Der Facebook-Skandal, aber sortiert

1. Erstens: Es handelte sich nicht um ein Datenleck
2. Zweitens: Facebook verkauft keine Nutzerdaten
3. Drittens: Es gibt keinen Beweis dafür, dass Cambridge Analytica wirklich Wahlen beeinflusst hat
4. Viertens: Tesla und SpaceX haben ihre Facebook-Seiten vermutlich gar nicht gelöscht
5. Fünftens: Facebook hat nicht “schnell reagiert”
6. Wie sehr fließt die Angst von Journalisten vor Facebook in ihre Berichterstattung über Facebook ein?
7. Differenzieren, differenzieren, differenzieren!

Es gärt in mir, seit vor zwei Wochen der Skandal rund um Facebook, Cambridge Analytica und den Missbrauch von 50 Millionen Datensätzen ins Rollen gekommen ist. Denn ein gehöriger Teil der Berichterstattung zu dem Thema ist falsch — und ich glaube, man muss da einmal ein bisschen sortieren.

Bisher geht die Story oft wie folgt: “Bei Facebook gab es eins der größten Datenlecks in der Geschichte des sozialen Netzwerks. Die Firma Cambridge Analytica konnte 50 Millionen Datensätze abzapfen, mit denen die Wahl in den USA zugunsten von Donald Trump beeinflusst wurde. Als Reaktion auf das Datenleck haben Unternehmen wie Tesla und SpaceX ihre Auftritte bei Facebook gelöscht. Das soziale Netzwerk selbst reagiert auf den massiven Druck und will seinen Nutzerinnen und Nutzern in den kommenden Monaten eine bessere und einfachere Kontrolle über ihre Daten ermöglichen.”

Den gesamten Post findet Ihr auch auf Medium.

Erstens: Es handelte sich nicht um ein Datenleck

Vor fünf Jahren hat sich der russisch-amerikanische Neurowissenschaftler Aleksandr Kogan mit einer Idee bei Facebook gemeldet: Er wollte für wissenschaftliche Zwecke Daten über Nutzerinnen und Nutzer sammeln, und zwar mit Hilfe einer App innerhalb von Facebook. Er hat dann einen Psychotest mit dem Namen “thisisyourdigitallife” erfunden.

Rund 270.000 Leute haben diesen Psychotest genutzt und dafür — Achtung! — wissentlich ihr Einverständnis gegeben, Daten wie den Wohnort und die Gefällt-mir-Angaben bei Facebook auszulesen. Das Bestätigungsfenster dafür kennt ihr mit Sicherheit auch. Es erscheint auch, wenn ihr “Candy Crush” spielen oder euch mit eurem Facebook-Login bei anderen Onlinediensten wie Spotify oder Tinder anmelden wollt.

Wer seine Daten an eine App innerhalb von Facebook übermittelt, gibt sie damit wissentlich her. Es handelt sich also nicht um ein Datenleck.

Das Problem dabei war, dass die App “thisisyourdigitallife” nicht nur die Daten ihrer etwa 270.000 Nutzerinnen und Nutzer auswerten konnte, sondern auch die von deren Freunden. Damit waren es am Ende nicht mehr 270.000 Datensätze, sondern 50 Millionen.

Passieren konnte das erstens, weil Facebook seinen App-Entwicklern diese Möglichkeit damals noch grundsätzlich eingeräumt hat. Zweitens aber hatten sich die gut 49,7 Millionen Menschen, deren Datensätze ebenfalls betroffen sind, nicht durch die Einstellungen des sozialen Netzwerks gekämpft. Hätten sie das getan, hätten sie tief versteckt in den Menüs die Möglichkeit gehabt, die Datenweitergabe an Apps ihrer Freunde zu verbieten.

Dem Feature, dass Apps auch die Daten von Freunden absaugen durften, hat Facebook im Frühjahr 2015 den Saft abgedreht, auch nachdem es schon lange ernsthafte Bedenken bei Datenschützern hervorgerufen hatte. Bis dahin aber dürften viele Apps die Daten abgezogen haben. Ich würde also nicht ausschließen, dass neben dem Fall Cambridge Analytica noch weitere dieser Art auf uns warten — wenn auch nicht so groß und so politisch.

Zusammengefasst: Es handelte sich nicht um ein Datenleck, sondern um ein “Feature” von Facebook. Das Problem dabei sind erstens die Nutzerinnen und Nutzer, die zu faul sind, ihre Einstellungen durchzugehen, und zweitens Facebook, das dieses Tor für die Datenweitergabe jahrelang offen gelassen hat.

Zweitens: Facebook verkauft keine Nutzerdaten

Aleksandr Kogan hat die 50 Millionen Datensätze an Cambridge Analytica verkauft — und damit seinen Vertrag mit Facebook gebrochen. App-Entwickler wie er durften all diese Daten zwar sammeln, aber eben nur für die Verwendung in Zusammenhang mit ihren Apps. Die Daten an Dritte zu verkaufen, war schon immer verboten. Wenn sich Facebook an dieser Stelle also “als Opfer darstellt”, wie ich es öfter gelesen habe, stimmt das sogar.

Allerdings hat Facebook es offenbar über all die Jahre versäumt, seine Entwickler streng genug zu kontrollieren — und auch den Fall Cambridge Analytica recht formell behandelt. Dass Kogan Daten an die Firma verkauft hat, weiß Facebook seit 2015 und hat sich von beiden lediglich schriftlich versichern lassen, dass diese Daten gelöscht wurden — was nicht passiert ist. Hier wäre eine härtere Gangart angebracht gewesen; der frühere Facebook-Mitarbeiter Sandy Pakrilas hat das Problem im Guardian ganz gut auf den Punkt gebracht:

Asked what kind of control Facebook had over the data given to outside developers, he replied: “Zero. Absolutely none. Once the data left Facebook servers there was not any control, and there was no insight into what was going on.”

Daten verkauft hat Facebook allerdings nicht. Diesen Vorwurf höre ich immer wieder: “Facebook verkauft ja unsere Daten. Das ist schließlich deren Geschäftsmodell.” Ich habe mir, was diesen Punkt angeht, in den vergangenen Jahren den Mund fusselig geredet: Es ist nicht das Geschäftsmodell von Facebook, unsere Daten zu verkaufen. Ganz im Gegenteil: Es wäre schädlich für das Geschäftsmodell.

Facebook verdient 40 Milliarden US-Dollar im Jahr mit personalisierter Werbung. Werbekunden können bei Facebook zum Beispiele eine Anzeige für Norah-Jones-Fans schalten, die zwischen 30 und 40 Jahre alt sind, männlich und in Dormagen wohnen. Ich bekomme diese Anzeige dann zu sehen — aber die Werbekunden erfahren nicht, dass ich es bin, der sie sehen kann. Wären die Daten nämlich einmal verkauft und in Umlauf, wären sie nicht mehr so wertvoll. Facebook sitzt also auf seinem Datenschatz.

Zusammengefasst: Facebook verkauft keine Nutzerdaten, sondern nur den Zugang zu den jeweiligen Nutzerinnen und Nutzern. Die Datenweitergabe an App-Entwickler war und ist also eine potenzielle Gefahr für das eigene Geschäftsmodell.

Drittens: Es gibt keinen Beweis dafür, dass Cambridge Analytica wirklich Wahlen beeinflusst hat

Es klingt alles zu perfekt: Der böse Datensammler Facebook, dessen Daten bei einer ominösen Firma landen, die verspricht, Wahlen beeinflussen zu können. Der Wissenschaftler Aleksandr Kogan, der für seine Forschung Geld aus St. Petersburg bekommen haben soll. Das Unternehmen Cambridge Analytica, das Verbindungen zum russischen Ölkonzern Lukoil haben soll. Und dann unser aller Wunsch, für solche Dinge wie Trump und den Brexit endlich eine einfache Erklärung geliefert zu bekommen.

Was wir gerade erleben, ist die Neuauflage einer Diskussion von Ende 2016. Da war Cambridge Analytica schon einmal in den Schlagzeilen, nachdem Das Magazin den Artikel “Ich habe nur gezeigt, dass es die Bombe gibt”veröffentlicht hatte. “Der Psychologe Michal Kosinski hat eine Methode entwickelt, um Menschen anhand ihres Verhaltens auf Facebook minutiös zu analysieren”, hieß es darin. Kosinski habe Donald Trump mit seinen wundersamen Big-Data-Methoden mit zum Sieg verholfen.

Dahinter hatte ich in WDR Digitalistan 2016 schon ein paar Fragezeichen gemacht. Der Artikel über Cambridge Analytica zog als Belege die Aussagen von nur zwei Personen heran, nämlich Erfinder und Verkäufer der Big-Data-Methoden. Der Artikel verwechselte Korrelation und Kausalität — ein beliebter Fehler. Und der Artikel verschwieg, dass Ted Cruz in den Vorwahlen der Republikaner Cambridge Analytica mitten in seiner Kampagne fallen gelassen hatte — offenbar, weil er mit den Ergebnissen nicht zufrieden war. Die Autoren des Artikels mussten im Schweizer Tages-Anzeiger zurückrudern:

“Wir hätten unsere Recherche-Ergebnisse stärker hinterfragen müssen. Dann wären notwendige Relativierungen im Text verblieben — etwa die Bauchlandungen der Firma Cambridge Analytica und ihre kontrovers eingeschätzte Rolle in der Brexit- und Cruz-Kampagne.”

Bis heute sind Zweifel daran angebracht, dass Cambridge Analytica wirklich Wahlen und Volksabstimmungen beeinflussen konnte, auch nach der Berichterstattung im Guardian, die den Facebook-Datenskandal nun ins Rollen brachte. Jürgen Hermes arbeitet im Spektrum der Wissenschaft auf, wie das Unternehmen viel verspricht, aber immer dann sehr vage bleibt, wenn es darum geht, wie diese Versprechen angeblich umgesetzt werden. Einen Beweis dafür bleibt Cambridge Analytica bis heute schuldig. Stattdessen zeigt der britische Sender Channel 4, dass die Firma auch auf andere Methoden setzt, als nur die Datenanalyse:

Wie verlässlich sind die Behauptungen eines Unternehmens, das mit solchen Methoden arbeitet? Dessen Manager auf die Frage danach, ob es kompromittierende Details über den politischen Gegner besorgen könnte, antworten, man könne “Mädchen zum Haus des Kandidaten schicken”, und Ukrainerinnen seien “sehr schön, ich finde, das funktioniert sehr gut”? Die anbieten, einem Kandidaten Geld für seinen Wahlkampf zu geben, ihm als Gegenleistung ein Stück Land anzubieten — und das auf Video aufzunehmen?

Das alles heißt nicht, dass wir uns keine Sorgen wegen Targeting und Manipulation machen sollten. Bei all den Daten, die vor allem Facebook hat, müssen wir da wachsam bleiben — auch nach den psychologischen Experimenten, die Facebook selbst mit Nutzerinnen und Nutzern durchgeführt hat. Auch Cambridge Analytica sollten wir weiter gut unter die Lupe nehmen. Aber zur Geschichte um dieses Unternehmen gehört eben auch, dass sie auffällig viele Indizien für eine Luftnummer mit sich bringt.

Zusammengefasst: Politisches Targeting dürfte funktionieren — aber vielleicht eher dann, wenn einem die Möglichkeiten zur Verfügung stehen, die nur Facebook selbst besitzt. Wenn es um Cambridge Analytica geht, bleiben nach wie vor zu viele Fragen offen.

Viertens: Tesla und SpaceX haben ihre Facebook-Seiten vermutlich gar nicht gelöscht

Auch das passte einfach zu perfekt in die Geschichte: das böse Facebook auf der einen Seite — entsetzte Unternehmen sowie Nutzerinnen und Nutzer auf der anderen Seite. Höhepunkt: WhatsApp-Mitgründer Brian Acton rief bei Twitter dazu auf, Facebook den Rücken zu kehren — und Tesla- und SpaceX-Chef Elon Musk stieg darauf ein.

Danach hieß es fast überall, die Facebook-Seiten seien “gelöscht”. Man kann Facebook-Seiten aber nicht nur löschen. Man kann sie auch deaktivieren. Kaum ein Bericht ging auf die Möglichkeit ein, dass man die Seiten vermutlich jederzeit wieder online schalten kann. Sie hatten jeweils rund 2,6 Millionen Fans; es wäre ein Wahnsinn, sich die Möglichkeit zu nehmen, die auch über Facebook zu erreichen. Mein Verdacht also: ein PR-Stunt.

Gerade bei Elon Musk müsste man es schließlich besser wissen. Oder wie Vox es formuliert: “Der Typ, der ein Unternehmen namens ‘Boring Company’ gegründet und es dazu genutzt hat, 20.000 Flammenwerfer zu verkaufen. Der ein Unternehmen ‘Thud’ genannt hat und niemandem verrät, wofür es da ist. Der dem Tesla einen Biowaffen-Verteidigungsknopf spendiert hat. Mit Musk ist es oft schwer zu sagen, ob es gerade wirklich um technische Innovation, eklatantes Trollen oder einen Mix aus beidem geht.”

Zusammengefasst: Alle wollen hören, dass nun der große Aufstand gegen Facebook beginnt — Elon Musk nutzt die Gunst der Stunde. Möglicherweise sind die Facebook-Seiten von Tesla und SpaceX aber gar nicht gelöscht, sondern nur verübergehend deaktiviert.

Fünftens: Facebook hat nicht “schnell reagiert”

Am Mittwoch hat Facebook angekündigt, dass die Privatsphäre-Tools überarbeitet werden. Auf dem Smartphone seien die Einstellungen bald “nicht mehr auf fast 20 verschiedene Unterseiten verteilt, sondern an einem Ort zugänglich”. Veraltete Einstellungsmöglichkeiten werden überarbeitet. Nutzerinnen und Nutzern soll damit unter anderem klarer werden, welche Informationen mit Apps geteilt werden können und welche nicht.

Links alt, rechts neu: die Privatsphäre-Tools für Facebook.

Es hieß in der Berichterstattung in dieser Woche oft, mit dieser Änderung reagiere Facebook auf den Datenskandal. Das ist falsch. Facebook schreibt in seiner Ankündigung selbst, dass es an einer Vielzahl dieser Updates schon seit geraumer Zeit arbeite — und tatsächlich hatte es die neuen Privatsphäre-Tools schon im Januar angekündigt. Wer sich ein bisschen mit der Materie auskennt, weiß außerdem, dass es nicht möglich ist, zentrale Funktionen wie die Privatsphäre-Tools innerhalb von nur anderthalb Wochen zu überarbeiten. Für Änderungen dieser Art brauchen ganze Entwicklerteams in der Regel einige Monate.

Facebook dürfte es natürlich freuen, dass Menschen die überarbeiteten Privatsphäre-Tools für eine Reaktion auf den Datenskandal halten. Der Zeitpunkt ist gut gewählt. So wie ihn Facebook schon öfter gut gewählt hat: Facebook muss sich Kritik anhören. Facebook räumt ein, dass alles zu kompliziert ist. Facebook baut um. Das war schon 2010 so. Das ist heute so. Nach außen klingt es gut, wenn umgebaut wird. Nach innen kann es Nutzerinnen und Nutzer allerdings auch verwirren, wenn sich ständig Dinge ändern — wer hat schon Lust, sich in schöner Regelmäßigkeit durch neue Menüs zu wühlen?

Und dann ist da noch die Ankündigung von Facebook, dass es nun einfacher werde, die eigenen Daten runterzuladen — “schließlich sind es deine Daten”, schreibt Facebook. Da musste ich lachen. Denn diese Funktion wird es möglich machen, eine Kopie der eigenen Daten in einem Format runterzuladen, mit dem man sie bei anderen Onlineplattformen wieder hochladen können soll. Das klingt zwar wie ein toller, offener, kulanter Schritt von Facebook. Der Konzern verschweigt aber, dass diese Funktion in Wahrheit eine gesetzliche Vorgabe ist — wenn ab Ende Mai die neue Datenschutz-Grundverordnung in der EU gilt.

Zusammenfassung: Was als Reaktion auf den Datenskandal gehandelt wird, ist gar keine Reaktion auf den Datenskandal. Die neuen Privatsphäre-Tools waren wohl schon lange in Planung. Die Möglichkeit, die eigenen Daten runterzuladen, ist eine gesetzliche Vorgabe. Da muss also noch mehr kommen, wenn Facebook wirklich ein Interesse daran hat, das Vertrauen vieler Nutzer zurückzugewinnen. Wesentlich mehr.

Wie sehr fließt die Angst von Journalisten vor Facebook in ihre Berichterstattung über Facebook ein?

Ann-Kathrin Büüsker twitterte vor ein paar Tagen sehr treffend: “Die Cambridge-Analytica-Geschichte ist wie gemacht, die Vorurteile all jener zu bestätigen, die Facebook schon immer irgendwie doof fanden. Lässt sich in der Berichterstattung hervorragend beobachten.”

Facebook ist einer der Player im Netz, die unseren Berufsstand seit Jahren vor enorme Herausforderungen stellen — unter anderem, weil Facebook zunehmend Kontrolle darüber hat, welche Inhalte unserem Publikum über den Newsfeed zugestellt werden und welche nicht. Deshalb gab es zuletzt die erhitzte Diskussion über die Ankündigung von Facebook, mehr Inhalte von Familie und Freunden im Newsfeed anzuzeigen — und weniger von Seiten.

Das ist jetzt ein bisschen persönliche Empirie, aber: Die größte Schnappatmung haben in meiner Wahrnehmung die Leute bekommen, die sich von Facebook eh schon lange genervt fühlten — und nun plötzlich den Grund dafür sahen, am besten ganz schnell die eigenen Auftritte zu löschen und es sich wieder auf der eigenen Website kuschelig zu machen und darauf zu warten, dass Nutzerinnen und Nutzer vorbeischauen. Dass erste Änderungen im Algorithmus möglicherweise schon seit Herbst 2017 griffen, ging unter. Dass selbst Facebook nicht weiß, wie die Änderungen am Ende insgesamt aussehen werden, erst recht.

Wie sehr spielt bei einer Reihe von Journalistinnen und Journalisten eigentlich die Angst vor Facebook eine Rolle in der Berichterstattung überFacebook? Diese Frage stelle ich mir mittlerweile bei vielen Berichten, die ich sehe, höre oder lese — und aus denen das entsprechende Framing nur so herausplatzt.

Differenzieren, differenzieren, differenzieren!

Es ist so wichtig, dass wir über all diese Dinge diskutieren. Aber es ist genauso wichtig, dass wir die richtigen Punkte diskutieren. Dass wir Facebook an der richtigen Stelle angreifen und bei den Fakten bleiben. Denn die Liste an Fehlern bei Facebook ist riesig:

• Facebook hat jahrelang die Bedenken von Datenschützern überhört und Anwendungen erlaubt, auf die Daten von Freunden ihrer Nutzer zuzugreifen. Dass dieses Tor so lange offen stand, Facebook es nicht für nötig hielt, App-Entwickler scharf zu kontrollieren, und sich im Nachhinein mit schriftlichen Bestätigungen zufrieden gab, dass verkaufte Daten vermeintlich gelöscht wurden, war massiv fahrlässig.
• Facebook stellt nach wie vor zu wenig Transparenz her. Mir sind viele Warnhinweise zu klein, mir ist die Sprache in ihrer Übersetzung aus dem Englischen oft zu schwurbelig. Man muss Facebook aber auch zugute halten, dass der Hinweis, die Einstellungen zu überprüfen, seit längerer Zeit immer wieder ganz oben im Newsfeed angezeigt wird. Fakt ist eben auch: Viele Nutzerinnen und Nutzer sind zu faul, sich darum zu kümmern.
• Facebook hat in meiner Wahrnehmung bisher kein ernsthaftes Interesse daran, seine Nutzerinnen und Nutzer konsequent ehrlich zu informieren. Es wäre spielend einfach, den betroffenen 50 Millionen Menschen eine E-Mail zu schicken, damit endlich auch eine Sicherheit da ist, ob man selbst betroffen war oder nicht. Ganzseitige Anzeigen in Tageszeitungen mit peinlichem Übersetzungspatzer reichen da aus meiner Sicht nicht. Und es wäre auch fair, nicht den Eindruck entstehen zu lassen, man reagiere auf Kritik, obwohl man Funktionen neu einführt, die eh geplant waren.
• Facebook hat nach wie vor ein Kommunikationsproblem. Öffentliche Reaktionen kommen zu spät, Statements gegenüber der Presse gibt es zu selten, Ansprechpartner für einfache Nutzerinnen und Nutzer fehlen komplett. Ein Unternehmen dieser Größe und mit so viel Geld im Rucksack könnte da ganz anders agieren.
• Facebook erkennt seine Verantwortung nicht. Die Strategie, immer und überall erst einmal zu machen und erst dann zu schauen, was passiert, halte ich für überholt; es wäre sinnvoll, sich in Zukunft schon vorher Gedanken über die Auswirkungen einzelner Maßnahmen und Funktionen zu machen. Verantwortungsvoll wäre es auch, die Profile neuer Nutzerinnen und Nutzer standardmäßig möglichst sicher und privat zu stellen — und es den Leuten selbst zu überlassen, ob sie sich mehr Öffentlichkeit wünschen.

Ich bin nach wie vor der Ansicht, dass man Facebook regulieren muss. Es ist aus meiner Sicht kein “normales Unternehmen” mehr, sondern in den vergangenen Jahren zum elementaren Bestandteil unserer Kommunikations- und Informationsgesellschaft herangewachsen — mit mehr als 30 Millionen Nutzern in Deutschland. Gleichzeitig bewegt sich das Unternehmen zu langsam, und die Gefahren, die soziale Netzwerke unter anderem für unsere Demokratie mit sich bringen, haben sich zuletzt deutlich gezeigt.

Für die Debatte darüber ist es aber wichtig, dass wir bei den Fakten bleiben und nicht in Legendenbildung und Populismus verfallen — denn so kommen wir dieser hochkomplexen Angelegenheit bestimmt nicht entgegen.

Hinweise und Props

Chris Kavanagh hat den (sehr guten) Artikel “Why (almost) everything reported about the Cambridge Analytica Facebook ‘hacking’ controversy is wrong”geschrieben. Er führt einige wichtige Punkte auf, die auch mir aufgestoßen sind — einige Stellen erinnern deshalb an Chris’ Artikel, der aber zum Teil tiefer in die Materie geht. Auch die sehr sortierten Einlassungen von Mirko Lange bei Facebook haben mich zu meinem Artikel inspiriert. Weitere Quellen habe ich direkt im Artikel verlinkt.

Falls ihr auf der Suche nach einer “Facebook-fähigeren” Version dieses Artikels seid: Ich habe den Artikel auch als Facebook-Notiz veröffentlicht.

Das ist Dennis Horn:

Dennis Horn

Seit über 15 Jahren arbeite ich als Moderator, Reporter und Redakteur an der Schnittstelle zwischen Hörfunk, Fernsehen und Online. Ich berate Medienhäuser und Redaktionen zum digitalen Wandel. An Hochschulen und Akademien erkläre ich das Internet. Und weil ich mich neben der Netzgemeinde auch der Papiergemeinde verpflichtet fühle, gehöre ich zu den Autoren von Büchern wie “Wir nennen es Wirklichkeit” oder “Universalcode”.