Cambridge Analytica Skandal 2016

Der Cambridge Analytica-Skandal gilt als der Moment, in dem einer breiten Öffentlichkeit klar wurde, was mit ihren Daten passiert. Eine britische Analysefirma griff über eine harmlos aussehende Umfrage-App auf die Facebook-Profile von rund 87 Millionen Menschen zu und verkaufte Wahlkämpfern massgeschneiderte Botschaften. So weit die Geschichte, die alle kennen. Sie stimmt in ihrem Kern — und in einem entscheidenden Punkt nicht, wie die zuständige Aufsichtsbehörde zwei Jahre später selbst festgestellt hat.

Dieser Artikel erzählt beides: was tatsächlich passiert ist, und was danach kam. Denn der zweite Teil fehlt in den meisten Darstellungen — dabei ist er der interessantere.

Was beim Cambridge-Analytica-Skandal tatsächlich passiert ist

Eine Umfrage-App und die Freunde der Freunde

2014 veröffentlichte Aleksandr Kogan, damals Forscher an der Universität Cambridge, eine Persönlichkeitstest-App namens „thisisyourdigitallife". Wer mitmachte, bekam eine kleine Vergütung. Installiert haben sie nach Darstellung der University of Washington rund 300.000 Menschen.

Am Ende lagen Daten von rund 87 Millionen Profilen vor. Diese Lücke zwischen 300.000 und 87 Millionen ist der eigentliche Skandal, und sie war kein Einbruch. Facebook erlaubte Apps damals ausdrücklich, nicht nur auf die Daten des Nutzers zuzugreifen, der sie installiert hatte, sondern auch auf die seiner Freunde. Wer den Test machte, gab damit auch die Profildaten von ein paar hundert Leuten preis, die von der App nie gehört hatten und nie gefragt wurden.

Das war keine Sicherheitslücke. Das war die dokumentierte Schnittstelle, so gebaut und so gewollt. Kogan verkaufte den Datensatz an Cambridge Analytica weiter — das war der Vertragsbruch. Der Zugriff selbst funktionierte genau wie vorgesehen.

Die Schnittstelle war da bereits abgekündigt

Ein Detail, das in den meisten Darstellungen fehlt: Facebook hatte den weitreichenden Zugriff auf Freundesdaten zu diesem Zeitpunkt schon selbst beerdigt. Die erste Fassung der Programmierschnittstelle, Graph API v1.0, war im April 2010 gestartet und wurde im April 2014 abgekündigt. Neue Apps bekamen ab da nur noch die eingeschränkte Version 2.0. Für bereits bestehende Apps lief die alte Schnittstelle aber noch ein volles Jahr weiter, bis zum 30. April 2015 — so beschreibt es die Analyse des Tow Center for Digital Journalism.

Der Datenabzug fiel also genau in dieses Übergangsjahr. Unter der alten Fassung liessen sich zu Freunden unter anderem Geburtsdatum, Ausbildung, Aufenthaltsorte, Gruppen, Aktivitäten und Interessen abrufen — ohne dass diese Freunde davon erfuhren oder zustimmen mussten. Wer die Berechtigungen einmal erteilt bekommen hatte, konnte im Hintergrund weitersammeln, jahrelang.

Das relativiert nichts, es macht die Sache eher unangenehmer. Die Schnittstelle war nicht versehentlich zu offen, sondern jahrelang als Produktmerkmal gedacht und wurde erst geschlossen, als sie nicht mehr gebraucht wurde. Die Daten, die in diesen fünf Jahren abflossen, waren zu diesem Zeitpunkt längst kopiert.

Wie es ans Licht kam

Facebook erfuhr 2015 davon, entfernte die App und liess sich die Löschung der Daten schriftlich zusichern. Die 87 Millionen Betroffenen informierte das Unternehmen nicht. Öffentlich wurde der Vorgang erst am 17. März 2018, als Observer, New York Times und Channel 4 gemeinsam veröffentlichten, was der frühere Mitarbeiter Christopher Wylie ihnen erzählt hatte. Die Rechercheserie des Guardian dazu ist bis heute unter The Cambridge Analytica Files abrufbar.

Sieben Wochen später war die Firma Geschichte: Cambridge Analytica und die Muttergesellschaft SCL Elections meldeten am 1. Mai 2018 Insolvenz an.

Die Methode: psychografisches Profiling

Was dahintersteckt

Psychografie versucht, Menschen nicht nach Alter und Wohnort zu sortieren, sondern nach Persönlichkeitsmerkmalen. Das übliche Modell dahinter sind die fünf Dimensionen Offenheit, Gewissenhaftigkeit, Extraversion, Verträglichkeit und Neurotizismus.

Cambridge Analytica kombinierte die Facebook-Daten mit gekauften Datensätzen — Wählerverzeichnisse, Konsumdaten, Adresslisten — und leitete daraus Profile ab. Das Versprechen an die Kundschaft: Werbung, die nicht auf eine Zielgruppe zielt, sondern auf einen Charaktertyp. Wer als ängstlich eingestuft wurde, bekam eine andere Botschaft als wer als abenteuerlustig galt. Gleiches Thema, andere Tonlage.

Warum das Versprechen grösser war als das Ergebnis

Hier wird es unbequem, und zwar für beide Seiten der Debatte.

Die britische Datenschutzaufsicht ICO hat drei Jahre lang ermittelt, Server beschlagnahmt und die Modelle selbst begutachtet. Am 7. Oktober 2020 schloss sie die Untersuchung mit einem Schreiben an den zuständigen Parlamentsausschuss ab. Wie Computer Weekly daraus zitiert, kam die Behörde zu dem Schluss, dass Cambridge Analytica seine Modelle überwiegend aus handelsüblichen Analysewerkzeugen gebaut hatte. Von einer geheimen Wunderwaffe war nichts zu finden. Und zur Beteiligung am Brexit-Referendum, dem zweiten grossen Vorwurf, fand die Aufsicht über einige anfängliche Anfragen hinaus schlicht keinen Beleg.

Cambridge Analytica hat den Ruf, Wahlen entschieden zu haben. Diesen Ruf hat die Firma zu einem erheblichen Teil selbst aufgebaut — sie war schliesslich im Verkauf tätig, und ein Vertrieb, der behauptet, er könne Wähler steuern, verkauft besser als einer, der von Streuverlusten spricht.

Das entlastet niemanden. Es verschiebt nur, worüber wir eigentlich reden sollten.

Was danach geschah: die Rechnung

In den meisten Rückblicken endet die Geschichte 2018 mit der Insolvenz. Tatsächlich zog sie sich noch sechs Jahre hin — und bezahlt hat am Ende nicht Cambridge Analytica, sondern Facebook.

Vier Zahlen aus dieser Liste verdienen einen zweiten Blick.

500.000 Pfund. Das verhängte die britische Aufsicht im Oktober 2018 gegen Facebook. Es klingt lächerlich, und das ist es auch — es war aber das gesetzliche Maximum. Der Datenabzug fiel unter das Datenschutzgesetz von 1998, und dieses Gesetz kannte keine höheren Beträge. Nach dem 2018 in Kraft getretenen Recht wären laut NPR bis zu 17 Millionen Pfund möglich gewesen. Facebook legte trotzdem Rechtsmittel ein und zahlte erst ein Jahr später.

5 Milliarden Dollar. Am 24. Juli 2019 verhängte die US-Handelsbehörde FTC die bis dahin höchste Datenschutzstrafe gegen ein Unternehmen überhaupt. In ihrer Mitteilung wirft die Behörde Facebook vor, Nutzer über die Weitergabe an Dritt-Apps getäuscht und gegen Entwickler, die die Regeln brachen, nicht durchgegriffen zu haben. Zu den Auflagen gehört, dass Facebook Dritt-Apps stärker kontrollieren muss.

725 Millionen Dollar. Am 10. Oktober 2023 genehmigte ein Bundesgericht in Kalifornien den Vergleich in der Sammelklage betroffener Nutzer. Nach Darstellung der beteiligten Kanzlei ist es die höchste Summe, die je in einer Datenschutz-Sammelklage erzielt wurde.

50 Millionen australische Dollar. Am 17. Dezember 2024 einigte sich Meta mit der australischen Datenschutzbehörde auf ein Zahlungsprogramm für betroffene Nutzer. Die Behörde schreibt in ihrer Mitteilung ausdrücklich, dass Meta dabei kein Fehlverhalten eingeräumt hat. Anspruch haben Nutzer, die zwischen dem 2. November 2013 und dem 17. Dezember 2015 ein Konto hatten und entweder die App installierten oder mit jemandem befreundet waren, der das tat.

Warum der Skandal trotzdem einer war

Wenn die Modelle nichts Besonderes waren und die Brexit-Beteiligung sich nicht belegen liess — was bleibt dann?

Ziemlich viel, nur an einer anderen Stelle, als die meisten schauen. Der Skandal war nie, dass eine einzelne Firma über besondere Fähigkeiten verfügte. Der Skandal war, dass die Daten von 87 Millionen Menschen über eine völlig reguläre Schnittstelle abflossen, weil ein paar Hunderttausend auf einen Persönlichkeitstest geklickt hatten. Und dass die Plattform, die diese Schnittstelle gebaut hatte, drei Jahre lang niemandem etwas sagte.

Es hat auch nie eine Rolle gespielt, ob die Zielgruppenansprache funktionierte. Der Schaden entstand beim Sammeln, nicht beim Ausspielen. Wer diesen Unterschied einmal verstanden hat, liest jede weitere Datenschutzmeldung anders — und hört auf, sich von der Frage ablenken zu lassen, ob eine bestimmte Werbung nun jemanden umgestimmt hat.

Was das mit euch heute zu tun hat

Die Freunde-Schnittstelle gibt es nicht mehr. Wer daraus schliesst, das Problem sei erledigt, verwechselt einen geschlossenen Kanal mit einem geänderten Geschäftsmodell.

Was Cambridge Analytica 2014 unter Vertragsbruch zusammentragen musste, liefern die Werbeplattformen heute regulär und im eigenen Haus. Zielgruppen nach Interessen, Verhalten und Lebenslage lassen sich in jedem Werbekonto zusammenklicken, ganz ohne Umweg über eine Umfrage-App. Der Unterschied zu damals ist nicht die Datenmenge, sondern dass niemand mehr eine Schnittstelle missbrauchen muss. Es ist einfach das Produkt.

Dazu kommt die Ebene darüber, die es 2018 in dieser Form noch nicht gab: Wohin diese Datenbestände fliessen, wenn Behörden zugreifen. Der CLOUD Act und FISA Section 702 beschreiben, warum ein Serverstandort in Europa wenig bedeutet, solange der Anbieter amerikanisch ist. Und wie aus zusammengeführten Datenbeständen ein Werkzeug für Behörden wird, zeigt unser Stück über Palantir. Cambridge Analytica war ein Vorgeschmack, kein Ausreisser.

Ein letzter Punkt, der bis heute unterschätzt wird: Nicht die Inhalte sind das Wertvollste, sondern die Verbindungen. Wer mit wem befreundet ist, wer wann wo war, wer worauf reagiert — genau das machte den Datensatz von 2014 so brauchbar. Dieselbe Logik erklären wir am Beispiel von Metadaten bei Messengern.

Was das für euch heisst

Gegen ein Geschäftsmodell hilft keine Einstellung, und es wäre unehrlich, hier eine Fünf-Klicks-Lösung zu versprechen. Was sich trotzdem sagen lässt:

• Apps mit Kontozugriff sind der Kern des Problems, nicht der Rand. „Anmelden mit Facebook" oder „Anmelden mit Google" ist bequem und öffnet genau die Art von Verbindung, um die es hier ging. In den Kontoeinstellungen der grossen Plattformen lässt sich nachsehen, welche Anwendungen noch Zugriff haben — die Liste ist bei den meisten Leuten länger als erwartet.
• Anonym seid ihr in sozialen Netzwerken nicht. Warum ein Konto, das euren Namen trägt, euer Konto bleibt, unabhängig von Browser und Verbindung, steht in Kann ich Social Media anonym benutzen?
• Trennen hilft mehr als verstecken. Wer das soziale Netzwerk in einem eigenen Abteil hält, verhindert, dass es den Rest des Surfens mitliest — Multi-Account-Container für Firefox machen genau das. Warum zwanzig Datenschutz-Erweiterungen dagegen nach hinten losgehen, erklärt Browser-Fingerprinting.
• Wenn ihr grundsätzlich anfangen wollt: Unser Einsteiger-Ratgeber sortiert die Schritte nach Wirkung — vom Passwortmanager über das Smartphone bis zu den eigenen Diensten.

Fazit: Der Skandal war nicht die Ausnahme, sondern der Normalfall

Cambridge Analytica ist als Geschichte über eine finstere Firma erzählt worden, die mit geheimen Methoden Wahlen kippt. Diese Erzählung ist bequem, weil sie einen Schuldigen hat, der pleite ist. Die Aufsichtsbehörde, die es am genauesten wissen musste, hat sie nach drei Jahren Ermittlung nicht bestätigt.

Was sie bestätigt hat, ist unbequemer: Die Daten von 87 Millionen Menschen liessen sich abziehen, weil eine Plattform es so gebaut hatte. Die Strafen kamen Jahre später, trafen die Plattform statt die Firma, und die Schnittstelle wurde geschlossen — während das Geschäft mit denselben Daten weiterläuft, nur direkt beim Anbieter statt über einen Zwischenhändler.

Deshalb lohnt es sich, diesen Fall nicht als abgeschlossenes Kapitel zu lesen, sondern als Bauanleitung. Er zeigt genau, wo die Daten anfallen, wer sie weitergeben darf und wie lange es dauert, bis das jemanden etwas kostet. Die Antwort auf die letzte Frage lautet: sechs Jahre, und bezahlt hat der Falsche.

Quellen und weiterführende Links

• The Cambridge Analytica Files — die Rechercheserie des Guardian und Observer ab März 2018
• Computer Weekly zum Abschluss der ICO-Untersuchung — zitiert das Schreiben der Information Commissioner vom 7. Oktober 2020 an den Parlamentsausschuss
• US Federal Trade Commission — Mitteilung zur Strafe von 5 Milliarden Dollar vom 24. Juli 2019
• Australische Datenschutzbehörde OAIC — Mitteilung zur Einigung über 50 Millionen australische Dollar vom 17. Dezember 2024
• Bleichmar Fonti & Auld — zur endgültigen Genehmigung des Vergleichs über 725 Millionen Dollar am 10. Oktober 2023
• NPR — zur Strafe der britischen Aufsicht und zum damaligen gesetzlichen Höchstbetrag
• University of Washington, Jackson School — zur Zahl der App-Installationen und der erreichten Profile
• Tow Center for Digital Journalism — zur Graph API v1.0, ihrer Abkündigung im April 2014 und der Übergangsfrist bis zum 30. April 2015
• Aus dem Bestand: Der CLOUD Act · FISA Section 702 · Palantir · Metadaten bei Messengern · Der Digital Services Act
• Praktisch weiter: Privatsphäre schützen: der Ratgeber für den Einstieg · Multi-Account-Container · Browser-Fingerprinting · Social Media anonym?