Wenn man keine Nutzerdaten besitzt, können sie auch nicht geleakt werden

• Während Matter eine iPhone-App entwickelte, die positive Erinnerungen und emotionale Bewertungen festhält, um sie später wieder ins Gedächtnis zu rufen, setzte das Unternehmen auf ein Privacy-first-Design, das verhindern sollte, dass sensible Fotos und Emotionsdaten für die Firma sichtbar werden
• Im Zentrum des Designs stand ein Bedrohungsmodell, das Nutzervertrauen, Schutz vor Fehlern und Bugs sowie sogar künftige Szenarien berücksichtigte, in denen das Unternehmen unter Druck gerät oder übernommen wird
• Private Emotionsbewertungen, Erinnerungsbeschreibungen und angehängte Fotos werden nicht auf Matter-Servern gespeichert, sondern in Core Data auf dem iPhone und in der privaten iCloud-Datenbank des Nutzers, sodass die Firma auch mit Apple-Tools keinen Zugriff hat
• Das Unternehmen erhält nur einige nicht auf die Eingabewerte zurückführbare Ergebnisse wie den Matter Score sowie private Nutzungsereignis-Metriken; auch Konten werden als nummerierte Accounts ohne E-Mail und Passwort geführt
• Das senkt die Möglichkeit von Datenlecks, bedeutet aber auch, dass das Unternehmen verlorene Daten nicht wiederherstellen kann, weil es Nutzer weder identifizieren noch ihre Daten besitzt; stattdessen müssen Nutzer Backup/Wiederherstellung verwenden

---

Matters Ausgangspunkt und die Privacy-Entscheidung

• Seit dem 1. Oktober 2024 hat Sean Coates seine Rolle als VP of Technology bei Matter niedergelegt und kann die Privacy-Aspekte der App danach nicht mehr persönlich garantieren
• Matter begann zunächst als Kunde von Faculty; später wechselte die Beziehung von Agentur-Kunde zu Startup-Partnerschaft, wobei Coates die Rolle des VP of Technology übernahm
• Die Produktidee ging davon aus, dass Nutzer Erinnerungen an positive Erfahrungen festhalten und später wieder aufrufen können, um ihr Glücksempfinden zu steigern
  • Nutzer können Fotos positiver Erlebnisse speichern und die dabei empfundenen Gefühle bewerten, um sie später erneut hervorzurufen
  • Coates war anfangs skeptisch gegenüber Wellness-artigen Behauptungen, ließ sich aber von der Technik und Wissenschaft überzeugen, dass das Erinnern positiver Erfahrungen die Produktion und Ausschüttung relevanter Neurotransmitter anregen und so das Glücksempfinden erhöhen kann

Die Frage: „Warum sollte man solche Daten an die Firma senden?“

• Die entscheidende Frage war, warum Nutzer private Fotos und sensible Emotionsbewertungen wie sexual desire überhaupt an Matter senden sollten
• Diese Frage führte dazu, dass Matter schon früh im Produkt festlegte, wie mit privaten Nutzerinhalten umgegangen wird und wie das Threat Modeling aussehen soll
• Privacy wurde nicht zu einer später ergänzten Funktion, sondern zu einem zentralen Wert, der das Produktdesign bestimmte
  • Man kam zu dem Schluss, dass ein nachträgliches Hinzufügen von Privacy, nachdem Nutzerdaten bereits intern offengelegt wurden, fehleranfällig oder unmöglich sein kann

Drei Prinzipien und extreme Szenarien

• Matter fasste die Prinzipien für den Umgang mit Nutzerdaten in drei Punkten zusammen
  • Es muss Vertrauen geschaffen werden, damit Nutzer der Datenverarbeitung des Unternehmens vertrauen können
  • Selbst bei schwachen Mitarbeiter-Passwörtern oder Code-Bugs dürfen keine Nutzerdaten abfließen
  • Man darf sich nicht nur auf den guten Willen des aktuellen Teams verlassen, sondern muss auch Situationen standhalten, in denen künftig andere Mächte das Unternehmen kontrollieren oder ein nicht vertrauenswürdiger Käufer auftaucht
• Auch auf Infrastruktur-Ebene wurden extreme Fragen geprüft
  • Es wurde diskutiert, ob ein eigenes Rechenzentrum gebaut werden sollte, aber man entschied, dass größere Hosting-Anbieter die physische Ebene besser absichern können und man kein Geld dafür ausgeben wolle, einen Berg auszuhöhlen und Milizen anzuheuern
  • Es wurden sogar Szenarien angenommen, in denen ein böswilliger Staat gezielt Nutzerdaten verlangt und Familienangehörige entführt; auch dann sollte es keine Daten geben, die man herausgeben könnte
• Die endgültige Entscheidung war, private Daten der Nutzer überhaupt nicht zu besitzen

So verarbeitet Matter Daten tatsächlich

• Wenn ein Nutzer in Matter ein Gefühl wie pride hoch bewertet, kann das Unternehmen davon nichts wissen
  • Das Metriksystem ist bewusst so aufgebaut, dass solche persönlichen Daten nicht erfasst werden
  • Auf diese Daten kann nur die App zugreifen, die auf dem Gerät des Nutzers läuft
• Matter ist eine iPhone-App, und die Daten werden in Core Data auf dem Telefon sowie in der privaten Datenbank des iCloud-Kontos des Nutzers gespeichert
  • App-Code, der mit den Entwickler-Credentials des Unternehmens läuft, kann auf dem Gerät Daten lesen und schreiben
  • Die Daten werden nicht an Matter übertragen, und das Unternehmen kann auch über Apple-Tools nicht darauf zugreifen
• Die Daten, die das Unternehmen erhält, sind Ergebnisse einiger Eingaben, aber in einer Form, die sich nicht auf die ursprünglichen Eingabewerte zurückführen lässt
  • Wenn man zum Beispiel nur das Ergebnis 600 kennt, weiß man nicht, ob die Eingabe 1 × 600, 100 × 6, 30 × 20 oder 12 × 50 war
  • Der Matter Score ist bekannt, aber nicht, welche Eingaben den Score erzeugt haben, wie eine Erinnerung beschrieben wurde oder was auf dem Foto zu sehen ist
  • Das Unternehmen weiß nur, dass ein bestimmter nummerierter Account eine Erinnerung hat und der Score 600 ist
• Matter verknüpft derzeit keine E-Mail-Adresse mit App-Nutzerkonten und verwendet auch keine Passwörter
  • Abgesehen von der Mailingliste besitzt das Unternehmen keine E-Mail-Adressen
  • Es gibt auch keine erzwungene Verknüpfung zwischen Mailinglisten-Nutzern und App-Nutzern
  • Künftig könnte Matter auf Wunsch der Nutzer Selbstidentifikation erlauben, will aber auch dann daran festhalten, keine privaten Daten zu sammeln

Verschlüsselte Bildspeicherung und der Preis der Wiederherstellung

• Selbst wenn Nutzer Inhalte wie Bilder zu einer Erinnerung hinzufügen, speichert Matter sie nicht in einer Weise, die für das Unternehmen sichtbar wäre
  • Standardmäßig werden Bilder auf dem Gerät des Nutzers gespeichert
  • Wegen der Speichergrenzen auf dem Gerät gibt es auch ein System, das Assets wie verschlüsselte Bilder On-Device speichert
  • Der eigentliche Bildinhalt und der Entschlüsselungsschlüssel werden nicht an Matter übertragen
  • Aus Sicht des Unternehmens sehen die gespeicherten Daten nicht wie Fotos aus, sondern wie binärer Chiffretext aus zufälligem Rauschen
• Dieses Design hat einen klaren Preis bei der Wiederherstellung
  • Wenn Nutzer ihre Daten verlieren, kann Matter sie nicht wiederherstellen
  • Das Unternehmen kann Nutzer nicht per E-Mail identifizieren und kein Passwort zurücksetzen; selbst mit E-Mail-Adresse und Passwort wäre eine Wiederherstellung nicht möglich, weil das Unternehmen die Daten nicht besitzt
• Die App verfügt derzeit über eine Backup/Wiederherstellung-Funktion, die Nutzer selbst verwenden müssen, um Datenverlust zu vermeiden
• Wie man Backups stellvertretend für Nutzer speichert, sie dabei identifiziert und die Daten dennoch so aufbewahrt, dass das Unternehmen nicht darauf zugreifen kann, bleibt weiterhin eine ungelöste Aufgabe
• Matter ist an seine Datenschutzrichtlinie gebunden, und für Coates war die Aufsicht über die Privacy-Implementierung eine der lohnendsten technischen Aufgaben seiner Zeit bei Matter

[GN⁺]

Meinungen auf Hacker News

• Ich stimme dem Kerngedanken zu. Der Ansatz Was man nicht speichert, kann auch nicht geleakt werden ist richtig, und das Rechtssystem sollte stärker ergebnisorientiert sein, um diese Denkweise zu fördern.
  Wenn man gehackt wurde, ist es nicht besonders wichtig, dass man „alles nach Branchenstandard gemacht“ hat; wichtig ist, dass meine Daten abgeflossen sind. Selbst wenn man befolgt hat, was die Branche für richtig hielt, muss man Verantwortung übernehmen.

  • „Speichere keine Informationen, die du nicht leaken können willst“ ist ein guter Gedanke. Ähnlich wie beim Prinzip der minimalen Rechte sollte man nur das aufbewahren, was für den angebotenen Dienst nötig ist. Das reduziert das Risiko für Anbieter wie Verbraucher.
    Allerdings scheinen in den USA immer mehr Unternehmen zu dem Schluss zu kommen, dass personenbezogene Daten Geld wert sind. Deshalb betreiben die meisten Geschäfte Bonusprogramme und sammeln, was man wann gekauft hat.
    Ginge es nur darum, Wiederbesuche zu fördern, hätten Stempelkarten wie vor zehn Jahren gereicht. Ich weiß nicht, wie sie die Daten nutzen, aber warum sollten sie Anreize wie kostenloses Essen oder Rabatte bieten, wenn der erhaltene Wert nicht höher wäre als die Kosten der Belohnungen?
  • Man könnte eine Versicherung gegen Datenlecks einführen und die Prämien niedrig ansetzen, wenn es nichts zu leaken gibt.
    Natürlich setzt das eine andere Welt voraus, in der Unternehmen für ihre Fehler tatsächlich Kosten tragen.
  • Ich stimme der Stoßrichtung zu, weiß aber nicht recht, wie sich das praktisch umsetzen ließe.
    Das Gesetz sollte niemanden bestrafen, der ehrlich sein Bestes getan hat; besonders gefährlich wird es mit einem Zusatz wie „auch wenn es Branchenstandard war, spielt das keine Rolle“. Das wäre verwirrend, könnte leicht die falschen Leute bestrafen und sogar Anreize schaffen, Wettbewerber hacken zu lassen und sie dann in rechtliche Haftung zu treiben.
  • Ich bin kein Jurist, aber bei anderen Straftaten gibt es solche Abstufungen bereits.
    Wenn man versehentlich einen Menschen tötet, kann das fahrlässige Tötung sein; tötet man mit Vorsatz und Planung, ist es schwerer bzw. geplanter Mord.
    Wenn am Ende ein Leben verloren ist, sollte es in gewissem Maße eine rechtliche Prüfung geben. Bei Hacking-Vorfällen sieht man solche Verfahren aber kaum.
  • Die grundlegende Ursache dafür, dass Datenschutzverletzungen zunehmen, ist eine riesige Schwachstelle im Rechtssystem, das Überwachung und Hacking verhindern soll.
    Spyware zu entwickeln und zu verbreiten, die ohne Erlaubnis personenbezogene Daten sammelt, ist illegal, und zwar auch dann, wenn die gesammelten Daten nicht geleakt werden. Verpackt man das Ganze aber in schickes Marketing, Dutzende Seiten schwer verständlicher AGB und „Datenschutz“-Richtlinien, wird es plötzlich legal; selbst wenn die Daten geleakt oder verkauft werden, gibt es kaum Strafen.
    Das gilt nicht nur für die USA, sondern auch für Europa. Schon vor der DSGVO hatten die meisten Länder Gesetze zur Verarbeitung, Nutzung und Speicherung personenbezogener Daten, sie wurden nur nicht durchgesetzt. Auch die DSGVO ist bei der Durchsetzung nicht wesentlich besser: Man sieht zahllose nicht konforme „Einwilligungs“-Abläufe, und Geschäftsmodelle, die auf Datenverarbeitung ohne Einwilligung beruhen, laufen weiterhin gut.

• Das deckt sich ziemlich gut mit meiner Sichtweise.
  Allerdings hat mich diese Haltung bei Kolleginnen und Kollegen nicht gerade beliebter gemacht. Die ganze Branche ist komplett in der Erfassung personenbezogener Identifikationsdaten versunken und geht viel zu leichtfertig damit um. Selbst Solitaire-Apps drängen einen ständig zur Anmeldung für Bestenlisten und Challenges.
  In einer neuen App lehne ich derzeit etwa 30 % der Registrierungen ab, weil sie wie Pig-Butchering-Scams aussehen, und das ist ziemlich ernüchternd. Alle Anmeldungen werden manuell geprüft, und die reine Menge interessiert mich nicht besonders. Wir richten uns nur an die USA, Kanada und Indien und haben kaum Werbung gemacht, aber die Betrüger waren sofort da.
  Im Moment ist das noch plump, aber wohl nur, weil wir auf eine bestimmte Demografie zielen und Fälschungen deshalb schwer sind; ich denke, das wird sich bald ändern. Am Ende habe ich akzeptiert, dass schlechte Akteure hereinkommen werden. Deshalb ist es wichtig, dass nichts drin ist, wenn sie kommen, um den Schnapsschrank auszuräumen.

• Der Aussage im Titel stimme ich sehr zu. Es ist erstaunlich, welche Maßnahmen für Datenresidenz, Integrität und Vertraulichkeit rund um riesige Datensilos aufgebaut werden, welche Infrastrukturteams sie verwalten und skalieren, und welche technischen Artikel dann als „Evangelium“ im Web landen — obwohl das Unternehmen diese Daten einfach gar nicht sammeln könnte.
  Mir gefällt das Modell: „Die Daten bleiben auf dem Gerät, wir sehen sie nicht. Höchstens erhalten wir minimale Standortstatistiken.“ Allerdings habe ich Zweifel an der Behauptung, ihr Metriksystem könne nicht missbraucht werden. Was programmiert ist, kann umprogrammiert oder aktualisiert werden, gerade in der heutigen Update-zentrierten Welt. Abgesehen von der allgemeinen Erklärung, man habe darauf geachtet, dass Nutzer niemals überwacht werden, scheint mir dieser Punkt nicht ausreichend behandelt zu sein; ich würde gern einen technischen Artikel dazu lesen.
  Nebenbei: Auch Sentinel Devices verfolgt bei Industriemaschinen genau diesen Ansatz „Wir besitzen keine Daten“. Man kann sich das wie eine air-gapped Automatisierungs-KI-Pipeline vorstellen. Sie stellen ein; wer Interesse hat, kann sich unter [e-mail] melden.

• Deshalb sollten B2B-SaaS-Anbieter aufhören, SSO mit Enterprise-Preisen zu versehen, und Flows wie IdP oder OAuth/OIDC einfach verpflichtend machen.
  https://vaultvision.com/blog/what-is-oidc
  Die User Experience ist dann so ein „continue with“-Button.
  https://id.atlassian.com/login
  https://www.xsplit.com/user/auth
  Dann besitzt man gar keine Konto-Zugangsdaten, die verloren gehen könnten. Personendaten, personenbezogene Identifikationsdaten usw. sind Risiko-Schulden.

  • Wie soll man dann mit personalisierter Werbung auf Basis von Metadaten Milliarden Dollar verdienen?

• Ein verwandtes Konzept ist Datensparsamkeit: https://martinfowler.com/bliki/Datensparsamkeit.html

  • Es gibt auch einen leicht verwandten Text: https://www.w3.org/2001/tag/doc/leastPower.html
  • Der bessere Ausdruck ist Datenenthaltsamkeit, also Daten-Abstinenz. Es geht nicht darum, weniger zu speichern, sondern wirklich nur dann zu speichern, wenn es keine andere Option gibt.

• Ähnliches findet sich auch in Maciej Cegłowskis Notes From An Emergency [1]
  „Es ist nicht klar, ob irgendjemand große Datensammlungen über längere Zeit sicher schützen kann. Die Asymmetrie zwischen Angriff und Verteidigung könnte zu groß sein. Wenn Verteidigung in großem Maßstab möglich ist, besteht der einzige Weg darin, Millionen von Dollar dafür auszugeben, die besten Verteidiger einzustellen. Hochkarätige Datenschutzverletzungen haben gezeigt, dass die Bedrohung real und dauerhaft ist. Und auf jede uns bekannte Verletzung kommen mehrere stille Verletzungen, von denen wir jahrelang nichts erfahren werden.
  Doch je erfolgreicher die Verteidigung ist, desto größer wird das Risiko. Wenn man hinter Burgmauern genug Schätze anhäuft, zieht man am Ende jemanden an, der diese Mauern erklimmen kann. Feudalismus macht das Internet anfälliger und stellt sicher, dass es katastrophal wird, wenn es schließlich zu einem Einbruch kommt.“
  [1] https://idlewords.com/talks/notes_from_an_emergency.htm

• Wäre man bereit, das Versprechen, keine Nutzerdaten zu speichern, mit vertraglichen Vertragsstrafen zu verbinden? Wenn nicht, ist es nicht ernst gemeint
  Man sollte sich an „Facebook – es ist kostenlos und wird es immer bleiben“ erinnern

• Bedeutet die zitierte Erklärung, dass alle vom Nutzer eingegebenen Fotos in einer verschlüsselten Version auf dem Server gespeichert werden, die Schlüssel aber nicht?
  Falls ja, ist das Speichern verschlüsselter Nutzerdaten nicht zwangsläufig das Ende der Welt, aber ich verstehe nicht, warum man es so bewirbt, als würden überhaupt keine Nutzerdaten gespeichert. Tatsächlich speichert man dann verschlüsselte Nutzerdaten, wie es viele Unternehmen tun, und Backblaze macht es genauso. Vielleicht habe ich es auch falsch verstanden

  • Ich habe es so gelesen, dass die verschlüsselten Daten nicht auf dem Server, sondern auf dem Gerät des Nutzers liegen

• In der Datenschutzerklärung steht: https://matter.xyz/privacy
  „Wenn wir diese Datenschutzerklärung ändern, aktualisieren wir sie hier und ändern das Datum des Inkrafttretens oben. Da wir nicht die E-Mail-Adressen aller Nutzer erfassen, können wir Ihnen Änderungen nicht per E-Mail zusenden. Änderungen an dieser Richtlinie gelten nicht rückwirkend.“
  Praktisch können sie sie jederzeit ändern, und die Nutzer werden es wahrscheinlich nicht mitbekommen
  Haben Nutzer irgendeine Möglichkeit, das durchzusetzen, wenn dagegen verstoßen wird? Muss man einem Anwalt einen sechsstelligen Betrag zahlen? Für welchen Schaden nach welchem Gesetz?
  Außerdem ist mir nicht ganz klar, was nicht rückwirkend hier rechtlich bedeutet. Wenn das Unternehmen meine Daten hat und die Richtlinie ändert, darf es meine Daten ab morgen nach der neuen Richtlinie verwenden? Da man von der Änderung ohnehin nichts erfahren dürfte, ist das aber wohl nicht besonders bedeutend

  • Es könnte bedeuten, dass eine Änderung der Richtlinie nicht dazu verwendet werden kann, vergangenes Verhalten zu rechtfertigen, das nach der früheren Version ein Verstoß gewesen wäre, nach der neuen Version aber keiner mehr ist
    Natürlich verstehe ich nicht vollständig, wie weit die Datenschutzerklärung eines Unternehmens rechtlich durchsetzbar ist
  • Aus einer extrem datenschutzorientierten Perspektive ist das praktisch nahezu das Beste, was möglich ist. Wenn sie keine E-Mail-Adressen haben, können sie keine E-Mails schicken, und selbst wenn sich die Richtlinie ändert, gilt diese Änderung nicht für bestehende Nutzer
    „Nicht rückwirkend“ bedeutet, dass die aktualisierte Version nicht auf die Nutzung bestehender Daten angewendet wird; damit wird die Möglichkeit ausdrücklich ausgeschlossen, Nutzerdaten nach der neuen Richtlinie zu verwenden

• Stimmt
  Ich arbeite in der Cybersicherheit, und ich bin von Tag zu Tag überzeugter, dass die Antwort nicht darin liegt, jede denkbare Bedrohung abzumildern, sondern darin, gar keine Daten zu besitzen, die gestohlen werden können
  Kombiniert man das mit Zero Trust und Zwei-Faktor-Authentifizierung/Passkeys, kann das deutlich mehr bewirken als die vielen Schlangenöl-Sicherheitslösungen, die die Branche so liebt