Eine US-Studie zeigt am Beispiel von Home Depot, wie fehlerhaft digitale Kundenprofile sein können. Für Sicherheitsverantwortliche im Handel rückt damit eine Frage stärker in den Fokus: Wie belastbar sind die Daten, auf denen automatisierte Entscheidungen beruhen?

Der Handel wird immer datenintensiver. Kaufhistorien, Kundenkonten, App-Nutzung, Geräteinformationen, Standortdaten und Informationen externer Anbieter fließen heute in umfassende Kundenprofile ein. Sie bilden die Grundlage für personalisierte Angebote, Werbekampagnen, Kundenanalysen und zahlreiche automatisierte Prozesse. Die Vorstellung dahinter ist ebenso einfach wie wirtschaftlich attraktiv: Je mehr ein Händler über seine Kunden weiß, desto genauer kann er Angebote, Kommunikation und Services auf sie zuschneiden.

Eine aktuelle Untersuchung von Forschern der Northeastern University, der New York University und der Columbia Law School zeigt allerdings, wie fehleranfällig dieses Prinzip sein kann. Am Beispiel des US-Baumarktbetreibers Home Depot untersuchten die Wissenschaftler, welche personenbezogenen Informationen über einzelne Kunden gespeichert oder aus vorhandenen Daten abgeleitet wurden und wie gut diese Informationen mit der Realität übereinstimmten. Dabei stießen sie auf teils erhebliche Abweichungen.

Für Sicherheitsverantwortliche im Handel ist das aus einem einfachen Grund relevant: Je stärker Unternehmen ihre Geschäfts- und Sicherheitsprozesse auf Daten stützen, desto wichtiger wird nicht nur deren Schutz vor Diebstahl oder Manipulation. Ebenso entscheidend ist, ob die Daten überhaupt verlässlich sind.

Ein detailliertes – aber nicht immer richtiges – Kundenbild

Grundlage der Untersuchung waren sogenannte Personal Information Reports von zehn Home-Depot-Kunden aus vier US-Bundesstaaten. Die Teilnehmer hatten auf Grundlage ihrer jeweiligen Datenschutzrechte Auskunft darüber verlangt, welche Informationen das Unternehmen über sie gespeichert hatte, und diese Datenauszüge anschließend für die wissenschaftliche Analyse zur Verfügung gestellt.

Die Forscher weisen selbst darauf hin, dass die Stichprobe mit zehn Personen klein und nicht repräsentativ ist. Aus ihr lässt sich weder ableiten, wie häufig entsprechende Fehler im gesamten Datenbestand von Home Depot auftreten, noch erlaubt sie allgemeine Aussagen über den US-Einzelhandel. Dennoch vermittelt die Untersuchung einen seltenen Einblick darin, wie umfangreich moderne Kundenprofile inzwischen sein können.

Die analysierten Datensätze enthielten teilweise weit mehr als Namen, E-Mail-Adressen oder frühere Einkäufe. In ihnen fanden sich auch Angaben oder abgeleitete Informationen zu Haushaltsgröße, Kindern, Familienstruktur, Bildungsniveau, Beruf, Kreditkartennutzung und geografischen Orten.

Gerade diese abgeleiteten Informationen erwiesen sich mehrfach als unzutreffend. So wurde ein Teilnehmer Anfang 20, der mit einem Mitbewohner zusammenlebte und keine Kinder hatte, einem Haushalt mit sechs Personen und kleinen Kindern zugerechnet. Gleichzeitig wurde er einer Zielgruppe städtischer Mieter mittleren Alters mit Kindern zugeordnet. Ein anderer Teilnehmer wurde als westeuropäische Frau in einem Sieben-Personen-Haushalt klassifiziert, obwohl es sich tatsächlich um einen Mann aus einem Vier-Personen-Haushalt handelte.

Auch berufliche Angaben waren auffällig fehleranfällig. Sechs der zehn untersuchten Profile enthielten entsprechende Klassifizierungen. Nach Angaben der Forscher waren vier davon vollständig falsch und zwei zumindest teilweise falsch. In einem weiteren Datensatz fanden sich mehr als 20 Telefonnummern, zehn E-Mail-Adressen und zwölf Anschriften, die nach Aussage des Betroffenen nicht zu ihm gehörten.

Die Untersuchung zeigt damit ein grundsätzliches Problem datengetriebener Kundenanalyse: Zwischen Informationen, die ein Kunde selbst angegeben hat, und Merkmalen, die ein System lediglich aus anderen Daten ableitet, besteht ein erheblicher Unterschied.

Wenn aus Daten Vermutungen werden

Die Wissenschaftler sprechen in diesem Zusammenhang von problematischen beziehungsweise fehlerhaften Inferenzdaten. Gemeint sind Informationen, die nicht unmittelbar erhoben, sondern aus verschiedenen Signalen errechnet oder abgeleitet werden. Das können beispielsweise Annahmen über Familienstand, Bildungsniveau, Beruf, Haushaltsgröße oder Interessen sein.

Solche Rückschlüsse sind in der digitalen Wirtschaft nicht ungewöhnlich. Unternehmen versuchen, aus Kaufhistorien, Online-Aktivitäten, Standortinformationen, verwendeten Geräten oder extern bezogenen Daten ein möglichst vollständiges Bild ihrer Kunden zu erzeugen. Je mehr Datenquellen miteinander kombiniert werden, desto größer wird jedoch auch die Gefahr fehlerhafter Verknüpfungen.

Eine mögliche Ursache liegt in der sogenannten Identity Resolution. Dabei versuchen Unternehmen, verschiedene digitale Signale derselben Person oder demselben Haushalt zuzuordnen. Ein Login im Onlineshop, ein Smartphone, eine IP-Adresse, ein Einkauf im Markt oder die Nutzung einer App sollen möglichst als Aktivitäten eines bestimmten Kunden erkannt werden.

In der Realität sind solche Zuordnungen keineswegs eindeutig. Familien teilen WLAN-Netze und Endgeräte, mehrere Personen leben unter derselben Adresse, IP-Adressen ändern sich, Geräte werden weitergegeben und Telefonnummern neu vergeben. Werden zusätzlich Daten verschiedener externer Anbieter miteinander verknüpft, wächst die Komplexität weiter. Eine fehlerhafte Zuordnung kann sich auf diese Weise durch mehrere Systeme ziehen und zunehmend wie eine bestätigte Tatsache wirken.

Gerade darin liegt eine der zentralen Aussagen der Untersuchung: Eine große Datenmenge bedeutet nicht automatisch ein präziseres Kundenbild. Im ungünstigsten Fall entsteht lediglich ein sehr detailliertes, aber falsches Profil.

Warum das für die Sicherheit im Handel relevant wird

An dieser Stelle endet der unmittelbare Studienbefund und beginnt die sicherheitstechnische Konsequenz für Handelsunternehmen.

Falsche Kundeninformationen sind zunächst ein Problem für Datenqualität und Datenschutz. Mit der zunehmenden Automatisierung können sie jedoch auch sicherheitsrelevant werden. Digitale Identitäten spielen heute beispielsweise bei der Erkennung verdächtiger Logins, bei Fraud-Analysen, bei der Gerätezuordnung oder bei der Bewertung ungewöhnlicher Transaktionen eine Rolle. Solche Verfahren arbeiten häufig mit Wahrscheinlichkeiten und der Korrelation verschiedener Signale.

Wenn die zugrunde liegenden Identitätsinformationen fehlerhaft sind, kann auch die darauf aufbauende Bewertung problematisch werden. Ein unbekanntes Gerät könnte beispielsweise fälschlicherweise einem bereits bekannten Haushalt zugerechnet werden. Umgekehrt kann eine legitime Aktivität verdächtig erscheinen, wenn ein System aufgrund unzutreffender Daten von einem anderen Standort oder einer anderen Gerätehistorie ausgeht.

Die Home-Depot-Studie hat solche konkreten Security-Szenarien nicht untersucht. Für CISOs, Fraud-Teams und Verantwortliche für Identity Management ergibt sich daraus dennoch eine naheliegende Konsequenz: Die Zuverlässigkeit von Identitätsdaten sollte stärker als Bestandteil der eigenen Sicherheitsarchitektur betrachtet werden.

Dazu gehört insbesondere die Frage, welche Daten tatsächlich vom Kunden bestätigt wurden und welche lediglich algorithmisch abgeleitet sind. Beide Informationsarten sollten nicht automatisch denselben Vertrauenswert besitzen.

Retail Media vergrößert das Datenökosystem

Zusätzliche Bedeutung gewinnt diese Frage durch den wachsenden Markt für Retail Media. Große Handelsunternehmen entwickeln ihre digitalen Plattformen zunehmend zu eigenen Werbeökosystemen und nutzen ihre Kundendaten, um Zielgruppen zu bilden, Kampagnen auszuspielen und Werbewirkung zu messen.

Home Depot betreibt mit Orange Apron Media ein eigenes Retail-Media-Netzwerk. Damit steht das Unternehmen exemplarisch für eine Entwicklung, die inzwischen weite Teile des Handels erfasst: Kundendaten werden nicht mehr ausschließlich für die unmittelbare Geschäftsbeziehung genutzt, sondern gewinnen als Grundlage für Werbung und datenbasierte Dienstleistungen zusätzlichen wirtschaftlichen Wert.

Aus Sicht von Security und Governance wächst damit gleichzeitig die Zahl der Systeme, in denen personenbezogene Informationen verarbeitet werden können. CRM-Systeme, Analyseplattformen, Marketingtechnologien, Retail-Media-Lösungen und externe Dienstleister greifen auf unterschiedliche Teile eines Datenbestandes zu oder reichern ihn weiter an.

Ein Fehler bleibt deshalb möglicherweise nicht dort, wo er ursprünglich entstanden ist. Er kann in weitere Systeme übernommen, mit anderen Informationen kombiniert und anschließend erneut weitergegeben werden. Je komplexer ein solches Datenökosystem wird, desto schwieriger wird es festzustellen, wo eine bestimmte Information ihren Ursprung hatte.

Genau hier entsteht für Handelsunternehmen eine Art Datenlieferkette. Ähnlich wie bei der Absicherung von Softwarekomponenten gewinnt die Frage nach Herkunft und Vertrauenswürdigkeit an Bedeutung: Woher stammt ein bestimmtes Merkmal? Wann wurde es erhoben? Ist es direkt bestätigt oder lediglich abgeleitet? Welcher externe Anbieter hat es geliefert? Und welche Systeme oder Partner haben es anschließend übernommen?

Fehler müssen sich auch wieder aus dem System entfernen lassen

Für Sicherheits- und Datenschutzverantwortliche kommt ein weiterer Aspekt hinzu: Fehlerhafte Informationen müssen nicht nur erkannt, sondern auch zuverlässig korrigiert werden können.

In einem komplexen Datenökosystem reicht es nicht unbedingt aus, einen falschen Wert im zentralen Kundenkonto zu ändern. Kopien können sich weiterhin in Analyseplattformen, Data Lakes, Marketingdatenbanken oder angeschlossenen Systemen befinden. Damit wird die Korrekturfähigkeit selbst zu einer Frage guter Daten-Governance.

Auch Meldungen von Kunden verdienen dabei genauere Aufmerksamkeit. Eine falsche Berufsbezeichnung oder eine unzutreffende Einschätzung zur Haushaltsgröße ist in erster Linie ein Datenqualitätsproblem. Tauchen in einem Profil dagegen fremde Telefonnummern, unbekannte E-Mail-Adressen oder nicht nachvollziehbare Geräteinformationen auf, sollte geprüft werden, ob lediglich eine fehlerhafte Datenverknüpfung vorliegt oder ob möglicherweise ein sicherheitsrelevanter Vorgang dahintersteht.

Es wäre deshalb sinnvoll, gravierende Abweichungen nicht ausschließlich als Aufgabe von Customer Service oder Datenschutz zu behandeln. Dort, wo fremde Identitätsmerkmale oder ungewöhnliche Account-Aktivitäten auftreten, können Schnittstellen zu Fraud- und Security-Prozessen zusätzliche Sicherheit schaffen.

Die Qualität der Daten wird Teil der Sicherheitsarchitektur

Die Untersuchung aus den USA zeigt nicht, dass Kundenprofile im Einzelhandel grundsätzlich unzuverlässig sind. Dafür ist ihre Datenbasis zu klein. Sie macht jedoch sichtbar, wie komplex moderne Kundenprofile geworden sind und wie schwierig es sein kann, zwischen gesicherter Information, statistischer Wahrscheinlichkeit und bloßer algorithmischer Vermutung zu unterscheiden.

Für Sicherheitsverantwortliche im Handel ergibt sich daraus eine wichtige Erweiterung ihres bisherigen Blickwinkels. Cybersecurity konzentriert sich traditionell darauf, Daten vor unberechtigtem Zugriff, Manipulation und Verlust zu schützen. In zunehmend automatisierten Handelsumgebungen reicht das allein nicht mehr aus.

Unternehmen müssen auch wissen, welche Qualität und welches Vertrauensniveau die Daten besitzen, auf denen ihre Systeme Entscheidungen treffen. Direkt bestätigte Kundeninformationen sollten dabei anders bewertet werden als statistische Ableitungen oder Daten unbekannter Herkunft. Identity-Resolution-Verfahren müssen berücksichtigen, dass eine technisch plausible Verknüpfung nicht automatisch eine richtige Verknüpfung ist. Und bei externen Datenquellen sollte nachvollziehbar bleiben, woher Informationen stammen und wie sie weiterverarbeitet werden.

Die Studie wirft damit letztlich eine ebenso einfache wie grundlegende Frage auf: Was nutzt die beste Absicherung eines Datenbestandes, wenn niemand sicher sagen kann, ob Teile dieses Datenbestandes überhaupt korrekt sind?

Für den datengetriebenen Handel wird Datenqualität deshalb zunehmend auch zu einem Thema der Cybersecurity. Denn sensible Informationen müssen nicht nur geschützt sein.

Sie müssen auch verlässlich sein.