Was ein VPN-Transparenzbericht tatsächlich abdeckt

Öffnen Sie den Bericht und lesen Sie den Umfang vor den Zahlen. Welcher Zeitraum, welche Produkte, welche rechtlichen Mechanismen und welche Kategorien von Anfragen gelten – all das steht irgendwo nahe am Anfang. Eine Gesamtzahl in der Überschrift ohne diese Einschränkungen ist ein Marketingartefakt mit Quellenangabe. Vier Schritte machen daraus wieder einen Beleg.

Der interessante Teil eines Transparenzberichts sind meist die Definitionen, nicht die Tabelle.

Lesen Sie zuerst die Umfangsangabe

Prüfen Sie den Zeitraum, die abgedeckten Produkte und die rechtlichen Kategorien. Ein Bericht kann den Verbraucherdienst abdecken und nicht das Geschäftsprodukt, oder umgekehrt. Auch Zuständigkeiten zählen, denn eine Anfrage nach dem einen Rechtsmechanismus ist nicht dasselbe wie nach einem anderen. Ist der Umfang unklar, lassen sich die Summen mit keiner anderen Betreiberzahl vergleichen, und das Diagramm in einem Blogbeitrag, der sie vergleicht, ist Dekoration.

Das Fehlen gemeldeter Ereignisse ist kein Beleg für das Fehlen von Protokollierung. Es besagt, dass unter den genannten Kategorien nichts gemeldet wurde, was eine viel engere Aussage ist.

Einheiten sind nicht austauschbar

Eine Anfrage, ein Konto, ein Vorfall und ein offengelegter Datensatz sind vier verschiedene Einheiten. Ein Bericht kann Anfragen zählen und dabei Konten offenlegen oder Ereignisse aus Datenschutzgründen zusammenfassen. Der Vergleich einer Zahl pro Anfrage eines Betreibers mit einer Zahl pro Konto eines anderen ergibt ein Diagramm, das nichts bedeutet. Halten Sie die Einheit an der Zahl – in Ihren Notizen und in Ihren Schlussfolgerungen.

Ist die Methodik unklar, behalten Sie die Unsicherheit, statt sie durch Annahmen aufzulösen. Ein ehrliches „nicht vergleichbar“ ist nützlicher als eine ordentliche Tabelle auf Basis einer Vermutung.

Wer tatsächlich veröffentlicht

Bestimmen Sie die Organisation, die das Dokument veröffentlicht, und die Systeme, die sie betreibt. Ein Kundenprojekt, eine Verzeichnisseite und ein unabhängig gehosteter Endpunkt können drei verschiedene Parteien sein, und ein Bericht von einer sagt nichts über die anderen. Infrastrukturpartner und freiwillige Server liegen oft völlig außerhalb des Umfangs. Das ist eine Tatsache über das Ökosystem, keine Kritik am Bericht.

Auch Kontinuität lohnt die Prüfung. Ein klares Archiv, stabile Definitionen und Erläuterungen zu wesentlichen Änderungen ermöglichen das Lesen über Jahre hinweg. Eine einzelne Veröffentlichung ohne Geschichte ist schwerer zu deuten als eine bescheidene mit Historie.

Stellen Sie ihn neben das Audit, nicht an seine Stelle

Ein technisches Audit untersucht Komponenten und Kontrollen, mit eigener Umfangserklärung und eigenen Grenzen. Es ist eine Momentaufnahme eines Zeitraums, keine dauerhafte Eigenschaft des Betreibers. Es kann Ihnen etwas über Konfiguration und Prozesse eines Systems sagen; es kann Ihnen nicht sagen, wie viele Anfragen eingegangen sind. Nutzen Sie beides und lesen Sie jeweils den Umfang, statt anzunehmen, das andere decke die Lücke ab. Ein Audit, das die relevante Infrastruktur ausschließt, beantwortet dazu nichts.

Die praktische Frage ist, ob der Betreiber konkrete Antworten auf Ihr tatsächliches Anliegen gibt. Geht es um Aufbewahrung, suchen Sie eine Aufbewahrungserklärung und die Infrastrukturnachweise dahinter; eine Tabelle mit Anfragezahlen ist das nicht.

Lesen Sie den Umfang, die Einheiten, den Herausgeber und die Grenzen des Audits. Entscheiden Sie dann, ob das Dokument etwas zu Ihrer Frage sagt.