Zu skandalös oder zu unkritisch: Medienkritik zu 5 Digitalthemen

Im Folgenden möchte ich ein paar negative Beispiele aus der jüngsten Medienberichterstattung zu Digitalthemen beleuchten. Beispiele in denen Narrative entweder unkritisch oder fehlerhaft von den Absendern übernommen oder im Gegenteil Gefahren überhöht oder „herbeigeschrieben“ worden sind. Oder wo schlichtweg viele Hintergrundinformationen fehlten, die nötig gewesen wären, um den Leser:innen Orientierung und Einordnung des Sachverhalts zu bieten.

Die ersten drei Beispiele handeln von Meldungen der SDA, die leider in den letzten Jahren stark kaputtgespart worden ist. Zwei davon sind dabei exemplarisch für die Berichte über Digitalpolitik: diese fallen oft neutral, ohne Einordnung und nur mit wenig Eigenrecherche aus. Es geht uns nicht darum die wichtigste Agentur des Landes zu kritisieren. Vielmehr wäre es wünschenswert wenn Medienhäuser nicht einfach nur 1:1 die SDA-Meldung kopieren, sondern ihre Hausaufgaben machen würden und ergänzend kritische Fragen stellen würden. Beispiele Vier und Fünf sind brandaktuell und hier fand teils eine unnötige Skandalisierung statt, die nicht mit den Fakten übereinstimmt.

Hier also eine kleine Medienkritik anhand von fünf Themen (Public Cloud, Skyguide, FDP-Wahlprogramm, „Team Jorge“ und SBB-Überwachungspläne) die für viele aktuelle Diskussion sorgen.

1.) Public Cloud-Beschaffung: Alles in Butter, grünes Licht. Wirklich?

Die Bundeskanzlei lud Ende September 2022 ein zum Hintergrundgespräch zur Public Cloud-Beschaffung. Nur wenige Medienvertreterinnen waren vor Ort. Doch diese stellten dafür umso kritischere Fragen zum laufenden Gerichtsverfahren jenes Bürgers der nicht mit der Beschaffung des Bundes einverstanden war. Er forderte vorsorgliche Massnahmen und einen Stopp der Bearbeitung seiner Daten in den Public Clouds von Amazon, Alibaba & Co.

Punkt 13:00 am 27. September hat die Bundeskanzlei die frohe Kunde dann publiziert: die Rahmenverträge sind unterschrieben. Obwohl der Bundeskanzlei durchaus klar war dass das rechtliche Verfahren noch nicht zu Ende war, gab sie mit der Unterzeichnung der Verträge grünes Licht für künftigen Upload in die Cloud. Ausserdem hatte sie noch ein GPK-Verfahren am Hals, das ebenfalls nochmals das Thema Rechtmässigkeit der Beschaffung angeschaut hatte, wie ich damals für die Republik recherchierte.

Doch von all dem war am Schluss nichts zu lesen in der SDA-Meldung, die die Medienmitteilung der Bundeskanzlei lediglich zusammenfasste (die natürlich auch nichts von der laufenden GPK-Untersuchung erwähnte). Das Framing der SDA/Bundeskanzlei-Mitteilung lautet: nun sind alle lästigen Hürden beseitigt, jetzt kann es – sobald das Bundesverwaltungsgericht einen Entscheid fällt, die anwesenden Bundesvertreter waren jedoch schon damals zuversichtlich- munter losgehen mit der Datenbearbeitung bei Azure, Oracle & Co. Eine kritische Einordnung zu den schützenswerten Personendaten – die gemäss Versprechen der Bundeskanzlei, nicht in die Public Cloud gespeichert werden sollen- fand nicht statt, obwohl der Bund in der Vergangenheit diese bereits in der SAP-Cloud verarbeitete.

Watson.ch, SRF.ch und Tagesanzeiger.ch haben die Mitteilung übernommen ohne grosse Eigenleistung, ohne Nachfragen beim Bundesverwaltungsgericht oder bei der GPK und ohne Einordnung der juristischen Sachzwänge beim Thema Cloud Computing von ausländischen Anbietern. So fehlten Informationen zum nicht mehr gültigen Datentransferabkommen/Rechtsrahmen zwischen der USA und der Schweiz, das nach wie vor ein rechtliches Vakuum für die hiesige Wirtschaft und die Bundesbehörden darstellt.

2.) Skyguide-Vorfall: Alles im Griff, ja?

Der Vorfall vom 15. Juni 2022, bei dem durch einen Ausfall bei Skyguide der Schweizer Luftraum für 5 Stunden gesperrt war, warf ein besonderes Schlaglicht auf die IT-Infrastruktur der Skyguide. Der UVEK-Bericht, der den Vorfall aufgearbeitet hatte, wurde Mitte Dezember veröffentlicht. Sämtliche Medien übernahmen auch hier die Inhalte der SDA, welche wiederum die Pressemitteilung der Skyguide aufgriff und daraus eine Meldung fabrizierten wie zum Beispiel nau.ch. Keine der Tagesmedien schien den Bericht UVEK en Détail durchzulesen, wonach die Skyguide Defizite in der IT-Sicherheit aufwies.

Alle übernahmen auch hier das Framing „Die Skyguide-Fluglotsen handelten richtig“, was korrekt ist. Nur schmälert das nicht die Probleme rund um IT-Systeme, zum Beispiel dass mit dem „Virtual Centre“ die gesamte Digitalisierung des Luftraums aus einer „Minicloud“ von einem einzigen Serverzentrum in Dübendorf aus steuern wollte und damit keine Geo-Redundanz aufweist (was wiederum gegen alle guten Richtlinien von Cloud Computing verstösst)

Das Thema „fehlende Geo-Redundanz“, eines der Hauptbefunde unserer Republik-Recherche, wurde auch in der Fachzeitschrift AeroTelegraph aufgenommen und als grosses Risiko eingestuft. Skyguide möchte die Empfehlung der Eidgenössischen Finanzkontrolle EFK und des UVEK (Einführung von Geo-Redundanz) nun angehen, aber auch dieser Aspekt – weder das Defizit noch dessen Behebung– fand nicht Eingang in die Medienberichte. Genausowenig wurde die Spannungen zwischen Skyguide-Management, das Prozesse auf Effizienz trimmen will, und des technischen Flugsicherungspersonals, für die „Sicherheit First“ gilt (auch wenn sie kostet), thematisiert.

3.) FDP: Fachkräftemangel mit Digitalisierung lösen…seriously?

Die FDP will den Fachkräftemangel mit Digitalisierung bekämpfen. Diese Forderung ist angeblich Teil des Wahlkampfprogramms und Positionspapiers der Partei. Dieser Nonsense-Satz wurde dank SDA-Meldung in unzähligen Portalen verbreitet. Auch ich habe die falsche Kunde unreflektiert vertwittert, bis ich dann effektiv das Wahlkampfprogramm der FDP gelesen habe. Darin steht was Anderes: die Automatisierung von staatlichen Dienstleistungen soll digitalisiert werden.

„Um die knappen Fachkräfte sinnvoll einzusetzen, sind effiziente Prozesse notwendig. Unnötige regulatorische Anforderungen gilt es zu vermeiden und negative Anreize zu beseitigen. Die Gesetzes- und Verordnungsflut schränkt unsere Freiheiten ein, die Schweiz ächzt unter Bürokratie, die Geld, Zeit und Nerven kostet. Zur Vereinfachung des administrativen Aufwands sollen die Behörden-Prozesse digitalisiert, die E-Government-Dienstleistungen ausgebaut und die E-ID rasch eingeführt werden.„

Aus dem FDP-Programm „3 Säulen für Wohlstand und Unternehmertum in der Schweiz“

Kurz: die SDA hat wohl im Programm die Stelle mit der Gesetzesflut überlesen und einen kausalen Zusammenhang zwischen Fachkräftemangel und eGovernment hergestellt. Kann man machen, das hat aber nichts mit dem Positionspapier der FDP zu tun (und ist abgesehen davon sachlich gesehen sinnlos).

4.) „Team Jorge“- Manipulation auf Bestellung, aha?

Das Kollektiv Forbidden Stories hat im Verbund mit zahlreichen Medienhäusern interessante Geschichten rund um digitale Desinformationsoperationen aufgedeckt. Hintergrund war die Ermordung einer Journalistin, deren Arbeiten nun vom Kollektiv weitergeführt werden. Dabei deckten die beteiligten Medien auf, wie eine israelische Firma namens „Team Jorge“ in „33 nationale Wahlkämpfe und Referenden eingegriffen“ hätten, angeblich in 27 Fällen „erfolgreich“ im Sinne ihrer Kunden, vor allem in Afrika, Asien und Lateinamerika. Hierbei gaben sich Journalisten als interessierte Kunden aus. Das Hacking/Desinformationskampagne-for-Hire-Unternehmen präsentierte den Interessenten „Live-Hacks“, sie zeigten wie sie Telegram-Kanäle infiltrieren und zeigten, wie sie mit Hilfe von Manipulationssoftware Avatare für Fake-Social-Media Kampagnen kreieren.

Wie schon bei Cambridge Analytica, mit dem Team Jorge offenbar auch Berührungspunkte hatte, verfallen die Medien wieder dem üblichen „Manipulationsmythos“. Auch wenn Hunderte von orchestrierten Fake Accounts wohl authentischer wirken als eine auf mich zugeschnittene Facebook-Werbung, die mich politisch „umdrehen“ will: die Wirksamkeit der Methoden solcher kommerziellen Desinformationsfirmen sind bisher politikwissenschaftlich nicht genügend untersucht und damit belegt worden. Es lässt sich relativ wenig über deren Effektivität sagen, auch wenn ihnen kritisch zu begegnen ist.

Daher ist es aus Mediensicht problematisch, Titel wie „Reporter decken weltweite Wahlmanipulation auf“ zu setzen. Es handelt sich viel mehr Versuche und um Tricks der Politik-Firmen. Wie sich die Kampagnen von Team Jorge in Nigeria, Indonesien, Griechenland etc. auswirkten, wissen wir nicht. Renommierte Politikwissenschaftler:innen wie Dave Karpf kritisieren diese Technologieversessenheit der Journalist:innen mit Fokus auf psychologischem Targeting schon seit Längerem.

Um den Erfolg von solchen Digitialmanipulationen zu messen, müssten sich die Medienschaffenden nicht alleine auf die PowerPoint-Folien und Verkaufsbroschüren der Cybersöldner stützen. Sondern vor Ort mit Politolog:innen sprechen und eigene Wahlanalysen aus jenen Staaten anstellen, um eine effektive Evaluation zu erhalten.

Deshalb: Sprache, so wichtig. Damit soll der Skandal nicht etwa kleingeredet werden: Sowohl Cambridge Anayltica wie auch „Team Jorge“ haben mit ihren „Dienstleistungen“ versucht die Integrität von Wahlen und Abstimmungen in Demokratien „von aussen“ zu verletzten. Ausserdem flossen Millionen von Datenpunkten ab, die niemals die Plattform hätten verlassen dürfen. Das alleine für sich ist bereits ein riesiger Skandal.

Diese Versuche der Irreführung gilt es zu ahnden, öffentlich zu machen und zu untersuchen. Doch dieses künstlich Aufblähen trotz mangelnder Evidenz könnte am Schluss mehr schaden. Denn die wirklichen Gefahren für die politische Meinungsbildung wie etwa den massenfähigen Einsatz von DeepFakes-Videos oder personalisierten Botschaften dank KI-gestützter Textgeneratoren wie ChatGPT kommen erst noch auf uns zu. Und für diese Debatte gilt es wachsam zu bleiben.

5.) SBB-Tracking aller Passagiere mit Gesichtserkennung, really?

Die wichtige K-Tipp-Recherche von letzter Woche hat die Schweiz wachgerüttelt. Die SBB plant Personenströme in Bahnhöfen ab September 2023 detaillierter zu erfassen und diese Personenbewegungsdaten mit Wetter- oder Fahrgastdaten zu verknüpfen, was „Auskunft über das Verhalten von Bahnhofsbesucher:innen“ geben kann.

Und jene Kriterien haben es in sich. Offenbar will die SBB von ihren neuen Kameralieferanten dass sie „Alter, Geschlecht, Grös­se, mitgeführtes Gepäck und Gegenstände wie Kinderwagen, Rollstuhl oder Velo“ erfassen ebenso wie Information „Wie viel Geld die Passagiere am Bahnhof in Apotheken, Lebensmittelläden, an Kiosken etc. ausgeben“. Es müsse eine „eindeutige ID“ den Passanten zugeordnet werden.

Diese Aussagen aus den Ausschreibungsunterlagen sind sehr brisant, aber unkonkret. Und sie bieten deshalb auch viel Raum für Spekulation. So redet der K-Tipp von einem System mit „Gesichtserfassung“, und alle anderen Schweizer Medien wie etwa der Tages-Anzeiger rezipieren den Text mit dem Framing „Gesichtserkennung“ und China (Überwachungsdiktatur), die NZZamSonntag führt ein ganzes Interview zum Thema Gesichtserkennung.

Auch wenn es zu diesem Thema natürlich nicht genug Berichte geben kann: Die Medien suggerieren dass dies der gesetzte Standard sein werde. Dabei handelt es sich nur um ein mögliches Szenario, Gewissheit gibt es dazu keine. Schliesslich schreibt auch der K-Tipp dass die SBB von den Lieferanten eine Anonymisierung der Personendaten verlange. Das Bahnunternehmen selbst bestreitet vehement, dass Gesichtserkennung eingesetzt werde.

Der Aufschrei ist zum einen berechtigt, schliesslich sind die Anforderungen der Ausschreibung wirklich haarsträubend formuliert und verlangen teils biometrische Kategorien (simap.ch, ProjektID: 251404 oder auch erhältlich auf intelliprocure.ch): „Es soll möglich sein, zumindest folgende demografische Eigenschaften von Personen zu erkennen: Geschlecht, Altersklasse, Grösse (z.B. <1.00m und >1.00m).“

Doch ist zum jetzigen Zeitpunkt gesehen absolut unklar, wie genau dieses Tracking umgesetzt werden soll. Fakt ist: Eine Gesichtserkennungstechnologie würde der eidgenössische Datenschutzbeauftragte, der über die Pläne der SBB informiert war, wohl niemals gutheissen. Auch ob „Gesichtserfassung“, wie es der K-Tipp schreibt, eingesetzt wird, wissen wir nicht. Der Begriff kommt in den Ausschreibungsunterlagen gar nicht vor. Doch ob eine Altersklassifizierung ohne gutes Bild des Gesichts funktionieren kann, ist fraglich. Der Einsatz der Technologie wäre demnach naheliegend.

Klarheit werden wir allerdings erst erhalten wenn die „Datenschutz-Folgenabschätzung“ der SBB vorliegt, welche vielleicht entweder vom EDÖB selbst oder von den Medien via BGÖ-Anfrage veröffentlicht wird. Und sobald die SBB auch Zusicherungen beim Kamerabetreiber verlangt bezüglich des Zugriffs auf die Software und Hardware (und nicht „Data as a service“).

Momentan ist nämlich das Gegenteil der Fall, wie die Ausschreibung zeigt:

„Dabei ist grundlegend zu verstehen, dass jegliche Messgeräte und Systemkomponenten (Hardware und Software), die es für die Datenerhebung und deren Bereitstellung an SBB IM benötigt, durch den Anbieter bereitgestellt und gewartet werden sowie auch in dessen Besitz verbleiben.„

Aus der Ausschreibung KFMS 2.0

Die SBB und ihre ausgewählten Lieferanten sind hier in der Beweis-Bringschuld gegenüber der Öffentlichkeit bezüglich des Missbrauchspotenzials und der Kontrolle/Hoheit der Daten.

Und nun ein weiterer Punkt der mangelnden Recherche/Einordnung in der medialen Rezeption: Sind die Pläne der SBB wirklich so neu und einzigartig? Fakt ist nämlich auch: Die SBB verwendet jetzt schon Software zur Analyse von Personenströmen der Schweizer Firma Analysis Simulation Engineering (ASE). Weitere Schweizer Firmen wie Xovis beliefern ebenfalls die SBB und weitere Bahnhöfe in Deutschland und europaweit (London-Paris) mit solchen Erfassungen (hier messen die Sensoren gezielt wie etwa beim Projekt „Large Area Tracking„). Die SBB will wohl kaum wissen, ob ich, Adrienne Fichter, gerade im Shopville am HB Zürich unterwegs bin und morgen wiederkomme. Sondern es geht eher darum herauszufinden, wieviele Migros-Konsumentinnen immer um die Ecke einen Espresso trinken, nach dem anstrengenden Einkauf im Shopville (und ob die Migros vielleicht mal Espresso-Gutscheine verteilen sollte).

Also interessiert die SBB welche Laufwege die Besucher:innen zurücklegen und welche Läden sie sonst frequentieren. Daher stellt sich die Frage warum für jene Informationen überhaupt die Kategorien Altersklasse, Geschlecht und Grösse nötig sind?

Eine andere Frage, die sich Medienschaffende stellen sollten: Gibt es sowas nicht schon im Detailhandel? Was ist eigentlich aus den Personenzähl-Systemen geworden der Migros und Coop (Monitor grün/rot für Einlass), die während der Pandemie im Einsatz waren (damit die Zahl der Kundinnen die Vorgaben des BAG nicht übersteigt)?

DNIP.ch fragte nach. Die Migros antwortete dass jene Systeme zur Personenzählung nicht mehr eingesetzt werden. Auch Coop verneint dies. Gibt es aber mittlerweile neuere Systeme für andere kommerzielle Einsatzzwecke? Beide Unternehmen meinen: Nein. (Was nicht-kommerzielle Zwecke angeht so sind durchaus „intelligente“ Kameras im Einsatz)

Was genau ist also an der SBB-Ausschreibung neu? Das lückenlose Tracking einer Person und ihrer Laufwege über alle Räumlichkeiten hinweg anhand einer Personen-ID. Nochmals for the record: Wie genau das umgesetzt werden soll, wissen wir zum jetzigen Zeitpunkt nicht. Gewissheit gibt es erst mit dem „Datenschutz-Folgenabschätzung“. Bis dahin müssen wir von potenziellen Technologien sprechen, die in Frage kommen könnten.

Um nicht missverstanden zu werden: Auch ich hab nicht wirklich Lust darauf mittels feinsinniger Sensoren und omnipräsenter Kameras von A bis Z verfolgt zu werden, auch wenn ich dabei nur als ausschraffiertes Pünktchen mit einer komischen Nummer auf den Monitoren der SBB auftauche (abgesehen davon: Bewegungsmuster können je nachdem auch als Biometriedaten gewertet werden. Wie gesagt die SBB ist in der Beweisschuld zu erklären, warum sie diese Kategorien erheben will und wofür genau). Die Überwachungspläne gilt es auch ohne Gesichtserkennungstechnologie kritisch zu diskutieren und die K-Tipp-Recherche hat hierzu eine sehr relevante Debatte ausgelöst. Aber es ist wichtig, dabei fair zu bleiben und nicht immer gleich mit der China-Keule zu schwingen, wenn wir die Faktenlage noch nicht kennen.

Fazit: Denkanstösse für Verbesserung im Techjournalismus

Es ist und bleibt stets eine Gratwanderung im Tech-Journalismus: zum einen möchten wir aufrütteln und für Datenschutzverbrechen und IT-Securityskandale sensibilisieren und zu einem reflektierten, kritischem Umgang von Technologien anregen.

Zum anderen soll aber auch mutmassliche Gefahren nicht künstlich hochgehypt werden, sonst tritt früher oder später ein Abstumpfungseffekt ein bei den Leser:innen. Denn dieser würde dazu führen dass auch die Chancen von Technologien verkannt werden würden.

Nicht immer gelingt dabei eine gute Balance. Es ist nämlich eine grosse Herausforderung technisch präzise zu sein, und gleichzeitig Zuspitzungen und starke, vereinfachende Metaphern oder Begriffe dort zuzulassen wo es dem Verständnis dienen kann.

Doch nur so kann ein differenzierter politischer Diskurs zu Digitalthemen entstehen, ohne Effekthascherei, sachlich, aber dennoch auch dringlich.

Update 22.2.2023: Mein Kollege Marcel hat nochmals die technischen Implikationen der SBB-Ausschreibung genauer für DNIP.ch beleuchtet. Ich empfehle unbedingt diese Lektüre. Ebenso auch die neue Folge des Datenschutzpartner-Podcasts von Martin Steiger (IT-Anwalt, Mediensprecher Digitale Gesellschaft) und Andreas von Gunten (Herausgeber von DNIP.ch)

Update 22.2.2023 um 21:00: In einer früheren Version schrieb ich fälschlicherweise dass am 27. September 2022 der Bundesverwaltungsgerichtentscheid bezüglich der Einsprache des Bürgers gefallen sei. Dieser fand jedoch erst am 2. November 2022 statt. Dafür möchte ich mich entschuldigen.