Differential Privacy

Differential Privacy im Detail

Eine einfache Anwendung ist ein veröffentlichter statistischer Bericht. Ein geeignetes Verfahren fügt kalibrierten Zufall hinzu, sodass sich aus dem Ergebnis weniger über einzelne Beiträge lernen lässt. Einfach einige Namen zu entfernen oder beliebiges Rauschen hinzuzufügen genügt dafür nicht. NIST erläutert in SP 800-226, wie konkrete Garantien bewertet werden und welche Umsetzungsfehler sie schwächen können.

Fragt, was geschützt wird: eine einzelne Transaktion oder sämtliche berücksichtigten Beiträge einer Person? Ein Schutz für einzelne Ereignisse ist nicht automatisch gleich stark für eine Person mit vielen Ereignissen. Zu den Parametern gehört Epsilon; bei manchen Varianten zusätzlich Delta. Kleinere Epsilon-Werte begrenzen den Datenschutzverlust unter sonst gleichen Voraussetzungen stärker. Die Zahl ist aber kein Prozentsatz für Sicherheit.

Wiederholte Auswertungen müssen gemeinsam berücksichtigt werden. Legt deshalb ein Budget für den gesamten vorgesehenen Veröffentlichungsumfang fest. Prüft zugleich, welche Aussagen mit den veränderten Ergebnissen noch verlässlich möglich sind. Für kleine Gruppen können Genauigkeitsprobleme besonders relevant sein. Allgemeine Zusammenhänge über eine Bevölkerung können weiterhin Rückschlüsse ermöglichen; Differential Privacy verhindert nicht jedes Wissen über einzelne Menschen.

Creative Engineering übersetzt die Analysefrage in einen verantwortbaren Bericht: Welche Entscheidung soll unterstützt werden, welche Detailtiefe ist nötig und welche Unsicherheit muss sichtbar bleiben? Die Verantwortung für Konzept und Qualität liegt bei uns. Vergleicht fachlichen Nutzen mit Implementierung, Datenschutzprüfung und laufender Kontrolle. Eine technische Garantie ersetzt weder die Prüfung der Datenverarbeitung noch den Schutz der zugrunde liegenden Systeme.