Geheimhaltung statistischer Ergebnisse und Anonymisierung statistischer Einzeldaten

Modul 7











7.9 Grundlagen (3/9)

Inhalt

Absolute, faktische und formale Anonymität



Ausgehend von den rechtlichen Grundlagen gibt es unterschiedliche Grade von Anonymität:



Absolute Anonymität ... mehr

Informationen zur Vertiefung

Die stärkste Form von Anonymisierung stellt die absolute Anonymität dar. Für die Veröffentlichung oder Bereitstellung von Ergebnissen durch die Statistischen Ämter gilt, dass diese durch Aggregation bzw. Verfremdung so geheim zu halten sind, dass eine Zuordnung der Informationen zu den Personen, die diese Angaben gemacht haben, nach menschlichem Ermessen unmöglich wird. Die gesetzliche Grundlage hierfür sind § 16 Abs. 3 und Abs. 4 BStatG.


Daneben können die Einzelangaben (Mikrodaten) selbst absolut anonymisiert werden. Durch Stichprobenziehung, Aggregation oder Anwendung weiterer Verfahren können die Daten dabei so stark vergröbert oder verfremdet werden, dass nach menschlichem Ermessen keine Zuordnung der Mikrodaten zu den ursprünglichen Merkmalsträgern mehr möglich ist. Liegen Mikrodaten in dieser absolut anonymen Form vor, dürfen sie jeder interessierten Person bereitgestellt werden.


Der Informationsgehalt absolut anonymer Mikrodaten ist jedoch aufgrund der massiven Anonymisierungsmaßnahmen stark gemindert. Damit sinkt auch deren Nutzen für die Wissenschaft als Quelle tiefergehender Forschungsvorhaben gegen Null.

Vertiefung ausblenden

Faktische Anonymität ... mehr

Informationen zur Vertiefung

Absolute Datenanonymisierung birgt den Nachteil, dass ein erheblicher Teil der statistischen Information verloren geht. Dagegen werden Mikrodaten als faktisch anonym bezeichnet, wenn die De-Anonymisierung zwar nicht gänzlich ausgeschlossen werden kann, die Angaben jedoch nur mit einem unverhältnismäßig hohen Aufwand an Zeit, Kosten und Arbeitskraft dem jeweiligen Merkmalsträger zugeordnet werden können (§ 16 Absatz 6 BStatG).


Faktisch anonymisierte Daten dürfen nach Maßgabe des Bundesstatistikgesetzes nur wissenschaftlichen Einrichtungen ausschließlich zur Durchführung wissenschaftlicher Vorhaben zugänglich gemacht werden. Denn das Hauptziel der faktischen Anonymisierung ist, durch behutsame Informationsreduktion und -veränderung die Zuordnungsmöglichkeiten von Merkmalsausprägungen zu den Merkmalsträgern zu verringern, dabei jedoch den statistischen Informationsgehalt zu schonen. Hierfür müssen für jede einzelne Erhebung der Aufwand und der Nutzen einer De-anonymisierung analysiert werden. Dabei können unterschiedliche Anonymisierungsverfahren angewendet werden.


Faktische Anonymität resultiert allerdings nicht allein aus dem realen Informationsgehalt der Daten, sondern auch aus den bestehenden Möglichkeiten zur De-Anonymisierung. Wann ein Mikrodatensatz als faktisch anonym bezeichnet werden kann, hängt daher insbesondere davon ab, unter welchen Bedingungen die Daten verarbeitet werden. So ist von entscheidender Bedeutung, welches Zusatzwissen vorliegt und wo die Datennutzung stattfindet. Abhängig davon, ob die Mikrodaten extern oder in den statistischen Ämtern genutzt werden, kann die faktische Anonymität mit mehr oder minder starken Informationseinbußen erreicht werden.

Vertiefung ausblenden

Formale Anonymität ... mehr

Informationen zur Vertiefung

Obwohl faktisch anonymisierte Daten für viele Bereiche der wissenschaftlichen Forschung geeignet sind, sind den Analysemöglichkeiten durch die faktische Anonymität Grenzen gesetzt. Dies ist insbesondere dann der Fall, wenn regional und fachlich tief gegliederte Auswertungen vorgenommen werden sollen. Auch eignen sich nicht alle Mikrodaten der amtlichen Statistik zur faktischen Anonymisierung oder sind nur bedingt anonymisierbar. Die formale Anonymisierung beinhaltet die Entfernung der direkten Identifikatoren. Hierzu zählen beispielsweise Namen oder Adressen. Der Merkmalsumfang und die fachlichen und regionalen Gliederungen bleiben dagegen erhalten.

Vertiefung ausblenden
Anonymität von Mikrodaten
Anonymität von Mikrodaten
Bildbeschreibung anzeigen
Die folgende Grafik veranschaulicht schließlich das Verhältnis zwischen dem bereitstellbaren Informationsgehalt der Mikrodaten und dem Grad der Anonymisierung.