Der Jäger der missbrauchten Daten

Sie hatten Fragen zu Facebook. Dreimal luden sie Mark Zuckerberg ein. Sie, das waren unter anderem Damian Collins, Alessandro Molon und Catherine Morin-Desailly. Abgeordnete aus Grossbritannien, Brasilien, Frankreich und sechs anderen Ländern, die am 27. November 2018 in die britische Haupt­stadt angereist waren.

Sie alle hätten gern vom Facebook-Gründer persönlich erfahren, wie es zu den grossen Daten­skandalen der letzten Jahre gekommen ist.

Doch der CEO lehnte es zum dritten Mal ab, nach London zu reisen. Deshalb luden sie ihn ein: Paul-Olivier Dehaye.

Dabei ist Dehaye kein Angestellter des Facebook-Konzerns. Er ist auch kein Whistle­blower, kein Aussteiger. Er besitzt keine brisanten Insider­informationen. Eigentlich sind nicht einmal Antworten sein Ding. Sondern Fragen. Er stellt sie grossen Technologie­unternehmen. Er verlangt Daten­auskünfte bei Facebook, Tinder und Uber. Immer wieder. Hartnäckig, unnachgiebig, geduldig.

Der Mathematiker ist einer der gefragtesten Technologie­experten unserer Zeit. Er hilft Journalistinnen bei der Aufklärung von illegalen Daten­verstössen. Er unterstützt Abgeordnete dabei, den illegalen Daten­handel der Kampagne Leave.EU der Brexit-Befür­worter aufzuklären. Er war es, der den Daten­skandal der Firma Cambridge Analytica ins Rollen brachte. Er sass im März 2018 im britischen Unterhaus Seite an Seite mit Whistle­blower Christopher Wylie.

Acht Mal taucht der Name Dehaye im Bericht des britischen Untersuchungsausschusses auf. Seine Expertise wird in amerikanischen Gerichtsdokumenten zitiert. Seinetwegen hat Facebook eine der umstrittensten Nutzer­informationen transparent gemacht.

Und dennoch: Nennt man seinen Namen in der netz­politischen Szene der Schweiz, wo er schon seit über zehn Jahren lebt, ist die Reaktion oft: Paul-Olivier wer?

Wer ist dieser unbekannte Mann, der die wichtigsten Enthüllungen über die Daten­konzerne einfädelte?

Datenschutz für Anfänger

Genf. Paul-Olivier Dehaye sitzt im Impact Hub, einem Arbeits- und Zufluchts­ort für Frei­berufler. Und er erzählt. Dabei fragt er ständig nach: «Ergibt das Sinn für Sie? Habe ich etwas nicht verständlich genug erklärt?» Er ist es gewohnt, technische Dinge anschaulich zu erklären. Unzählige Male hat er Politikerinnen und Journalisten Dinge erklärt. Es ist ihm wichtig, dass er verstanden wird.

Das Thema Daten­missbrauch ist abstrakt, für viele zu abstrakt. Das weiss Dehaye. Es tut niemandem richtig weh. Deshalb gehen Millionen Menschen so sorglos mit ihren Daten um, als würden sie diese foto­kopieren und täglich eine Ladung aus dem Fenster schmeissen.

Dehaye wählt einen anderen Ansatz, einen lokalen: «Wenn wir begreifen, dass alles, was die Technologie­konzerne tun, gegen amerikanische, französische oder britische Gesetze verstösst, wachen die Politiker eher auf.» Und so arbeitet er nächtelang mit Medien­schaffenden die nationalen Schlag­zeilen heraus.

Das ist sein heutiges Leben. Der ehemalige Mathematik­professor ist heute so etwas wie ein unabhängiger Rechercheur. Einer, der Medien liebt – und die Arbeit mit ihnen. Begonnen hat das 2015. Damals las er im «Guardian» zum ersten Mal von einer Firma namens Cambridge Analytica. Das Unternehmen besitze Informationen von Millionen von Bürgern und setze diese für militärische Zwecke ein.

Es blieb vorerst bei diesem einen Text. Die Zeitung verfolgte die Spur zu Dehayes Verwunderung nicht weiter. Später erfuhr er, dass der Autor des Artikels nicht mehr dort arbeitete.

Der «Guardian» verlor also das Interesse. Dehaye aber blieb am Thema dran. Und brachte die britischen Behörden auf die Spur. Im August 2016 schrieb er die unabhängige Datenschutz­behörde Gross­britanniens an, das Information Commissioner’s Office. Er fragte, ob sie die Firma Cambridge Analytica auf dem Schirm habe. Mit dieser Nachricht wird die Kommission zum ersten Mal auf das kontroverse Big-Data-Unternehmen aufmerksam. Das war drei Monate vor den Präsidentschafts­wahlen in den USA.

Suche nach den «heissen Daten»

Dehaye stellte weitere Nachforschungen über Cambridge Analytica an. Sie führten ihn zum Schweizer Journalisten Hannes Grassegger vom «Magazin» des «Tages-Anzeigers». Auch Grassegger recherchierte über die Big-Data-Firma. Aus dem Kontakt der beiden entstand ein Text mit dem Titel «Ich habe nur gezeigt, dass es die Bombe gibt». Mit «Bombe» meinten Grassegger und Dehaye die manipulative Werbe­maschine von Facebook, die uns zum gläsernen Wähler macht. Der Artikel wurde im Dezember 2016 weltweit zum viralen Hit. Nach der Publikation machte Dehaye seine Erkenntnisse auf «Medium.com» publik. Zweihundert Journalisten aus der ganzen Welt meldeten sich daraufhin bei ihm.

Das war der Startschuss für Dehayes Netzwerk­arbeit. Während sich die Welt im Frühjahr 2017 ihre Meinung über Trumps angebliche «Bombe» machte, fing für Dehaye die Arbeit erst an. Zu viele Fragen waren für ihn noch ungeklärt. Was genau sammelt der Konzern Facebook über uns? Welche Daten­ströme werden wie miteinander verknüpft? Welche Firmen haben wieso Zugang darauf? Und: Ist das legal?

Dehaye reicht mehrere Anfragen beim grössten sozialen Netz­werk ein. Er gibt sich nicht mit den üblichen Standard­floskeln zufrieden. Er bohrt nach, verwendet das technische Vokabular des Konzerns, ist mit dem rechtlichen Instanzenweg vertraut. Er weiss, dass er nur so alle Informationen zu den «heissen Eisen» von Facebook kriegt. Mehrfach korrespondiert er dazu mit dem Büro von Elizabeth Denham, der britischen Informations­kommissarin, die für alle Daten­belange Europas zuständig ist.

«Reverse Engineering» – so heisst Dehayes Recherche­methode. Das Prinzip: Wenn die Plattformen keine Auskunft über ihre Funktions­weise geben wollen, dreht man den Spiess einfach um. Und setzt am anderen Ende der Verwertungs­kette an. Bei sich selber.

Facebook-Nutzer Paul-Olivier Dehaye verlangt also vom Unternehmen seinen persönlichen digitalen Fuss­abdruck. Anhand dieses Daten­satzes rekonstruiert er die Mechanismen hinter der Plattform. Mit dem Ziel, deren Black­box zu knacken.

Was zum Teufel sollte diese Werbung?

Die Methode funktioniert. Dehaye macht die Probe aufs Exempel und kommt damit dem Datenhandel des Leave.EU-Lagers auf die Schliche.

Dehaye registrierte sich für den Newsletter von Leave.EU. Es vergingen einige Tage, bis die erste Ausgabe in seinem Postfach landete. Weit unten in der E-Mail sah er eine Werbe­anzeige von GoSkippy, einem Unternehmen der Eldon-Versicherungsgruppe. Dehaye wurde stutzig. Wieso zum Teufel zeigen die Brexit-Anhänger ihm – der in der Schweiz wohnhaft ist – Anzeigen für eine britische Auto­versicherung?

Dehaye hatte einen Verdacht. Er wusste, dass die Eldon-Gruppe Arron Banks gehört. Und Banks ist kein Unbekannter. Er ist der Christoph Blocher von Gross­britannien. Ein schwer­reicher, konservativer Millionär und Mitgründer der Kampagne Leave.EU.

Dehayes Vermutung war also: Das Brexit-Lager verwendet denselben Daten­satz wie die Versicherung. Mit anderen Worten: Die Brexit-Befürworter betreiben illegalen Daten­austausch.

Um seine These zu unter­mauern, spannte Dehaye mit der renommierten Journalistin Carole Cadwalladr zusammen. Er unterstützte sie bei der korrekten Ausformulierung eines subject access request, eines umfassenden Auskunfts­begehrens. Sein Verdacht bestätigte sich: Die Brexit-Kampagne bediente sich der Daten von Eldon-Versicherten. Wer versichert war, erhielt Brexit-Werbung zu Gesicht. Auf allen Plattformen.

Mit diesem Wissen wurde Paul-Olivier Dehaye neben dem pink­haarigen Whistleblower Christopher Wylie zur wichtigsten Informations­quelle für das britische Parlament. Weil Facebook sich weigerte, auf die fünfzehn Fragen des Brexit-Untersuchungskomitees im Detail zu antworten, griff das Komitee auf die Expertise des unabhängigen Datenschutz­experten zurück.

Der Labour-Abgeordnete Ian Lucas, einer der leitenden Köpfe bei der Untersuchung zum Brexit, sagt: «Das Wissen und die Dienste von Paul-Olivier Dehaye sind für uns von unschätzbarem Wert.»

Doch nicht nur Gross­britannien erhielt dank Dehayes Hartnäckigkeit Klarheit darüber, was da eigentlich während des Brexit-Referendums in der digitalen Sphäre passierte.

Auch die zwei Milliarden Facebook-Nutzerinnen erhielten seinetwegen mehr Transparenz. Weil das soziale Netzwerk nachgegeben hat. Und eine der sensibelsten Informationen für alle sichtbar machte: Mit ein paar wenigen Klicks in Ihren Profileinstellungen erfahren Sie, ob Spotify oder Netflix Ihre persönlichen Daten an Facebook weiter­verschenkt haben.

Ein Sieg für Paul-Olivier Dehaye, den man in Wissenschafts­kreisen den «Indiana Jones des Datenschutzes» nennt. Aber nur ein Etappensieg.

Zwist und Zerwürfnis in Zürich

«Paul ist ein Rebell mit einem grossen Sinn für Gerechtigkeit», sagt der ETH-Professor Ernst Hafen. Er ist wie Dehaye ein Verfechter von MyData – einer Bewegung, die für digitale Selbst­bestimmung eintritt. Hafen arbeitete in Zürich mit Dehaye zusammen.

Zürich hat in Dehayes Laufbahn eine besondere Bedeutung. Es ist die Stadt, in der sein Kampf gegen die Daten­konzerne begonnen hat. Nämlich gegen das amerikanische Unternehmen Coursera, eine Bildungs­plattform zur Über­tragung von Vorlesungen im Internet.

Der damals an der Universität Zürich angestellte Mathematik­professor deckte gemeinsam mit NDR-, «Süddeutsche»- und SRF-Journalisten auf, dass das Netzwerk Alter, Geschlecht, Fähigkeiten und Arbeits­zeiten der Studierenden sammelte und mutmasslich weiter­verwendete. Mathematik­professor Dehaye rief seine Studierenden zum Boykott der Plattform auf und klagte die Herausgabe seiner persönlichen Daten ein.

Die Universität Zürich hielt an Coursera fest. Trotz potenziell groben Verstössen gegen das Schweizer Datenschutz­gesetz. Es kam zum Zerwürfnis zwischen der Universitäts­leitung und Dehaye. Der Aktivist verliess daraufhin die akademische Welt.

Ernst Hafen war damals einer der wenigen, die Dehayes Engagement gegen die Bildungs­plattform Coursera unterstützten. Und bewunderten. «Paul sieht weiter.»

«Too big to comply»

Und Dehaye sah in der Tat weiter. Nämlich, dass Mark Zuckerberg beim Tech-Hearing vom 11. April 2018 in Washington nicht die Wahrheit sagte. Der demokratische Senator Richard Blumenthal fragte den Facebook-Gründer direkt, ob jede Nutzerin alle Daten­spuren inklusive Tracking-Daten über sich erfahren könne.

Zuckerbergs Antwort: «Ja, jeder könnte diese Daten herunterladen.»

Doch das war falsch. «Zuckerberg hat zweimal vor laufender Kamera die Politiker Washingtons und auch die ganze Welt angelogen», behauptet Dehaye.

Dehaye weiss das, weil er via E-Mail dieselbe Frage an Facebook stellte. Und eine ganz andere Antwort bekam. Das war am 7. März 2018, rund einen Monat vor Zuckerbergs Aussage im Senat. Es war das letzte Schreiben in einem zähen einjährigen E-Mail-Verkehr.

«Sie schrieben mir: ‹Wir können Ihnen keine Auskunft geben, Ihre Anfrage ist zu kostspielig. Es ist zu aufwendig, alle diese Tracking-Daten aus den Webseiten herauszuziehen.› Dafür sei ihr System nicht gemacht.»

Mit anderen Worten: Facebook ist too big to comply – zu gross, um das Datenschutz­gesetz einhalten zu können. Dehaye war fassungslos, als er die Zeilen las.

Facebooks Eingeständnis, den gesetzlichen Daten­schutz zu missachten, zitierte Dehaye am 28. März 2018. An dem Tag, als er erstmals als Zeuge vom britischen Parlament eingeladen worden war. Das Team von Senator Blumenthal fand die Mitschrift später im Internet. Und konfrontierte Mark Zuckerberg im Juni 2018 mit seiner Falschaussage.

Dehaye weiss viel über die Praktiken der Tech-Konzerne. Seine Antworten sind wohlüberlegt, berechnend. Kein Wort zu viel, keines zu wenig. Er achtet penibel genau darauf, wem er welche Information aus seinen Recherchen zusteckt.

Während des Gesprächs im Genfer Impact Hub zieht Dehaye mehrfach sein Smartphone hervor. Mit interessierten Augen blickt er drauf. Auf die neugierige Frage der Reporterin, worum es gehe, will er nicht antworten.

Später wird er erzählen, dass er damals schon etwas wusste, was die Öffentlichkeit erst vor einigen Wochen dank dem «Guardian» schwarz auf weiss erfahren hat: dass Facebook einmal mehr gelogen hatte. Der Konzern beteuerte mehrfach, dass es seit 2014 keinen Fall wie Cambridge Analytica gegeben habe. Dass man die Zugänge für unberechtigte Daten­abflüsse gekappt habe.

Doch am 5. Dezember 2018 veröffentlichte das britische Parlament Dokumente, die das Gegenteil bestätigen. Topkunden wie Airbnb und Netflix hatten private Deals mit Facebook eingefädelt. Sie standen auf einer weissen Liste und konnten weiterhin ungebremst private Informationen absaugen. Es ist die jüngste PR-Katastrophe des grössten sozialen Netzwerks. Und wieder war Paul-Olivier Dehaye einen Schritt voraus.

Immer unter Strom

Nicht nur Facebook steht auf Dehayes Liste. Ihn faszinieren alle Technologien, in denen soziale Beziehungen in Daten und damit auch in Geld umgewandelt werden, etwa Dating-Apps oder die Sharing-Economy-Plattformen. Tinder ist eine weitere Blackbox, die er fast knackte.

Dehaye unterstützte die Journalistin Judith Duportail im September 2017 bei der Beschaffung ihrer persönlichsten Daten für eine «Guardian»-Recherche. Dieser Kampf sei hart gewesen, sagte er. An dem Heer von Tinder-Anwälten hat sich das Duo fast die Zähne ausgebissen.

Doch am Ende erhielten Duportail und Dehaye, was sie verlangten. Ein Dokument von 800 Seiten. Darin steht, wo sich Duportail befand, als sie mit ihrem ersten Match flirtete, welche Musik­vorlieben sie hat, welche Ausbildung sie absolvierte. Duportail bekam zwar nicht alle Informationen, die sie verlangte – schuldig blieb ihr Tinder etwa den Attraktivitäts­score, eine Zahl, mit der das System festlegt, wie schön oder hässlich eine Tinder-Nutzerin ist. Aber immerhin, die 800 Seiten waren ein Anfang.

«Tinder zeigte sich völlig verblüfft», sagt Dehaye. «Wir waren die Ersten überhaupt, die das taten. 90 Prozent der Netz­aktivisten und Journalisten hätten wohl bei dem juristischen Widerstand aufgegeben. Wir haben weitergemacht.»

Dehayes Augen leuchten, wenn er von diesen Siegen erzählt. Sie verschaffen ihm Genugtuung: «Es regt die Technologie­konzerne ja so auf, wenn Leute wie ich kommen, ihr Vokabular kennen und sie mit Fragen löchern. Um zu antworten, müssen sie alles mühsam rekonstruieren.»

Ganz uneigennützig ist seine Medienarbeit nicht. Jeder erschienene Artikel, an dem er mitgewirkt hat, ist Werbung für ihn und für seinen Dienst PersonalData.IO. Ein kostenloser Service, mit dem man bequem persönliche Daten­auskünfte bei allen Technologie­konzernen bestellen kann. Nach der Publikation des Tinder-Artikels hatten 300 Personen über PersonalData.IO ihre Tinder-Daten angefordert.

Doch Geld verdienen will Dehaye mit seinem Dienst noch nicht. PersonalData.IO bringt dem bald dreifachen Familienvater keinen Rappen ein. Er finanziert sein Angebot mit Spenden und seinen Honoraren aus Vorträgen.

Kürzlich erhielt er auch finanzielle Unterstützung von der George-Soros-Stiftung Open Society Foundations und dem Data Transparency Lab, einem Forum für Daten­transparenz, hauptsächlich finanziert durch die spanische Kommunikations­anbieterin Telefónica. Damit kann Dehaye seine Mitarbeiter knapp finanzieren. Auch sein neues Amt als Verwaltungs­rat der internationalen Organisation MyData ist ehrenamtlich. Haupt­verdienerin ist derzeit seine Frau.

Der sanfte Rebell

Dem «Tages-Anzeiger» erzählte Paul-Olivier Dehaye einmal, dass er seinen Job als Mathematik­professor in Zürich wegen eines Burn-outs nach dem Zerwürfnis mit der Universität Zürich aufgegeben habe und mit seiner Familie nach Genf gezogen sei.

Doch man hat den Eindruck, dass der 37-Jährige immer noch unter Strom steht. Fragen nach dem Gespräch beantwortet er in Sekunden­schnelle, auch nachts. Geschätzte zehn A4-Seiten E-Mail-Korrespondenz seien produziert worden zwischen ihm, Dublin und dem Silicon Valley.

Wieso tut er sich diese unbezahlte Arbeit an, obwohl ihm keine der zwei Milliarden Facebook-Nutzerinnen je dafür danken wird? «Weil es unser Recht ist, ganz einfach.» Hier spricht der Idealist, der Rebell. «Meine grösste Hoffnung ist, dass die Leute wissen, dass sie digitale Rechte haben, die sie einfordern können. Dass es endlich eine Bewegung geben wird.»

Den Idealismus möchte Dehaye irgendwann überwinden, um dann von seinem Dienst PersonalData.IO leben zu können. Er hofft, dass es einen Markt für datenschutz­konforme Dienst­leistungen geben wird. Dass sich dafür endlich Investoren gewinnen lassen. Sollten Google und Facebook seine Dienste anfordern, würde er nicht Nein sagen.

Ist es Besessenheit?

Als der Vorsitzende des Brexit-Untersuchungs­ausschusses im März gegen Ende des Verhörs – als alles gesagt war – fragte, ob die beiden Zeugen noch eine wichtige Anmerkung hätten, nutzte Dehaye die Gelegenheit.

Er setzte zum feurigen Schluss­plädoyer an. Und forderte Englands Politikerinnen dazu auf, weiterhin alle Machenschaften des Konzerns zu untersuchen. Und dabei nicht vorschnell über deren mögliche Wirkung zu urteilen.

In diesem Schluss­statement steckte viel von Dehayes Kompetenz. Aber es schwang auch viel Enttäuschung und Verbitterung mit. Es kränkte Dehaye, dass in der Aufarbeitung der Manipulationen um Cambridge Analytica Zweifel und Relativierungen den Ton angaben. Als ob die Machenschaften irgendwie doch halb so wild gewesen seien. Auch hat Dehaye Mühe, Kritik am «Bomben»-Text des Magazins zu akzeptieren. Er verteidigt den Inhalt, wie wenn mit jedem kritischen Satz er persönlich infrage gestellt würde.

Dehayes Sichtweise hat etwas Resolutes, ja, manchmal fast schon Technologie­deterministisches. Für ihn ist klar: Die sozialen Netzwerke tragen eine grosse Mitschuld an vielen aktuellen Problemen. Das sehe man, so Dehaye, gegenwärtig anhand der Gelbwesten-Proteste in Frankreich.

Vielleicht braucht es aber diese Besessenheit, diese felsenfeste Überzeugung, damit die Welt auch nur einen Bruchteil der Wahrheit über Daten­kapitalismus erfährt. Wie hält man sonst so viel Widerstand vonseiten der Technologie­konzerne aus?

Sein Sitznachbar vor dem Untersuchungs­ausschuss, der Whistle­blower Christopher Wylie, war baff nach Paul-Olivier Dehayes Schluss­plädoyer: «Ich habe nichts mehr anzufügen, er hat es perfekt ausgedrückt.»

Der «Indiana Jones» lässt keinen Zweifel daran, dass er auch weiterhin gegen daten­hungrige Konzerne ins Feld ziehen wird.