Wie privat ist deine private Facebook-Gruppe?

Nach der Diagnose beginnt eine Suche, und sie führt fast immer an denselben Ort: in eine Gruppe in einem sozialen Netzwerk. Dort sitzen andere mit derselben Erkrankung. Dort muss niemand erklären, dass die Beschwerden echt sind. Für viele Menschen mit einer Funktionellen Neurologischen Störung ist das die erste Entlastung seit Monaten.

Über der Gruppe steht „privat“. Das Wort beruhigt und hält nicht, was es verspricht: Es beschreibt eine Sichtbarkeitseinstellung – nicht einen geschützten Raum.

Auch wir sind dort auffindbar. Allerdings nur, um auf unsere Angebote aufmerksam zu machen – nicht für den Austausch. Man muss Menschen dort abholen, wo sie sich aufhalten. Die Frage ist nur, ob man sie auch dort lassen sollte.

Dieser Text geht dieser Frage nach – nicht mit Meinung, sondern mit dem, was über die Bauweise dieser Plattformen bekannt und rechtlich geklärt ist.

Der Vergleich ist älter als die sozialen Netzwerke

Am 18. Oktober 2018 war Edward Snowden zu einer Veranstaltung des Management Center Innsbruck live zugeschaltet. Übertragen wurde sie unter anderem in einen Hörsaal der WHU Otto Beisheim School of Management in Vallendar, wo ich sie als Journalistin verfolgt habe; Fragen konnten per E-Mail eingereicht werden. Es ging um sicheres Kommunizieren – um Messenger, um Verschlüsselung und darum, was davon tatsächlich schützt. Eine unverschlüsselte E-Mail, so Snowden sinngemäß, könne man auch gleich als Postkarte verschicken.¹

Er nannte damals konkrete Dienste und Programme. Diese Empfehlungen sind heute teilweise überholt – die Technik ändert sich laufend, und was 2018 als unsicher galt, kann es inzwischen nicht mehr sein. Der Facebook Messenger etwa verschlüsselt Einzelchats seit Dezember 2023 standardmäßig Ende zu Ende.³

Was bleibt, ist die Aussage dahinter, und sie besteht aus zwei Sätzen:

Prüfe deine Kommunikationswege. Nicht ein für alle Mal, sondern immer wieder – wer mitliest, hängt vom Dienst ab, und der ändert sich.

Und sei dir bewusst, dass das, was du im Glauben des Privatseins sendest, für eine große Öffentlichkeit mitlesbar sein kann. Nicht muss. Kann. Das genügt, um es vorher zu bedenken.

„Ich habe doch nichts zu verbergen“

Das war an jenem Abend mein eigener Einwand, und ich habe ihn damals auch aufgeschrieben: Was soll's, ich habe nichts zu verbergen. Snowdens Antwort hat mich seither nicht mehr losgelassen. Sinngemäß: Wer meint, selbst nichts zu verbergen zu haben, solle an die denken, die auf den Schutz ihrer Privatsphäre angewiesen sind.² Beim ORF ist es ausführlicher überliefert – jeder müsse seine Rechte verteidigen, auch die, die er selbst nicht unbedingt brauche.³

Auf eine Selbsthilfegruppe übertragen ist das keine Abstraktion, sondern eine Beschreibung des Raums. Neben der Person, der ihre Diagnose gleichgültig ist, sitzt jemand mit laufendem Gutachtenverfahren. Jemand, der seinem Arbeitgeber nichts gesagt hat. Jemand in einer Trennung. Datenschutz ist in einer Gruppe keine individuelle Entscheidung – wer die Regeln lockert, lockert sie für alle Anwesenden mit.

Der Veranstalter fasste den Abend so zusammen: Es gehe um das Recht, Fehler zu machen, die einem nicht zwanzig Jahre später vorgehalten werden, und darum, kommunizieren zu können, ohne unwissentlich in problematische Situationen zu geraten.⁴ Bei einer Erkrankung, deren Betroffene regelmäßig begutachtet werden, ist der erste Halbsatz kein Nebensatz.

Das alles wurde vor acht Jahren gesagt. Nichts davon hat an Aktualität verloren – nur die Größenordnungen haben sich verschoben. Die Datenmengen sind gewachsen, die Auswertung ist schneller und billiger geworden, und Verfahren des maschinellen Lernens ziehen heute Rückschlüsse aus Verhaltensspuren, für die es 2018 noch aufwendige Einzelanalysen gebraucht hätte. Was damals eine Warnung war, ist inzwischen Alltag.

Wer ist Edward Snowden? Der frühere Mitarbeiter US-amerikanischer Nachrichtendienste machte 2013 als Whistleblower öffentlich, in welchem Umfang Geheimdienste weltweit digitale Kommunikation überwachen. Er lebt seither im russischen Exil und wird in den USA strafrechtlich verfolgt. Seine Enthüllungen gelten als Auslöser der internationalen Debatte über Massenüberwachung und Datenschutz.

Was „privat“ tatsächlich bedeutet

Die Bezeichnung beschreibt eine Sichtbarkeitseinstellung: Wer nicht Mitglied ist, sieht die Beiträge nicht in seinem Verlauf. Mehr sagt sie nicht. Sie sagt nichts darüber, wer Mitglied werden kann, wer die Inhalte weiterträgt und was der Betreiber der Plattform mit den entstehenden Daten macht.

Wer da klickt, ist drin und liest mit

Profile in sozialen Netzwerken sind nicht verifiziert. Ein Name ist ein Textfeld, ein Profilbild ist eine Bilddatei. Eine einzelne Person kann sich mit zehn verschiedenen Konten anmelden, und niemand in der Gruppe würde es bemerken. Die Mitgliederzahl sagt deshalb nichts über die Zahl der anwesenden Menschen – und vor allem nichts über deren Identität.

Wo die Aufnahme ohne jede Identitätsprüfung erfolgt, kann niemand ausschließen, dass Personen mitlesen, die dort nichts zu suchen haben: Anbieter auf der Suche nach einer Zielgruppe, Bekannte aus dem Alltag, im ungünstigsten Fall Menschen, vor denen einzelne Mitglieder sich gerade zu schützen versuchen. Wer über Missbrauchserfahrungen, Anfälle oder psychische Belastung schreibt, tut das in ein unbekanntes Publikum hinein.

Zweitens: Die Plattform bestimmt, nicht die Gruppe

2018 stellte die Leiterin einer geschlossenen Facebook-Gruppe für Frauen mit einer BRCA-Genmutation fest, dass die Mitgliederliste von außen zugänglich war. Der Sicherheitsforscher Fred Trotter bestätigte es: Über eine Browser-Erweiterung ließen sich die Klarnamen von mehr als 10.000 Mitgliedern herunterladen, teils mit E-Mail-Adresse, Wohnort und Arbeitgeber.⁵ Die Mitgliedschaft war zugleich die Auskunft, dass diese Frauen eine Krebsgenmutation tragen; in der Gruppe waren Bilder von Operationen geteilt worden. Trotter beschrieb, dass derselbe Weg bei geschlossenen Gruppen zu zahlreichen weiteren Erkrankungen und Lebenslagen offenstand.⁶

Facebook schloss die Lücke Ende Juni 2018. Im Februar 2019 forderte der zuständige Ausschuss des US-Repräsentantenhauses eine Unterrichtung und hielt fest, dass Personen und Unternehmen Zugang zu diesen Gruppen und ihren Mitgliederlisten erhalten hatten, die dort nicht hätten sein dürfen.⁷

Diese eine Lücke ist geschlossen. Der strukturelle Punkt bleibt: Vertraulichkeit stellt nicht die Gruppe her, sondern die Plattform – und die kann ihre Einstellungen jederzeit ändern, ohne dass jemand in der Gruppe davon erfährt.

Ein Konzern, mehrere Dienste, ein Datenbestand

Facebook, Instagram und WhatsApp gehören zum selben Unternehmen, dem Meta-Konzern. Was auf dem einen Dienst geschieht, bleibt nicht auf diesem Dienst.

Der Europäische Gerichtshof befasste sich 2023 mit genau dieser Zusammenführung. Er stellte fest, dass für besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO – darunter Gesundheitsdaten – ein grundsätzliches Verarbeitungsverbot gilt. Soziale Netzwerke müssen prüfen, ob ihre zusammengeführten Datenbestände solche Informationen offenlegen. Und: Lässt sich ein sensibles Datum bei der Erhebung nicht vom übrigen Datensatz trennen, unterfällt der gesamte Datensatz diesem besonderen Schutz.⁸

Für Betroffene heißt das: Die Mitgliedschaft in einer Gruppe zu einer bestimmten Erkrankung ist ein Gesundheitsdatum. Es entsteht im Moment des Beitritts – ohne einen einzigen geschriebenen Beitrag.

Freundschaftsvorschläge sind kein Zufall

Wer sich schon gewundert hat, warum ausgerechnet diese Person vorgeschlagen wird: Das ist kein Zufall, sondern ein Empfehlungssystem. Es wertet aus, was es an Verbindungen findet – gemeinsame Kontakte, hochgeladene Adressbücher anderer Nutzerinnen und Nutzer, Angaben zu Arbeitsplatz und Wohnort, geteilte Gruppen und Interaktionen.

Für gewöhnliche Kontakte ist das eine Bequemlichkeit. Für Menschen in einer Erkrankungsgruppe ist es etwas anderes: Ein Vorschlagssystem, das Nähe errechnet, kann Verbindungen sichtbar machen, die jemand bewusst getrennt halten wollte – zwischen dem Bekanntenkreis und dem Kreis derer, die von der Diagnose wissen.

Jeder Klick hinterlässt eine Spur

Jeder Beitrag, jeder Kommentar, jedes Verweilen auf einem Text, jede Reaktion wird verarbeitet. Aus diesen Spuren entstehen Profile, die den Wert der Plattform ausmachen – das ist kein Missbrauch des Systems, sondern sein Zweck.

Und rechtlich ist auch geklärt, dass die Verantwortung dafür nicht allein beim Konzern liegt: Der Europäische Gerichtshof entschied 2018, dass Betreiber einer Facebook-Seite gemeinsam mit Facebook datenschutzrechtlich verantwortlich sind. Wer eine solche Seite einrichtet, ermöglicht dem Unternehmen die Datenerhebung bei den Besuchern und kann sich seinen Pflichten nicht dadurch entziehen, dass er eine fremde Plattform nutzt.⁹ Die deutschen Aufsichtsbehörden leiteten daraus unmittelbaren Handlungsbedarf ab – ausdrücklich auch für Vereine und Organisationen.¹⁰

Und das Netz vergisst nicht

Ein Beitrag in einer Gruppe ist kein Gespräch, sondern ein Text, der bleibt: durchsuchbar, kopierbar, per Bildschirmfoto in Sekunden aus jedem noch so geschlossenen Raum herauszutragen. Regeln, die Bildschirmfotos verbieten, sind Hausregeln ohne technische Durchsetzung – wer sie bricht, wird nicht bemerkt. Dazu kommt der Mitgliederwechsel: Wer heute in der Gruppe ist, muss es in zwei Jahren nicht mehr sein. Der gelesene Beitrag bleibt in seinem Gedächtnis und womöglich in seinem Bildarchiv.

Bei einer Erkrankung, die im Begutachtungswesen ohnehin unter Verdacht steht, ist das keine theoretische Erwägung.

Eine Gruppe eröffnen und laufen lassen erhöht das Risiko

Hier ist die Quellenlage differenzierter, als es angenehm wäre, und wir geben das offen wieder.

Die bislang umfangreichste Übersichtsarbeit zu Online-Selbsthilfegruppen bei chronischen Erkrankungen – 100 Studien, vorab registriert, finanziert vom britischen National Institute for Health and Care Research, verfasst an der UK Health Security Agency und der University of Sussex¹² – zeigt keinen durchgängigen Vorteil moderierter gegenüber unmoderierten Gruppen. In einer randomisierten Studie zu chronischem Schmerz besserten sich Werte in beiden Varianten.

Was die Arbeit aber sehr wohl zeigt, sind die Schadensmechanismen, und die entstehen dort, wo niemand hinsieht:

• Belastung und Angst nahmen zu, wenn Mitglieder mit Krankenhausaufenthalten, Rückfällen, Suizidgedanken und dem Tod anderer Mitglieder konfrontiert wurden.
• Angst entstand nach dem Lesen von Schilderungen, die auf künftig drohende Verschlechterungen aufmerksam machen.
• Persönliche Angriffe und Spott für abweichende Meinungen führten zu Misstrauen und Angst; bei aktiven Mitgliedern war erlebter Konflikt mit stärkerer Depression verbunden.
• Frustration entstand, wenn auf Fragen keine Antwort kam.

Und ein Befund sticht heraus: In einer randomisierten Studie mit Frauen, die neu an Brustkrebs erkrankt waren, ging es den Teilnehmerinnen einer unmoderierten E-Mail-Gruppe nach vier und nach zwölf Monaten schlechter als denjenigen, die lediglich eine Informationswebsite nutzten.¹²

Eine Gruppe ist also nicht automatisch besser als keine Gruppe. Sie kann schlechter sein als eine gute Informationsseite. Wer eine Gruppe eröffnet und sie sich selbst überlässt, schafft keinen geschützten Raum – er schafft einen offenen Raum mit einem Etikett darauf.

Unsere Entscheidung

Wir sind auf Instagram und Facebook, weil die Menschen dort sind, die wir erreichen wollen. Diese Kanäle sind reine Informationskanäle: Beiträge, Reels, Termine, Newsletter-Hinweise – jeder Beitrag führt zur ausführlichen, mit Quellen belegten Fassung auf unserer Website. Die Kommentarfunktion ist deaktiviert.

Wir haben uns bewusst dagegen entschieden, innerhalb von Facebook oder Instagram eine Austauschplattform anzubieten. Nicht, weil wir den Bedarf für gering hielten – sondern weil wir auf einer fremden Plattform nicht dafür einstehen können, wer mitliest und was mit dem Geschriebenen geschieht.

Der Grundsatz dahinter in einem Satz: Menschen dort abholen, wo sie sich aufhalten – aber sie nicht dort lassen, wo ihre Daten nicht sicher sind.

Für den Austausch suchen wir sichere Räume. Zunächst regionale Treffen in Präsenz: mit Anmeldung, Vorgespräch und einer einmaligen Sichtung des Ausweises – persönlich oder in die Kamera. Es wird nichts kopiert und nichts gespeichert; festgehalten wird allein, dass die Sichtung stattgefunden hat. So wissen alle Anwesenden, mit wem sie sprechen, ohne dass eine Datensammlung entsteht, die selbst wieder zum Risiko würde.

Wer wegen Gangstörung, Fatigue, Anfällen oder fehlender Begleitung nicht zu Präsenztreffen kommen kann, soll nicht ausgeschlossen sein. Perspektivisch wird es deshalb ein digitales Format geben – nicht auf einer sozialen Plattform, sondern über einen Dienst mit Auftragsverarbeitungsvertrag und Serverstandort in Deutschland oder der EU. Auch dort gilt dieselbe Bedingung: Es muss klar sein, wer mit im Raum ist.

Vor der ersten Gruppe steht ein Leitfaden für die Gruppenleitung mit verbindlichen Mindeststandards – Aufnahme, Gesprächsregeln, Umgang mit funktionellen Anfällen im Treffen, benannte Stoppgrenzen zur Behandlung. Der Entwurf liegt vor und geht in die fachliche Durchsicht. Vorher startet keine Gruppe.