Faites vos jeux

Benjamin Kees, Stefan Ullrich

Walter ist Chef der kleinen Firma AC-Games, die seit über 17 Jahren ein für die Nutzerinnen und Nutzer kostenloses Spieleportal für Online-Gemeinschaftsspiele, meist Rollenspiele, anbietet. Auf dem Portal finden sich aber auch einfache ,,casual games“, unter ihnen vor allem Geschicklichkeitsspiele. Der Kundenstamm ist recht groß, allein mit den einhundert aktivsten Spielerinnen und Spielern können die Traffic-Kosten und der gesamten technische Support über Werbeeinnahmen finanziert werden. Bis zur Finanzkrise vor zehn Jahren stimmte auch der Umsatz im Shop für die virtuellen Gegenstände, doch nun, seit zwei, drei Jahren wird mit dem bisherigen Geschäftsmodell nicht mehr genug Geld verdient, um den Mitarbeiterinnen und Mitarbeitern die Gehälter auszuzahlen. Die Spielehersteller nutzen das Portal in Zeiten von App-Stores kaum noch, die Aufträge bei der Online-Werbung gehen zurück und die Spieler kaufen auch immer seltener virtuelle Artefakte mit hartem Geld ein, kurz:Walter und seinen Mitarbeitern – schon recht alte IT-Hasen – droht die Erwerbslosigkeit. Da kommt das Übernahmeangebot des Datenhändlers Data Broker GmbH zur rechten Zeit.

Bei der nächsten Team-Sitzung wird heiß diskutiert. Ein Datenhändler, das gehe ja wohl gar nicht, echauffieren sich die einen, aber den Dienst einfach abschalten und die Spieler mit ihren liebevoll ausgefeilten Avataren hängenlassen gehe ja wohl auch nicht, entgegnen die Befürworter. Walter wunderte sich ohnehin darüber, dass ausgerechnet ein Datenhändler ein so hohes Gebot abgibt, da sie nur die persönlichen Angaben abfragen, die für die Bezahlung der Artefakte notwendig sind. Selbst die Idee einer ,,Crowdfunding“-Kampagne wird diskutiert, aber schließlich entscheidet man sich für den Datenhändler, nachdem die Geschäftsführung zu dem Schluss kam, dass dies der einzig gangbare Weg sei, und sie ja keine allzu personenbezogenen Daten abfragen würden.

In der Anfangsphase der Firma waren Walter und seine Gründungspartner nicht so sensibel gegenüber dem Thema Datenschutz. In einem frühen Blog-Eintrag von AC-Games schrieb Walter über die ultimative ,,Slot Machine“. Er beschrieb eine Glücksspielmaschine, die sich mit ihrem Timing an die Spielerinnen und Spieler anpasst. Um diese Idee umsetzen zu können, mussten Verhaltensdaten irgendwie gesammelt werden, so wurden unter anderem die Reaktionszeiten der Spielenden von jedem einzelnen gespielten Spiel mitgeschnitten. Es gab noch weitere Nutzungsideen für diese Daten, die jedoch nur im internen Blog diskutiert wurden. Eine weitere Idee war es, Spieler künstlich erzeugtem Stress auszusetzen, um Wahlverhalten zu beeinflussen, so dass sie unvorteilhafte Entscheidungen trafen und dabei zum Beispiel mehr Geld ausgaben oder sich öfter am Tag anmeldeten.Walter war über die Jahre jedoch von der Idee abgekommen. Einerseits, weil ihm das Thema Datenschutz und digitale Selbstbestimmtheit immer mehr am Herzen lag, vor allem aber, weil es hierzulande mit dem Online-Glücksspiel auch rechtlich nicht so einfach ist.

Die zur Datenerhebung programmierten Systeme hätten eigentlich entsprechend umgestaltet werden müssen, aber Kathleen, die damals als einzige den Überblick hatte, was da eigentlich wie gespeichert wurde, hatte zu dieser Zeit nicht die nötigen Ressourcen. So wurde die Erfassung der Reaktionszeiten und anderer Verhaltensweisen fortgesetzt, auch wenn keine unmittelbare Verwendung mehr vorgesehen war. Als irgendwann ein Datenschutzaudit durchgeführt wurde, erwähnte der Dienstleister die ungewöhnliche Datensammlung in seinem Bericht, stellte jedoch fest, dass diese Praxis mit den AGBs der Firma und der Einwilligung der Nutzerinnen und Nutzer rechtens waren.

Durch eben diesen Datenschutzbericht der Firma war nun die Data BrokerGmbH auf die Firma aufmerksam geworden. Die Datenbanken mit über Jahre gesammelten Reaktionszeiten und Verhaltensweisen der Spieler sind nun Teil des Datenkapitals – und stoßen auf großes Interesse bei der Data Broker GmbH. Das Sahnehäubchen auf dem Datenkuchen ist, dass bei einer Übernahme nicht einmal der AGB-Text geändert werden muss, so dass die Spielerinnen und Spieler den Besitzerinnenwechsel im Idealfall nicht mitbekommen und somit ihr Verhalten auch weiter preisgebenwürden.

Der Datenbank-Administrator Hank ist erst seit kurzem bei AC-Games. Da er in dieser Firma ohnehin nicht alt werden wollte, denkt er sich in den letztenWochen vor der Übernahme, ohne großes Risiko ein paar der Ideen ausprobieren zu können, die er in den alten Blogpost von Walter gelesen hatte. Es interessiert ihn, was tatsächlich in den gesammelten Daten steckt, denn auch er war über die horrenden Summen, die Data Broker angeboten hatte, stutzig geworden. Mit ein paar statistischen Berechnungen, die er über mehrere Nächte auf den Servern laufen lässt, kann er eine Reihe von Spielertypen aus den gesammelten Daten identifizieren und den einzelnen Usern zuordnen. Auf der Shop-Seite für virtuelle Artefakte programmiert er dann einen ,,fake counter“, der künstlich die verbleibende Stückzahl je nach Spielertypus variiert. Bei manchen lässt er zuerst eine bequeme zweistellige Zahl erscheinen, die dann alle paar Sekunden um eins reduziert wird. Ob User, die er für sich mit ,,Stress-Typ“ bezeichnet  hat, wohl wirklich auf ,,kaufen“ klickt, fragt sich Hank. Dem Typus mit Hanks Bezeichnung ,,Neugierig“, zeigt Hank zunächst gar keine Zahl, sondern ein Link mit der Aufschrift ,,Verfügbarkeit prüfen“, um dann stets ,,nur noch 1 Exemplar vorhanden“ anzuzeigen. Als Hank am nächsten Abend die Verkaufszahlen aufruft ist er völlig verblüfft, wie gut er die verschiedenen Typen in ihren Handlungen hatte beeinflussen können. Als er sich ausmalt, welchen Einfluss auf die jahrelangen Kunden von AC-Games mit den Zahlen auch außerhalb des Spieleportals genommen werden könnte, kommt er ins Grübeln.

Mit ein paar simplen Befehlen könnte Hank als Datenbank-Administrator die Kunden-IDs von der Reaktionszeiten-Tabelle entfernen, allerdings war ihm vorher untersagt worden, tiefgreifende Veränderungen vor der Übernahme vorzunehmen. Er zieht auch in Betracht, seine Entdeckung Walter mitzuteilen, entschließt sich aber kurzerhand dagegen. Noch bevor die administrativen Zugänge den neuen Zuständigen übergeben werden, pseudonymisiert Hank die Kunden-IDs in der Datenbank mit den gespeicherten Verhaltensweisen. Bei ,,ein paar simplen Befehlen“ bleibt es nicht. Es wird eine lange Nachtschicht, denn ihm wird klar dass er auch alle Zusammenhänge aus den Backups entfernen muss – so dass es aussieht, als wären die Daten schon von jeher so anonym erhoben worden. Eine Zuordnungs-Tabelle, aus der sich die Zusammenhänge wiederherstellen lassen, speichert er auf einem privaten USB-Stick ab.

Fragen

• Wie bewerten Sie, dass die Firma AC-Games trotz finanzieller Schwierigkeiten ihr Portal weiter betreiben wollen?
• Welche moralische Verpflichtung hat Walter, seine Kundinnen und Kunden von der Übernahme zu informieren?
• Ist es vertretbar, dass Hank die Vorgaben für die Übernahme missachtet hat, um eine datenschutzfördernde Pseudonymisierung vorzunehmen?
• Darf Hank die Daten auf einer privaten USB-Stick abspeichern, wenn er sie nicht mit nach Hause nimmt?
• Wie bewerten Sie, dass der Datenschutzauditbericht für Data Broker zugänglich war?
• Welche Verantwortung hatte Kathleen, die Datenerfassung zu beenden oder zu hinterfragen, nachdem die Daten über so viele Jahre nicht benutzt wurden?
• Ist es problematisch, dass sich die Firma ein Recht auf umfassende Datenerfassung vorbehält, auch wenn die Sammlung von Daten gar nicht so umfassend ist bzw. eine Analyse und Nutzung der Daten gar nicht erfolgt?

Erschienen im Informatik-Spektrum 40(5), 2017, S. 471-472.