Ein Journalist fand seine eigene Passnummer

Hofer, ein Journalist, sah ein polizeiliches Überwachungs-Dashboard durch und fand sich darin wieder. Der Eintrag enthielt ein von chinesischen Einreisebeamten an der Grenze aufgenommenes Foto, eine Passnummer und die im Land genutzte Mobilnummer. Es war kein Leck im gewöhnlichen Sinn, und niemand musste etwas aufbrechen, um es zu sehen. Das Dashboard war erreichbar und ungesichert.

Gebaut worden war das System für das Büro für öffentliche Sicherheit von Zhangjiakou, einer Stadt in der Provinz Hebei unweit von Peking. Es ist ein unauffälliger Ort für eine umfassende Plattform zur Ausländerverfolgung, und genau das macht die Sache eine Stunde Aufmerksamkeit wert. Nichts an Zhangjiakou spricht dafür, dass es als Schaufenster ausgewählt wurde.

Was das Dashboard tatsächlich enthielt

Die Plattform führte insgesamt fast 12.000 Einträge, darunter Flüchtige, Personen aus Hongkong und Taiwan, mehr als 700 ausländische Einwohner der Stadt und mehr als 300 ausländische Journalisten. Jede Person war nach Staatsangehörigkeit kategorisiert und trug ein strukturiertes Profil: Geburtsdatum, Geschlecht, Familienstand, Adresse, Beruf und in manchen Fällen Religion.

An diese Profile geknüpft waren Sichtungen. Einzelne tauchten in Kameraaufnahmen an Kreuzungen auf, auf Märkten, in Einkaufszentren und in mindestens einem Fall an einer Moschee. Festzuhalten ist der Unterschied zwischen einer Liste und einem Dossier. Eine Liste hält fest, dass jemand anwesend ist. Dieses System erzeugte ein fortlaufend aktualisiertes Bewegungsbild, zusammengesetzt aus Ausweisdokumenten und öffentlichen Kameras und zu einer einzigen Ansicht einer namentlich benannten Person verbunden.

Der Anbieter ist der Befund, nicht die Stadt

Eine einzelne Stadt mit einem ungewöhnlich gründlichen System wäre eine Kuriosität. Die Recherche verfolgte Verbindungen zwischen der Plattform und Origin Dynamic, einem Pekinger Unternehmen, das Polizeibehörden mit Robotik, Überwachungsdiensten und Ausrüstung beliefert. Dasselbe Unternehmen reichte 2023 eine Patentanmeldung für ein vergleichbares System ein, beschrieben als Informationsschnittstelle für Nicht-Staatsbürger.

Liest man beide Tatsachen zusammen, ändert sich die Gestalt der Sache. Eine Patentanmeldung reicht ein Lieferant ein, der etwas wiederholt verkaufen will und die Bauweise dabei geschützt wissen möchte. Es handelt sich um eine produktisierte Fähigkeit mit benanntem Anbieter und Schutzrechten dahinter. Die vernünftige Planungsannahme lautet also nicht, dass Zhangjiakou ungewöhnlich ist. Sie lautet, dass Zhangjiakou eine Installation ist, und Installationen haben Geschwister.

Zwei Risiken, und die meisten Richtlinien benennen nur eines

Jede kompetente Reise- und Entsenderichtlinie unterstellt bereits staatliche Erfassung. Firmen briefen Mitarbeiter zu sauberen Geräten, dazu, was mitzuführen und was zu sagen ist, und preisen ein, dass eine fremde Behörde einen Datensatz halten könnte. Dieses Risiko ist alt, verstanden und weitgehend beherrscht. Es ist nicht das Neue.

Neu ist die Zugangskontrolle, genauer ihr Fehlen. Ein zusammengeführtes Dossier über Ihre Beschäftigten, das in einem System liegt, das jeder Auffindende lesen konnte, ist einem weit größeren Kreis ausgesetzt als der Behörde, die es baute: gewöhnlichen Kriminellen, kommerziellen Datenhändlern und jedem, der Wettbewerbsaufklärung gegen Ihr Haus betreibt. Ein Profil aus Passnummer, Wohnanschrift, Arbeitgeber, Bewegungen und Religion ist genau das Rohmaterial für gezielten Betrug, Nötigung oder einen Identitätsmissbrauch gegen Ihre Finanzabteilung. Der Staat war der vorgesehene Leser. Wegen des Sicherheitsversagens war er nicht der einzig mögliche.

Drei Änderungen, die sich in diesem Quartal lohnen

Briefen Sie die Betroffenen, und briefen Sie präzise. Wer nach China entsandt wird oder dort reist, sollte wissen, dass ein strukturiertes Profil entsteht, dass es Einreisefotografie und Bewegungsdaten enthält und dass es nach dem Befund dieses Falls womöglich nicht sicher verwahrt wird. Der letzte Halbsatz ist der verhaltensändernde, denn er verwandelt ein abstraktes politisches Risiko in ein gewöhnliches Datenrisiko, mit dem Menschen umzugehen wissen.

Verringern Sie dann, was Sie selbst beisteuern. Halten Sie in Ihrer lokalen Einheit nur das Minimum an personenbezogenen Daten über Entsandte, das das dortige Recht verlangt, und liefern Sie nichts freiwillig nach. Machen Sie schließlich die Dokumentation ehrlich: Wenn Beschäftigtendaten absehbar in ein fremdes staatliches System gelangen können, gehört das in Ihr Verarbeitungsverzeichnis und in Ihre Risikobewertung zu Übermittlungen, nicht in eine ungeschriebene Annahme. Europäische Arbeitgeber schulden ihren Mitarbeitern Auskunft darüber, was mit deren Daten geschieht, und eine dokumentierte Bewertung wiegt mehr als ein informelles Verständnis, wenn irgendwann jemand fragt.

Weiterlesen: Der Crawler-Block hat Ihre Chats veröffentlicht  |  Die Steuerdaten gingen über den IT-Helpdesk