Die Arbeit wendet sich der Distributionsphase des elektronischen Handels zu. Verkauf und Bezahlung sind in unsicheren Netzen möglich, aber die gekauften Waren oder Dienstleistungen können nur im Netz übermittelt werden, wenn sie vollständig digitalisierbar sind. Untersucht wird, ob und wie Fahr- und Eintrittskarten zur Übertragung in digitaler Form dargestellt werden können, ohne daß die leichte Kopierbarkeit solcher Daten Betrugsmöglichkeiten eröffnet. Es wird gezeigt, daß Eintrittskarten, die nur an einem Ort gültig sind, im Netz verkauft und vom Käufer selbst gedruckt werden können. Sie werden dazu mit einem 2D-Barcode versehen, der kryptographisch gesicherte Daten in maschinenlesbarer Form enthält. Durch eindeutige Numerierung kann sichergestellt werden, daß von mehreren Kopien einer solchen Eintrittskarte nur eine einzige benutzbar ist. Weiter wird ausgeführt, warum Fahrkarten nicht auf diese einfache und auch sonst auf keine praktisch brauchbare Weise in unsicheren Netzen verkauft werden können, jedenfalls dann nicht, wenn die Käufer anonym und die Kommunikationskosten gering bleiben sollen. Solche Tickets lassen sich nur mit Chipkarten realisieren; die Arbeit nennt Gründe, das lieber nicht zu tun. Neben der Anwendbarkeit kryptographischen Verfahren untersucht die Arbeit Fragen der praktischen Sicherheit sowie die Robustheit der gewählten Ticketdarstellung durch 2D-Matrixkodes unter Alltagsbedingungen. Für den Verkauf und die Kontrolle von Eintrittskarten wurde ein Prototyp implementiert. Als Nebenprodukt entstand Software zur Kodierung von Daten in Symbolen des Aztec-Kodes, die auch für andere Zwecke genutzt werden kann. / The thesis looks into the distribution phase of electronic commerce. Sales and payment are possible on the Internet, but goods and services cannot be transmitted or used through the network unless they can be completely digitized. The thesis investigates whether and how admission tickets for events or for travel can be digitized and transmitted on the Internet. The main problem in here is the copyability of digital data which, if not prevented, would open an opportunity to defraud the vendor. It is shown that an admission ticket can be represented as an electronic document which is simply printed on paper by the customer using his own equipment, provided that there is an online connection from each possible checkpoint to some central computer. For that purpose Tickets are made machine readable using 2-dimensional barcodes, distinguishable by unique numbering and tamper-proof by means of cryptography. Further on the thesis explains why travel tickets cannot be represented in that simple way with low communications effort and customers remaining anonymous. Such tickets that can be used only once but at one out of many potential places need tamper-resistant devices like smart cards, but there are reasons not to use them. Besides use of cryptographic methods the thesis investigates questions of practical security and robustness under everyday life conditions. Part of the thesis is a prototype implementation of the main ideas. As a byproduct, generator software for the Aztec 2-dimensional barcode symbology was developed, which can be used for other purposes as well.

Rapide Fortschritte in der Netzwerk- und Speichertechnologie haben dazu geführt, dass Informationen über viele verschiedene Quellen wie z.B. Personal Computer oder Datenbanken verstreut sind. Weil diese Informationen oft auch sehr heterogen sind, wurde gleichzeitig die Entwicklung effektiver Softwaretechniken zur Datensammlung und -integration vorangetrieben. Diese werden beispielsweise in Online-Katalogen von Bibliotheken oder in Internetsuchmaschinen eingesetzt und ermöglichen eine breitgefächerte Suche von Informationen unterschiedlichster Art und Herkunft. In sensiblen Anwendungsgebieten kann der Einsatz solcher Techniken aber zu einer Gefährdung der Privatsphäre der Datenhalter führen. Bei der Erforschung häufig auftretender Krankheiten beispielsweise sammeln und analysieren Wissenschaftler Patientendaten, um Muster mit hohem Erkrankungspotenzial zu erkennen. Dazu werden von den Forschern möglichst präzise und vollständige Daten benötigt. Der Patient hat dagegen großes Interesse am Schutz seiner persönlichen Daten. Dieser Interessenkonflikt zwischen Datenhaltern und Nutzern tritt auch in anderen Konstellationen wie beispielsweise in Internetdiensten auf, die die Eingabe von persönlichen Finanz- und Steuerdaten erfordern. Oft kann ein qualitativ höherwertiger Dienst angeboten werden, wenn persönliche Informationen preisgegeben werden. Über die hierzu notwendige Abwägung von Datenschutz und Dienstqualität sind sich nicht alle Datenhalter im Klaren und neigen zu Extremverhalten wie der Übermittlung aller persönlicher Daten oder gar keiner. Diese Dissertation erforscht den Grenzbereich zwischen den scheinbar konträren Interessen von Datenhaltern und Dienstnutzern. Dabei werden insbesondere die technischen Möglichkeiten zur Modellierung und Beschreibung dieses Bereiches betrachtet. Die erarbeiteten Techniken sollen den beteiligten Parteien ermöglichen, den bestehenden Konflikt unter Einbeziehung ihrer Präferenzen zur beiderseitigen Zufriedenheit zu lösen. Die Beiträge dieser Dissertation sind im Einzelnen: - Eine Klassifizierung von Dienstarchitekturen im Hinblick auf Datenschutzprobleme Verschiedene Dienstarchitekturen werden nach ihrer Datenschutzproblematik klassifiziert. Für jede Kategorie werden praktische Anwendungen erläutert. - Entwurf, Analyse und Implementierung einer verschlüsselungsbasierten Dienstarchitektur in einer nicht vertrauenswürdigen 2-Parteien-Umgebung Es werden Gründe für Vertrauen von Datenhaltern in Anbieter von netzbasierten Diensten dargestellt. Für Fälle, in denen dieses Vertrauen alleine nicht ausreicht, wird eine Datenschutz garantierende Dienstarchitektur abgeleitet, die auf einem modifizierten Verschlüsselungsalgorithmus basiert. Wichtige Datenbankoperationen und arithmetische Elemente werden auf die verschlüsselten Daten übertragen und in beispielhaften Diensten zum Einsatz gebracht. - Entwurf, Analyse und Implementierung einer aggregationsbasierten Dienstarchitektur in einer nicht vertrauenswürdigen 3-Parteien-Umgebung Am Beispiel eines den Datenschutz verletzenden Gesundheitsberichts wird gezeigt, wie Methoden des Operations Research dazu eingesetzt werden können, aus veröffentlichten Statistiken enge Intervalle für vertrauliche numerische Daten abzuleiten ("Intervallinferenz"). Zur Lösung des Interessenkonflikts zwischen Datenhaltern und Dienstnutzern wird die Verwendung eines sogenannten Datenschutzmediators vorgeschlagen. Dessen Kernkomponente ist die "Audit & Aggregate" Methodologie, die das Auftreten von Intervallinferenz aufdecken und verhindern kann. - Quantifizierung der Datenschutzabwägungen und Schlussfolgerungen für den elektronischen Handel Es werden verschiedene Ansätze zur Quantifizierung der Datenschutzabwägungen betrachtet und Schlussfolgerungen für den elektronischen Handel gezogen. Zusammengefasst versucht diese Arbeit, (a) die Wahrnehmung von Datenhaltern und Dienstnutzern für den bestehenden Interessenkonflikt zu erhöhen, (b) einen Rahmen zur Modellierung der Datenschutzabwägungen bereitzustellen und (c) Methoden zu entwickeln, die den Interessenkonflikt zur beiderseitigen Zufriedenheit beilegen können. / Recent developments in networking and storage technology have led to the dissemination of information over many different sources such as personal computers or corporate and public databases. As these information sources are often distributed and heterogeneous, effective tools for data collection and integration have been developed in parallel. These tools are employed e.g. in library search catalogues or in Internet search engines to facilitate information search over a wide range of different information sources. In more sensitive application areas however, the privacy of the data holders can be compromised. In medical disease research for example, scientists collect and analyze patient data for epidemiological characterizations and for the construction of predictive models. Whereas the medical researchers need patient data at the highest level of detail, patients are only willing to provide data when their privacy is guaranteed. This conflict of interest between the data holders and the users occurs in many different settings, for example in the use of web-based services that require confidential input data such as financial or tax data. The more accurate and rich the provided private information, the higher the quality of the provided service. Not all data holders are aware of this trade-off and for lack of knowledge tend to the extremes, i.e. provide no data or provide it all. This thesis explores the borderline between the competing interests of data holders and service users. In particular, we investigate the technical opportunities to model and describe this borderline. These techniques allow the two opposing parties to express their preferences and to settle the conflict with a solution that is satisfactory to both. The specific contributions of this thesis are the following: - Privacy classification of service architectures We present a privacy classification of different service architectures after the number of involved parties and the reactivity of the data provision. For each class, we provide examples of practical applications and explain their relevance by discussing preceding cases of real-world privacy violations. - Design, analysis and implementation of an encryption-based service architecture in an untrusted two-party environment We analyze the foundations of trust in web-based services and point out cases where trust in the service provider alone is not enough e.g. for legal requirements. For these cases, we derive a new privacy-preserving architecture that is based on an adapted homomorphic encryption algorithm. We map important database and arithmetic operations from plain data to encrypted data, and we present sample services that can be carried out within the framework. - Design, analysis and implementation of an aggregation-based service architecture in an untrusted three-party environment Using a privacy-compromising health report as a running example through the thesis, we show how mathematical programming can be used to derive tight intervals for confidential data fields from non-critical aggregated data. We propose a new class of privacy mediators that settle the conflict between data holders and service users. A core component is the "audit & aggregate" methodology that detects and limits this kind of disclosure called interval inference. - Quantification of the privacy trade-off and implications for electronic commerce and public policy We analyze several frameworks to quantify the trade-off between data holders and service users. We also discuss the implications of this trade-off for electronic commerce and public policy. To summarize, this thesis aims to (a) increase data holders'' and service users'' awareness of the privacy conflict, (b) to provide a framework to model the trade-off and (c) to develop methods that can settle the conflict to both parties'' satisfaction.