📊 statistics

Plausible Deniability Guarantees for Whistleblowers

Dieses Paper schlägt ein formales Framework für den Schutz von Whistleblowern unter Verwendung von Per-Report-Differential Privacy vor und zeigt auf, dass Randomized Response zwar begrenzte Garantien bietet, ein neuartiger Mechanismus, der privates Auditierung auf kontinuierliches Zählen reduziert, jedoch eine überlegene Rauschskalierung und einen höheren Nutzen bei der Verhinderung von Vergeltungsmaßnahmen durch die auditierte Organisation erzielt.

Ursprüngliche Autoren: Leo Richter, Matt J. Kusner

Veröffentlicht 2026-07-16

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Leo Richter, Matt J. Kusner

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Geheimagent, der versucht, eine bösartige Organisation zu stoppen, die etwas Schreckliches plant, wie etwa den Diebstahl von Daten oder den Bau eines gefährlichen Roboters. Sie haben eine heiße Leitung zu einem tapferen „Auditor“ (Prüfer), der die Schurken untersuchen kann. Aber es gibt einen Haken: Wenn die Schurken herausfinden, wer den Auditor gerufen hat, könnten sie diese Person bestrafen. In der Welt der Informatik und des Datenschutzes ist dies das klassische „Whistleblower-Problem“. Jahrelang haben Experten versucht, dies mit einem klugen Trick namens Differential Privacy zu lösen. Stellen Sie sich das wie einen „Privatsphäre-Schild“ vor, der gerade genug statisches Rauschen zu einem Funksignal hinzufügt, damit ein Zuhörer die allgemeine Nachricht hören kann (jemand hat ein Verbrechen gemeldet!), aber nicht genau sagen kann, wer gesprochen hat. Das Ziel ist es, es unmöglich zu machen, dass die Bösen herausfinden können, ob eine bestimmte Meldung von einer bestimmten Person stammt, selbst wenn sie alles beobachten, was der Auditor tut.

Es gibt jedoch einen kniffligen Teil. Wenn der Auditor immer das Unternehmen untersucht, das die meisten Meldungen erhalten hat, können die Bösen Detektivarbeit leisten. Wenn sie sehen, dass der Auditor plötzlich vor ihrer Tür steht, könnten sie denken: „Aha! Jemand muss uns gemeldet haben!“ Diese Arbeit von Leo Richter und Matt J. Kusner stellt eine schwierige Frage: Können wir ein System entwerfen, bei dem der Auditor die richtigen Leute untersucht, ohne versehentlich die Identität des Whistleblowers preiszugeben? Sie untersuchten eine alte, populäre Idee namens „Randomized Response“ (was so viel bedeutet wie eine Münze zu werfen, um zu entscheiden, ob man die Wahrheit sagt oder „Ich weiß es nicht“ sagt) und bewiesen, dass dies für diesen speziellen Job eine schreckliche Idee ist. Stattdessen entwickelten sie ein neues, klügeres System, das einen „verrauschten Zähler“ (noisy counter) verwendet, um die Wahrheit zu verbergen, während es dem Auditor dennoch ermöglicht, die Bösen zu finden.

Das Problem: Der Detektiv, der zu viel weiß

Stellen Sie sich ein Spiel vor, bei dem eine Gruppe von Mitarbeitern (die Whistleblower) ihren Chef (den Gegner) einem unabhängigen Schiedsrichter (dem Auditor) melden wollen. Der Chef ist klug; er weiß genau, wie das Spiel funktioniert. Er kann jedes Mal sehen, wenn der Auditor ein Team untersucht.

Das Ziel des Chefs ist einfach: herauszufinden, welcher Mitarbeiter die Meldung gesendet hat. Wenn der Auditor immer das Team untersucht, das die meisten Meldungen hat, kann der Chef leicht erraten: „Oh, mein Team wurde geprüft, also muss jemand in meinem Team gesprochen haben!“ Um dies zu verhindern, muss der Auditor Verwirrung stiften. Er muss es so aussehen lassen, als könnte er ein Team untersuchen, einfach weil er es gerade so wollte, und nicht, weil jemand berichtet hat.

Der alte Weg: Der Münzwurf, der scheiterte

Lange Zeit schlugen Experten eine Methode namens Randomized Response vor. Stellen Sie sich vor, der Auditor hat eine magische Münze. Jedes Mal, wenn er ein Team untersuchen muss, wirft er sie.

Landet sie auf Kopf, ignoriert er die Meldungen komplett und wählt ein Team nach dem Zufallsprinzip aus.
Landet sie auf Zahl, wählt er das Team mit den meisten Meldungen.

Die Idee war, dass der Chef niemals wissen würde, ob der Auditor wegen einer Meldung (Zahl) oder einfach durch Pech (Kopf) auftauchte. Die Autoren dieser Arbeit haben diese Idee getestet und einen riesigen Fehler gefunden. Sie haben mathematisch bewiesen, dass dieser Methode so sicher sein müsste (damit der Chef nicht erraten kann, wer berichtet hat), dass der Auditor die Münze fast die ganze Zeit werfen müsste.

Tatsächlich haben sie gezeigt, dass der Auditor Teams fast völlig zufällig auswählt, egal wie man die Münze einstellt, so als würde er blind mit Dartpfeilen werfen. Das bedeutet, das System erfüllt seine Hauptaufgabe nicht: Es verhindert den Auditor nicht dabei, die Teams zu finden, die eigentlich Hilfe benötigen. Die „Privatsphäre“ geht auf Kosten der völligen Nutzlosigkeit einher. Die Arbeit beweist, dass diese alte Methode niemals viel besser sein kann als einfach nur ein zufälliges Team auszuwählen, egal wie lange das Spiel dauert.

Der neue Weg: Der verrauschte Zähler

Wenn der Münzwurf also nicht funktioniert, was dann? Die Autoren entwickelten eine neue Strategie namens Toeplitz Continual Auditing (TCA). Anstatt eine Münze zu werfen, um zu entscheiden, wen man untersucht, verwenden sie eine spezielle Art von „verrauschtem Zähler“.

Stellen Sie sich vor, jedes Team hat einen digitalen Zähler, der jedes Mal einen Tick nach oben geht, wenn eine Meldung eingeht. Aber hier ist der Clou: Der Zähler ist defekt. Er fügt der Zahl etwas zufälliges „Rauschen“ (statische Elektrizität/Störsignale) hinzu.

Wenn Team A 10 echte Meldungen hat, zeigt der Zähler vielleicht 12 an.
Wenn Team B 2 echte Meldungen hat, zeigt er vielleicht 4 an.

Der Auditor betrachtet diese verrauschten Zahlen und wählt das Team mit der höchsten Zahl. Da die Zahlen ungenau sind, kann der Chef nicht sicher sein, ob der Auditor Team A gewählt hat, weil es wirklich 10 Meldungen hatte, oder weil das Rauschen es so aussehen ließ, als hätte es 12.

Die Magie dieses neuen Systems liegt darin, dass das „Rauschen“ sorgfältig berechnet wird. Es ist gerade genug, um die Identität des Whistleblowers zu verbergen, aber nicht so viel, dass der Auditor verwirrt wird. Die Autoren haben bewiesen, dass der Auditor immer besser darin wird, das richtige Team zu wählen, wenn sich die Lücke zwischen dem „schlechten“ Team und den „guten“ Teams vergrößert. Im Gegensatz zum Münzwurf, der ewig verwirrt bleibt, wird dieses neue System mit der Zeit klüger, wenn die Meldungen sich häufen.

Was sie herausgefunden haben

Die Autoren führten Computersimulationen durch, um ihr neues System gegen die alte Münzwurf-Methode zu testen.

Das Ergebnis: Das neue System (TCA) war wesentlich besser. Wenn es einen klaren Anführer gab (ein Team mit viel mehr Meldungen als die anderen), wählte das neue System fast immer das richtige Team. Das alte Münzwurf-System wählte ständig die falschen Teams, selbst wenn die Meldungen offensichtlich waren.
Der Kompromiss: Das neue System ist nicht perfekt. Es macht auch manchmal Fehler, aber diese Fehler treten nur sehr selten auf, wenn der Unterschied in den Meldungen groß ist. Die Arbeit zeigt, dass die Fehlerrate schnell sinkt, wenn die „Lücke“ zwischen dem Top-Team und den anderen wächst.

Warum das wichtig ist

Diese Arbeit ist ein großes Thema für jeden, der sich um die Sicherheit in großen Organisationen sorgt, insbesondere im Zusammenhang mit neuen Technologien wie Künstlicher Intelligenz. Wenn ein Mitarbeiter innerhalb eines Unternehmens etwas Gefährliches sieht, muss er wissen, dass er aussprechen kann, ohne gefeuert oder verletzt zu werden.

Die Autoren haben gezeigt, dass der alte Weg, ihn zu schützen (der Münzwurf), tatsächlich fehlerhaft war und das gesamte System nutzlos machte. Ihr neuer Weg beweist, dass man sowohl Privatsphäre als auch Nützlichkeit haben kann. Man kann die Identität des Whistleblowers so gut schützen, dass selbst ein super-schlauer Chef nicht sagen kann, wer gesprochen hat, während man gleichzeitig sicherstellt, dass der Auditor die richtigen Orte untersucht. Es ist wie ein super-sicheres, unsichtbares Megafon, das die Wahrheit hörbar macht, ohne jemals zu verraten, wer es hält.

Technisches Resümee: Garantien für plausible Abstreitbarkeit für Whistleblower

Problemstellung

Whistleblower dienen als kritische Sicherung gegen organisatorisches Fehlverhalten, doch die Angst vor Vergeltungsmaßnahmen schreckt die Meldung erheblich ab. Während bestehende rechtliche Rahmenbedingungen (z. B. die EU-Whistleblower-Richtlinie) vertrauliche Meldekanäle vorschreiben, bieten sie keine formalen Garantien darüber, was eine Organisation aus den nachfolgenden Maßnahmen eines Auditors ableiten kann.

Die zentrale Herausforderung für die Privatsphäre ergibt sich daraus, dass eine Organisation, die als „starker Adversary“ agiert, die Sequenz der Audit-Entscheidungen (das Audit-Transkript) beobachtet, jedoch nicht die Berichte selbst. Wenn ein Auditor eine Organisation kurz nach Einreichung eines Berichts untersucht und nur wenige Mitarbeiter Zugang zu den relevanten Informationen hatten, kann die Organisation die Identität des Whistleblowers erschließen. Das Paper formalisiert die Notwendigkeit der plausiblen Abstreitbarkeit (plausible deniability): sicherzustellen, dass das beobachtbare Audit-Transkript es einem Adversary nicht ermöglicht, zwischen einer Welt, in der ein spezifischer Bericht eingereicht wurde, und einer Welt, in der dies nicht der Fall war, über einen vernachlässigbaren Vorteil hinaus zu unterscheiden.

Bestehende Ansätze, wie etwa die Randomisierte Antwort (Randomized Response) (Adaption des Mechanismus von Warner aus dem Jahr 1965 auf Whistleblowing), leiden unter einem fundamentalen Trade-off zwischen Nutzen und Privatsphäre. Sie zwingen den Auditor dazu, die Audit-Ziele nahezu gleichverteilt zufällig auszuwählen, um die Anforderungen an die Privatsphäre zu erfüllen, was den Audit-Prozess unresponsiv gegenüber dem tatsächlichen Volumen der Berichte macht. Zudem zielen Standardmechanismen der Differential Privacy (DP) oft nicht direkt auf das spezifische Bedrohungsmodell ab, bei dem die geprüfte Entität selbst der Adversary ist, der die vollständige Sequenz der Entscheidungen beobachtet.

Methodik

Formaler Rahmen

Die Autoren schlagen einen Auditing-Rahmen vor, der über einen Horizont $T$ mit $C$ Audit-Zielen definiert ist.

Input: Ein Strom von Berichtszahlen $R_T = (r_1, \dots, r_T)$ , wobei $r_{t,c}$ die Anzahl der neuen Berichte für Ziel $c$ zum Zeitpunkt $t$ ist.
Output: Ein Audit-Transkript $a_T = (a_1, \dots, a_T)$ , wobei $a_t \in [C]$ das zum Zeitpunkt $t$ ausgewählte Ziel für das Audit ist.
Privatsphäre-Definition: Das Paper verwendet (0, $\delta$ )-Differential Privacy (DP) in Bezug auf pro-Bericht-Adjazenz (per-report adjacency). Zwei Bericht-Ströme sind adjazent, wenn sie sich durch genau einen Bericht zu einem bestimmten Zeitpunkt und einem bestimmten Ziel unterscheiden.
Bedrohungsmodell: Der Adversary ist das selbst geprüfte Ziel, welches über nahezu vollständiges internes Wissen verfügt und das vollständige Transkript $a_T$ beobachtet. Das Ziel ist es, den Vorteil des Adversary bei der Unterscheidung, ob ein spezifischer Bericht eingereicht wurde, zu begrenzen.
Nutzen-Metrik: Der Fehler ist definiert als die Wahrscheinlichkeit, dass der Mechanismus versagt, das Ziel mit der höchsten aktiven Anzahl (Berichte seit dem letzten Audit dieses Ziels) auszuwählen.

Das negative Ergebnis: Randomisierte Antwort

Das Paper beweist, dass die Anwendung der Randomisierten Antwort (RR) beim Auswahlprozess – wobei der Auditor Berichte mit einer Wahrscheinlichkeit $p_{rand}$ ignoriert und statisch ein zufälliges Ziel auditiert, anstatt das Ziel mit der höchsten Anzahl zu prüfen – die uniforme Zufallsauditierung nicht um mehr als $\delta$ übertreffen kann.

Theorem 2: Für jeden Horizont $T$ ist die Wahrscheinlichkeit, das falsche Ziel auszuwählen (wenn ein eindeutiger Maximierer existiert), bei Anwendung von RR durch $\frac{C-1}{C} - \delta$ nach unten begrenzt.
Implikation: RR ist „lücken-unempfindlich“ (gap-insensitive). Selbst wenn die Berichtslücke zwischen dem Anführer und dem Zweitplatzierten massiv ist, bleibt der Fehler hoch, da die Anforderung an die Privatsphäre den Mechanismus dazu zwingt, fast immer zu explorieren (zufällig zu auditieren).

Die vorgeschlagene Lösung: Reduktion auf privates kontinuierliches Zählen

Um die Einschränkungen von RR zu überwinden, schlagen die Autoren eine generische Reduktion von privatem Auditing auf privates kontinuierliches Zählen (private continual counting) vor.

Mechanismus-Design (Algorithmus 1):
- Führen Sie für jedes Audit-Ziel $c$ eine unabhängige Instanz eines $(0, \delta)$ -DP-kontinuierlichen Zählers.
- Speisen Sie zum Zeitpunkt $t$ die neuen Berichtszahlen für jedes Ziel in den jeweiligen Zähler ein.
- Wählen Sie das Ziel mit der höchsten verrauschten Anzahl (dem Output des Zählers).
- Reset-Bedingung: Beim Auditieren eines Ziels wird dessen Zähler-Instanz neu gestartet und die aktive Anzahl auf Null gesetzt. Dies stellt sicher, dass die Privatsphäre vergangener Berichte nicht durch zukünftige Entscheidungen kompromittiert wird.
Privatsphäre-Garantie: Das Audit-Transkript ist ein Post-Processing der Zähler-Outputs. Da die Zähler $(0, \delta)$ -DP erfüllen und der Reset-Mechanismus sicherstellt, dass ein einzelner Bericht nur eine einzige aktive Zähler-Instanz beeinflusst, erbt das gesamte Transkript die $(0, \delta)$ -DP-Garantie.
Konkrete Instanziierung: Die Autoren instanziieren diesen Rahmen unter Verwendung des Toeplitz-Faktorisierungs-Zählers (Fichtenberger et al., 2023; Dvijotham et al., 2024). Dieser Mechanismus erreicht eine Rauschskalierung von $O(\sqrt{\log T})$ , was nahezu optimal für das kontinuierliche Zählen ist.

Nutzen-Analyse

Das Paper leitet ein Nutzen-Theorem (Theorem 6) ab, das zeigt, dass der Selektionsfehler sinkt, sobald die effektive Lücke (effective gap) zwischen dem wahren Anführer und den Herausforderern wächst.

Die effektive Lücke umfasst die wahre Berichtszahl-Differenz plus die akkumulierte Differenz des Rauschens.
Im Gegensatz zu RR verschwindet der Fehler des vorgeschlagenen Mechanismus, sobald die verrauschte Berichtslücke schneller als $\sqrt{\log T}$ wächst. Dies ermöglicht es dem Mechanismus, hochgradig responsiv auf Berichtsvolumina zu reagieren und gleichzeitig strikte Privatsphäre zu wahren.

Zentrale Beiträge

Formalisierung: Das Paper formalisiert das Whistleblower-Auditing als pro-Bericht $(0, \delta)$ -DP auf dem Audit-Transkript unter einem Strong-Adversary-Modell, bei dem das Ziel selbst der Adversary ist.
Negatives Ergebnis für RR: Es beweist, dass die Randomisierte Antwort fundamental limitiert ist, da sie unabhängig vom Horizont oder der Berichtslücke an die nahezu uniforme Auditierung gebunden bleibt.
Generische Reduktion: Es etabliert eine Reduktion von privatem Auditing auf privates kontinuierliches Zählen, wodurch jeder $(0, \delta)$ -DP-Zähler als Plug-in-Komponente verwendet werden kann.
Konkreter Mechanismus (TCA): Durch die Instanziierung der Reduktion mit der Toeplitz-Faktorisierung erschaffen die Autoren einen Mechanismus (Toeplitz Continual Auditing, TCA), der $(0, \delta)$ -DP mit einer Rauschskalierung von $O(\sqrt{\log T})$ erreicht.
Nutzen-Theorem: Es liefert eine theoretische Schranke, die zeigt, dass der Selektionsfehler sinkt, wenn die Berichtslücke steigt – eine signifikante Verbesserung gegenüber dem konstanten Fehler von RR.

Ergebnisse

Theoretisch: Das Nutzen-Theorem demonstriert, dass der Fehler des vorgeschlagenen Mechanismus gegen Null geht, wenn die Lücke zwischen der führenden Organisation und ihren Konkurrenten wächst, während der Fehler von RR konstant hoch bleibt.
Empirisch: Simulationen in sowohl statischen (Gap-Sweep) als auch dynamischen (Online-Auditing) Settings bestätigen die theoretischen Befunde:
- Statisch: Die Fehlselektionsrate von TCA sinkt rapide, wenn die Berichtslücke zunimmt, während RR gegenüber der Lücke unempfindlich bleibt.
- Dynamisch: In einem Online-Setting mit Berichts-Resets hält TCA eine signifikant geringere „Active-Count-Defizit“ (Regret) im Vergleich zu RR und Uniform Random Auditing auf und nähert sich der Performance einer nicht-privaten Greedy-Baseline an.

Bedeutung und Ansprüche

Das Paper beansprucht, die erste formale, quantifizierbare Garantie für die abstreitbare Unbedenklichkeit (deniability) für Whistleblower bereitgestellt zu haben, die über lange Horizonte effektiv arbeitet, ohne den Nutzen zu opfern.

Glaubwürdigkeit: Durch die Sicherstellung, dass Audit-Entscheidungen nicht deterministisch mit spezifischen Berichten verknüpft werden können, macht der Mechanismus Meldekanäle für potenzielle Whistleblower, die Vergeltungsmaßnahmen fürchten, glaubwürdiger.
KI-Governance: Die Arbeit ist besonders motiviert durch die Notwendigkeit glaubwürdiger interner Berichterstattung in der KI-Governance, wo Insider-Informationen ein entscheidendes Signal für Sicherheits-Audits darstellen. Der Mechanismus stellt sicher, dass ein Entwickler nicht aus dem Timing oder dem Ziel einer Modellbewertung darauf schließen kann, dass ein spezifischer Mitarbeiter einen Bericht eingereicht hat.
Limitierungen: Die Autoren merken bescheiden an, dass die Pro-Whistleblower-Garantie linear mit der Anzahl der eingereichten Berichte ( $k\delta$ ) sinkt und dass das Modell einen vertrauenswürdigen Auditor voraussetzt, der keine privaten Zählungen preisgibt. Sie räumen ein, dass reale operative Ausfälle (z. B. Lecks in Zugriffsprotokollen) außerhalb des Bereichs dieser kryptographischen/algorithmischen Garantie liegen.

Zusammenfassend argumentiert das Paper, dass die Randomisierte Antwort zwar ein kanonisches Privatsphäre-Primitiv ist, für hochsensibles Auditing, bei dem der Nutzen entscheidend ist, jedoch unzureichend ist. Durch die Nutzung der Fortschritte beim kontinuierlichen Zählen ist es möglich, Auditing-Policys zu konstruieren, die eine starke, formale plausible Abstreitbarkeit bieten und gleichzeitig hochgradig responsiv auf die Daten sind, die sie schützen sollen.