Kleine Stichprobe, großes Risiko: Warum „anonym“ oft nicht anonym genug ist

„Name gelöscht“ heißt nicht „Problem gelöst“

Stellen Sie sich folgende Situation vor: Sie haben Ihre Befragung abgeschlossen, die Daten sauber in SPSS oder R eingegeben, die Namensspalte gelöscht, die E-Mail-Adressen entfernt, die Matrikelnummern gestrichen. Der Datensatz fühlt sich anonym an. Die Tabellen im Ergebnisteil zeigen Alter, Studiengang, Semesterzahl, Standort und klinische Diagnose. Alles wirkt sauber und transparent.

Genau hier liegt das Problem.

Denn ob ein Datensatz wirklich anonym ist, entscheidet sich nicht daran, ob der Name fehlt. Es entscheidet sich daran, ob eine Person im konkreten Kontext noch erkennbar ist. Und gerade bei kleinen Stichproben, wie sie in Bachelor- und Masterarbeiten typisch sind, kann diese Erkennbarkeit durch scheinbar harmlose Variablenkombinationen entstehen.

Kleine N, große Erkennbarkeit: Wenn Alter und Studiengang zur Falle werden

Eine aktuelle Studie von Sondeck und Laurent, veröffentlicht in Scientific Reports, zeigt methodisch, wie schnell kleine Datensätze problematisch werden können. Als Beispiel dient den Autoren ein Datensatz mit gerade einmal 12 Zeilen und 6 Spalten. In diesem Mini-Datensatz kann eine Person bereits durch ihr Alter eindeutig identifizierbar sein, wenn alle anderen Einträge einen anderen Wert aufweisen.

Das klingt zunächst nach einem Extremfall. In der Praxis zeigt sich aber, dass viele empirische Abschlussarbeiten genau in diesem Bereich liegen: 30, 50, manchmal 80 Personen, aufgeteilt in spezifische Subgruppen nach Diagnose, Studiengang oder Standort. Die demografische Tabelle im Anhang enthält dann exakte Altersangaben, Berufsangaben, Semesterzahlen und klinische Einordnungen. Was für eine repräsentative Stichprobe von 10.000 Personen harmlos ist, wird bei 18 Teilnehmenden aus einer bestimmten Klinik zu einem echten Identifizierungsrisiko.

Was Quasi-Identifikatoren sind und warum sie zählen

Sondeck und Laurent nennen Quasi-Identifikatoren als zentrale Schwachstelle. Das sind Variablen, die für sich genommen harmlos wirken, in Kombination aber eine Person erkennbar machen können: Alter, Geschlecht, Wohnort, Berufsfeld, Diagnose, Studienfach.

Das Risiko entsteht nicht nur durch den Datensatz selbst, sondern durch externe Hintergrundinformationen. Wer weiß, dass in einem Studiengang in einer Kleinstadt nur drei Personen über 40 Jahre alt studieren, kann aus einer entsprechenden Tabelle konkrete Rückschlüsse ziehen, auch ohne Namen.

Die Autoren schlagen eine Risikoformel vor, die zwei Dimensionen verbindet: die Wahrscheinlichkeit, dass ein Angreifer eine Person identifizieren kann, und den Schaden, der bei Offenlegung entsteht. Besonders hoch ist der Schaden, wenn sensible Informationen wie psychische Diagnosen, Medikation oder berufliche Konflikte betroffen sind. Genau diese Informationen tauchen in empirischen Abschlussarbeiten häufig auf.

Was Anonymisierung wirklich bedeutet und was nicht

Das britische Information Commissioner’s Office (ICO) formuliert es klar: Daten gelten nur dann als effektiv anonymisiert, wenn Personen nicht oder nicht mehr identifizierbar sind. Informationen, die diese Schwelle nicht erreichen, müssen weiterhin als personenbezogene Daten behandelt werden. Entscheidend ist dabei immer der konkrete Kontext.

Damit wird deutlich: Anonymisierung ist kein Zustand, der durch das Löschen einer Spalte entsteht. Sie ist das Ergebnis einer methodischen Prüfung, die berücksichtigt, welche Informationen im Datensatz verbleiben, wer auf diese Daten Zugriff hat und welches externe Wissen zur Verknüpfung genutzt werden könnte.

Pseudonymisierung ist nicht dasselbe wie Anonymisierung

Ein häufiger Fehler in Abschlussarbeiten ist die Gleichsetzung von Pseudonymisierung und Anonymisierung. Wer die Matrikelnummer durch einen Code ersetzt, hat pseudonymisiert, nicht anonymisiert. Die EDPB-Leitlinie 1/2026 zur Verarbeitung personenbezogener Daten in der wissenschaftlichen Forschung vom April 2026 hält ausdrücklich fest: Pseudonymisierung reduziert Risiken, macht Daten aber nicht automatisch anonym.

Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiterhin der DSGVO. Die Leitlinie betont außerdem, dass Forschungsvorhaben prüfen müssen, welche Daten strikt notwendig sind. Können Forschungsziele ohne identifizierbare Daten erreicht werden, soll eine Form gewählt werden, die Identifizierung nicht oder nicht mehr erlaubt.

Wo Abschlussarbeiten konkret riskant werden

Das besondere Problem empirischer Abschlussarbeiten liegt in der Kombination aus kleinem N und hohem Detailgrad. Wer 25 Personen aus einem einzigen Studiengang, einer bestimmten Klinik oder einem spezifischen Unternehmen befragt hat, arbeitet mit einer Gruppe, in der schon wenige Merkmale zur Erkennbarkeit führen können.

Typische Risikostellen in der Praxis

Die folgenden Stellen in einer Abschlussarbeit verdienen besondere Aufmerksamkeit, weil sie häufig übersehen werden:

Besonders kritisch wird es, wenn sensible Variablen wie psychische Diagnosen, Belastungswerte oder klinische Einstufungen mit demografischen Angaben in einem Datensatz verbunden sind. Sondeck und Laurent weisen darauf hin, dass auch Gruppen ohne vollständige Eindeutigkeit ein Risiko darstellen können, wenn fehlende Diversität sensible Informationen implizit offenlegt.

Was Sie konkret tun können, bevor Sie abgeben

Datenschutz bei kleinen Stichproben ist kein Gegensatz zu guter Forschung. Wer methodisch sorgfältig vorgeht, stärkt gleichzeitig die Verteidigungsfähigkeit der eigenen Arbeit. Lulamba, Mutemaringa und Tiffin zeigen in ihrer Publikation in PLOS Computational Biology, dass praktische De-Identifikationsmaßnahmen keine vertiefte technische Vorerfahrung voraussetzen.

Schon bei der Planung beginnen

Die wichtigsten Entscheidungen fallen nicht beim Abgeben, sondern beim Fragebogendesign. Welche personenbezogenen Angaben sind für die Forschungsfrage wirklich notwendig? Reichen Altersgruppen statt exakter Jahreszahlen? Reicht eine grobe Regionalangabe statt eines genauen Standorts?

Die EDPB-Leitlinie betont, dass direkt identifizierende Daten nur dann verarbeitet werden sollen, wenn dies für den Forschungszweck strikt notwendig und verhältnismäßig ist. Das ist keine bürokratische Vorgabe, sondern ein methodisches Prinzip, das die Arbeit schlanker und robuster macht.

Aggregation als einfachste Maßnahme

Lulamba und Kollegen empfehlen unter anderem das Ersetzen präziser Werte durch Wertebereiche, das Runden numerischer Felder sowie die Trennung sensibler Variablen von identifizierenden Angaben. Für Abschlussarbeiten bedeutet das konkret: Statt exaktem Geburtsjahr lieber eine Kategorie wie „25 bis 34 Jahre“, statt genauer Diagnosebezeichnung lieber eine übergeordnete Gruppe, wenn die Forschungsfrage das erlaubt.

Diese Maßnahmen machen die Darstellung nicht ungenauer. Sie machen sie methodisch sorgfältiger.

Anonym sind Forschungsdaten nicht, weil der Name fehlt. Anonym sind sie erst, wenn eine Person im konkreten Kontext nicht mehr erkennbar ist.

Gerade bei kleinen Stichproben entscheidet deshalb nicht nur die Statistiksoftware über die Qualität einer Arbeit, sondern auch die methodische Sorgfalt im Umgang mit Details. Wer Variablen minimiert, Kategorien sinnvoll bündelt und kleine Zellen erkennt, betreibt keine übertriebene Vorsicht, sondern gute empirische Praxis.