News Microsoft Outlook: „Meeting Insights“ wird ab September durch Copilot ersetzt

[ascer]

Naja, wie will ich denn von außen das auch so feinsäuberlich trennen können? Sind denn die Ergebnisse der Audits für die Zertifizierung öffentlich zugänglich? Soll ich als privat Person oder ein kleiner Mittelständler mit 50 Angestellten jedesmal ein eigenes Audit beauftragen?

Warum solltest du selbst ein Audit beauftragen wollen oder müssen? Gerade für ein kleines Unternehmen wäre ein "ich vertraue etablierten Zertifikaten wie BSI C5 oder ISO oder ... nicht" doch wirklich Aluhut-Level.

Für mein Verständnis gibt es da eine Schnittmenge, dass wenn es die Möglichkeit geben muß, dass man Daten weitergibt, diese irgendwie verfügbar sein müssen, was sich eben damit beisst, dass die Daten "sicher" abliegen.

Gibt es nicht, man muss sich nur mal wirklich damit befassen. Das minimale Schutzniveau (und die großen Services gehen weit darüber hinaus) ist, dass Ruhedaten stets verschlüsselt sind. Die Keys müssen benutzerbezogen sein und "Entschlüsselung" läuft zwar automatisiert, aber über eine Mischung aus deinen Accountdaten, Credentiels wie Passwort, usw.
Nutzt du dann z.B. Google Docs und Konsorten, existieren die Daten zwar temporär entschlüsselt, aber dies darf nur im RAM oder anderen temporären filesystems sein, die garantiert nach Nutzung abgeräumt werden. Zugriff auf diese Bereiche muss umfangreich protokolliert und etwaige Verstöße untersucht und gemeldet werden. Meldung ist hierbei (wie bei allen auditfähigen System) automatisiert; da kann also nicht SysAdmin XY entscheiden, ob ein incident irgendwo auftaucht oder nicht, sondern in Audit Logs taucht ein potentieller Verstoß auf und wird weitergeleitet, ohne dass SysAdmins darauf Einfluss haben können (oder das audit log verändern können).

Und in Klartext dürfen deine Daten sowieo zu keinem Zeitpunkt irgendwo liegen, auch nicht in temporären Speicherorten...die sind dann dort nur halt temporär mit einem App Key oder Dergleichen verschlüsselt (sodass etwa Google Docs das Dokument lesen kann, solange du es gerade bearbeitest).

100%ige Sicherheit kannst du niemals und nirgends haben, aber solchen Systemen und Audit Logs kann man effektiv ausschließen, dass irgendwas im Regelbetrieb passiert oder gar großangelegt. Selbst ein SysAdmin kann so nicht einfach an deine Daten kommen, selbst wenn er wollte. Und passiert es trotzdem, ist es zumindest protokolliert. 100%igen Schutz beispielsweise fordert auch eine DSGVO nicht, sondern vielmehr, dass nachweisbar protokolliert wird, was wie und warum / durch wen passiert ist.

Es bleibt für mich daher intransparent und nüchtern betrachtet muss ich hier vom Worst Case ausgehen.
Da hilft das Zertifikat mir leider auch nicht weiter. In meinem Umfeld sehe ich nur immer nett das ISO 9001 Zertifikat, was genauso wenig aussagt, dass man eine (hohe) Qualität(skontrolle) erwarten kann, sondern was nur zertifiziert, dass man sich einen Workflow ausgedacht hat, der auf dem Papier die Qualität gleichbleibend hoch halten sollte.
Das ist so ein hätte wäre wenn.

Deshalb gibt es darüber hinausgehende Zertifikate, die durchaus echte Audits erfordern.

Du kannst ja nicht einem Zertifikat, welches echte Audits voraussetzt, nicht trauen, nur weil ein ganz anderes Zertifikat maximal einen schönen Papierplan vorsieht und die Umsetzung in keinster Weise kontrolliert.

Darüberhinaus ist das wichtige für ein Unternehmen sowieso nie der 100%ige Schutz, sondern die Haftung und was vertraglich zugesichert wurde.

Wo kommt die Paranoia her? Klar durch Snowden und Co. Gerade die älteren Jahrgänge sind mit lokalen Daten aufgewachsen und heutzutage liegen Daten in nicht geringer Menge in der Cloud, genauso wie BigTech intransparent Daten sammelt. Es ist bekannt, dass sie Daten sammeln, seit geraumer Zeit und nicht gerade wenig, aber was genau, was damit gemacht wird und wie diese behandelt werden ist für Außenstehende nicht bewertbar.

Das ist aber sehr indifferenziert.

Google Cloud oder MS Azure oder ... haben z.B. selbstredend ganz andere Datenschutzpraktiken, Sicherheitsstandard, ... (und sammeln auch deine B2B Daten nicht) als etwa Google Search, weil es andere (Sub)Unternehmen sind, sie voneinander autark sind, und ganz andere Kerngeschäfte haben.

Vorallem (Snowden & Co.) vermischt du hier ja, was ein kommerzieller Anbieter dir vertraglich zusichert, für geprüft wurde und was ein Geheimdienst eventuell trotzdem macht, weil die in gewissen Fällen außerhalb des regulären Rechts arbeiten.

Deine Privatfotos und was man sonst noch so gegen dich direkt verwenden oder zur biometrischen Identifizierung verwenden kann, kannst du ja in deiner privaten Nextcloud oder so lagern...gerade bei Geschäftsdaten der lokalen 50-Mann Klitsche wird aber ein Geheimdienst einfach 0 Interesse haben. Da ist die Paranoia wirklich Aluhut-Level.

Du schreibst ja selbst, man muß das adäquat bewerten können. Versetze dich mal in meine Lage, als nicht ITler. Das ist mir nicht möglich, ich muß daher vom Worst Case ausgehen und den habe ich oben beschrieben. Für Lieschen Müller, die sich gar nicht mit dem Thema auseinandersetzt, kann erst gar nicht verstehen, warum von ihr Daten erhoben werden und dass MS und Co plötzlich Kartei über sie führen.

Finde ich nicht. Wenn ich keine ausreichende Expertise besitze, um etwas bewerten zu können, dann kann ich es schlichtweg gar nicht bewerten. Gerade dann sollte man sich auf Durchschnittsszenarien einstellen (nicht den worst case) und vor allem dann sollte man Experten, Zertifikaten, ... trauen. Oder halt Geld/Zeit investieren - je nachdem, welche Priorität das ganze hat.

Wenn man das nicht macht und einfach aus dem Bauch heraus entscheidet, dann landest du bei:

• Ich bin kein Physiker, also sind Mikrowellen bösartige Strahler, die mich und mein Essen vergiften.
• Ich bin kein Metereologe, sieht nicht nach Wolke aus, muss Chemtrail sein.
• Ich bin kein Mediziner, aber ich fühle mich wunderbar, Pillen brauche ich nicht schlucken.

Für eine Bewertung einer Situation benötigt man Fachkenntniss. Die kann man entweder über Zeit und Ausbildung und ... erwerben oder man kann sie bezahlen, von Dritten einkaufen. Ohne Fachkenntnis aber kann man keine eigene Bewertung erstellen und genau dann sollte man sich einfach an andere Experten halten.

Insbesondere auch deshalb, weil ein Laie ja nicht mal selbst einschätzen kann, was denn das Worst-Case-Szenario wäre. Und dann installiert sich der Laie "Internetz-Schutz" und "NextKloud" und ... schwups sind die eigenen Daten weg, was dem Laien bei Default Google nie passiert wäre.

Ich sehe KI in dieser Form, wie sie gerade überall hinein gedrückt wird (Thema vom Thread, integrierter Copilot in Outlook, der die Emails bewertet) sehr kritisch, da auch hier wieder nicht transparent ist, wo das LLM läuft und wie mit der Berechnung und entstandenen Daten umgegangen wird. Mir fehlt jegliche Basis um Vertrauen in Microsoft aufbauen zu können. Das geht vielen Anderen leider auch so.

Das eine ist Geschäftspraxis (man möchte schlichtweg möglichst viele Märkte erobern; einen geheimen Plan "ich will alle deine Daten" gibt es nicht) und das andere würde ich mit "jein" beantworten =>
Ja, die Kennzeichnung von KI könnte einfacher sein (kein Laie wird sich die Nutzungsbedingungen durchlesen; sowas sollte irgendwo in Miniform in der Tat direkt in der App selbst ersichtlich sein).
Nein, die Kennzeichnung findet definitiv immer statt. Das wäre gerade in der EU auch verboten, sowas nicht zu kennzeichnen. Auch bei MS, Google, ... steht in den Nutzungsbedinungen und auf weiterführenden Seiten ganz genau, was verarbeitet wird, wie es verarbeitet wird, wo es verarbeitet wird, in welchen Rechenzentrumsstandorten usw. Nur halt verklausuliert und auf diverse Seiten verteilt. Jura-Deutsch (oder -Englisch) halt.

Offtopic:
Die USA greifen andere Länder an. Aktuell Iran und vor nicht kurzem Venezuela. Beides hat sicherlich auch eine große Menge digitale Vorarbeit hinter sich. Da habe ich und auch die aktuellen deutschen Gesetze ein andere moralische Vorstellung von und genau da ist auch mein Problem mit dem Thema.

Das ist doch auch wieder eine vollkommen andere Debatte. Selbst das unknackbare Enigma haben die Alliierten irgendwann im 2. WK dadurch geknackt, dass immer wieder ähnliche Worte wie etwa "Heil ..." auftauchten.

Zum Einen sind die Betroffenen in deinem Fall hochrangige Politker, Militärs, ... => das hat nichts aber auch gar nichts mit typischen kommerziellen Produkten zu tun. Es wird wohl auch kaum der Fall sein, dass dort jemand getötet wurde, weil er GMail verwendet hat.

Zum Anderen kannst du dich gegen Militärgeheimdienste sowieso nicht wehren, vor allem nicht als Laie. Das liegt vollkommen außerhalb deiner Möglichkeiten und Ressourcen. Genausowenig wie du etwa dein Haus gegen Spezialeinheiten schützen kannst...selbst in den gesicherten Bunker würden die, wenn sie es wirklich wollten, natürlich hineinkommen.

Abgesehen davon: über Vorgehensweise und Legitimität lässt sich streiten, aber bei Maduro (und genauso beim Regime im Iran) kann man schwerlich davon reden, dass es da "die Falschen" getroffen hat. Selbst wenn du hier Hobby-Reichsbürger oder Hobby-Islamist oder ... wärst, bist du davon meilenweit entfernt.

 

[andy_m4]

In der Theorie klingt das alles immer sehr schön, aber in der Praxis erleben wir doch immer wieder Datenschutzpannen.
Insofern kann man natürlich immer viel erzählen, aber entscheidend ist auf dem Platz, wie man im Fußball sagen würde.
Und manchmal reicht ja irgendeine unbeabsichtigte Fehlkonfiguration, das Daten offen im Netz stehen. Hatten wir ja alles schon. Darüber kann man doch nicht hinweg sehen mit "vertraglich zugesichert" und "die protokollieren alles. Da kann nix passieren".

Vorallem (Snowden & Co.) vermischt du hier ja, was ein kommerzieller Anbieter dir vertraglich zusichert

Ja. Die Thematik ist vermischt. Allerdings macht das Beispiel deutlich, wie schwierig Datenschutz in der Praxis ist.
Das Ding ist ja, Snowden hat bei der NSA Daten rausgetragen.
Wenn also nicht mal ein Geheimdienst wie die NSA auf ihre Daten aufpassen kann, wer dann?

Das eine ist Geschäftspraxis (man möchte schlichtweg möglichst viele Märkte erobern; einen geheimen Plan "ich will alle deine Daten" gibt es nicht)

Ja. Eher nicht. Trotzdem ist das Geschäftsmodell natürlich Daten zu sammeln. Weil wenn Du in der Cloud steckst, kannst Du halt nicht so einfach weg. In erster Linie ist das also ein Abhängigkeitsding.
Das Daten "wegkommen" ist erst mal nachgelagert. Das Ding ist aber, solche Clouds wo viele Daten gelagert sind, sind natürlich auch sehr attraktive Angriffsziele.
Schon allein deshalb ist es aus Security-Sicht doof solche Bestände zentral zu halten.

Dazu kommen gerne staatliche Akteure die einen Direktzugriff haben wollen. Selbst wenn man dem Staat vertraut schaffen die nötigen Schnittstellen natürlich weitere Angriffsfläche.

.gerade bei Geschäftsdaten der lokalen 50-Mann Klitsche wird aber ein Geheimdienst einfach 0 Interesse haben.

Der Geheimdienst vielleicht nicht. Aber andere Akteure schon. Und insbesondere da Datenauswertung Dank KI-Tools billig geworden ist, lohnt sich auch da hinzuschauen, wo es sich vorher ob das Aufwand-Nutzen-Verhältnisses nicht gelohnt hätte.
Möglicherweise läufts dann ähnlich wie bei Ransomware. Da ist das Ziel ja i.d.R. auch nicht: "Wir landen einen großen Coup", sondern eher ein Massengeschäft.

Nur halt verklausuliert und auf diverse Seiten verteilt. Jura-Deutsch (oder -Englisch) halt.

Du meinst, die halten sich nicht an die DSGVO ?
Und dann soll ich darauf vertrauen, das die sich an den Rest halten?
Spannende These.

 

[SavageSkull]

@ascer Ich will jetzt nicht zitieren, sonst wird das eine Wall of Text.

Das die Themen miteinander verschmolzen sind, was ich als Privat Nutzer schützen möchte, liegt daran wie die Dinge eben in der Realität miteinander verwoben sind. Wie sich eine Firma absichert, was ein Unternehmen sammelt und damit anstellt und was ein Staat sammelt und damit anstellt sind zwar für sich gesehen unterschiedliche Punkte, aber letztlich geht es immer um meine Daten und wie sie (idealerweise nicht) an andere kommen können.

In meinem moralischen Rechtsverständnis habe ich die Freiheit alleine über meine Daten zu verfügen und wenn ich nicht will, dass jemand Anderes die sammelt, dann muß es Möglichkeiten zu verhindern, dass andere Parteien sich Zugang, auf welche Art auch immer, darauf verschaffen.
Das ist, ohne jetzt auf die Details und Unschärfe einzugehen bei uns gesetzlich in der DSGVO auch definiert.

Der Status Quo ist, dass es für die Allgemeinheit heute nicht transparent ist, dass Firmen und Staaten Daten sammeln. Das ist heute mittlerweile so weit ausgeartet, dass man auch mithilfe von Werkzeugen wie KI, "digitale Zwillinge" von Personen erstellt und absieht, was die Person tut und tun wird, wo sie wohnt, was sie für Hobbys nachgeht, zu welchen Uhrzeiten sie das Haus verlässt und noch viel mehr.

Da sehe ich wenig Spielraum irgendjemanden Vertrauen zu schenken und muß wo es geht von mir aus aktiv dagegen vorgehen, weil unser Staat anscheinend da zu wenig tut. Firmen tun nämlich alles mögliche um an Daten zu kommen und das ist auch die Kritik an der Verwebung von Copilot in Microsoft Diensten. Microsoft zeigt trotz der Kritik leider nicht, wie das funktioniert und wie Daten die bei der Nutzung von Copilot entstehen sicher bleiben.

Ein Zertifikat ist an sich eine gute Sache und das will ich auch nicht schlecht machen, aber
wie du so schön aufzeigst geht es in erster Linie darum, dass ein Dienstleister sich damit absichert um nicht rechtlich angreifbar zu sein. Das hilft mir als Person herzlich wenig, wenn die Daten doch mal im Netz herum geistern. Ich bin dann doppelt gelackmeiert, da meine Daten dann sehr wahrscheinlich ihren Weg zu den Datenkraken finden und ich gleichzeitig mich nicht mal beim Dienstleister Regressansprüche stellen kann.
Ist das sinnvoll?

Das zweite was mich an dem Zertifikat bzw dem Audit stört, ist die fehlende Transparenz. Deine schönen Beispiele mit Mikrowelle, Wolke und Pille passen da perfekt. Alle drei Beispiele haben heute als Basis dahinter Studien und Co, die transparent für die Menschen verfügbar sind. Ich könnte es also nachprüfen, wenn ich das Verständnis habe. Das Audit, was bei einem Dienstleister stattgefunden hat ist für mich nicht verfügbar.
Was da gemacht wurde und warum der jetzt "sicher" ist, ist für mich nicht ersichtlich.

Und auch wenn ich kein "Bin Laden 2.0" bin, gibt es keinen Grund, dass zb die USA auf meine Daten verfügen könnten, wenn sie wollten. Das ist nämlich genau der Punkt, den ich im zweiten Absatz meine.