5. OSI Layer 8: Verantwortlich und Träger aller Risiken ist der Nutzer

Auch wenn die Entscheider hinsichtlich proaktiver Verantwortungsübernahme zurückhaltend reagieren, sich für viele Bereiche geradezu entpflichtet fühlen, bleibt die Frage offen, wie sich Verantwortung für Sicherheit im Internet gemeinsam gestalten lässt. Bei aller wechselseitigen Delegation findet sich dennoch ein Basis-Konsens: Am Ende ist immer der Nutzer selbst verantwortlich.

 „Ich würde da ganz stark für Eigenverantwortung plädieren, denn in dem Moment, in dem ich um Fremdverantwortung bitte, in dem ich sage, lieber Staat, beschütze mich vor dem Internet, muss ich dem Staat wiederum so viel Kontrolle über meinen privaten Rechner überlassen, bzw. muss wiederum so viel Freiheit aufgeben für in meinen Augen nur vermeintliche Sicherheit, dass ich davon nicht viel habe.“

Letztendlich sind es vor allem das Verhalten und die individuellen Entscheidungen des Nutzers, die maßgeblich bestimmen, ob er oder sie sich sicher im Internet bewegt oder nicht. Die Anwender sind somit selbst ihr größtes Sicherheitsrisiko. Es ist nicht überraschend, dass ihnen in diesem Zusammenhang auch ein hohes Maß an Naivität unterstellt wird.

 „Das meiste ist halt ERROR-40. Kennen Sie nicht? […] Na, Fehler 40. Das heißt, der Fehler sitzt 40 cm vor dem Monitor.“

„Wenn ich gerade schon von Datenschutz rede, muss ich auch ganz klar sagen, die Naivität bei vielen Nutzern, was den wirtschaftlichen Mechanismus dahinter angeht, ist auch extrem groß. Viele Nutzer fragen sich halt nicht, warum bezahle ich hier kein Geld?“

„Die Nachlässigkeit der Leute, dass Sicherheitskosten manchmal nerven, dass es umständlich ist und so. Man ist leichtgläubig, und, und, und, man ist neugierig, man möchte was ausprobieren. Und dann ist man als Nutzer immer gern geneigt, irgendwelche Dinge zu tun, die nicht ganz glücklich sind. Und na ja, es gibt in der Informatik so ein Schichtenmodell, das ist ja auch aus dem Internet bekannt, das siebenschichtige ISO/OSI-Modell, ist ganz technisch eigentlich von der Hardware bis zu irgendwelchen Anwendungssoftwareebenen, das ist die 7. Schicht, und dann sagt man immer, das größte Problem ist aber die Schicht 8, und das ist dann der Mensch.“

Die Meinungsführer sind sich daher einig, dass der Nutzer im Internet ein großes Maß an Eigenverantwortung tragen muss. Unklar ist allerdings, wie weit der Eigenverantwortungsbereich des Nutzers genau reicht, bzw. reichen soll. Einerseits soll er Verantwortung übernehmen für das, was er allein kontrollieren kann. Gleichzeitig wird aber auch betont, dass der Nutzer fast nichts weiß, weder was er kontrollieren kann noch wie.

Empfehlung an den Nutzer: Sich technisch absichern und klug verhalten!

Der Nutzer soll zunächst für alles Verantwortung tragen, das „zumutbar“ ist. Als Referenz wird vornehmlich das Autofahren bzw. der Straßenverkehr herangezogen, denn hier muss man auch bestimmtes Grundwissen haben und sich an Regeln halten, darf aber gleichzeitig vom Hersteller ein Mindestmaß an Grundsicherung erwarten (z.B. technische Funktionsfähigkeit).

 „Genauso wie Menschen, wenn sie über die Straße gehen, nach links und rechts gucken müssen, um sicherzustellen, dass sie nicht von einem Auto überfahren werden, ist es auch ihre Aufgabe, sich kundig zu machen, bevor sie im Internet Geschäfte machen.“

„Wenn Sie betrunken mit dem Auto gegen eine Laterne fahren, dann tragen Sie auch die Verantwortung und können nicht sagen: ‚Tschuldigung, ich bin doch nur der Endnutzer von Opel.“

Demnach gibt es auch im Internet bestimmte Bürgerpflichten, ein grundlegendes Rechts- und Unrechtsbewusstsein der Bürger wird vorausgesetzt oder zumindest überhaupt irgendein Bewusstsein:

 „Im Grunde genommen sind Risiken immer nur mangelndes Bewusstsein. Sobald Bewusstsein dafür da ist, dann verhält man sich auch entsprechend. Das Risiko ist eigentlich immer in der Nutzung. Z.B. wenn man eine E-Mail öffnet und da ist ein Anhang drin und man sagt aus Bequemlichkeit, Anhänge immer sofort öffnen und ausführen, dann hat man den Virus sofort auf der Platte. Also man muss sich bewusst sein, wie man das Internet nutzt. Und wenn man das hat, gibt es keine Unsicherheit im Internet.“

Häufig bezieht sich die Zuschreibung von Verantwortung dabei auf Allgemeinplätze. Vor allem die Privatsphäre-Einstellungen in sozialen Netzwerken und die eigene Selbstdarstellung im Netz gelten als Angelegenheiten, die die Nutzer mit „gesundem Menschenverstand“ regeln können sollten („man muss eben wissen, welche Fotos man von sich auf Facebook einstellt“). Darüber hinaus betrifft dies die Ausstattung mit Sicherheitssoftware und den Umgang mit persönlichen, sensiblen Daten (z.B. TAN-Listen). Äquivalente sind aus Sicht der Entscheider beispielsweise, dass man zwar nicht wissen muss, wie ein Auto funktioniert, jedoch durchaus weiß, dass man ein Auto tanken muss und zur Werk- statt fährt, wenn ein rotes Lämpchen blinkt, das man nicht kennt. Zudem wird die aktive Informationssuche seitens der Nutzer eingefordert, sobald Unsicherheit existiert.

 „Letztendlich ist jeder dafür verantwortlich, was er tut. Wenn ich Social Networks nutze, bin ich dafür verantwortlich. Natürlich kann ich immer versuchen, mich darüber rauszureden, deren Regeln sind intransparent, aber letztendlich bin ich dafür verantwortlich, dass ich da auf die Seite gehe, wo die Regeln drinstehen, und die Policy kritisch hinterfrage. Und wenn mir das zu blöd ist, das alles durchzulesen, dann muss ich mir Informationen eben anderswo besorgen.“

„Also das lässt sich sagen, wie weit das reicht: Der eigenverantwortliche Nutzer muss sicherstellen, dass er nicht seine TANs irgendwo eingibt, er muss sicherstellen, dass sein Virenschutz funktioniert, was ihn auch nicht immer davor bewahrt, sich irgendwie doch was einzufangen, [überlegt einige Zeit] und er muss, indem er sich entsprechend vorsichtig verhält, eben sicherstellen, dass er a) nicht im Internet irgendwas sieht, was er nicht sehen will und b) ihm nicht irgendwelche Dinge zustoßen, die er nicht will. So, das ist es dann auch schon.“

Sicherheit ist somit aus Sicht der Meinungsführer etwas, für das der Nutzer zunächst eine Bringschuld hat. Das heißt, Eigenverantwortung wird nicht unmittelbar an Fremdverantwortung gekoppelt, z.B. in Form eines gegenseitigen Agreements, wer für welche Aspekte von Sicherheit tatsächlich in Haftung genommen werden kann und wo die Grenze der Eigenverantwortung verläuft.

Vertrauen beginnt dort, wo Eigenverantwortung aufhört

Dennoch wird eingeräumt, dass der Nutzer allerdings nicht alles überschauen kann und seiner zumutbaren Kontrollfähigkeit Grenzen gesetzt sind. Vor allem Vertreter der Zivilgesellschaft und teilweise die Politik nehmen die Nutzer in Schutz. So ist es aus ihrer Sicht z.B. nicht möglich, die tatsächlichen Konsequenzen der Datennutzung durch Anbieter oder auch die mögliche Einwirkung Dritter einzuschätzen. Dies betrifft auch die Tatsache, dass der Wert persönlicher Daten erst durch ihre Kombination und Kontextualisierung (d.h. durch die Profilbildung) entsteht. Wo genau aber nun die Grenze zwischen Eigenverantwortung und Fremdverantwortung verläuft, scheint innerhalb der Meinungsführerlandschaft noch nicht geklärt zu sein.

 „Also, Eigenverantwortung ja, die Frage ist, wo setze ich da die Grenze. Und ich glaube, die Grenze ist völlig unklar im Moment. Sicherlich in gewissen Urteilen festgelegt. Das nutzt im Moment aber wenig in der Praxis.“

Als Lösung aus dem Verantwortungs-Dilemma wird Vertrauen als ein übergeordnetes, aber gleichsam relativierendes Ordnungsprinzip herangezogen. Nahezu alle Entscheider greifen auf diesen Begriff zurück, wenn es darum geht, das Spannungsverhältnis von Sicherheit und Verantwortung zu lösen und die Interaktionen zwischen Nutzern und Anbietern für das eigene Handlungsfeld zu verstehen.

 „Eigentlich würde, glaube ich, jetzt jeder sagen: jeder ist natürlich selber in der Verantwortung. Aber ich glaube, das ist eine Überforderung des Einzelnen. Also als Proklamation wird das, glaube ich, jeder unterschreiben. Ich bin auch für meine eigene Sicherheit im Netz verantwortlich, aber ich kann einfach nicht alles wissen. Und ich muss auch ein Stück weit Anderen vertrauen.“

„Das ganze Internet funktioniert nur, wenn ich entweder ein Grundvertrauen habe oder auch Blauäugigkeit, das kann man jetzt sehen wie man will. […] Kontrollieren kann ich es gar nicht.“

Wo aber hört gesundes Vertrauen auf und fängt Blauäugigkeit an? Einerseits wird ein Basiswissen vorausgesetzt (s.o.), d.h. eine Handlungskompetenz, ohne die man sich dem Netz nicht nähern sollte. Andererseits soll man sich auf sein Gefühl verlassen und solange das tun, was man möchte, bis man schlechte Erfahrungen gesammelt hat.

 „Man sollte vertrauen, solange eben der andere einen nicht übers Ohr haut.“
„Die Default-Einstellung beim Menschen ist ja im frühen Kindesalter eigentlich noch Vertrauen, er hat wenig schlechte Erfahrungen gemacht, am Anfang ist die Frage also: Warum soll ich dem nicht vertrauen? Und das ändert sich dann. Spätestens wenn mir das dritte Mal ein Kind im Kindergarten mit der Schaufel auf die Fresse gehauen hat, dann überlege ich mir, ob ich dem jetzt vertraue und mein Gesicht in seine Nähe halte, wenn der eine Schaufel in der Hand hat. Und da muss man seinen Weg finden, auch im Netz.“

Vertrauen wird somit als variable Größe aufgefasst, von der ich nicht zu viel und nicht zu wenig einsetzen darf. Nur so ist ein souveräner und sicherer Umgang mit dem Internet zu erreichen.

 „Beides. Sie [die Nutzer] haben zu viel und zu wenig Vertrauen. Teilweise fehlt das Vertrauen und führt dazu, dass eben weniger E-Commerce stattfindet. An anderen Stellen haben die Nutzer allerdings auch zu viel Vertrauen und fallen dann auf betrügerische Anbieter rein.“

Die vorausgehende Aussage zeigt aber auch, wie sehr die Entscheider auf das Vertrauen der Nutzer angewiesen sind. Der Nutzer muss dem Anbieter vertrauen, da sonst das eigene Geschäftsmodell, vielmehr das Internet selbst, nicht funktioniert. Vertrauen ist somit gleichsam Lösung wie auch Problem.

Vertrauen als Leitwährung im Internet

Vertrauen ist aus Meinungsführersicht die Leitwährung im Internet. Sie ist sowohl Eintrittstor wie auch immer wieder eingesetztes Kapital, das einem Anbieter im Internet als Vorschuss gewährt wird, das er akkumuliert, aber auch wieder verlieren kann, wenn er sich aus der Perspektive der Nutzer nicht richtig verhält. Kein Unternehmen kann am Markt bestehen, ohne sich dauerhaft das Vertrauen der Kunden zu erhalten. Aber auch der Staat braucht das Vertrauen der Bürger, um handlungsfähig zu sein – gerade auch im Bereich onlinebezogener Dienstleistungen und der Verwaltung persönlicher Daten.

Vertrauensdefizite sind daher Auslöser von Aktivität, sei es in Bezug auf eine Verbesserung der Sicherheitsstandards, wenn Nutzer bestimmte Angebote nicht mehr wahrnehmen oder in Form von (Gesetzes-)Initiativen, die bürgerrelevante Themen bezüglich Internet auf die Agenda setzen
mögliche Sperren für Websites mit Kinderpornographie oder ein Einklinken in die Urheberrechtsdebatte).

Auch wenn Vertrauen offenbar eine subjektive Einschätzung, ein Gefühl ist, setzen die Meinungsführer überwiegend auf rationale Maßnahmen zur Vertrauensbildung. Hierzu gehören (a) technische Sicherheitsstandards, (b) Transparenz im Handeln und (c) die Förderung von Bildung für eine verbesserte Medienkompetenz.

a) Die Entwicklung von Sicherheitskonzepten zur Eindämmung potenzieller infrastruktureller Risiken (wie z.B. Kompromittierung der IT-Systeme, Datenverlust, Hacker-Angriffe), wird in Bezug auf vertrauensbildende Maßnahmen zumeist als erstes genannt:

 „Natürlich muss es sichergestellt sein, genau wie bei Banken oder wo man ähnliche Wege geht, dass es klar ist, dass es geschlossene Verbindungen sind, dass niemand an diese PINs, an diese Kundendaten drankommt. Das heißt, für uns wäre fatal, wenn unsere Kundendaten – möglicherweise sogar verbunden mit Kontonummern oder Ähnlichem – jemals irgendwo gefunden werden könnten. So was würde bei uns das Vertrauen der Bevölkerung in unser Angebot so zerstören, dass es für uns existenziell wäre. Insofern sind das für uns ganz übergeordnete Kriterien.“

„Und in den Prozessen dahinter ist Vertrauen extrem wichtig, weil sensible Kundendaten natürlich entsprechend gespeichert werden müssen, verarbeitet werden müssen und jeder Kunde, ob das jetzt der Businesskunde von Google ist oder der Endkunde, erwartet, dass die Daten entsprechend gesichert werden und entsprechend nicht weiterverbreitet werden.“

b) Des Weiteren wird auf Transparenz im Umgang mit Daten gesetzt. Das heißt, wenn man Funktionsweisen erklärt und auch mögliche Störfallszenarien darstellt (also dezidiert keine 100%ige Sicherheit im Sinne von Schadensfreiheit verspricht), erhöht sich das Vertrauen seitens des Nutzers.

 „Vertrauen schafft immer, etwas zu erklären. Das halte ich für ganz wichtig. Also immer zu erklären, Ihre Daten werden hier bei uns folgendermaßen verwaltet und wir haben die und die technischen Vorkehrungen getroffen, damit nichts passiert. Und wenn was passiert, dann passiert das und das.“

„Also Vertrauen in Institutionen, in Regeln, in Konformitätsbestätigungen oder Ähnliches ist die Voraussetzung dafür, dass sich bei den Internet-Nutzern so ein Sicherheitsgefühl einstellt.“

Die Meinungsführer gehen davon aus, dass einzelne Merkmale und Maßnahmen auf das Vertrauenskonto einzahlen und sich letztlich in der Reputation eines Unternehmens oder der Organisation niederschlagen.

„Die ganze Sicherheit im Internet baut darauf, dass es hinreichend viele Vertrauensanker gibt, dass z.B. ein großes Unternehmen, was irgendwie eine bekannte Marke hat, dadurch als vertrauenswürdig angesehen wird und natürlich auch was zu verlieren hat und deshalb auch viel tut, um das Vertrauen zu erhalten.“

Vor allem Vertretern der Zivilgesellschaft und der Medien gehen diese „Eigenbeteuerungen“ von Transparenz nicht weit genug. Sie möchten keine „Transparenzblasen“, sondern fordern, konkrete Interaktionssituationen zwischen Anbieter und Nutzer wechselseitig zu klären und explizit zu machen („Unternehmen müssen dem Kunden ersichtlich machen, womit sie ihr Geld verdienen“). Eine Transparenz der Handlungsabsichten und Verarbeitungsprozesse von Anbietern, eine Selbstverpflichtung in festgelegten Grenzen sowie verbindliche Enforcement-Mechanismen sind notwendige Voraussetzungen dafür, dass der Nutzer überhaupt eigenverantwortlich handeln kann.

 „Und ich fände das tatsächlich auch eine sehr schöne Geschichte, wenn das unterstützt werden könnte, dass man schlicht und einfach als Betreiber auch Auskunft darüber geben muss, was das jetzt eigentlich monetär wert wäre und ob man den Betrag nicht lieber bezahlen möchte.“

c) Schließlich wird Aufklärung über Risiken im Internet und die Förderung der Medienkompetenz, insbesondere bei Kindern und Jugendlichen, als wesentliches Mittel zur Vertrauensbildung gesehen. Vertrauen umfasst also auch Vertrauen in das eigene Handeln, um anderen wiederum vertrauen zu können bzw. Vertrauensindikatoren richtig einschätzen zu können. Diesbezüglich herrscht Einigkeit unter den Entscheidern, unklar ist dabei nur, wer für diese Aufgabe verantwortlich ist. Der Staat sieht sich in der Pflicht, Rahmenbedingungen zu definieren (z.B. Curricula in der Schule), kommt aber aus Sicht der anderen Akteure diesem Anspruch nicht ausreichend nach.

 „Es ist aber, glaube ich, auch eine politisch-gesellschaftliche Verantwortung, auf die Missbrauchsmöglichkeiten hinzuweisen. In der Bildung in Kindergärten, Grundschulen, Schulen bis hin zu Universitäten. Ich denke, es gibt heute keinen Berufszweig mehr, der nicht ein Grundwissen von Technologie und Sicherheit haben muss.“

„Da sollte aus meiner Sicht sogar die Schule eine Aufgabe übernehmen in der Zukunft. Es ist jetzt nicht so, dass es da ein Fach Internet oder so etwas geben sollte, aber es sollte irgendwo im Curriculum mit eingeführt werden. Und ich denke, es sollte auch Aufklärungsveranstaltungen geben. Auch die Medien haben da eine gewisse Aufgabe, gerade die öffentlich-rechtlichen, in der Aufklärung der Bürger.“

Interessanterweise geben die Entscheider kaum Hinweise darauf, wie effektiv diese Maßnahmen zur Vertrauensbildung im Kontext der Internet-Nutzung tatsächlich sind. Keiner stellt die Frage, ob die eigenen Vertrauenskonzepte mit denen der Nutzer überhaupt deckungsgleich sind.

Vertrauen ohne Sicherheit? Der mutmaßliche Rechtsrahmen als Fall-Back-Strategie

Gehen Aufklärung und Transparenz von Unternehmen und Behörden tatsächlich als Aktivposten in die persönliche Vertrauensbilanz ein? Summiert der Nutzer wirklich einzelne Sicherheitsmaßnahmen zu einem übergeordneten ganzheitlichen Gefühl auf, das dazu führt, einem Angebot trauen zu können? Und wie viel will er eigentlich überhaupt wissen (müssen)?

Im Alltag – und auch in der DIVSI Milieu-Studie1 – zeigt sich, dass das konkrete Internet-Verhalten nicht unbedingt aus einem übergeordneten persönlichen Sicherheitskonzept zu erklären ist, d.h. Menschen verhalten sich nicht immer rationaI bzw. vernünftig und schon gar nicht konsistent. Zum einen hängt dies von den jeweiligen milieuspezifischen Grundhaltungen ab (z.B. die in der DIVSI Milieu-Studie identifizierten „Unbekümmerten Hedonisten“ vs. die „Verantwortungsbedachten Etablierten“), zum anderen kommt intuitives Handeln immer dort zum Tragen, wo sich aufgrund zu hoher Komplexität eine Situation rational nicht mehr überblicken und analysieren lässt, wie dies im Kontext Internetsicherheit bei vielen Nutzern der Fall ist. Daher erscheint z.B. soziale Rückkopplung (à la „über 900 Millionen Nutzer können nicht irren“) für das Internetverhalten vieler Nutzer relevanter als die Anbieter-Aussage „Ihre Daten sind sicher“.

 „Vertrauen ist eine ganz wichtige Sache im Internet, weil ich die wenigsten, mit denen ich im Internet interagiere, wirklich kenne. Das sieht man ja speziell bei sozialen Netzwerken. Da hat man 600 Freunde, die natürlich nicht wirklich Freunde sind. Also viele von denen kennt man wahrscheinlich überhaupt nicht. Die kennt man irgendwie über Dritte. Also da ist immer die Frage, wenn ich persönliche Informationen von mir preisgebe, vertraue ich denen, dass die damit kein Schindluder treiben. Also Vertrauen, auch ohne genau zu prüfen, ist eine ganz wichtige Sache im Internet.“

Vertrauensindikatoren scheinen aus Nutzerperspektive vor allem intuitiv und quantitativ zu sein, wie dies auch das gängige Netz-Vokabular widerspiegelt („250 Leuten gefällt das“; „wer das gekauft hat, hat sich auch hierfür interessiert“). Ob ich ein Angebot tatsächlich nutze, ist also nicht unbedingt eine bewusste Entscheidung für ein Angebot, sondern ein Pragmatismus: Weniger ein Aussuchen und Prüfen als vielmehr ein Mitmachen und Dabeisein.

 „Das ist der Herdentrieb, ganz banal. Wenn es viele machen und es geht nichts schief, kann es eigentlich nicht so verkehrt sein.“

Wichtiger und zielführender als ein rationales Abwägen von Chancen und Risiken ist für den Nutzer demnach das Vertrauen in das eigene „Gefühl“. Interessanterweise flankieren bzw. kontrastieren einige Entscheider die eingangs aufgelisteten Vertrauensmaßnahmen mit dem persönlichen Internetverhalten, das auch eher auf das Mitschwimmen im „Common Sense“ rekurriert als auf einen reflektierten Abwägungsprozess.

„Wenn man sich sein eigenes Online-Verhalten anguckt – und ich bin da sicherlich nicht repräsentativ, weil ich mich sicherlich überdurchschnittlich viel im Internet bewege und mich auch in ganz unterschiedlichen Kontexten bewege, aber Eigenverantwortung spielt eine enorm hohe Rolle, wenn nicht sogar die wichtigste. Eigenverantwortung und Common Sense, sich einfach auf sein eigenes Gefühl zu verlassen. Das ist so wie überall sonst auch.“

Schließlich bleibt die Frage, ob ein rein intuitives Vertrauen tatsächlich „freischwebend“ ist und sich nur auf ein Gefühl stützt, dass schon nichts passieren wird, weil auch den vielen anderen Nutzern nichts passiert. Die DIVSI Milieu-Studie hat gezeigt, dass 74 Prozent der Deutschen den Staat und auch die Unternehmen in der Verantwortung sehen, für Sicherheit im Netz zu sorgen. Und: Sie vertrauen zu einem nicht unerheblichen Teil darauf, dass der Staat im Falle eines Betrugs entsprechend einschreitet bzw. Unternehmen eine Haftung übernehmen.

Sie setzen somit insgeheim darauf, dass es – auch in ihrer Sicht – „gerecht“ zugeht, und dass vor allem der Staat am Ende seine Schutzfunktion erfüllt, und sind verwundert, dass sie verwundbar sind.

 „Wenn ich das dann mal erzähle in einer Schule, was man alles über sie im Internet finden kann, dann sagen die immer zu mir: Aber das müsste doch verboten werden.“

Die aktuellen Debatten rund um die Facebook-Massen-Partys zeigen ebenso, dass manche Nutzer sich so sicher im Netz fühlen, dass sie darauf vertrauen, dass die Stadt am Ende die Kosten für die polizeiliche Schadensbeseitigung übernimmt – was sie ja aktuell auch meistens macht.

„Fact Checking wird sehr wenig betrieben von Verbrauchern. […] Das heißt, ich habe eigentlich ein blindes Vertrauen. Aber das blinde Vertrauen kann ich nur deshalb haben, weil ich glaube, dass es einen Rechtsrahmen gibt, der mich schützt.“

Vertrauen in Online-Dienste ist somit nicht automatisch mit Risikofreude und Bereitschaft zu möglicher Schadensbeseitigung verbunden, sondern enthält eine implizite Fallback-Strategie, indem davon ausgegangen wird, dass am Ende schon jemand anders die Verantwortung übernehmen wird. Wer das sein soll, bleibt dabei offen.

  1. Vgl.: DIVSI Milieu-Studie unter www.divsi.de/publikationen [↩]