Am 21. Mai 2024 kündigte Microsoft an, dass sie ein neues Produkt in 2025 veröffentlichen werden, in Verbindung mit den neuen Copilot+ optimierten-PC-Reihe: Microsoft Recall.
Microsoft Recall ist eine neue Suchfunktion für Windows 11, die es ermöglicht, den Verlauf Ihrer PC-Aktivitäten zu durchsuchen. Dabei soll Recall dem Benutzer als Gedächtnisstütze dienen. Dazu speichert Recall Informationen oder Websites, die der Nutzer vor einiger Zeit gesehen hat, an die er sich aber nicht mehr genau erinnern kann. Letztendlich ist Recall die Antwort auf den heutigen schnelllebigen Konsum von Informationen, ob in E-Mails, Videokonferenzen oder im Web.
Wie geht Recall vor? Recall erstellt alle paar Sekunden Screenshots des gesamten Bildschirms und speichert die Bilder in einer SQLite Datenbank für eine Dauer von mindestens drei Monaten und bis zu 18 Monaten, je nach Speicherkapazität des PCs.
Es wird im Grunde genommen eine Timeline des kompletten Nutzerverhaltens erstellt. Der Benutzer kann im Nachgang Recall via Prompt befragen, und Recall liefert die Screenshots, die auf diese Beschreibung hin passen. Nach Aussage von Microsoft will man damit die menschliche Erinnerung imitieren.
Schaut man sich dieses Werkzeug aus Datenschutzsicht einmal genauer an, so wirft es aber rechtliche Probleme auf. Recall zeichnet alles auf, was auf dem Bildschirm des Nutzers geschieht und fertigt Bildschirmaufnahmen davon an. Microsoft hat bereits bestätigt, dass dies auch äußerst sensible Anwendungen wie Online-Banking oder die Eingabe von Passwörtern umfasst. Gleichwohl können auch stattfindende Videokonferenzen mitgeschnitten werden. Dies ist neben der KI-basierten Copilot Transkription noch mal eine ganz neue Art der Überwachung. Sind hier doch die Rechte von externen Gesprächspartnern zusätzlich betroffen.
An der Schnittstelle zwischen Datenschutz und Arbeitsrecht steht auch die Sorge, dass Recall im Wesentlichen die Verfolgung von Mitarbeitern in jeder Sekunde ihres Arbeitstages ermöglicht, was weit über das hinausgeht, was die DSGVO erlaubt oder rechtfertigt. Microsoft hat bereits Mechanismen implementiert, wie Purview oder den Productivity Score, die wenn unreguliert eingesetzt, weitestgehend kritisch in der Datenschutzcommunity betrachtet werden. Recall geht weit über eine einfache Protokollierung hinaus und könnte zu der allgemein bekannten „Leistungs- und Verhaltenskontrolle“ verwendet werden.
Obwohl Microsoft versichert, dass Recall auf den Prinzipien einer Einwilligung aufbaut und daher zustimmungsbasiert sein wird, haben Sicherheitstests der neuen Laptops mit dieser Funktion ergeben, dass es sich um eine Standardfunktion handelt. Microsoft Recall kann zwar während der Einrichtung des Laptops deaktiviert werden, aber nur durch aktives Anklicken eines Kontrollkästchens, wenngleich es zudem noch weitere Nutzeraktivitäten erfordert. Privacy by Design geht anders!
Man kann zusammenfassen, dass Recall weit über eine einfache Protokollierung hinaus geht. Außerdem ist die SQLite-Datenbank, in der alle Screenshots gespeichert werden, für Benutzer mit Administratorrechten zugänglich, d.h. die IT kann, die entsprechenden Rechte vorausgesetzt, auch remote auf die lokal gespeicherten Daten zugreifen.
Unter dem Aspekt der Informationssicherheit werden auch alle Passwörter für den Zugang zu den Unternehmenssystemen, einschließlich der äußerst sensiblen Administrator-Passwörter, sowie alle vertraulichen Unternehmensinformationen per Screenshot aufgezeichnet und, je nach Konfiguration, monatelang gespeichert.
Obwohl Microsoft versichert, dass die implementierten Sicherheitsmaßnahmen sowie die lokale Speicherung gewährleisten, dass diese Screenshots vor Zugriffen Dritter sicher sind, weiß man um die Agilität in der Entwicklung neuer Mechanismen bei Ransomware und anders gearteten Cyberangriffen. Man weiß auch um die Attraktivität der Backup-Systeme bei potentiellen Opfern. Es ist daher wahrscheinlich, dass auch der Speicherort der Recall-Screenshots zukünftig ein bevorzugtes Ziel sein wird. Ein Vergleich mit einem Trojaner liegt nahe, denn das Tool bzw. die dahinterliegende Datenbank kann Hackern im Falle eines Cyberangriffs alle Informationen liefern, die sie benötigen.
Die britische Datenschutzbehörde ICO hat bereits angekündigt, dass sie sich aufgrund der starken Datenschutzbedenken mit Microsoft in Verbindung gesetzt hat. Wie die weiteren Aufsichtsbehörden im europäischen Raum, beispielsweise die frz. CNIL sich positionieren wird, bleibt abzuwarten.
Vorerst wird Microsoft Recall nur auf den Copilot+ PCs eingesetzt, da es viel Speicherplatz benötigt. Es ist daher keine unmittelbare Herausforderung für bestehende Unternehmenshardware. Allerdings sollte jede Neuanschaffung von neuerer Firmenhardware ab 2025 diese Funktionalität im Fokus haben, um hier Datenschutz- und Informationssicherheitsrisiken vorab entgegenzutreten.
Datenschutz bleibt spannend bei solchen Entwicklungen und legitimis verfolgt natürlich solche Entwicklungen weiterhin. Um seinen Kunden rechtlich, technisch und persönlich zur Seite zu stehen.
Nachtrag vom 18.06.2024
Microsoft hat auf seinem Blog bekanntgegeben Recall nun nur für einen ausgewählten Entwicklerkreis im Rahmen des Windows Insider Programms (WIP) zur Verfügung stellen zu wollen. Ursprünglich für alle sogenannten optimierten Colpilot+ PCs geplant will man nun Sicherungsmaßnahmen einführen wie eine zusätzliche Authentifizierung bei Zugriff auf die Datenbank. Damit reagiert man auf kritische Stimmen aus der Sicherheitsbranche wie auch der Datenschutzcommunity welche die umfassende Überwachung und gleichzeitige mangelhafte Sicherung der Bildschirmfotos kritisiert hatten. In der Zwischenzeit empfiehlt legitimis seinen Kunden, weiterhin die altmodische aber durchaus DSGVO-konforme Variante der Datenspeicherung und des -Retrievals zu nutzen: das menschliche Gedächtnis.
