Differential Privacy ist ein mathematisch präzises Datenschutzverfahren, das einer Datenauswertung kalibriertes Zufallsrauschen hinzufügt. Dadurch verändert sich das Ergebnis kaum, ob eine bestimmte Person in den zugrunde liegenden Daten enthalten war oder nicht.
Zusammenfassung
Cynthia Dwork und Kolleg:innen formalisierten das Konzept 2006 in Calibrating Noise to Sensitivity in Private Data Analysis. Zentral ist der Parameter Epsilon, das „Privatsphäre-Budget”: Je kleiner Epsilon, desto mehr Rauschen und desto stärker der Schutz – auf Kosten der Genauigkeit der Auswertung.
Das US-Handelsministerium setzte das Verfahren 2020 erstmals vollständig für den Zensus ein, um Einzelpersonen vor Re-Identifizierung aus den veröffentlichten Bevölkerungsdaten zu schützen. Apple und Google nutzen es seit Jahren lokal auf Geräten, etwa für Texteingabe-Vorschläge, ohne einzelne Nutzer:innen identifizierbar zu machen.
Begriffsgeschichte
Vor Differential Privacy verließen sich Anonymisierungsverfahren meist auf das Entfernen direkt identifizierender Merkmale wie Namen. Wiederholt zeigte sich, dass sich Personen trotzdem re-identifizieren ließen, indem man anonymisierte Datensätze mit anderen, öffentlich verfügbaren Datenquellen abglich.
Dwork, McSherry, Nissim und Smith lieferten 2006 die erste mathematisch strenge Definition von Datenschutz, die unabhängig vom Wissen eines Angreifers gilt. Die US-Volkszählungsbehörde begann daraufhin, das Verfahren zu erproben, und implementierte es 2020 erstmals vollständig für die Bevölkerungsdaten des Zensus – nachdem eigene Tests gezeigt hatten, dass frühere, nicht-differenzielle Verfahren tatsächlich re-identifizierbar waren.
Parallel dazu setzte Apple das Verfahren bereits seit iOS 10 (2016) lokal auf iPhones ein, unter anderem für Tastatur- und Emoji-Vorschläge.
Methodische Grundlagen
Formal erfüllt ein Verfahren Epsilon-Differential-Privacy, wenn sich die Wahrscheinlichkeit eines bestimmten Ergebnisses höchstens um den Faktor e^Epsilon ändert, je nachdem, ob ein einzelner Datensatz in der Eingabe enthalten ist oder nicht. Typische Werte für Epsilon liegen zwischen 0,1 und 10; niedrigere Werte bedeuten stärkeren Schutz und mehr Rauschen.
Man unterscheidet globale Differential Privacy, bei der eine vertrauenswürdige Instanz die Rohdaten sammelt und erst bei der Auswertung Rauschen hinzufügt, von lokaler Differential Privacy. Bei ihr fügt jedes Gerät sein eigenes Rauschen schon vor der Übertragung hinzu – wie bei Apples Ansatz.
Für das Training neuronaler Netze existiert mit DP-SGD eine angepasste Variante des Gradientenabstiegs, die während des Trainings selbst Rauschen einführt. Sie lässt sich mit Federated Learning kombinieren, um sowohl dezentrales Training als auch eine mathematische Datenschutzgarantie zu erreichen.
Anwendungsfelder
Neben dem US-Zensus und den Gerätefunktionen von Apple und Google findet das Verfahren zunehmend Eingang in das Training von KI-Modellen selbst, insbesondere in sensiblen Bereichen wie der medizinischen Bildauswertung. Dort lässt sich ein Modell auf Patientendaten trainieren, ohne dass einzelne Patient:innen aus dem fertigen Modell rekonstruierbar sind.
Der Kompromiss zeigt sich gerade dort deutlich: Bei moderatem Privatsphäre-Budget bleibt die klinische Leistungsfähigkeit oft akzeptabel, während strenge Werte die Genauigkeit spürbar senken – besonders bei kleinen oder uneinheitlichen Datensätzen.
Kontroversen und Kritik
Die Wahl des Epsilon-Werts gilt in der Fachliteratur selbst als offenes Problem: Es gibt keinen allgemein akzeptierten Standard dafür, welcher Wert „genug” Schutz bietet, und die Festlegung wird oft eher pragmatisch als prinzipiell begründet.
Ein zweiter, jüngerer Kritikpunkt betrifft Fairness: Mehrere Untersuchungen zeigen, dass Differential Privacy die Leistungsunterschiede zwischen Bevölkerungsgruppen vergrößern kann – kleinere oder untypische Gruppen verlieren durch das hinzugefügte Rauschen überproportional an Genauigkeit gegenüber der Mehrheitsgruppe.
Der Zensus-2020-Einsatz selbst löste Kontroversen unter Demografie-Forschenden aus: Kritiker:innen bemängelten, das hinzugefügte Rauschen verzerre insbesondere kleinräumige Auswertungen für Gemeinden und Minderheitengruppen so stark, dass etablierte Forschungsmethoden nicht mehr zuverlässig anwendbar seien.
Verwandte Begriffe
- Personenbezogene Daten – der Schutzgegenstand, für den Differential Privacy eine mathematische Garantie liefert
Quellenangaben
- Dwork, Cynthia / McSherry, Frank / Nissim, Kobbi / Smith, Adam, 2006. Calibrating Noise to Sensitivity in Private Data Analysis. TCC 2006.
- US Census Bureau, 2020. Disclosure Avoidance and the 2020 Census.
- Belfer Center, 2020. Differential Privacy — Tech Factsheets for Policymakers.