Brotkrumen-Navigation
Geheimhaltung statistischer Ergebnisse und Anonymisierung statistischer Einzeldaten » Inhalte » 7.4 Das gebräuchlichste Geheimhaltungsverfahren: Die Zellsperrung
Geheimhaltung statistischer Ergebnisse und Anonymisierung statistischer Einzeldaten
7.3 Tabellendaten als mathematische Gleichungssyst… 7.4 Das gebräuchlichste Geheimhaltungsverfahren: Die Zellsperrung
Vor allem für Wirtschaftsstatistiken ist die Zellsperrung die am häufigsten verwendete Methode zum Schutz von Tabellen. Die Werte von Primär- bzw. Sekundärsperrungen werden dabei durch ein Symbol ersetzt, beispielsweise einen „.“.
 |
 In der Abbildung wird der Ablauf des Zellsperrverfahrens wie folgt visualisiert: "1. Primärsperrung" mit der Erläuterung "Ermittlung aller primär geheim zu haltenden Tabellenfelder" und "2. Sekundärsperrung" mit der Erläuterung "Auswahl von Tabellenfeldern als Sekundärsperrung, bei denen kein primäres Enthüllungsrisiko besteht". Beiden Punkten folgt, verbunden durch einen Pfeil, der Begriff "Sperrmuster". |
Der Ablauf des Zellsperrverfahrens beinhaltet zwei Schritte: Im ersten Schritt werden alle primär geheim zu haltenden Tabellenfelder ermittelt. Die primäre Geheimhaltung ist immer verhältnismäßig einfach implementierbar. Im zweiten Schritt werden Tabellenfelder, bei denen kein primäres Enthüllungsrisiko besteht, als Sekundärsperrungen ausgewählt, um die Primärsperrungen vor Aufdeckung durch Differenzbildung zu schützen.
Merke:
Der Gesamtsatz aus primären und sekundären Sperrungen wird „Sperrmuster“ genannt. Ein ‚optimales‘ Sperrmuster schützt alle primär geheimen Felder ausreichend, sperrt aber gleichzeitig möglichst wenig.
Der Gesamtsatz aus primären und sekundären Sperrungen wird „Sperrmuster“ genannt. Ein ‚optimales‘ Sperrmuster schützt alle primär geheimen Felder ausreichend, sperrt aber gleichzeitig möglichst wenig.
Die Sekundärsperrungen können „manuell“ oder durch eines der im Verbund verfügbaren Softwarepakete ausgewählt werden. Die Softwarepakete benutzen unterschiedliche Algorithmen, die sich stark hinsichtlich ihrer Komplexität und Leistungsfähigkeit unterscheiden (siehe dazu Handbuch, 2.4.3). Bei manuell durchgeführter Sekundärsperrung sind komplexe Auswahlalgorithmen kaum handhabbar.
Alle Softwarepakete sorgen dafür, dass Zellsperrungen auch über die jeweils simultan betrachteten Tabellengleichungen hinaus konsistent gesetzt werden: Wenn Tabellenfelder logisch identisch in unterschiedlichen Tabellen enthalten sind, muss ihnen immer der gleiche Sperrstatus (offen bzw. gesperrt) zugewiesen werden. Sonst besteht die Gefahr, dass Nutzer Sperrungen rückgängig machen, indem sie die geschützten Tabellen miteinander vergleichen (siehe dazu Handbuch, 2.4.2).
Voraussetzung für konsistent gesetzte Sekundärsperrungen ist allerdings, dass der Software die logischen Zusammenhänge der Tabellenfelder untereinander bekannt gegeben werden bzw. diese dem manuellen Bearbeiter bewusst sind. Dies erfordert eine sorgfältige Analyse der geplanten Veröffentlichung im Vorfeld. Der dabei zu leistende Aufwand kann beträchtlich sein (siehe Handbuch, 2.4.4).
Noch unübersichtlicher wird das Problem, wenn
Voraussetzung für konsistent gesetzte Sekundärsperrungen ist allerdings, dass der Software die logischen Zusammenhänge der Tabellenfelder untereinander bekannt gegeben werden bzw. diese dem manuellen Bearbeiter bewusst sind. Dies erfordert eine sorgfältige Analyse der geplanten Veröffentlichung im Vorfeld. Der dabei zu leistende Aufwand kann beträchtlich sein (siehe Handbuch, 2.4.4).
Noch unübersichtlicher wird das Problem, wenn
- kein vollständiges Veröffentlichungskonzept existiert,
- ein Teil der Tabellen einer Statistik früher als andere geheim gehalten (und veröffentlicht) wird oder
- verschiedene Fachabteilungen oder Statistische Ämter Tabellen aus derselben Datenquelle veröffentlichen.