On the Suitability of LLM-Driven Agents for Dark Pattern Audits

Diese Studie untersucht die Eignung von LLM-gesteuerten Agenten für die Skalierung von Audits zu Dark Patterns, indem sie deren Fähigkeit zur Erkennung manipulativer Interface-Designs und zur automatisierten Abwicklung von CCPA-Datenrechtsanfragen auf 456 Datenbroker-Websites analysiert und dabei sowohl deren Machbarkeit als auch ihre aktuellen Grenzen aufzeigt.

Das Wesentliche

Hier ist eine einfache und anschauliche Erklärung der Studie, als würde man sie einem Freund beim Kaffee erzählen:

Das große Problem: Der digitale Labyrinth-Trick

Stell dir vor, du möchtest dein Recht auf Privatsphäre nutzen – zum Beispiel, um zu fragen: „Welche Daten hat diese Firma über mich gespeichert?" oder „Bitte löscht meine Daten." Das Gesetz (in Kalifornien das CCPA) sagt, dass Firmen dir das leicht machen müssen.

Aber viele Firmen nutzen sogenannte „Dark Patterns". Das sind wie unsichtbare Fallen oder Trickbetrüger im Internet. Sie bauen ihre Webseiten so, dass es sich anfühlt, als würdest du durch ein Labyrinth laufen, das sich ständig verändert.

• Ein Button zum „Löschen" ist winzig klein und grau.
• Der Weg dorthin führt durch 10 verschiedene Seiten.
• Manchmal wird dir gesagt: „Schreib eine E-Mail", aber die E-Mail-Adresse fehlt.
• Oder du musst einen Ausweis hochladen, obwohl das gar nicht nötig wäre.

Bisher mussten Menschen (Forscher) diese Webseiten einzeln durchsuchen, um diese Tricks zu finden. Das ist wie das Suchen nach einer Nadel im Heuhaufen – extrem mühsam, teuer und langsam.

Die neue Idee: Der KI-Roboter-Detektiv

Die Forscher aus dieser Studie haben sich gefragt: Können wir einen KI-Agenten (ein künstliches Intelligenz-Programm) bauen, der das für uns macht?

Stell dir diesen KI-Agenten wie einen super-schnellen, unermüdlichen Detektiv vor, der mit einem digitalen Vergrößerungsglas durch das Internet läuft. Er klickt sich durch die Webseiten, liest die Texte und prüft: „Hey, das hier ist unfair! Das ist ein Trick!"

Was haben sie herausgefunden? (Die Geschichte des Detektivs)

Die Forscher haben diesen Detektiv an 456 Webseiten von Datenhändlern getestet. Hier ist, was passiert ist:

1. Der Detektiv ist gut, aber nicht perfekt.
Wenn die Tricks offensichtlich sind (z. B. ein extra langer Weg mit vielen unnötigen Klicks), findet der Roboter sie fast immer. Er ist wie ein Hund, der nach einem klaren Geruch schnüffelt.

• Ergebnis: Er hat in etwa der Hälfte aller Fälle gefunden, dass Firmen unnötige Hürden (wie das Hochladen von Ausweisen) eingebaut haben.

2. Wo er scheitert: Die „Geister" im System.
Der Roboter stolpert oft über Dinge, die für Menschen einfach sind, aber für Maschinen schwer:

• Sicherheitswächter (Captcha): Wenn die Webseite fragt „Bist du ein Mensch?", bleibt der Roboter stecken. Er kann nicht lügen und sagen „Ja, ich bin ein Mensch", wenn er eigentlich ein Bot ist.
• Versteckte Türen: Manchmal muss man auf einen kleinen Pfeil klicken, um ein Menü aufzuklappen. Der Roboter vergisst das manchmal und denkt, die Information existiert gar nicht.
• Das große Bild: Wenn die Information über 5 verschiedene Seiten verteilt ist, verliert der Roboter manchmal den Faden. Er sieht die Einzelteile, aber nicht, dass sie zusammen ein großes, verwirrendes Puzzle ergeben.

3. Die Lösung: Der „Lehrmeister"-Effekt.
Am Anfang war der Roboter etwas verwirrt. Aber die Forscher haben ihm Beispiele gegeben (wie ein Lehrbuch). Sie sagten ihm: „Schau mal, hier ist ein Beispiel für einen Trick. Wenn du so etwas siehst, denkst du: Aha, das ist ein Dark Pattern!"

• Mit diesen Beispielen und einer Anweisung, erst zu denken und dann zu handeln (wie ein Schachspieler), wurde der Detektiv viel besser. Er machte weniger Fehler und konnte seine Entdeckungen auch besser begründen.

Die große Erkenntnis

Der KI-Detektiv ist ein wunderbares Werkzeug, um das Internet im großen Stil zu überprüfen. Er kann Tausende von Webseiten in kurzer Zeit durchsuchen und rote Flaggen hissen.

Aber: Man kann ihm noch nicht blind vertrauen.

• Er braucht menschliche Aufsicht, besonders bei den schwierigen Fällen.
• Er ist nicht gegen Sicherheitswächter gefeit.
• Er braucht gute Anweisungen und Beispiele, um nicht in die Irre zu gehen.

Fazit in einem Satz

Die Studie zeigt, dass wir KI nutzen können, um die „Trickbetrüger" im Internet aufzuspüren und unsere Rechte zu schützen, aber wir müssen den KI-Detektiven noch ein wenig helfen, damit er nicht in den Fallen hängen bleibt, die die bösen Webseiten für ihn gebaut haben. Es ist ein mächtiges Werkzeug, aber noch kein magischer Zauberstab.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „On the Suitability of LLM-Driven Agents for Dark Pattern Audits" auf Deutsch:

1. Problemstellung

Der Fokus der Arbeit liegt auf der Frage, ob LLM-gesteuerte Agenten (Large Language Model Agents) zuverlässig eingesetzt werden können, um Dark Patterns (manipulative Interface-Designs) in komplexen, mehrstufigen Web-Workflows zu erkennen.

• Hintergrund: Dark Patterns sind Designs, die die Entscheidungsfindung von Nutzern untergraben, z. B. durch Irreführung, übermäßige Reibung oder Zwang. Bisherige Audits sind stark manuell, schwer skalierbar und oft nicht reproduzierbar, da sie kontextuelle Interpretationen erfordern.
• Herausforderung: Während LLM-Agenten bereits demonstriert haben, dass sie Webseiten navigieren können, ist unklar, ob sie in der Lage sind, die Struktur von Interaktionsflüssen zu analysieren, um manipulative Designs von legitimen Sicherheitsmaßnahmen zu unterscheiden und evidenzbasierte Urteile zu fällen.
• Testumgebung: Als Testfeld dienen die CCPA-Portale (California Consumer Privacy Act) für Datenrechte-Anfragen (z. B. „Recht auf Auskunft"). Diese Portale sind strukturell komplex, mehrstufig und bieten ein hohes Potenzial für manipulative Designs, die die Ausübung gesetzlicher Rechte behindern.

2. Methodik

Die Studie ist in drei Phasen unterteilt und nutzt einen datengetriebenen Ansatz mit einem menschlich annotierten Ground-Truth-Datensatz.

• Datensatz: Untersucht wurden 456 Websites von Datenmaklern, die sich bei der California Privacy Protection Agency (CPPA) registriert haben.
• Phase 1: Ground-Truth-Erstellung:
  • Manuelle Prüfung von 100 zufällig ausgewählten Workflows durch menschliche Annotatoren.
  • Erstellung eines standardisierten Protokolls zur Ausübung des Rechts auf Auskunft.
  • Annotation von Dark Patterns basierend auf einer Ontologie von Gray et al. (z. B. „Adding Steps", „Privacy Mazes", „Hidden Info").
  • Inter-Annotator-Übereinstimmung wurde durch Diskussion und Kalibrierung auf ein substantielles Niveau (Cohen's κ = 73,7 %) gebracht.
• Phase 2: Agent-Design und Ablationsstudie:
  • Entwicklung eines Browser-Agenten auf Basis des browser-use Frameworks (v0.9.5) und des Modells GPT-5.
  • Der Agent navigiert live durch die Webseiten, sammelt strukturierte Beweise (Screenshots, DOM, Logs) und klassifiziert Dark Patterns.
  • Prompting-Strategien: Es wurden vier Konfigurationen verglichen:
    1. Zero-Shot (Basis).
    2. Zero-Shot + Rolle (Auditor).
    3. Few-Shot + Rolle (mit Beispielen aus dem Ground-Truth-Datensatz).
    4. Few-Shot + Rolle + Chain-of-Thought (CoT) (Schritt-für-Schritt-Argumentation).
  • Evaluation basierte auf Klassifikationsgenauigkeit und der Qualität der Begründungen (Erklärungsgenauigkeit).
• Phase 3: Skalierung:
  • Einsatz der besten Konfiguration (Level 4) auf den verbleibenden 356 Datenmaklern zur Schätzung der Prävalenz von Dark Patterns.

3. Wichtige Beiträge

• Neue Definition des Audits: Verschiebung von statischen Screenshots hin zu dynamischem Interaktions-Level-Auditing. Dark Patterns werden nicht isoliert, sondern im Kontext des gesamten Navigationsflusses bewertet.
• Systematische Evaluation: Erste umfassende Studie, die die Zuverlässigkeit von LLM-Agenten speziell für regulatorische Audits (CCPA) testet, einschließlich Fehleranalyse und Reproduzierbarkeit.
• Methodisches Framework: Ein Ansatz, der Ground-Truth-Daten, strukturierte Beweisführung und eine detaillierte Fehlerkategorisierung (Infrastruktur, Sicherheit, Navigation, Interaktion) kombiniert.

4. Ergebnisse

A. Leistung des Agenten (RQ1)

• Optimale Konfiguration: Die Kombination aus Few-Shot-Learning, definierter Rolle und Chain-of-Thought (CoT) erzielte die besten Ergebnisse.
  • Klassifikationsgenauigkeit: 86,7 %.
  • Erklärungsgenauigkeit: 98,5 % (der Agent liefert fast immer korrekte, evidenzbasierte Begründungen).
  • F1-Score: 80,7 %.
• Einfluss der Strategien:
  • Reine Rollenzuweisung erhöhte die Sensitivität (Recall), verschlechterte aber die Präzision (mehr False Positives).
  • Few-Shot-Beispiele reduzierten die False-Positive-Rate drastisch und erhöhten die Spezifität.
  • CoT verbesserte die Präzision und die Qualität der Erklärungen, hatte aber keinen statistisch signifikanten Einfluss auf den Recall.
• Mustererkennung:
  • Hohe Trefferquote: Bei lokalisierten Mustern wie „Adding Steps" (zusätzliche Schritte) und „Visual Prominence" (visuelle Dominanz) erreicht der Agent >90 % Genauigkeit.
  • Schwierige Muster: Bei mustern, die über mehrere Schritte verteilt sind (z. B. „Privacy Mazes" oder „Hidden Info"), sinkt die Recall-Rate (z. B. nur 40,5 % bei Hidden Info), da der Agent den Kontext über lange Pfade verliert.

B. Prävalenz von Dark Patterns

• Häufigste Muster: „Creating Barriers" (das Erstellen von Hindernissen, z. B. unnötige biometrische Verifizierung) war das häufigste Muster und trat in ca. 48,6 % der erfolgreich abgeschlossenen Workflows auf.
• Andere Muster: Ambiguitäts- und Fragmentierungsmuster (z. B. widersprüchliche Informationen, Privacy Mazes) traten in 20–35 % der Fälle auf.

C. Grenzen und Fehlerquellen (RQ2)

Der Agent scheitert in ca. 21 % der Fälle (nur 79 % Workflow-Abschlussrate in Phase 3). Die Hauptursachen sind:

1. Infrastruktur & Sicherheit (52,5 % der Fehler): CAPTCHAs, Bot-Erkennung und Netzwerkinstabilitäten blockieren den Agenten. Dies ist die größte Hürde für die Abdeckung.
2. Interaktionsfehler (24,4 %): Der Agent findet den Pfad, scheitert aber an dynamischen Elementen (z. B. nicht ausgelöste Dropdown-Menüs oder mehrstufige Formulare).
3. Beobachtungsgrenzen: Der Agent übersieht visuell getarnte Elemente oder verliert den Kontext bei langen Interaktionsketten (Limitierung des Context Windows).
4. Schlussfolgerung: Die größte Schwäche liegt nicht in der Klassifikation, sondern in der zuverlässigen Ausführung komplexer Web-Interaktionen und der Aggregation von verteilten Signalen.

5. Bedeutung und Fazit

• Fazit: LLM-gesteuerte Agenten sind machbar und vielversprechend für skalierbare Dark-Pattern-Audits, insbesondere wenn sie durch Few-Shot-Beispiele und Chain-of-Thought-Reasoning gestützt werden. Sie können Workflows autonom durchlaufen und evidenzbasierte Klassifikationen liefern.
• Einschränkung: Die Zuverlässigkeit ist derzeit durch technische Grenzen der Web-Automatisierung (Security Barriers, dynamische UIs) und durch die Schwierigkeit, kontextuelle Zusammenhänge über lange Pfade zu behalten, begrenzt.
• Empfehlung: Agenten sollten als skalierbare Triage-Tools eingesetzt werden. Sie können Workflows durchlaufen und verdächtige Muster mit Beweisen markieren, während menschliche Prüfer für Grenzfälle und normative Urteile (z. B. Verhältnismäßigkeit von Sicherheitsmaßnahmen) zuständig bleiben.
• Zukunft: Für eine breite regulatorische Anwendung sind Verbesserungen in der Session-Wiederherstellung, der Kontextverwaltung (Memory) und der Integration von DOM-Daten mit visuellen Hinweisen notwendig.

Diese Studie liefert einen wichtigen Grundstein für die Automatisierung der Überwachung von Datenschutzrechten und zeigt sowohl das Potenzial als auch die aktuellen technischen Grenzen autonomer Audit-Systeme auf.