Microsoft: Überwachung aller Tätigkeiten

Toll! Microsoft hilft allen Vergesslichen. “Recall” heißt die neue Funktion, und alle paar Sekunden soll ein Screenshot erstellt und von einer KI analysiert werden. Über die Suchfunktion soll man jetzt vergangene Tätigkeiten besser wiederfinden können.

So sieht das Ganze aus: Link

Damit würde alles, was auf dem Bildschirm passiert, durch die KI erfasst werden: E-Mails, die an Kollegen, Mitarbeiter, Freunde und Familie geschrieben werden. Verschlüsselungen verlieren ihre Funktion. Erfasst werden auch alle Bilder, Kontostände, angezeigte Passwörter, geschäftliche Daten (Geschäftsgeheimnisse!), Videokonferenzen und alles, was sonst noch über den Bildschirm “flimmert”.

Etwas Ähnliches macht übrigens auch die Polizei im Rahmen der “Telekommunikationsüberwachung”. Die damit einhergehende Verletzung der Persönlichkeitsrechte ist so groß, dass die Polizei/Staatsanwaltschaft einen Gerichtsbeschluss benötigt. Microsoft nicht – Microsoft macht das einfach so.

Auch wenn Microsoft sagt, die Daten würden nur lokal verarbeitet werden, gibt es hierfür keine Garantie. Microsoft könnte im nächsten Schritt festlegen, dass die Bildschirmfotos in der Microsoft-Cloud gespeichert und für das Training von Bing oder ChatGPT eingesetzt werden. Das heißt, irgendwann könnten die Informationen aus den persönlichen Screenshots in den Suchergebnissen von Bing oder in den Antworten von ChatGPT landen.

Außerdem bekäme Microsoft eine große Menge an Daten, die sie selbst zur gezielten Werbung einsetzen könnte (Was hat den Kunden bei Amazon nochmal interessiert?).

Für Betriebsräte entsteht hier auch ein großes Problem. Wie wird verhindert, dass der Arbeitgeber die Screenshots zur Arbeitnehmerkontrolle nutzt? In jedem Fall steht dem Betriebsrat nach § 87 Abs. 1 Nr. 6 ein Mitbestimmungsrecht zu. Das bedeutet, dass die neue Funktion in der Betriebsvereinbarung berücksichtigt werden müsste.

Aus der Sicht der IT-Sicherheit ist dies ebenfalls fatal. Angreifer, die in irgendeiner Form Zugriff auf einen fremden Computer bekämen, würden über die Screenshots weitere Informationen erhalten, die sie nutzen könnten (Passwörter, persönliche Informationen, etc.).

Solange die Screenshots lokal gespeichert werden, findet keine Verarbeitung durch Microsoft statt. Sollte Microsoft irgendwann seine Praktiken ändern, beispielsweise um die eigene KI von Bing zu trainieren, würde Microsoft mindestens eine Einwilligung benötigen. Da man als Benutzer aber kaum erwarten kann, dass man von Microsoft hinreichend über die weitere Verarbeitung der Daten informiert wird, würde der Einwilligung das Merkmal der Freiwilligkeit fehlen und sie wäre somit unwirksam.

Ein weiteres Problem sind die “anderen”. Selbst wenn man diese Funktion aus “Gründen” für sich oder den eigenen Betrieb deaktiviert, können dennoch die eigenen Daten von der Microsoft-KI meines Kommunikationspartners erfasst werden. Wenn mein Kommunikationspartner, mit dem ich beispielsweise E-Mails austausche, diese Funktion aktiviert hat, erhält die KI auch meine Informationen. Ähnlich verhält es sich bei einem Steuerberater oder einem Anwalt. Wenn diese Kommunikationspartner Recall nicht deaktiviert haben, erfasst die KI meine Steuerdaten oder Informationen zu laufenden Verfahren. Sollte Microsoft die Daten in der Cloud verarbeiten, droht hier für die Kommunikationspartner eine Strafbarkeit aus § 203 StGB.

Ein datenschutzkonformer Einsatz der neuen Funktion ist somit nicht vorstellbar. Ich empfehle jedem, die Funktion grundsätzlich zu deaktivieren.

Administratoren sollten die Computer der Mitarbeiter so konfigurieren, dass die Funktion zentral deaktiviert wird. Eine Möglichkeit hierzu wäre die Deaktivierung des “Copilot” über entsprechende Gruppenrichtlinien im Active Directory (Link).

Heise schreibt bildlich, bei einer solchen “Funktion” würden Datenschutzbeauftragte mit Gegenständen werfen. Ich glaube, ich suche mir jetzt erstmal einen Gegenstand…