Von der Aufmerksamkeitsökonomie zur Ökonomie des menschlichen Targeting

Was die moderne digitale Werbung in den Bereich der Nachrichtendienste kippen lässt, ist kein moralischer Drift, sondern eine strukturelle Eigenschaft ihrer technischen Architektur. Programmatic Advertising wurde konzipiert, um eine einfache Funktion zu optimieren: die «richtige Person» im «richtigen Moment» mit der «richtigen Botschaft» anzusprechen, indem möglichst viele verfügbare Signale über eine Person und ihr Umfeld aggregiert werden.

Dafür hat das Adtech-Ökosystem die Sensoren vervielfacht: App-SDKs, die eine feine Geolokalisierung erheben, persistente Werbe-Identifikatoren, Geräte-Fingerabdrücke, Browserverläufe, Kontextdaten (WLAN-Netze, Uhrzeiten, Frequenz des Vorbeikommens usw.). All das wird in Real-Time-Bidding-Flüsse (RTB) eingespeist, in denen automatisierte Plattformen in wenigen Millisekunden den «Wert» bewerten, ein Banner auf einem bestimmten Bildschirm zu einem bestimmten Zeitpunkt anzuzeigen.
Siehe meinen vorherigen Artikel: Technisch-ökonomische Grundlagen der modernen digitalen Werbung

"Dieselben Flüsse, entworfen zur Optimierung von Klickraten und Verkäufen, werden zum Rohstoff des menschlichen Targeting"

Dieser massive Strom wird anschließend von einer Galaxie von Zwischenhändlern aufgefangen, umgewandelt und weiterverkauft: Vermarkter, Aggregatoren, Datenmanagement-Plattformen (DMP) und schließlich Data-Broker, die diese Signale zu «Segmenten» und «Audiences» umstrukturieren. Es sind genau dieselben Flüsse, konzipiert zur Optimierung von Klickraten und Verkäufen, die, aus ihrem Marketingzweck herausgelöst, zu einem Rohstoff für menschliches Targeting mit einer Präzision werden, die traditionelle nachrichtendienstliche Mittel selten erreichen.

Wie Adint die Werbung zum Sensor vor Ort macht

Advertising Intelligence (Adint) bedeutet, mit der Werbungsschicht als Sensor Nachrichtendienste zu betreiben, ohne eigens Implantate auf den Zielgeräten platzieren zu müssen. Technisch gesehen muss ein Adint-Anbieter kein Telefon «hacken»: Es genügt, den Zugriff auf Datenflüsse zu kaufen, die die Werbeindustrie ohnehin bereits im Umlauf hat.

In einem typischen Szenario der Anbieter:

  • erwirbt über Data-Broker oder Marktplätze Flüsse mit mobilen Werbe-Identifikatoren (MAID, IDFA, GAID usw.), verknüpft mit geografischen Koordinaten, Zeitstempeln und einem Minimum an Metadaten;
  • korreliert diese Flüsse über die Zeit, um Bewegungsprofile zu rekonstruieren: Wohn- und Arbeitsorte, Wege, Gewohnheiten, häufig frequentierte Punkte;
  • wendet geografische Filter an: zum Beispiel alle Geräte, die im Umfeld einer Militärbasis, einer Botschaft, eines Ministeriums, eines strategischen Forschungszentrums oder eines Gotteshauses bzw. eines politischen Versammlungsortes beobachtet wurden;
  • erstellt «Watchlists» von Geräten, die möglicherweise Zielpersonen gehören (Nachrichtendienstmitarbeiter, Diplomaten, Offiziere, politische Gegner, Journalisten, Aktivistinnen und Aktivisten).

Sobald diese Geräte identifiziert sind, liegt die Schlagkraft von Adint darin, dass sie Tag für Tag überall, wohin sie sich bewegen, die Werbeflüsse weiterspeisen. Ohne jeden Durchsuchungsbeschluss, ohne Auskunftsanordnung an einen Telekommunikationsbetreiber kann ein kaufender Dienst potenziell verfolgen:

  • die täglichen Bewegungen empfindlicher Personengruppen;
  • deren Besuche an Orten, die als kompromittierend gelten (Treffen mit Quellen, Teilnahme an politischen Versammlungen, Kontakte zu NGOs, Konsultationen in spezialisierten Kliniken usw.);
  • die «Cluster» von Personen, die sich regelmäßig in einem eng begrenzten Umfeld aufhalten, was Netzwerke, Zellen und konspirative Treffen offenlegt.

Dieser Mechanismus ist nicht auf Staaten beschränkt, die eine demokratische Verantwortungskette respektieren. Derselbe Anbieter kann diesen Zugriff sowohl an einen gesetzlich kontrollierten europäischen Dienst als auch an einen Inlandsgeheimdienst eines autoritären Regimes verkaufen, ohne technischen Unterschied und bei faktisch nichtexistenter inhaltlicher Kontrolle.

Die Scharnierrolle der Data-Broker: eine systemische Kompromittierung

Die Data-Broker sind der zentrale Kompromittierungspunkt, denn sie operieren genau dort, wo der Status der Daten wechselt: Sie sind kein Rohstrom der Werbekette mehr, sondern werden zu einer strukturierten, abfragbaren, einsatzbereiten Ressource für Dritte.

Ihr Modell beruht auf einigen problematischen Eigenschaften:

Zeitliche Akkumulation: Wo der Vermarkter nur eine einzelne Impression «sieht», historisiert der Data-Broker Millionen von Ereignissen über lange Zeiträume. Ab sechs Monaten, einem Jahr oder mehr lässt sich das komplette Bewegungsprofil eines Geräts rekonstruieren.

Querveredelung: Derselbe Werbe-Identifikator wird mit anderen Quellen korreliert (Navigationsdaten, Käufe, Geolokalisierung aus anderen SDKs, Datenbanken gehashter E-Mail-Adressen usw.). Ein Gerät wird zu einem Profil, und dieses Profil wird mitunter zu einer Identität, auch wenn es in den Verträgen pseudonym bleibt.

Vertragliche Intransparenz: Die Zugangsbedingungen variieren, bleiben aber in der Regel auf «Marketing»- oder «Analyse»-Nutzungsklauseln zentriert. In der Praxis hindert nichts einen Nachrichtendienst daran, hinter einer kommerziellen Deckung (Briefkastenfirma, lokaler Dienstleister, Integrator) perfekt standardisierte Datensätze zu erwerben.

Globalität des Umfangs: Diese Broker kaufen keine «nationalen» Daten, sondern weltweite Ströme im Maßstab großer Plattformen oder internationaler Marktplätze. Sobald ein Telefon, wenn auch nur einmal, einer Kampagne ausgesetzt war, die ihre Partner nutzt, landet es in ihren Datenbanken, in welchem Land es sich auch befindet.

Für einen kaufenden Staat ist diese Konstellation ideal:

  • keine direkte Abhängigkeit von einem Mobilfunkbetreiber oder Ausrüster, also weniger diplomatische Reibung;
  • keine Investition in schwere Erfassungskapazitäten vor Ort;
  • die Möglichkeit, diese Adtech-Daten mit den eigenen Beständen (Passagierdateien, Verwaltungsdatenbanken, legale Abhörvorgänge) zu kreuzen und so weitere De-Anonymisierung zu erreichen.

Für einen Zielpunkt-Staat ist es dagegen ein Albtraum: Die Wege und Gewohnheiten von empfindlichem Personal, von Mandatsträgern, von Führungskräften der Verwaltung oder von Zivilgesellschaftsakteuren landen in Datenbanken, auf die feindliche Dienste mit einem schlichten Kauf zugreifen können, bisweilen über mehrere Zwischenhändler.

Kundenstaaten, Zielstaaten: die importierte Verwundbarkeit

Wenn westliche Dienste Adint-Fähigkeiten an ausländische Firmen auslagern oder dort einkaufen, importieren sie in Wirklichkeit eine Verwundbarkeit. Der externe Anbieter:

  • sieht Anfragen, geografische Zielperimeter und Suchparameter vorbeiziehen, die implizit die Zonen, Infrastrukturen und Profile beschreiben, die als strategisch gelten;
  • kann operationelle Prioritäten, Einsatzmuster und Korrelationen zwischen Ereignissen ableiten;
  • behält in der Praxis die technische Kontrolle über die Datenpipelines und die genutzten Modelle, selbst wenn der Kunde über eine Schnittstelle oder eine «dedizierte» Instanz verfügt.

Liegen diese Anbieter in Ländern, deren Sicherheitsdienste einen legalen oder informellen Zugang zur Infrastruktur der dortigen Unternehmen genießen, wird Adint zum Souveränitätsproblem. Das Risiko besteht dann nicht mehr nur darin, dass Bürgerdaten von einem Dritten verwertet werden, sondern dass fremde Dienste die operative Fläche anderer Staaten kartieren («wer geht wohin, wann, mit wem»), indem sie deren eigene Adint-Nutzung beobachten.

Am anderen Ende des Spektrums können Staaten, die sich wenig um die Achtung der Grundrechte scheren, ebendiese Dienste nutzen, um ins Visier zu nehmen:

  • politische Gegner und Aktivistinnen und Aktivisten der Diaspora, verfolgt in ihrem Aufnahmeland durch bloße Beobachtung ihrer Geräte;
  • Journalisten und NGOs in ihrem Hoheitsgebiet oder in Konfliktzonen, lokalisiert über ihre Anwesenheit in bestimmten Zonen;
  • religiöse oder ethnische Minderheiten, identifiziert über den Besuch von Gotteshäusern, Vereinen oder spezifischen Vierteln.

In diesen Konstellationen wird die ursprünglich «neutrale» Adtech-Kette zu einem massenhaften, nach Belieben anvisierbaren Überwachungsapparat ohne lokale oder internationale gerichtliche Kontrolle. Der Begriff der Einwilligung des Bürgers verliert jede Relevanz: Das Gerät hat der Weitergabe des Standorts für einen Wetterdienst oder ein Spiel «zugestimmt», doch die Information gelangt anschließend in Hände, die vor keinem unabhängigen Richter Rechenschaft schulden.

Operative Konsequenzen für CIO, CISO und öffentliche Verantwortliche

Für einen CIO einer Behörde, einen ministeriellen CISO oder einen Verantwortlichen für die IT-Sicherheit eines Betreibers kritischer Infrastrukturen erzwingen Adint und die Kompromittierung der Data-Broker ein Umdenken bei der Mobilfunk- und Applikationsportfoliopolitik. Die Smartphones von Beamten, Mandatsträgern, Richtern, Polizisten und Soldaten sind nicht mehr nur Endgeräte, die gegen Malware «abgesichert» werden müssen: Es sind umherwandernde Werbe-Bakens.

Einige unmittelbare Konsequenzen:

  1. Das Hauptrisiko ist nicht der Angriff, sondern das strukturelle Leck
    Selbst ohne Infektion sendet ein Telefon laufend Geolokalisierungssignale über die Werbungsschicht. DSGVO-Sanktionen und Datenschutzrichtlinien genügen nicht, um das Phänomen einzudämmen, denn das Wesentliche des Lecks liegt außerhalb der bilateralen Beziehung zwischen Anbieter und Nutzer.

  2. «Harmlose» Apps werden zu Sensoren
    Gratis-Spiele, Wetter-Apps, dubiose VPNs, Taschenlampen- oder Batterieoptimierungs-Tools sind oft mit Werbe-SDKs gesättigt. Sie übertragen den Großteil der von Adint verwertbaren Signale. Eine Nutzungsrichtlinie, die sich auf «professionelle Anwendungen» konzentriert und den Rest des Portfolios ignoriert, lässt ein gewaltiges Loch.

  3. Die Trennung beruflich / privat genügt nicht, wenn sie nicht dicht ist
    BYOD oder dual genutzte Geräte legen die privaten Wege und Gewohnheiten sensibler Personengruppen auf dieselben Werbeketten offen. Ein Mitarbeiter, der mit dem Dienst- und dem Privattelefon nach Hause fährt und deren beiden «gesprächigen» Geräten erlaubt, ein Adint-Akteur kann die beiden Profile über ihre systematischen Ko-Lokalisierungen zusammenführen.

  4. Öffentliche Mobilitätsdaten lassen sich korrelieren
    Zugangskarten, Login-Protokolle und Bewegungsspuren in Dienstfahrzeugen lassen sich von einem Gegner mit dem kreuzen, was er über Adint beobachtet, was seine Fähigkeit stärkt, einem Werbe-Identifikator eine reale Identität zuzuordnen.

Pragmatische Handlungsachsen zur Begrenzung der Exposition

Auf diesem Feld genügt der rein regulatorische Diskurs nicht: Die Sanktionsmechanismen kommen stets zu spät im Vergleich zur Innovationsgeschwindigkeit der Anbieter und zur Nutzung durch fremde Dienste. Für einen Entscheider geht es zunächst darum, die Angriffsfläche stromaufwärts zu verkleinern und parallel an strukturellere Hebel der öffentlichen Politik zu arbeiten.

Auf der technisch-organisatorischen Ebene:

Restriktive App-Politik auf sensiblen Geräten
Die Dienstgeräte exponierter Personengruppen (Nachrichtendienste, Diplomatie, hohe Beamte, Richter, Polizei, Armee, strategische Regulierungsbehörden) gelten als «Sperrzone» für jedes Werbe-SDK. Das erfordert eine drastische Auswahl der zugelassenen Anwendungen, eine systematische Prüfung auf Werbe- und Analyse-SDKs und den Ausschluss der Allgemeinheits-Stores für diese Geräte.

Kompartimentierte und gehärtete Geräte
Hochrisikoprofile müssen über kompartimentierte Geräte verfügen: ein adtech-freies, gehärtetes Diensttelefon, potenziell auf eine Whitelist von Apps beschränkt, und gegebenenfalls ein klar getrenntes Privatgerät mit geregeltem Gebrauch. Ersteres darf niemals privat genutzt werden (soziale Netzwerke, Spiele, Online-Einkäufe usw.).

Aggressive Konfiguration von Werbung und Standort
Die Abschaltung per MDM-Konfiguration (personalisierte Werbung aus, Tracking zwischen Apps aus, Standortzugriff für nicht essenzielle Apps aus) reduziert die Menge der für Adint verwertbaren Signale drastisch. Es beseitigt das Risiko nicht, senkt aber erheblich die Granularität der rekonstruierten Bewegungsprofile.

Gezielte Sensibilisierung der Interessensprofile
Mitarbeiter, die sich in sensiblen Zonen bewegen oder strategische Funktionen innehaben, müssen gezielt zum Adint-Risiko geschult werden: welche Apps meiden, wie unnötige Dienste deaktivieren, warum ein dauerhaft eingeschaltetes Telefon in bestimmten Zonen zu einem für Drittstaaten zugänglichen Werbe-Tracker wird.

Auf der politisch-regulatorischen Ebene:

Spezifischer Rechtsrahmen für Data-Broker
Die Data-Broker müssen aus dem regulatorischen Blindwinkel herausgeholt und spezifischen Regimen unterworfen werden: Transparenzpflichten über Volumen und Kategorien der verkauften Daten, Verkaufsverbote an bestimmte Kundentypen (Briefkastenfirmen in Risikojurisdiktionen, identifizierte Nachrichtendienst-Anbieter), unabhängige Audits.

Souveränitätsklauseln in der öffentlichen Beschaffung
Öffentliche Aufträge, die Werbedatenströme einschließen (staatliche Kommunikationskampagnen, Betreiber öffentlicher digitaler Dienste), müssen Klauseln enthalten, die Transfers an Akteure unter aggressiven extraterritorialen Gesetzgebungen begrenzen und den Weiterverkauf an nicht zugelassene Broker untersagen.

Gezielte internationale Zusammenarbeit
Eine glaubwürdige Politik digitaler Souveränität erfordert die Zusammenarbeit mit anderen exponierten Staaten, um Adint-Anbieter zu kartieren, Kompromittierungs-Indikatoren («WERBE-IOCs») zu teilen und gegebenenfalls bestimmte Akteure auf Sanktions- oder Exportbeschränkungslisten zu setzen.

Ein Paradigmenwechsel für die nationale Sicherheit

Adint und die Kompromittierung der Data-Broker markieren eine Schwelle: Die Bedrohung kommt nicht mehr nur aus den Kernnetz-Ausrüstungen oder der kritischen Software, sondern aus einer «Hilfs»-Datenökonomie, die sich aufgebaut hat, ohne sich selbst als Nachrichtendienst-Infrastruktur zu begreifen.

Für einen CIO, einen CISO, einen politischen Entscheider ist die Schlussfolgerung einfach:

  • die Werbekette und die Data-Broker als strategische Expositionsfläche zu behandeln, gleichrangig mit Telekommunikationslieferanten, Cloud-Hyperskalern oder Ausrüstern;
  • Werbe-Geolokalisierung als nationale Sicherheitsdaten einzustufen, sobald sie Mitarbeiter oder kritische Infrastrukturen betrifft;
  • das Adint-Risiko in Doktrinen, Ausbildungen, Sicherheitsaudits und diplomatische Abwägungen zu integrieren.

Solange die Geräte sensibler Personengruppen ungehindert die weltweiten Werbemarktplätze speisen, bleiben die besten Datenschutzgesetze weitgehend theoretisch. Die Beherrschung der Adtech-Kette und die Rückgewinnung der Kontrolle über die Data-Broker hören auf, rein «digitale» Themen zu sein: Es sind fortan Fragen der Souveränität, der Gegenspionage und für manche Staaten des Schutzes von Leben und Freiheit ihrer am stärksten exponierten Bürger.