Re-Identifizierung: Warum es nicht reicht, Namen zu entfernen

Namen zu entfernen reicht nicht, weil man Menschen an der Kombination gewöhnlicher Angaben erkennt. Ein Geburtsdatum, eine Postleitzahl und eine Funktion können auf genau eine Person zeigen, ganz ohne Namen auf der Seite. Wer jemanden schützen will, muss auch diese Angaben unscharf machen. Wie weit Sie gehen, hängt vom Leser ab.

Was ist ein Quasi-Identifikator?

Ein Quasi-Identifikator nennt für sich allein niemanden, grenzt aber ein, um wen es geht. Die Informatikerin Latanya Sweeney beschrieb ihn im Jahr 2000 als Satz von Datenelementen, die in Kombination eindeutig oder fast eindeutig zu einer Person gehören. Die DSGVO (EU) sieht das genauso: Nach Art. 4 Nr. 1 kann ein Mensch direkt oder indirekt identifiziert werden. Achten Sie in Dokumenten auf:

• Geburtsdatum, Alter oder das genaue Datum eines Ereignisses: Einstellung, Aufnahme, Kündigung.
• Postleitzahl, Ort, Standort, Schule, Krankenhaus.
• Funktion, Rang oder Team, vor allem wenn nur eine Person die Stelle hat.
• Seltene Ereignisse: eine lange Krankheit, ein Unfall, ein Prozess, eine Auszeichnung.

Nehmen Sie eine Beschwerde über Erika Mustermann. Sie schwärzen ihren Namen. Im Text steht weiter: die Leiterin der Lohnbuchhaltung am Standort Kassel, 52, seit dem 3. März nach einer Krankschreibung wieder im Dienst. Der Standort hat nur eine Leiterin der Lohnbuchhaltung, und jeder weiß, wer gefehlt hat. Den Namen hat nie jemand gebraucht.

Was zeigt die Forschung zur Re-Identifizierung?

Die klassische Studie ist Sweeneys Simple Demographics Often Identify People Uniquely (2000). Mit Daten der US-Volkszählung von 1990 fand sie: 87 % der US-Bevölkerung, 216 von 248 Millionen Menschen, waren wahrscheinlich schon durch drei Felder eindeutig bestimmt: fünfstellige Postleitzahl, Geschlecht und Geburtsdatum. Mit der Stadt statt der Postleitzahl waren es noch 53 %.

2019 schätzten Rocher, Hendrickx und de Montjoye in Nature Communications, dass 99,98 % der Amerikaner in jedem Datensatz mit 15 demografischen Merkmalen korrekt re-identifiziert würden. 2013 zeigten de Montjoye und Kollegen: Vier Punkte aus Ort und Zeit genügen, um 95 % von 1,5 Millionen Mobilfunknutzern eindeutig zu bestimmen. Und ein Brief verrät weit mehr als eine Tabellenzeile.

Was sind die drei Risiken: Herausgreifen, Verknüpfbarkeit, Inferenz?

In der Stellungnahme 5/2014 betont die Artikel-29-Datenschutzgruppe, die Vorgängerin des EDSA: Identifizierung heißt nicht nur, Namen oder Adressen zu ermitteln. Sie nennt drei Risiken.

• Herausgreifen: Lässt sich eine Person isolieren? Die einzige Frau in der Nachtschicht ist herausgegriffen, mit oder ohne Namen.
• Verknüpfbarkeit: Lässt sich der Text mit einer anderen Quelle zur selben Person verbinden? Ein Kündigungsdatum passt zu einem öffentlichen Profil. Die britische Aufsichtsbehörde ICO nennt das den Mosaik- oder Puzzle-Effekt.
• Inferenz: Lässt sich mit signifikanter Wahrscheinlichkeit etwas Neues ableiten? Einer der drei Buchhalter ist schwer krank, steht im Vermerk. Zwei sind gerade einen Marathon gelaufen.

Der EDSA aktualisiert diesen Text. Am 7. Juli 2026 hat er die Leitlinien 02/2026 zur Anonymisierung beschlossen, die öffentliche Konsultation läuft bis zum 30. Oktober 2026. Die Berliner Datenschutzbeauftragte nennt die drei Testkriterien: keine Einzelfallidentifikation, keine Verknüpfung, keine Rückschlüsse. Stand September 2026 ist der Text noch nicht endgültig.

Welche Angaben in einem Dokument verraten Menschen?

Der Bundesbeauftragte für den Datenschutz (BfDI) warnte 2020 in einem Positionspapier: Man darf nicht vorschnell von einer hinreichenden Anonymisierung ausgehen. Einen Maßstab liefert eine US-Regel für Gesundheitsdaten, die HIPAA-Safe-Harbor-Methode (45 CFR 164.514). Von Datumsangaben zu einer Person bleibt nur das Jahr. Von der Postleitzahl bleiben die ersten drei Ziffern, und nur wenn das Gebiet mehr als 20.000 Menschen zählt. Für EU-Dokumente ist das kein Standard, aber ein guter Anhaltspunkt.

Was sollten Sie je nach Leser schwärzen?

Das ICO zieht eine klare Linie: Bei einer Veröffentlichung verlieren Sie die Kontrolle über die Daten, also muss der Ansatz sehr robust sein. Bei einer festen Gruppe fragen Sie, was diese Gruppe schon weiß. Das Beispiel des ICO: Ein Beschäftigter kann erkennen, dass eine Fehlzeitenstatistik einen Kollegen betrifft.

Der interne Leser ist der schwierige Fall. Gegenüber einem Kollegen bringt das Entfernen des Namens fast nichts: Der Kontext ist die Kennung. Braucht das Team den Fall oder nur die Lehre daraus? Für ein KI-Tool halten einheitliche Platzhalter wie [NAME1] den Text lesbar. Das ist Pseudonymisierung: Wer das Original hat, kann die Verbindung wiederherstellen.

Wie prüfen Sie ein Dokument vor dem Versand?

1. 1Benennen Sie Ihren Leser. Notieren Sie, was er schon weiß oder in zehn Minuten herausfindet.
2. 2Lesen Sie die geschwärzte Kopie wie ein motivierter Eindringling (motivated intruder), so der Test des ICO: eine fähige Person mit Internet und öffentlichen Dokumenten. Versuchen Sie, die Person zu nennen.
3. 3Suchen Sie im Netz nach der seltensten Formulierung, Funktion oder dem seltensten Ereignis im Text.
4. 4Verallgemeinern Sie, was noch auf eine Person zeigt. Löschen Sie, was der Leser nicht braucht.
5. 5Prüfen Sie die Datei: kein Text unter den Balken, keine Metadaten. Bewahren Sie das Original sicher auf.

Software hilft bei der ersten Schicht. Musterbasierte Tools finden Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Ausweisnummern und Datumsangaben. ONYRI Sanitize zum Beispiel erledigt das im Browser, ohne die Datei hochzuladen, und lässt Sie eigene Begriffe zum Schwärzen ergänzen. Aber Funktionen und seltene Ereignisse sind gewöhnliche Wörter. Kein Detektor weiß, dass der Standort Kassel nur eine Leiterin der Lohnbuchhaltung hat. Das sehen Sie selbst in der Vorschau. Schwärzen verringert das Risiko. Es macht ein Dokument nicht automatisch anonym.