von Sebastian Sebald 15. Juli 2010 Vortrag im Rahmen des Seminars "Sicherheitstechnologien der Informationsgesellschaft"

Veröffentlichen von anonymisierten Daten Angriff auf anonyme Daten Das k-Anonymity Modell Identifikation von Personen k-Anonymity - Überblick und Diskussion

NameGeburtsdatumGeschlechtPLZKrankheit Hans Hauck17. Apr 65M79098Impotenz Peter Petersen31. Juli 65M79096Adipositas Karl Kleber17. Jan 65M79098Bluthochdruck Till Thomas5. Juli 83M79331Schizophrenie Frank Faber31. Dez 81M79336Diabetes Sandra Schmid5. Juli 83W79338Bronchitis Lieschen Lauer31. Okt 83W79331Magersucht k-Anonymity - Überblick und Diskussion3 Entfernen von eindeutigen Identifikatoren Können die Personen nicht mehr identifiziert werden?

Bekannt, dass Lieschen in den Daten enthalten ist k-Anonymity - Überblick und Diskussion4

k-Anonymity - Überblick und Diskussion5 GeburtsdatumGeschlechtPLZKrankheit 17. Apr 65M79098Impotenz 31. Juli 65M79096Adipositas 17. Jan 65M79098Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Verknüpfen der Datensätze miteinander

Menge von Attributen, die kombiniert mit externen Daten Personen eindeutig identifizieren k-Anonymity - Überblick und Diskussion6 NameGeburtsdatumGeschlechtPLZKrankheit Hans Hauck17. Apr 65M79098Impotenz Peter Petersen31. Juli 65M79096Adipositas Karl Kleber17. Jan 65M79098Bluthochdruck Till Thomas5. Juli 83M79331Schizophrenie Frank Faber31. Dez 81M79336Diabetes Sandra Schmid5. Juli 83W79338Bronchitis Lieschen Lauer31. Okt 83W79331Magersucht Quasi-IdentifierEindeutige Identifikatoren

k-Anonymity ist erfüllt, wenn: k Personen mit derselben Wertekombination der Quasi-Identifier existieren k-Anonymity - Überblick und Diskussion7

k-Anonymity - Überblick und Diskussion8 NameGeburtsdatumGeschlechtPLZKrankheit Hans Hauck17. Apr 65M79098Impotenz Peter Petersen31. Juli 65M79096Adipositas Karl Kleber17. Jan 65M79098Bluthochdruck Till Thomas5. Juli 83M79331Schizophrenie Frank Faber31. Dez 81M79336Diabetes Sandra Schmid5. Juli 83W79338Bronchitis Lieschen Lauer31. Okt 83W79331Magersucht Entfernen der eindeutigen Identifikatoren durch Supression Quasi-Identifier Eindeutige Identifikatoren

k-Anonymity - Überblick und Diskussion9 NameGeburtsdatumGeschlechtPLZKrankheit *17. Apr 65M79098Impotenz *31. Juli 65M79096Adipositas *17. Jan 65M79098Bluthochdruck *5. Juli 83M79331Schizophrenie *31. Dez 81M79336Diabetes *5. Juli 83W79338Bronchitis *31. Okt 83W79331Magersucht Quasi-Identifier Eindeutige Identifikatoren

k-Anonymity - Überblick und Diskussion10 GeburtsdatumGeschlechtPLZKrankheit 17. Apr 65M79098Impotenz 31. Juli 65M79096Adipositas 17. Jan 65M79098Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Quasi-Identifier

k-Anonymity - Überblick und Diskussion11 GeburtsdatumGeschlechtPLZKrankheit 17. Apr 65M79098Impotenz 31. Juli 65M79096Adipositas 17. Jan 65M79098Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Quasi-Identifier Generalisieren von Geburtsdatum

k-Anonymity - Überblick und Diskussion12 GeburtsdatumGeschlechtPLZKrankheit '65M79098Impotenz '65M79096Adipositas '65M79098Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Quasi-Identifier Generalisieren von PLZ

k-Anonymity - Überblick und Diskussion13 GeburtsdatumGeschlechtPLZKrankheit '65M7909*Impotenz '65M7909*Adipositas '65M7909*Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Quasi-Identifier

k-Anonymity - Überblick und Diskussion14 GeburtsdatumGeschlechtPLZKrankheit '65M7909*Impotenz '65M7909*Adipositas '65M7909*Bluthochdruck 5. Juli 83M79331Schizophrenie 31. Dez 81M79336Diabetes 5. Juli 83W79338Bronchitis 31. Okt 83W79331Magersucht Quasi-Identifier Generalisieren von Geburtsdatum

k-Anonymity - Überblick und Diskussion15 GeburtsdatumGeschlechtPLZKrankheit '65M7909*Impotenz '65M7909*Adipositas '65M7909*Bluthochdruck '81-'83M79331Schizophrenie '81-'83M79336Diabetes '81-'83W79338Bronchitis '81-'83W79331Magersucht Quasi-Identifier Generalisieren von PLZ

k-Anonymity - Überblick und Diskussion16 GeburtsdatumGeschlechtPLZKrankheit '65M7909*Impotenz '65M7909*Adipositas '65M7909*Bluthochdruck '81-'83M7933*Schizophrenie '81-'83M7933*Diabetes '81-'83W7933*Bronchitis '81-'83W7933*Magersucht Quasi-Identifier

k-Anonymity - Überblick und Diskussion17 GeburtsdatumGeschlechtPLZKrankheit '65M7909*Impotenz '65M7909*Adipositas '65M7909*Bluthochdruck '81-'83M7933*Schizophrenie '81-'83M7933*Diabetes '81-'83W7933*Bronchitis '81-'83W7933*Magersucht 2-anonyme Tabelle

Keine Verknüpfung über die Quasi-Identifier möglich um weniger als k Personen zu erhalten Grad von Anonymität k-Anonymity - Überblick und Diskussion18

Vor k-Anonymity Eindeutige Identifikatoren (Name, Sozialversicherungsnummer) Durch k-Anonymity Quasi-Identifier (Postleitzahl, Geschlecht) k-Anonymity - Überblick und Diskussion19

k-Anonymity - Überblick und Diskussion20 Können Personen nicht mehr identifiziert werden?

k-Anonymity - Überblick und Diskussion21 The versatility and power of re-identification algorithms imply that terms such as "personally identifiable" and "quasi-identifier" simply have no technical meaning. While some attributes may be uniquely identifying on their own, any attribute can be identifying in combination with others. - Arvind Narayanan and Vitaly Shmatikov, Myths and Fallacies of "Personally Identifiable Information" "