Category Archives: Safety

Was Drohnen wirklich tun

Pessimisten denken angesichts des technischen Fortschritts zuerst an  Schwärme autonomer Killerdrohnen, Optimisten lieber an Retterdrohnen, die in Notsituationen zum Beispiel Schwimmhilfen abwerfen:

Unabhängig davon wette ich gegen jeden vorausgesagten Weltuntergang, schon aus statistischen und spieltheoretischen Gründen. Weltuntergänge kommen statistisch sehr selten vor und falls doch mal einer eintritt, bleibt trotz korrekter Vorhersage der Wettgewinn aus.

So ungefährlich ist Radfahren

Zur Helmdiskussion hatte ich hier lange nichts. Eigentlich lohnt das auch nicht, denn wer an den Nutzen eines Fahrradhelms glauben möchte, lässt sich erfahrungsgemäß von Argumenten nicht umstimmen. Doch heute bin ich über eine Zahl gestolpert, die sogar mich überrascht hat, obwohl sie mit meiner Alltagserfahrung kompatibel ist. Der großbritische nationale Gesundheitsdienst (National Health Service, NHS) macht wie so ziemlich jede Krankenkasse Werbung fürs Radfahren und hat in diesem Zusammenhang eine FAQ zur Gefährlichkeit dieser Betätigung zusammengestellt. Darin heißt es unter anderem:

“Official figures taken from the NTS suggest that the general risk of injury from cycling in the UK is just 1 injury per 19,230 hours of cycling.”

Eine Verletzung auf 19 230 Stunden Radfahren, das heißt selbst ein Fahrradkurier muss gute zehn Jahre jeden Arbeitstag acht Stunden unterwegs sein, um sich einmal zu verletzen*. Wer lediglich jeden Tag eine halbe Stunde zu seinem Büro radelt und abends zurück, der braucht sogar Jahrzehnte, um sich einmal zu verletzen. Dass Radfahren so sicher ist, hätte ich trotz vieler unfallfreier Jahre im Sattel nicht erwartet.

*) Ein Arbeitsjahr in einem Vollzeitjob hat ca. 2000 Stunden einschließlich der Urlaubstage.

Carcinogenic agents classified by evidence

Carcinogenic is a scary word, but what exactly does it mean? The International Agency for Research on Cancer (IARC),  a part of the World Health Organization (WHO), has established a framework. The IACR reviews scientific evidence for and against carcinogenicity claims and places agents in one of the following categories:

  • Group 1 – carcinogenic: Sufficient evidence exists that an agent is carcinogenic in humans. In this group we find, as expected, agents like various forms of radiation (gamma, x-ray, utraviolet), tobacco smoke, alcohol, estrogen-progestogen oral contraceptives, and asbestos.
  • Group 2A – probably carcinogenic: Strong evidence exists that an agent is carcinogenic, yet the evidence rmains insufficient to be sure. More precisely, there is sufficient evidence of carcinogenicity in animals but limited evidence in humans. This group contains, for example, acrylamide and occupational exposure to oxidized bitumens and their emissions during roofing.
  • Group 2B – possibly carcinogenic: Some evidence exists for carcinogenicity of an agent, but it is neither sufficient nor strong. This class comprises agents like chloroform, coffee, DDT, marine diesel fuel, gasoline and gasoline engine exhaust, and certain surgical implants and other foreign bodies.
  • Group 3 – unclassifiable: Evidence is inadequate; the agent may or may not be carcinogenic, we do not know enough to tell. This category contains agents like caffeine, carbon-nanotubes, static or extemely low-frequency electric fields, fluorescent lighting, phenol, polyvinyl chloride, and rock wool.
  • Group 4 – probably not: We have evidence that an agent is not carcinogenic. Perhaps due to publication bias, this group contains only one element, caprolactam.

The IACR publishes classification criteria and lists (by category, alphabetical). Wikipedia also maintains lists by these categories with links to the respective pages.

Keep in mind that this classification represents only the state of evidence regarding cancerogenicity in humans, not your risk of becoming exposed to an agent, a dose-response assessment, or overall health risk from exposure. Hint: everything that kills you quickly and reliably is unlikely to cause you cancer.

The Uncertainty Principle of New Technology

Security, privacy, and safety by design sounds like a good idea. Alas, it is not going to happen, at least not with innovative technology. Collingridge’s dilemma gets in the way: When a technology is new and therefore easy to shape, we do not understand its downsides – and the non-issues to be – well enough to make informed design decisions, and once we understand the problems, changing the now established and deployed technology fundamentally becomes hard. Expressed in terms of the Cognitive Dimensions framework, technology design combines premature commitment with high viscosity later on.

With digital technology evolving at high pace, we are continually facing Collingridge’s dilemma. Big data and Internet-scale machine learning, the Internet of everything, self-driving cars, and many inventions yet to come challenge us to keep things under control without knowing what to aim for. Any technology we never created before is subject to the dilemma.

A tempting but fallacious solution is the (strong) precautionary principle: to take all possible risks seriously and treat whatever we cannot rule out as a problem. This approach is fallacious because it ignores the cost of implementation. Every possible risk is not the same as every likely risk. Trying to prevent everything that might go wrong one will inevitably end up spending too much on some possible but unlikely problems. Besides, Collingridge’s dilemma may apply to the chosen treatments as well.

As an alternative we might try to design for corrigibility so that mistakes can be easily corrected once we learn about them. With respect to the information technology domain this idea seems to echo what David Parnas proposed in his seminal paper On the criteria to be used in decomposing systems into modules (DOI: 10.1145/361598.361623). Parnas argues in this paper that software modules should hide design decisions from their surroundings, so that the inner workings of a module can be modified without affecting dependent modules. Constructs supporting this found their way into modern-day programming paradigms and languages; object-oriented programming is the most abvious application of Parnas’ idea.

But the dilemma is not that easily solved. First, software design is too narrow a scope. Technology is more than just software and can become quite viscous regardless of how easily the software is changed. Just think of the Internet and its core protocol, IP. Most operating systems come with support for IPv4 and IPv6 and there are many good reasons to move on to the new protocol version. Yet we are still waiting for the day when the Internet will abandon IPv4 in favor of IPv6. The Internet as a system is really hard to change. Nevertheless, modularity helps. When attacks against Internet banking users became widespread starting ca. 10 years ago, for example, banks in Germany managed to update their authorization mechanisms and increase security in relatively short time and with few troubles for their customers.

In their recent paper Cyber Security as Social Experiment (NSPW’14, DOI: 10.1145/2683467.2683469), Wolter Pieters, Dina Hadžiosmanović  and Francien Dechesne argue that experimentation could help us to learn more about the side effects of new technology. Since people are part of any interesting system, this amounts to running social experiments. If we do not care and just deploy a technology, this is an experiment as well, just less controlled and systematic. Particular to cyber security is the challenge of involving adversaries as they are the root of all security threats. The general challenge is to run social experiments responsibly within ethical bounds.

Even with experiments, some negative consequences will likely escape our attention. Some effects take too long before they show or show only after a technology has been deployed at a global scale. Could James Watt have thought of climate change due to the burning of fossil fuel? Probably not. But at least we understand what the meta-problem is.


Diese Schlagzeile war wohl zu gut, um sie sich von Tatsachen kaputt machen zu lassen: »Straßenbahn-Unfälle mit Verletzten in Leipzig nehmen zu – Statistik: LVB-Fahrer häufig Schuld,« titelt die Leipziger Volkszeitung. Das kommt gewiss gut an bei der Zielgruppe, unterstellt der Leipziger seiner »Bimmel« doch traditionell, sie fahre nach dem UKB-Prinzip– Umfahren, Klingeln, Bremsen.

Im Text wird aus dem häufig erst einmal ein nichtssagendes regelmäßig. Mehr als dies geben die Daten einige Absätze weiter unten auch nicht her. Von 366 Unfällen mit Straßenbahnen verursachten deren Fahrer und Technik im vergangenen Jahr 44, das sind gerade mal 12% oder ungefär jeder achte Unfall. Die Statistik sagt das genaue Gegenteil der Schlagzeile: Die Straßenbahnfahrer sind selten schuld.

Kosten und Nutzen

“Jede Sicherheitsmaßnahme lässt sich umgehen.” – Jochim Selzer argumentiert auf G+, dies sei keine gute Begründung für den  Verzicht auf Sicherheitsmaßnahmen. Damit hat er Recht, aber dies ist umgekehrt keine ausreichende Begründung für beliebige Sicherheitsmaßnahmen. Seiner Betrachtung fehlt ein Faktor: das Kosten-Nutzen-Verhältnis. Mehr Sicherheit oder auch überhaupt Sicherheit wird zum Verlustgeschäft, wenn dem Aufwand keine adäquate Risikoreduktion gegenübersteht. Das klingt trivial, macht die Sache in Wirklichkeit jedoch ziemlich kompliziert.

Die Kosten einer Sicherheitsmaßnahme sind nicht nur die Anschaffungs-, sondern auch die Betriebskosten. Nicht alle Kosten manifestieren sich in finanziellen Transaktionen, sondern zum Beispiel in Zeit- und Arbeitsaufwand. Auch sehr kleine Aufwände können zu erheblichen Kosten führen, wenn sie in Alltagssituationen immer wieder anfallen. Auch das Ändern von Gewohnheiten ist teuer. Ein häufig verwendetes Passwort zu ändern, kostet mich zum Beispiel jedesmal einige Tage voller Fehlversuche mit dem alten Passwort, bis ich mich an die Änderung gewöhnt habe — und eine andere Empfehlung legt mir nahe, meinen Rechner beim Verlassen immer zu sperren.

Der Nutzen einer Sicherheitsmaßnahme ergibt sich nicht aus ihrer lokal messbaren Wirkung, sondern aus ihrem Einfluss auf das gesamte Risikoprofil. Sicherheitsmaßnahmen können irrelevant sein, wenn das Risiko – bezogen auf die Konsequenzen – insgesamt sehr klein ist und von anderen Risiken dominiert wird. Wenn ich zum Beispiel ein Smartphone oder einen Laptop mit mir herumtrage und darauf keine ungewöhnlich wertvollen Daten gespeichert sind, dann liegt das dominante Risiko im Verlust der Hardware. Ob ich meine Daten verschlüsselt habe oder nicht, ist dann relativ belanglos. Ebenso brauche ich mich als Individuum, zumal im Mitteleuropa der Gegenwart, nicht vor der NSA zu fürchten, wenn ich bedenkenlos auf Haushaltsleitern steige und am Straßenverkehr teilnehme. Ich werde höchstwahrscheinlich an einem Unfall, an einer Krankheit oder an Altersschwäche sterben und nicht an einem Drohnenangriff wegen eines algorithmisch hergeleiteten Terrorverdachts.

Hinzu kommt, dass Sicherheitsmaßnahmen nicht notwendig Risiken verringern, sondern sie oft nur verlagern oder transformieren. Einbrecher durchwühlen die unverschlossene Gartenlaube und nehmen tragbare Wertsachen sowie Alkoholvorräte mit. Einbrecher durchwühlen die verschlossene Gartenlaube und nehmen tragbare Wertachen und Alkoholvorräte mit, nachdem sie die Tür oder das Fenster demoliert haben. Was habe ich nun vom guten Schloss? Die Einbrecher müssen ein Brecheisen mitbringen und werden vielleicht (aber unwahrscheinlich) gehört – und ich habe höhere Kosten pro Vorfall, selbst wenn nichts gestohlen wird. Ich fahre besser, wenn ich die Tür offen lasse und kein potenzielles Diebesgut lagere.  Das Problem der Risikoverlagerung und -transformation ist typisch für Security, wo wir es mit adaptiven Angreiferkollektiven zu tun haben. In geringerem Maße kann es aber auch bei Safety-Maßnahmen auftreten, wenn diese Maßnahmen unerwünschte Nebenwirkungen haben und man also eine Risikoausprägung gegen eine andere eintauscht. Im Klettergerüst getragen kann ein Fahrradhelm Kinder strangulieren.

Ökonomisch betrachtet sind deswegen viele Sicherheitsratschläge für die Katz. Kosten und Nutzen haben außerdem eine subjektive Komponente. Ökonomische Rationalität beschreibt ein (angenommenes) Optimierungsverhalten unter Berücksichtigung persönlicher Präferenzen. Jeder ist frei darin festzulegen, wie viel ihm ein bestimmter, quantifizierter Nutzen im Vergleich zu anderen Angeboten mit denselben Kosten wert ist oder wie sehr ihn eine bestimmte Unannehmlichkeit im Vergleich zu einer anderen belastet. Auch ein Selbstmörder, der sich vor seiner Rettung schützt, kann ökonomisch rational handeln, wenn ihm sein eigener Tod nur wichtiger ist als alles andere. In diesem Sinne ist nichts daran auszusetzen, dass sich jemand etwa gegen den Sicherheitsgurt, gegen den Fahrradhelm, gegen ein kompliziertes Password oder gegen die E-Mail-Verschlüsselung entscheidet. Präskriptive Overrides sind nur dort angebracht, wo aus solchen Präferenzen erhebliche gesellschaftliche Probleme resultieren.

Erfolgsgeschichte Sicherheitsgurt?

In Diskussionen über den Sinn und Unsinn von Styroporhauben für Radfahrer taucht regelmäßig der Hinweis auf, so ähnliche Debatten haben man damals zur Gurtpflicht im Auto auch geführt. Der Hinweis kommt von Befürwortern der Styroporhaube; aus ihm spricht neben der Hoffnung auf den Debattenendsieg die Annahme, SIcherheitsgurte seien eine Erfolgsgeschichte und hätten unzählige Leben gerettet. Diese Annahme ist vielleicht gar nicht so selbstverständlich, wie sie wirkt. In The Failure of Seat Belt Legislation (via) argumentiert John Adams, dass eine signifikante Wirkung der Gurtpflicht gar nicht auf der Hand liege. Wie haltbar seine Argumentation ist, kann ich noch nicht sagen; ich habe den Text nur überflogen

7 Tätigkeiten, die 2012 gefährlicher waren als das Radfahren

Jetzt probieren wir mal die Reblog-Funktion von aus. PresseRad erinnert uns daran, dass die meisten Menschen bei etwas anderem als beim Radfahren sterben. Nahezu alle, um genau zu sein: Wenn jemand gestorben ist, kann man daraus mit hoher Sicherheit schließen, dass er auf dem Weg ins Jenseits keinen Fahrradunfall hatte. (Note to self: Gelegentlich mal nachrechnen.)

Zeckenalarm außer der Reihe

Abweichend vom gewohnten Zeckenalarmzyklus warnt das Robert-Koch-Institut mitten im Winter vor einer Krankheit, die jedes Jahr ungefähr 0.0005% der Bevölkerung – 400 von 80.000.000 – befällt:

»Mit Blick auf die überdurchschnittliche hohe Zahl von Hirn- und Hirnhaut-Entzündungen nach Zeckenbissen im Jahr 2013 rät das Robert Koch-Institut (RKI) Menschen, die in Risikogebieten wohnen und sich aufhalten, sich impfen zu lassen.
Für das Jahr 2013 liegen bundesweit bisher rund 400 Meldungen für die von Zecken übertragene Frühsommer-Meningoenzephalitis (FSME) vor. Rund die Hälfte der vom RKI erfassten Patienten erkrankte schwer an einer Entzündung der Hirnhaut oder des Gehirns.«

( Robert-Koch-Institut rät zur Impfung: Zecken übertrugen 2013 oft gefährliche Viren)

Das Robert-Koch-Institut empfiehlt eine Immunisierung durch drei aufeinanderfolgende Impfungen, die danach alle fünf Jahre aufzufrischen sei.

Experten bei der Arbeit. Das Missverhältnis zwischen Aufwand und Nutzen dürfte offensichtlich sein. Wer sich gegen FSME impfen lässt, läuft auch im kugelsicheren Anzug herum. Alle anderen behandeln besser näherliegende Risiken.

Verständige Menschen

Vielleicht ist die Helmdiskussion bei den Juristen ganz gut aufgehoben, denn gute Juristen sind der natürliche Feind schlechter Argumente:

»Die Helmquote läge bei Erwachsenen wohl kaum bei unter 10%, wenn tatsächlich alle „verständigen Menschen” den Helm trügen.«

– Rechtsanwalt Professor Dr. Winfried Born, Editorial NJW 31/2013

Helmquoten veröffentlicht die Bundesanstalt für Straßenwesen regelmäßig. Trotz jahrelanger Propaganda konnte sich dieses Utensil bei Radfahrern nicht durchsetzen. Ausnahme: unmündige Kinder. Die PR der Styroporbranche versucht sich in den Spin zu retten, Kindern seien vernünftiger als Erwachsene.


Sehr schön, die Fahrradhelmpropaganda beginnt sich selbst zu zerlegen. Die Helm-PR hat den Punkt erreicht, an dem sich das gepflanzte Mem verselbständigt. Dabei gerät es außer Kontrolle, viele Köche verderben den Brei. Das ist in diesem Fall gut.

Eine Versicherung behauptet dreist:

»Besonders dramatisch ist dabei, dass im Schnitt fast 9 von 10 Fahrradunfällen (85%) Kopfverletzungen nach sich ziehen. Ein Helm kann hier Schlimmstes verhindern.«

(Zurich unterstützt “Fahrradhelm macht Schule”)

Wie wir seit einem OLG-Urteil vor ein paar Tagen wissen, gehören Versicherungen zu den Profiteuren des Helmglaubens. Das Volk lehnt Fahrradhelme mehrheitlich ab, die Tragequote lag 2009 im Mittel über alle Altersgruppen bei gerade mal 11% – wie auch zwei Jahre darauf noch. Einer Versicherung kann also nichts besseres passieren als ein Gericht, welches das übliche und normale Verhalten für leichtsinnig erklärt.

Für den Tagesspiegel versucht sich Markus Mechnich darin, die Schutzwirkung von Fahrradhelmen für unbestreitbar zu erklären. Er verwendet übliche Taktiken: Verzicht auf absolute Zahlen und damit die Risikobewertung, stattdessen Prozentangaben, eine zahlenunabhängige Argumentation und die subtile Einordnung von Kopfverletzungen zwischen Speiseröhrenkrebs und akuter Strahlenkrankheit auf der Schreckensskala. Die Quintessenz: Unfälle, bei denen der Helm helfen könnte, seien nicht auszuschließen, und deshalb solle man unbedingt einen tragen.

Dabei unterläuft ihm ein Lapsus:

»Nach Zahlen des Gesamtverbands der deutschen Versicherer erleiden Radfahrer bei 25,7 Prozent aller schweren Unfälle Verletzungen am Kopf.«

(Ohne Kopfschutz wird es oft tödlich)

Was steht da? Da steht, dass 74,3% der schweren Fahrradunfälle ohne Kopfverletzung abgehen. Selbst wenn wir die ganzen harmlosen Stürze ausklammern, finden wir nur einen bescheidenen Anteil von Kopfverletzungen. Mechnich merkt das auch und versucht sich eilig in die Behauptung zu retten, das Gehirn sei doch wichtiger als Arme und Beine. Dabei unterschlägt er allerdings, dass von Kopf- und nicht von Gehirnverletzungen die Rede ist. Wie eine Kopfverletzung (nebst Beanspruchung der Halswirbelsäule) mit Helm aussieht, kann man sich in einem Helm-PR-Video anschauen, welches wiederum aus der Versicherungsbranche stammt. Zahlen, Analysen und Risikobetrachtungen sucht man dort vergebens, und so muss jeder die gezeigten Bilder selbst interpretieren. Ich sehe im Video ab 6:00 einen Faceplant, der ohne Helm bestenfalls genauso, schlimmstenfalls glimpflicher abgelaufen wäre.

Mechnich – oder sein Kronzeuge Prof. Pohlemann von der Deutschen Gesellschaft für Unfallchirurgie, so richtig klar wird das nicht – argumentiert weiter:

»Normalerweise verhindert der Schädelknochen solche Schäden. Radler erreichten allerdings so hohe Geschwindigkeiten, dass der Knochen bei manchen Stürzen nicht mehr ausreiche.«

(Ohne Kopfschutz wird es oft tödlich)

Das klingt plausibel, bis man sich anschaut, was bei hohen Geschwindigkeiten tatsächlich passiert. Beim Crashtest Pedelec mit 45 km/h in eine Autotür macht der Fahrradhelm keinen Unterschied. Die schwersten Verletzungen sind im Brustbereich zu erwarten und der Kopf schlägt wieder mit dem unbehelmten Gesicht auf.

Ich werde weiter ohne Sturzkappe fahren, wie die meisten Erwachsenen. Fahrradhelme finden eine nennenswerte Verbreitung nur unter unmündigen Kindern. Zu Recht.