Balancing Functionality and GDPR-Driven Privacy in ISAC Trajectory Sharing

Dieser Beitrag stellt einen Fisher-Information-Dichte-basierten Rahmen für das Teilen von ISAC-Trajektorien vor, der durch die Festlegung einer unteren Schranke für die Schätzunsicherheit datenschutzrechtliche Anforderungen der DSGVO erfüllt, ohne dabei die Funktionalität für nachgelagerte Aufgaben wie Bewegungsvorhersage zu beeinträchtigen.

Das Wesentliche

Das große Dilemma: Der kluge Helfer vs. der neugierige Lauscher

Stellen Sie sich vor, wir bauen ein super-intelligentes Straßensystem (das nennt man ISAC). Dieses System kann zwei Dinge gleichzeitig:

1. Kommunizieren: Es sorgt dafür, dass Ihr Handy im Internet schnell surfen kann.
2. Sensieren: Es "sieht" mit Funkwellen, wo sich Autos und Fußgänger bewegen, um den Verkehr zu optimieren und Unfälle zu verhindern.

Das ist toll! Wenn das System weiß, wo sich alle bewegen, kann es den Datenverkehr so steuern, dass es keine Staus gibt, und kann sogar warnen, wenn jemand auf die Straße läuft.

Aber hier kommt das Problem:
Um das zu tun, muss das System Ihre genaue Bewegungsroute speichern. Das ist wie ein digitaler Schatten, der genau aufzeichnet, wohin Sie gehen, wie schnell Sie laufen und wann Sie anhalten.
Nach den strengen europäischen Datenschutzregeln (GDPR) darf man aber nicht einfach alles speichern und teilen. Es gilt das Prinzip der Datenminimierung: Man darf nur so viele Daten sammeln, wie absolut notwendig sind.

Das ist wie ein Zwiebel-Problem:

• Je mehr Schichten (Daten) man hat, desto besser kann man den Verkehr vorhersagen (gute Nützlichkeit).
• Aber je mehr Schichten man hat, desto mehr kann ein böser Lauscher (ein Hacker) herausfinden, wer Sie sind und was Sie tun (schlechte Privatsphäre).

Bisherige Lösungen waren wie ein grober Schwamm: Man hat einfach etwas "Rauschen" (Störgeräusch) über die Daten gelegt, um sie zu verschleiern. Das Problem dabei: Wenn der Lauscher stark genug ist oder die Daten sehr gut sind, kann er das Rauschen trotzdem wegfiltern und Ihre Route trotzdem sehen.

---

Die neue Lösung: Der "Unsicherheits-Regler"

Die Forscher aus Kaiserslautern und Schweden haben eine clevere neue Methode entwickelt. Statt einfach nur Rauschen hinzuzufügen, nutzen sie ein mathematisches Werkzeug namens Fisher Information Density (FID).

Stellen Sie sich das so vor:

1. Die "Qualitäts-Schranke" (Der Regler)

Stellen Sie sich vor, das System hat einen Regler für die Unsicherheit.

• Wenn das System eine Route sehr genau kennt (hohe "Fisher Information"), schaltet es automatisch einen Schutzschild ein. Es fügt genau so viel "Unschärfe" hinzu, dass die Route für einen Lauscher unbrauchbar wird.
• Wenn die Daten ohnehin schon ungenau sind (z. B. weil das Signal schwach ist), fügt es nichts hinzu, damit die Daten für den Verkehr noch nützlich bleiben.

2. Der "Garantie-Schein"

Das Geniale an dieser Methode ist: Sie gibt eine harte Garantie.
Es ist wie bei einem Tresor, der so gebaut ist, dass er niemals mit weniger als 100 kg Kraft aufgebrochen werden kann. Egal wie stark der Einbrecher ist oder welche Werkzeuge er benutzt – er kommt nicht weiter als bis zu einer bestimmten Grenze.

In der Sprache des Papers heißt das: Kein Angreifer kann Ihre Route genauer rekonstruieren als einen bestimmten Wert (z. B. 1 Meter Abweichung). Selbst wenn er die Daten stiehlt und mit super-Computern bearbeitet, bleibt die Route verschwommen.

3. Das Ergebnis: Der perfekte Kompromiss

Die Forscher haben das mit echten Fußgänger-Daten getestet (wie in einem großen Park oder auf einem Campus).

• Ohne Schutz: Ein Lauscher könnte Ihre Route fast perfekt nachzeichnen.
• Mit der neuen Methode: Die Route ist so verschmiert, dass man zwar noch sieht, "dass sich jemand bewegt", aber nicht mehr genau weiß, "wer es ist" oder "wo genau er war".
• Für den Verkehr: Das System kann trotzdem noch gut vorhersagen, wo der nächste Stau kommt. Die "Nützlichkeit" bleibt erhalten, aber die "Privatsphäre" ist sicher.

Zusammenfassung in einem Satz

Statt die Daten einfach nur "dreckig" zu machen (was oft nicht reicht), baut dieses System eine mathematische Mauer, die garantiert, dass niemand Ihre genaue Bewegungsroute entschlüsseln kann – egal wie stark er ist –, während das System trotzdem smart genug bleibt, um den Verkehr zu regeln.

Es ist wie ein Tarnanzug, der sich automatisch anpasst: Je genauer Sie gesehen werden könnten, desto dicker wird der Tarnmantel, aber er ist so geschickt geschnitten, dass Sie trotzdem noch laufen können.

Technische Zusammenfassung

Titel: Abwägung von Funktionalität und datenschutzrechtlicher Privatsphäre (GDPR) beim Teilen von Trajektorien in ISAC-Systemen

Autoren: Zexin Fang, Bin Han, Zhuojun Tian, Hans D. Schotten
Institutionen: RPTU Kaiserslautern-Landau, KTH Royal Institute of Technology, DFKI

---

1. Problemstellung

Integrierte Sensing- und Kommunikationssysteme (ISAC) ermöglichen das Speichern und Verarbeiten von Trajektoriendaten innerhalb von Mobilfunknetzbetreibern (MNO). Dies verbessert Strahlformung (Beamforming), Ressourcenallokation und kooperative Wahrnehmung (z. B. für autonomes Fahren).

Es besteht jedoch ein fundamentaler Zielkonflikt:

• Nutzen vs. Privatsphäre: Für präzise Bewegungsvorhersagen sind hochwertige und umfangreiche Trajektoriendaten notwendig. Je detaillierter die Daten, desto höher der Nutzen für Netzoptimierung und Sicherheitsanwendungen.
• GDPR-Konformität: Die Datenschutz-Grundverordnung (DSGVO) fordert das Prinzip der Datenminimierung. Persönliche Daten dürfen nur in dem Umfang verarbeitet werden, der für den spezifischen Zweck zwingend erforderlich ist.
• Herausforderung: Herkömmliche Ansätze zur Privatsphäresicherung (z. B. das Hinzufügen von festem Rauschen) sind oft unzureichend. Lange, schlecht abgetastete Trajektorien können voluminös, aber wenig informativ sein, während kurze, hochpräzise Segmente trotz geringer Datenmenge tiefe Einblicke in das Verhalten und die Position erlauben. Es fehlt an einem formalen Rahmen, der die Datenminimierung für ISAC-Trajektorien quantitativ durchsetzbar und überprüfbar macht.

2. Methodik und Systemmodell

Das Paper schlägt einen Fisher-Information-Dichte (FID)-beschränkten Rahmen für das Teilen von Trajektorien vor.

A. Sensing-Modell und Fisher-Information

• Das System wird als duales MIMO-ISAC-System modelliert, das gleichzeitig kommuniziert und Ziele (Targets) erfasst.
• Die Sensing-Genauigkeit wird durch die Cramér-Rao-Schranke (CRB) charakterisiert. Die Fisher-Information ($I_i$) ist der Kehrwert der CRB und dient als Maß für die Informativität der Sensordaten.
• Die Fisher-Information hängt von der Sendeleistung, der Anzahl der Sensing-Symbole und den Kanaleigenschaften ab.
• Aus der diskreten Fisher-Information wird die Fisher-Information-Dichte (FID), $J_i(t)$, als kontinuierliche Dichte über die Zeit abgeleitet.

B. Das FID-beschränkte Framework

Das Kernkonzept besteht darin, eine lokale untere Schranke für die Schätzunsicherheit durchzusetzen.

• Prinzip: Wenn die FID eines Trajektoriensegments einen bestimmten Schwellenwert ($\eta$) überschreitet, wird kontrolliertes Rauschen hinzugefügt.
• Rauschmodell: Das hinzugefügte Rauschen $\Delta e_i(t_k)$ ist eine Funktion der FID:
  • Bei niedriger FID (wenig Information): Kein Rauschen ($\Delta \sigma = 0$), um den Nutzen zu erhalten.
  • Bei hoher FID (hohe Information): Das Rauschen steigt an und sättigt bei einem Maximum, um die Rekonstruktion zu erschweren.
• Garantie: Durch diese Konstruktion wird garantiert, dass kein Angreifer (auch nicht durch Nachbearbeitung oder Denoising) die ursprüngliche Trajektorie mit einer Genauigkeit rekonstruieren kann, die unter einem definierten Schwellenwert liegt. Dies erfüllt das Prinzip der Datenminimierung, da nur so viele Daten wie nötig (unter Berücksichtigung der Unsicherheit) geteilt werden.

C. Metriken zur Bewertung

• Privacy Leak Ratio (PLR): Der Anteil der Trajektorienpunkte, die von einem Angreifer mit einem Fehler unter einem Schwellenwert $\epsilon$ rekonstruiert werden können.
• Leckage-Segmentdauer: Die Länge kontinuierlicher Segmente, in denen die Privatsphäre verletzt wird.
• Nutzen-Metriken: Vorhersagefehler für Position, Geschwindigkeit und Richtung (Heading) mittels eines LSTM-Modells (Long Short-Term Memory).

3. Schlüsselergebnisse

Die Simulationen basierten auf dem OpenTraj-Dataset (Echt-Pedestrian-Trajektorien) und verglichen das FID-Verfahren mit festen Rauschbaselines ($\Delta \sigma = 0.1$ und $0.7$).

• Privatsphärenschutz:
  • Das FID-Verfahren hält die durchschnittliche PLR konstant unter 20–25 %, unabhängig von der Sensing-Leistung.
  • Die maximale Dauer von Leckage-Segmenten wird auf 2–2,5 Sekunden begrenzt.
  • Im Gegensatz dazu versagen feste Rauschansätze bei hohen Sensing-Leistungen oder bieten bei niedrigen Leistungen unnötig viel Schutz auf Kosten des Nutzens.
• Datennutzen (Utility):
  • Bei niedrigen bis mittleren Sensing-Leistungen (< 30 dBm) bleibt der Nutzen für Bewegungsvorhersagen (Position, Geschwindigkeit) nahezu unverändert, da kaum Rauschen hinzugefügt wird.
  • Erst wenn die Privatsphäre-Anforderung bindend wird (hohe Leistung), sinkt der Nutzen kontrolliert. Dies entspricht dem GDPR-Prinzip: Nur die notwendige Datenqualität wird exponiert.
  • Feste Rauschansätze ($\Delta \sigma = 0.7$) verschlechtern die Vorhersagegenauigkeit bereits bei niedrigen Leistungen signifikant.

4. Hauptbeiträge

1. Formalisierung der Datenminimierung für ISAC: Einführung eines quantitativen, interpretierbaren Kriteriums (FID) zur Einhaltung der GDPR, das unabhängig von spezifischen Sensing-Algorithmen oder Angreifermodellen ist.
2. Garantierte Unsicherheitsschranke: Das Framework bietet eine "harte" Garantie, dass die Rekonstruktionsfehler nie unter einen bestimmten Schwellenwert fallen, egal wie viel Rechenleistung ein Angreifer hat.
3. Adaptive Rauschsteuerung: Im Gegensatz zu statischen Methoden passt sich das Rauschen dynamisch an die Fisher-Information an, was einen optimalen Trade-off zwischen Privatsphäre und Nutzen ermöglicht.
4. Validierung: Umfassende Simulationen zeigen, dass das System sowohl regulatorische Anforderungen erfüllt als auch für Downstream-Aufgaben (wie Vorhersage) nutzbar bleibt.

5. Bedeutung und Ausblick

Dieses Paper liefert einen entscheidenden Baustein für die Entwicklung GDPR-konformer 6G- und ISAC-Systeme. Es löst das Dilemma zwischen hoher Datenqualität für KI-Anwendungen und dem Schutz personenbezogener Daten, indem es Privatsphäre nicht als nachträglichen Zusatz, sondern als integralen Bestandteil des Datenflusses definiert ("Privacy by Construction").

Zukünftige Arbeiten sollen den Trade-off zwischen Privatsphäre und Nutzen als Pareto-Optimierungsproblem formalisieren und geschlossene Ausdrücke für verschiedene Kanalbedingungen und Angreifermodelle ableiten.

Fazit: Der vorgeschlagene FID-beschränkte Ansatz ermöglicht es Mobilfunknetzbetreibern, ISAC-Daten sicher zu teilen und zu nutzen, ohne gegen die strengen Datenschutzrichtlinien der EU zu verstoßen, und stellt sicher, dass keine unnötigen Details über die Bewegung von Personen preisgegeben werden.