Menschliche Lauscher und HIPAA-konforme Umgebung Alexa, hör mal bitte weg!

Anfang des Monats präsentierte Amazon eine HIPAA-konforme Umgebung für seine Sprachassistentin Alexa und nährte damit Zweifel an Compliance und Privatsphäre der regulären Version. Genau diese wurden nun durch spätere Enthüllungen verstärkt.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Amazon Web Services Germany GmbH

Mit spöttischen Kommentaren reagierten verschiedene Twitter-Nutzer auf einen am 4. April veröffentlichten Blog-Beitrag Amazons. In dem stellte der Internetkonzern für den Gesundheitssektor gedachte Erweiterungen des Alexa Skills Kit vor, mit dem ausgewählte Entwickler in den USA HIPAA-konforme Apps für die Sprachassistenten des Unternehmens entwickeln können. HIPAA steht für U.S. Health Insurance Portability and Accountability Act of 1996; das regelt, wie vertrauliche Gesundheitsdaten geschützt werden sollen.

Damit warf der Konzern implizit zugleich die Frage auf, wie es um Datenschutz und Privatsphäre regulärer Skills seiner weltweit vertriebenen Echo-Geräte bestellt ist. Twitter-Nutzerin Rosemary Thorne formulierte es so: „As opposed to the other version which is not privacy compliant?“. Antonello Izzi suggerierte gar, dass Amazon und Privatsphäre zwei widersprüchliche Konzepte seien: „Is it even allowed to have Amazon and privacy-compliant in the same tweet?“

Entwickler erklären HIPAA für US-Markt

Unsere diesbezügliche Anfrage beantwortete Amazon ausschließlich mit Bezug auf den US-Markt. Demnach müssten Skill-Entwickler für das neue Programm ein HIPAA Business Associate Agreement (BAA) unterzeichnen; in dem verpflichte sich Amazon geschützte Gesundheitsdaten (Protected Health Information, PHI) gemäß den HIPAA-Vorschriften zu schützen. Zudem müssten Alexa Skills einen Zertifizierungsprozess bestehen.

Wenngleich uns diese Auskunft nicht gänzlich zufrieden stellte, förderten Recherchen Nachrichtenanbieters Bloomberg einige Tage später aufschlussreiche Details zu unserer Fragestellung zutage. So bleiben tatsächlich nicht alle Konversationen mit Amazons smarten Lautsprechern so privat, wie das Nutzer vielleicht vermuten und gern hätten.

Tausende Mitarbeiter lauschen weltweit

Dem Bericht zufolge setzt Amazon weltweit tausende von Mitarbeitern ein, die einen zufällig gewählten, verhältnismäßig kleinen Anteil aller Sprachbefehle anhört, transkribiert und mit Alexas Reaktion abgleicht. Auf diese Weise soll das Sprachverständnis der Lösung immer weiter verfeinert werden.

Ein Problem dabei: Die Sprachaufnahmen beinhalten mitunter auch private Dinge, die Nutzer so wohl nicht teilen wollten. Die von zwei Amazon-Mitarbeitern vermuteten sexuellen Übergriffe dürften dabei wohl ein Extrembeispiel sein. Wenn Alexa Hintergrundgespräche aufnimmt oder Laute fälschlicherweise als Aktivierungswsort interpretiert, könnten aber auch weitere Wortäußerungen ungewollt in der Cloud landen.

Als Quelle der eigenen Recherchen nennt Bloomberg zwei Mitarbeiter aus Amazons Bukarester Büro. Dort würden einzelne Mitarbeiter pro Schicht nicht weniger als 1.000 Sprachclips analysieren.

Laut Bloomberg habe ein Amazon-Sprecher das generelle Procedere per E-Mail bestätigt. Allerdings würden dabei strenge Compliance- und Security-Richtlinien eingehalten, Mitarbeitern kein direkter Zugriff auf personenbezogene Informationen gewährt. Ein Bloomberg vorliegender Screenshot soll dieser Aussage in Teilen widersprechen: Demnach seien zumindest Vorname und Account-Nummer des Kunden sowie Seriennummer des genutzten Gerätes sichtbar.

Selbsthilfe und weitere Behördenprüfungen

Welche Audiodaten Alexa in der Cloud speichert können Kunden übrigens über das Web-Interface der Lösung nachvollziehen. Dort findet sich unter „Alexa-Konto“ und „Alexa-Datenschutz“ eine Übersicht zum Verlauf von Sprachaufzeichnungen, die sich löschen lassen. Über den ebenfalls hier gelisteten Punkt „Legen Sie fest, wie Ihre Daten Alexa verbessern sollen“ können Nutzer Amazon die Berechtigung entziehen, um „über Alexa gesendete Nachrichten zu verwenden, um die Genauigkeit der Transkripte zu verbessern.“ – im Konto des Autors war diese Option (offenbar per Default) deaktiviert.

Inwieweit Amazons Vorgehen europäischen Datenschutzvorgaben genügt, könnte noch Gegenstand einer Prüfung der für Amazon zuständigen Datenschutzbehörde in Luxemburg sein – sagt allerdings der Bundesbeauftragte für den Datenschutz, Ulrich Kelber gegenüber Spiegel Online.

(ID:45872568)