blind carbon copy, BCC”) eingetragen, sondern bei den „normalen” Kopien („carbon copy, CC”).
Mir kommen dazu drei Gedanken:
Erstens ist diese Panne zweifelsohne ärgerlich und unnötig, aber sie ist nicht der Untergang des Abendlandes. Letztlich geht es um sehr eingeschränkte Daten, die zudem bei weitem nicht in allen Fällen einer Person zuzuordnen sein dürften. Da die Bewerber jetzt zudem auch noch untereinander Kontakt aufnehmen können, macht das ganze die Sache für die Fraktion auch noch eher schwieriger.
Die Wahrscheinlichkeit für einen solchen Fehler lässt sich, und das ist mein zweiter Gedanke, durch technische Maßnahmen reduzieren. Im Heise-Artikel wird eine Begrenzung von Empfängern angesprochen, die nun implementiert werden soll. Ich habe ja auch schon größere Rundmails herumgeschickt und die latente Gefahr der Fehlbedienung ist mir sehr bewusst. Deshalb arbeite ich in solchen Fällen schon lange nicht mehr mit der Standard-E-Mail-Kopiefunktion, sondern mit einem kleinen Skript, das aus einer Datei die E-Mail und aus einer anderen die Empfängerliste liest und dann an jeden Empfänger eine einzelne E-Mail versendet. Denn auch der Rückgriff auf Blindkopien („BCC”) ist nicht wirklich sicher, man verlässt sich hier darauf, dass Systeme, die nicht unter eigener Aufsicht stehen, sich an die Regeln halten. Kann sein, muss aber nicht.
Schließlich, und das meines Erachtens das Wichtigste, ist dies auch ein Beitrag zu einem Lernprozess innerhalb der Piratenpartei selbst: Wo Menschen arbeiten, passieren Fehler. Gerade in Sachen „Datenschutz” gibt es einige Meinungsvertreter, die von einem sehr hohen Ross argumentieren, nichts außer der absoluten Maximallösung gelten lassen und soziale Probleme mit technischen Maßnahmen lösen wollen. Das funktioniert nicht und wird auch nie funktionieren. Hier ist ein Fehler passiert und noch viele Fehler werden diesem folgen. Es wäre jetzt nicht zielführend, Martin Delius oder wen auch immer „zur Verantwortung ziehen” zu wollen. In Sachen Datenschutz und Datensicherheit müssen wir vielmehr ein insgesamt schlüssiges Konzept verfolgen, das einerseits einen sorgfältigen Umgang mit Daten und Informationen sicherstellt, andererseits aber auch von den Anwendern beherrschbar ist. Das wird man mit Maximallösungen nicht erreichen.
Ich selbst bin zum Beispiel schon immer wieder angenervt davon, dass das PGP-Plugin meines Thunderbird keine Möglichkeit vorsieht, eine E-Mail dauerhaft zu entschlüsseln. Was soll sowas? Hält dieses Programm mich für unfähig, vertrauliche Daten auf meinem System angemessen zu schützen?
Also, liebe Piraten: Sehen wir diesen Vorfall als eine Nachricht aus der „richtigen Welt”. Bauen wir mit unseren Programmpunkten und Ideen darauf auf, dass diese Welt so ist wie sie ist. Akzeptieren wir, dass sich ein perfekter Schutz nicht erreichen lässt. Und dass der Versuch, ihn zu erreichen, so vieles kaputt macht, dass man rechtzeitig mit diesem Streben nach Perfektion aufhören sollte.
