Pinduoduo hat deine Fotos gelöscht. Google hat Pinduoduo gelöscht.

Sie öffnen Ihre Galerie, und ein Foto ist weg. Nicht verschoben, nicht in einem anderen Album, nicht in der Cloud-Papierkorb-Frist. Einfach weg. Und Sie haben es nicht gelöscht. Das ist der Moment, in dem eine Selbstverständlichkeit zerbricht, auf die wir uns alle verlassen: Was auf meinem Handy ist, gehört mir und bleibt, bis ich es lösche. Im März 2023 wurde genau diese Selbstverständlichkeit öffentlich erschüttert — als berichtet wurde, dass die App Pinduoduo Fotos aus den Fotoalben von Nutzern gelöscht habe.

Man muss sich das in Ruhe vorstellen. Nicht ein Hacker von außen, nicht ein Dieb, nicht ein technischer Defekt. Eine ganz normale App, die man selbst installiert hat, die man selbst mit Berechtigungen ausgestattet hat — und plötzlich fehlt etwas, das man nie freigegeben hat. Google reagierte darauf, indem es Pinduoduo wegen Malware-Vorwürfen aus dem Google Play Store entfernte. Die Plattform selbst stellte damit fest: Das Verhalten dieser App lag außerhalb dessen, was eine normale App tun darf. Aber die eigentliche Lehre liegt nicht bei einem einzelnen Anbieter. Sie liegt in der Struktur, die diesen Vorfall überhaupt möglich gemacht hat.

„Auf meinem Handy" heißt nicht „unter meiner Kontrolle"

In Deutschland schauen viele Menschen inzwischen genauer hin, bevor sie eine App installieren. Die DSGVO hat das Bewusstsein für Daten geschärft, und fast jeder kennt inzwischen den Moment, in dem das Handy fragt: „Darf diese App auf alle Fotos zugreifen?" Man tippt auf „Zulassen", weil man sonst die Funktion nicht nutzen kann — und vergisst die Frage sofort wieder. Genau darin liegt das Problem.

Eine Berechtigung ist keine Einstellung, die man nebenbei abhakt. Sie ist eine Liste von Fähigkeiten. Wer einer App „vollständigen Zugriff auf Fotos" oder „Zugriff auf alle Dateien" gewährt, gibt ihr technisch die Möglichkeit, diese Inhalte zu lesen, zu verändern und zu löschen. Was in den Nutzungsbedingungen im Kleingedruckten steht, ändert an dieser technischen Tatsache nichts. Die Frage ist nicht, was eine App verspricht zu tun. Die Frage ist, was sie tun kann. Und wenn sie es kann, dann hängt alles Weitere nur noch davon ab, ob sie es tut — oder ob jemand sie dazu bringt.

Das ist der Unterschied, den der Pinduoduo-Fall so greifbar macht. „Ich habe nichts gelöscht" ist kein Schutz, wenn eine andere Stelle löschen kann. Die Kontrolle liegt nicht bei dem, der das Foto aufgenommen hat. Sie liegt bei jedem, der die Fähigkeit dazu besitzt. Solange etwas auf einem Gerät liegt, auf dem Apps mit weitreichenden Berechtigungen laufen, hat man Mitbewohner, die man nie eingeladen hat — nur dass diese Mitbewohner nicht im Flur stehen, sondern im System.

Die vertrauten Orte geben die Entscheidung aus der Hand

Die meisten Aufbewahrungswege, die wir im Alltag nutzen, teilen diese Schwäche, nur in verschiedenen Formen.

Das Handy-Album selbst: Jede installierte App mit Fotozugriff ist eine zusätzliche Hand, die an die eigenen Bilder herankommt. Man kontrolliert nicht jede dieser Hände, man erinnert sich oft nicht einmal mehr an alle Apps, denen man vor Monaten oder Jahren Zugriff gegeben hat. Der Überblick geht verloren, die Fähigkeiten bleiben.

Die Cloud-Synchronisation macht es nicht besser, sondern schneller. Was lokal gelöscht wird, wird oft auch in der Cloud nachgezogen — oder umgekehrt. Die Synchronisation, die als Sicherung verkauft wird, kann eine Löschung in Sekundenschnelle überallhin tragen. Was als Sicherheitsnetz gedacht war, wird so zum Verbreitungsmechanismus für einen Fehler oder einen Eingriff.

Und der Satz „Ich habe die Berechtigungen doch eingeschränkt" beruhigt nur scheinbar. Denn die Berechtigungsliste selbst ist die Fähigkeitenliste. Wer sie liest, liest nicht, was eine App nicht darf. Wer sie liest, liest, was sie darf. Solange ein Bild an einem Ort liegt, an dem eine App diese Fähigkeit besitzt, ist die Frage nicht, ob jemand das Bild sehen oder verändern will. Die Frage ist, ob die Struktur das zulässt. Und sie lässt es zu.

Man muss dabei keinem einzelnen Hersteller eine Absicht unterstellen. Das ist nicht der Punkt, und die Berichterstattung über Pinduoduo sollte auch nicht so gelesen werden. Der Punkt ist strukturell: Jede App auf dem Handy, die vollständigen Fotozugriff besitzt, hat dieselbe Fähigkeitenstruktur. Das Problem ist nicht ein Name. Das Problem ist, dass man etwas, das niemand sehen oder anfassen darf, neben etwas legt, das es anfassen kann.

Der Wert liegt darin, dass niemand es anfassen kann

Hier kehrt sich die übliche Logik um. Normalerweise fragen wir: „Wer verspricht, meine Daten nicht anzurühren?" Die bessere Frage lautet: „Wo ist es strukturell unmöglich, sie anzurühren?"

Ein Versprechen kann gebrochen werden, eine Einstellung kann geändert werden, eine App kann aktualisiert werden und plötzlich mehr dürfen als zuvor. Eine Struktur dagegen, in der es gar keine App gibt, gar keine Berechtigungsliste, gar keine Synchronisation im Hintergrund, lässt diese Fragen gar nicht erst entstehen. Ein Datenträger, der offline liegt, hat keine Berechtigungen zu vergeben. Niemand kann ihn aus der Ferne löschen, niemand kann ihn im Hintergrund durchsuchen, niemand kann ihn „versehentlich" synchronisieren. Der Schutz liegt nicht in einem Versprechen. Er liegt darin, dass es niemanden gibt, der es überhaupt könnte.

Das ist ein ruhigerer Gedanke, als er zunächst klingt. Wer etwas besitzt, das auf keinen Fall in fremde Hände geraten oder verändert werden darf, will nicht ständig Berechtigungen prüfen, Apps deinstallieren, Cloud-Einstellungen durchforsten und hoffen, dass kein Update alles wieder ändert. Man will einen Ort, an dem diese ganze Unruhe aufhört — weil die Technik, die sie verursacht, dort gar nicht vorhanden ist.

Anvertrauen heißt: Nummer, Siegel, zwei Augen, ein Ort

Die Antwort darauf ist wieder kein Produkt und keine neue App. Sie ist ein Vorgang, der von Menschen ausgeführt wird, deren Aufgabe genau das ist: verwahren, nicht auswerten.

Man übergibt den Datenträger an eine professionelle Verwahrung. Dort wird er nummeriert, versiegelt, von zwei Personen geprüft und mit Foto dokumentiert. Er liegt offline, fern von Handys, Konten und Berechtigungen. Die Standardprüfung ist bewusst zurückhaltend: eine halbjährliche Sichtprüfung von Siegel und Äußerem mit Foto, ohne Berührung. Verstärkte Prüfungen gibt es nur mit schriftlicher Zustimmung des Kunden. Nichts wird geöffnet, nichts gelesen, nichts verändert — und genau das ist der Sinn der Sache.

Wer das einmal durchdenkt, sieht seine Fotos mit anderen Augen. Nicht als Dateien, die man irgendwo „sichert", solange man die richtigen Häkchen setzt. Sondern als etwas, das einen Ort verdient, an dem es keine Häkchen gibt, die man falsch setzen könnte. Pinduoduo hat Fotos gelöscht, Google hat Pinduoduo gelöscht — beides ist inzwischen Geschichte. Geblieben ist die Lehre, die man daraus ziehen muss: Was niemand entdecken, verändern oder löschen dürfen soll, darf nicht dort liegen, wo jemand die Fähigkeit dazu besitzt. Es gehört dorthin, wo es niemand anfassen kann — und wo zwei Menschen dafür bürgen, dass es genau so geblieben ist.