Datenschutz und Fairness auf Legacy-Systemen steuern

# Datenschutz und Fairness auf Legacy-Systemen steuern

Eine Sachbearbeiterin in einer kommunalen Sozialbehörde tippt den Namen eines Klienten in ein modernes Case-Management-Dashboard. Hinter dem Bildschirm fragt dieses Dashboard still und leise einen Mainframe ab, der installiert wurde, als Reagan Präsident war. Der Mainframe enthält 40 Jahre Anspruchshistorie in einem Format, das kaum noch jemand im Haus lesen kann. Um diesem einen Klienten zu helfen, muss die Behörde diese beiden Systeme verknüpfen. Genau in diesem einen Akt der Verknüpfung treffen Datenschutzrisiko, Fairnessrisiko und technische Schulden aufeinander.

Diese Lektion geht diese Verknüpfungsentscheidung durch. Sie kommt in Behörden häufig vor und ist selten so einfach wie „einfach die Datenbanken verbinden“.

Warum Legacy-Systeme der Normalfall sind, nicht die Ausnahme

Die meisten gehen davon aus, dass Behörden auf alter Technik laufen, weil sie träge oder unterfinanziert sind. Die wirklichen Gründe sind strukturell.

Leistungssysteme (Arbeitslosenversicherung, Medicaid-Anspruchsprüfung, SNAP) laufen oft auf COBOL, einer Programmiersprache von 1959, die noch heute einen großen Teil der behördlichen Transaktionen verarbeitet. Während des Anstiegs der Arbeitslosigkeit 2020 suchten mehrere US-Bundesstaaten öffentlich nach COBOL-Programmierern, weil ihre Systeme nicht skalieren konnten.

Man kann diese Systeme nicht einfach ersetzen. Sie funktionieren. Sie sind tragend. Eine gescheiterte Modernisierung kann echten Menschen wochenlang Leistungen abschneiden. Die praktische Realität lautet also: Sie steuern Daten auf Systemen, die Sie nicht ausgewählt haben und nicht vollständig ändern kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen.

Das Verknüpfungsproblem, konkret

Angenommen, Sie wollen zwei Datensätze verknüpfen:

• Mainframe (1985): speichert einen Klienten über Sozialversicherungsnummer (SSN), Name und eine codierte Anspruchshistorie.
• Case-Management-Tool (modern): speichert einen Klienten über eine interne Fall-ID, den Namen und aktuelle Leistungen.

Um sie zu verbinden, brauchen Sie einen Join Key, ein gemeinsames Feld, das einen Datensatz im einen System derselben Person im anderen System zuordnet. Der naheliegende Key ist die SSN. Das ist gleichzeitig das gefährlichste Feld, das Sie überhaupt bewegen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnten.

Der Konflikt in einer Zeile:

The field that makes linkage EASY (SSN)
is the same field that makes RE-IDENTIFICATION easy.

Re-Identifikation liegt vor, wenn angeblich anonyme Daten auf eine bestimmte Person zurückgeführt werden. Klassische Forschung hat gezeigt, dass sich ein großererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → Teil der US-Bevölkerung allein über Postleitzahl, Geburtsdatum und Geschlecht eindeutig identifizieren lässt. Namen zu entfernen reicht also nicht.

Ein sichererer Weg zu verknüpfen

Statt SSNs zwischen Systemen zu kopieren, nutzen Teams zunehmend einen gehashten Identifier oder einen separaten Master Person Index.

Beim Hashing wird die SSN durch eine Einwegfunktion geschickt, die eine verschlüsselte Zeichenfolge erzeugt. Dieselbe SSN ergibt immer denselben Hash, Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Datensätze also weiterhin matchen, aber die rohe SSN verlässt den Mainframe nie.

import hashlib

def link_key(ssn: str, secret_salt: str) -> str:
    # Salt verhindert, dass Angreifer Hashes aller SSNs vorab berechnen
    return hashlib.sha256((secret_salt + ssn).encode()).hexdigest()

# Dieselbe Person, derselbe Key, in beiden Systemen. Die rohe SSN bleibt zu Hause.
link_key("123-45-6789", secret_salt="agency-only-value")

Das Salt (ein geheimer Wert, der vor dem Hashing hinzugefügt wird) ist wichtig. Ohne es kann ein Angreifer alle möglichen SSNs hashen (es sind weniger als eine Milliarde) und Ihre „anonymen“ Keys in Minuten zurückrechnen. Das ist nicht theoretisch: ungesalzenes Hashing hat zu echten Datenlecks geführt.

Für eine verständliche Grundlage zu De-Identifikationsmethoden ist die Leitlinie des US Department of Health and Human Services zur De-Identifikation geschützter Gesundheitsdaten eine solide, kostenlose Referenz, auch außerhalb des Gesundheitswesens.

Datenschutz-Governance, die Sie tatsächlich erfüllen müssen

Datenverknüpfung im öffentlichen Sektor löst meist formale Regeln aus. Definieren Sie diese bei der ersten Verwendung:

• PII (Personally Identifiable Information): alle Daten, die eine Person identifizieren. Die SSN ist die Kategorie mit dem höchsten Risiko.
• Data-Sharing Agreement (DSA): ein unterzeichnetes Dokument zwischen Programmen oder Behörden, das genau festlegt, welche Daten bewegt werden, warum und wie lange.
• Zweckbindung: das Prinzip, dass Daten, die zu einem Zweck erhoben wurden (etwa Anspruchsprüfung), nicht ohne Befugnis frei für einen anderen Zweck weiterverwendet werden dürfen (etwa Strafverfolgung).

Bei der Zweckbindung wird öffentliches Vertrauen gewonnen oder verloren. Wenn Klienten glauben, dass ihre Leistungsdaten an die Einwanderungsbehörde gehen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnten, stellen sie keine Anträge mehr, selbst für Leistungen, auf die ihre Kinder rechtlich Anspruch haben. Dieser Abschreckungseffekt ist ein dokumentierter Fairnessschaden, nicht nur eine Datenschutz-Fußnote.

🎬 [VIDEO: "The Privacy Paradox in Government Data" - youtube.com - ein zugänglicher Überblick darüber, wie Behörden Datennutzen gegen Re-Identifikationsrisiko abwägen]

Wo Fairness ins Spiel kommt: das Audit

Sind die Systeme verknüpft, bauen Behörden oft Werkzeuge darauf auf: einen Risk Score, der mutmaßlichen Betrug markiert, oder ein Modell, das die Ansprache priorisiert. Hier kommt ein algorithmisches Fairness-Audit ins Spiel.

Ein Fairness-Audit prüft, ob eine datengetriebene Entscheidung über Gruppen hinweg (Ethnie, Behinderungsstatus, Sprache, Geografie) in nicht gerechtfertigter Weise unterschiedliche Ergebnisse produziert.

Der Legacy-Aspekt macht das schwerer. Alte Mainframe-Daten kodieren alte Annahmen.

Konkretes Beispiel: die Falle der „fehlenden Daten“

Angenommen, das System von 1985 erfasste nur bestimmte Leistungskategorien, die in wohlhabenderen Vororten verbreitet waren, während Antragstellende aus ländlichen Regionen und mit Migrationshintergrund häufiger auf Papier bearbeitet und nie vollständig digitalisiert wurden. Jahrzehnte später „sieht“ ein Modell, das auf dieser Mainframe-Historie trainiert wurde, weniger Daten für diese Gruppen.

Weniger Datensätze kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen wie geringerer Bedarf aussehen, oder sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen einen Betrugsscore hochtreiben, weil die Historie der Person „dünn“ oder „inkonsistent“ wirkt. Der Bias steckt nicht im Code. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ist in das eingebacken, was vor 40 Jahren erfasst wurde.

Ein ehrliches Fairness-Audit muss daher zwei Fragen stellen:

1. Ergebnisfairness: Sind die Fehlerquoten über Gruppen hinweg ähnlich? (Ist zum Beispiel die Falsch-Positiv-Rate bei Betrug für eine Sprachgruppe höher?)

2. Datenherkunft: Wer fehlt systematisch oder ist in den Quelldaten nur dünn vertreten, und warum?

Frage zwei zu überspringen ist der häufigste Fehler. Teams auditieren das Modell und erklären es für fair, ohne zu merken, dass die zugrunde liegenden Daten nie neutral waren.

Eine einfache Audit-Tabelle

Ein nützlicher erster Durchgang ist ein Subgruppenvergleich. Für den Anfang brauchen Sie keine höhere Mathematik:

| Gruppe | Markierungsrate | Bestätigt-korrekt-Rate | Falsch-Positiv-Rate |

|-------|-------------|------------------------|---------------------|

| Gruppe A | 8 % | 90 % | 10 % |

| Gruppe B | 8 % | 62 % | 38 % |

Gleiche Markierungsraten (je 8 %) kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen sehr unterschiedliche Fehlerquoten verdecken. Gruppe B wird hier weit häufiger fälschlich markiert. Genau dieses Muster soll ein Audit sichtbar machen.

Arbeiten innerhalb von Rahmenbedingungen, die Sie nicht beseitigen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen

Sie haben drei Kräfte: Datenschutzrisiko, Fairnessrisiko und einen Mainframe, den Sie nicht ersetzen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. So navigieren erfahrene Teams damit.

1. Minimieren, was bewegt wird

Heben Sie nicht den ganzen Mainframe in das moderne Tool. Bewegen Sie den kleinstmöglichen Ausschnitt, der für die Aufgabe nötig ist, mit gehashten Keys, nicht mit rohen SSNs. Weniger Daten in Bewegung heißt weniger Angriffsfläche und weniger Re-Identifikation.

2. Eine Übersetzungsschicht hinzufügen, keinen Ersatz

Oft kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie den Mainframe nicht sicher anfassen. Stattdessen bauen Teams eine Middleware-Schicht (manchmal eine APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen →), die zwischen altem und neuem System sitzt. Der Mainframe bleibt unangetastet. Die Middleware steuert genau, welche Daten durchgehen, und loggt jeden Zugriff.

Logging ist auch für Fairness wichtig: Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nicht auditieren, was Sie nicht erfasst haben.

3. Die Geschichte der Daten dokumentieren

Schreiben Sie für jedes Feld eine kurze Notiz zur Datenherkunft: Woher es kommt, aus welcher Zeit, bekannte Lücken. Wenn später jemand ein Risikomodell baut, warnt diese Notiz ihn, dass „dünne Historie“ „1990 auf Papier bearbeitet“ bedeuten kann und nicht „geringer Bedarf“.

4. Betroffene Communities in die Prüfung einbeziehen

Fairness-Audits funktionieren besser, wenn die Menschen, die in den Daten repräsentiert sind, bei der Interpretation helfen. Ein Muster fehlender Daten, das für eine Analystin wie Betrug aussieht, ist für eine Community-Vertreterin offensichtlich, die sich an die papierbasierte Antragsaufnahme erinnert.

5. Vorab entscheiden, was „unfair genug zum Stoppen“ heißt

Legen Sie Schwellenwerte vor dem Launch fest. Weichen die Falsch-Positiv-Raten zwischen Gruppen um mehr als einen vereinbarten Wert ab, wird das Tool pausiert. Das vorab zu entscheiden nimmt die Versuchung, ein verzerrtes Ergebnis zu rechtfertigen, wenn Geld und Reputation auf dem Spiel stehen.

Wichtigste Erkenntnisse

• Der Join Key entscheidet alles. Nutzen Sie gesalzene gehashte Identifier oder einen Master Person Index, damit rohe SSNs den Mainframe nie verlassen. Namen zu entfernen verhindert allein keine Re-Identifikation.
• Legacy-Daten sind nicht neutral. Was vor Jahrzehnten erfasst wurde (und was nicht), prägt die Algorithmen von heute. Auditieren Sie die Datenherkunft, nicht nur die Modell-Outputs.
• Zweckbindung schützt den Zugang. Wenn Klienten fürchten, dass ihre Leistungsdaten gegen sie verwendet werden, ziehen sie sich zurück, und das ist selbst ein Fairnessschaden.
• Umhüllen, nicht herausreißen. Eine geloggte Middleware-Schicht erlaubt Ihnen, Zugriffe zu steuern, ohne das Risiko, einen tragenden Mainframe zu ersetzen.
• Setzen Sie Fairness-Schwellen vor dem Launch, damit ein verzerrtes Ergebnis eine Pause auslöst statt eine Rechtfertigung.