Das chinesische Large Language Modell (LLM, sog. generative Künstliche Intelligenz, kurz: KI) Deepseek hat in den letzten Wochen für Wirbel gesorgt und kurzzeitig zu den am meisten heruntergeladenen Apps im Apple Store gezählt. Doch ein Blick in die Allgemeinen Geschäftsbedingungen (AGB) zeigt: Die kostenlose Bereitstellung des Programms erfolgt nicht nur aus uneigennützigen Motiven.
Praxis-Info!
Bereits am 30.1.2025 hatte die italienische Datenschutzbehörde eine Einschränkung der Sammlung von Nutzerdaten durch Deepseek angeordnet. Auch in Irland und Deutschland laufen Untersuchungen. Dass IT- und Softwarefirmen Nutzerdaten sammeln, ist an sich nichts Neues. Ein Knackpunkt bei der Nutzung von Deepseek: Laut den Datenschutzbestimmungen (Privacy Policy) des Unternehmens sammelt das Programm auch Keystroke patterns or rhythms (Tastenanschlagsmuster oder -rhythmen). Zur Erklärung: Jeder Mensch gewöhnt sich einen bestimmten Schreibrhythmus am Computer an. Dieser setzt sich aus Anschlagsdauer, -tiefe und -geschwindigkeit zusammen und betrifft alle Systemeingaben.
Beispiel: Eine EC-Karte hat den PIN 3770. Die Ziffernkombination kann – etwa am Geldautomaten – in einem unterschiedlichen Rhythmus eingegeben werden. Vergleichbar mit einem Takt im Musikstück kann die Eingabe gleichmäßig 3-7-7-0 erfolgen. Die Doppelziffern können aber auch in kürzerer Reihenfolge eingegeben werden, z.B. 3-77-0. |
Der Schreibrhythmus stellt dabei ein Erkennungsmerkmal dar. Angenommen eine Anwendung hat das Passwort „Passwort123“. Dieses Passwort ist fünf Nutzern bekannt. Jeder Nutzer wird es aber in einem individuellen Rhythmus eingeben. Mithilfe des Eingabe-Rhythmus lässt sich somit der Nutzer identifizieren. Der individuelle Eingabe-Rhythmus ist zwar nicht mit einem Fingerabdruck vergleichbar, da er durch verschiedene Faktoren beeinflussbar ist (etwa eine unterschiedliche Tastatur, externe Ablenkung bei der Eingabe, eine Verletzung von Hand oder Fingern etc.). Bei einer ausreichend großen Datensammlung könnte es dennoch dazu führen, dass beispielsweise anonyme Beiträge in einem Blog einem Autor zugeordnet werden können.
In Kombination mit den vielen anderen Datenpunkten, welche Deepseek sammelt (u.a. IP-Adresse, Spracheinstellung, Informationen zu Hardware und Betriebssystem), bereitet die Deepseek-Datensammlung daher vielen Datenschutzbehörden Sorgen.
Hinzu kommt: Durch Keystroke logging (Aufzeichnung von Tastatureingaben) können unter Umständen sämtliche Eingaben – inklusive Passwörter, Suchanfragen etc. – aufgezeichnet werden.
Gerade im Unternehmensbereich sollte das Programm daher nur nach Freigabe durch die IT-Abteilung verwendet werden.
Christian Thurow, Dipl.-Betriebsw. (BA), Senior Risk Manager, London (E-Mail: c.thurow@thurow.co.uk)
BC 3/2025
BC20250309