Zusammenfassung

  • Passport ermöglichte den Zugang zu mehreren teilnehmenden Websites mit einem Konto. Laut FTC-Beschwerde hielt Microsoft für begrenzte Zeit eine personenbezogene Liste der Websites und Anmeldezeiten vor; der Kundendienst konnte sie einem Namen zuordnen.
  • Die Datenschutzerklärung erläuterte andere Daten, ließ diese Liste nach Ansicht der FTC aber aus. Die abschließende Anordnung verlangte zutreffende Angaben, ein schriftliches Sicherheitsprogramm und unabhängige Prüfungen.

Ein kurzer Weg hinterließ eine lange Spur

Passport startete im Oktober 1999. Ein Benutzername und ein Passwort sollten für mehrere Websites genügen. Das ersparte Nutzern Wiederholungen, setzte aber einen gemeinsamen Kontrollpunkt zwischen sie und die teilnehmenden Seiten. In ihrer Beschwerde vom Dezember 2002 beschrieb die FTC ein von Microsoft befristet gespeichertes Protokoll: welche Websites ein Passport-Nutzer aufgerufen hatte, um sich anzumelden, samt Datum und Uhrzeit. Mitarbeiter des Kundendienstes konnten diese Angaben bei Serviceanfragen mit dem Namen des Nutzers verknüpfen.

Microsofts damalige Datenschutzerklärung war ausführlich. Sie beschrieb Registrierungsangaben, eine eindeutige Kontonummer, Betriebsdaten und temporäre Cookies. Ausgerechnet das standortübergreifende Anmeldeprotokoll fehlte ihr nach Darstellung der FTC. Wer die Erklärung las, erfuhr damit von einem Cookie, aber nicht von einer Liste der Eingänge, die der zentrale Anbieter einem Konto zuordnen konnte. Ein gemeinsamer Schlüssel veränderte also auch, welche Übersicht der Schlüsselbetreiber erhielt.

Die Beschwerde befasste sich zudem mit Sicherheitsversprechen, dem Einkaufsdienst Passport Wallet und dem Elternzugang Kids Passport. Beim Anmeldeprotokoll zeigt sich der Grundkonflikt besonders klar. Der Dienst musste Anmeldungen vermitteln und konnte dabei eine Geschichte der Anmeldungen aufbauen. Der öffentliche Text und der operative Datensatz waren nicht deckungsgleich.

Aus dem Versprechen wurde ein Prüfauftrag

Microsoft kündigte im August 2002 eine Einigung mit der FTC an. Das Unternehmen sprach von formellen, dokumentierten und unabhängig geprüften Sicherheitsverfahren. Die endgültige Anordnung vom Dezember untersagte falsche Angaben über Erhebung, Nutzung, Weitergabe und Schutz persönlicher Informationen. Sie verlangte ein schriftliches Sicherheitsprogramm mit Verantwortlichen, Risikoanalyse, Schutzmaßnahmen, Tests, Anpassungen und unabhängiger Bewertung. Auch ähnliche Dienste zur Anmeldung bei mehreren Websites fielen darunter.

Die Beschwerde enthält die Vorwürfe der FTC; die Einigung erfolgte ohne Anerkennung der bestrittenen Tatsachen durch Microsoft. Die Anordnung machte Arbeit daraus: Zuständigkeiten benennen, Risiken dokumentieren, Kontrollen testen und Angaben über Datenpraktiken richtig halten. Eine Datenschutzparole musste mit dem tatsächlichen Protokoll zusammenpassen.

Originalunterlagen