Umfrage auswerten: Ist eine Anonymitätsgrenze sinnvoll?

Um die Anonymität von Umfragen zu gewährleisten, wird von vielen Unternehmen der Wunsch geäußert, Ergebnisse erst ab einer bestimmten Anzahl von Teilnehmenden anzuzeigen. Genannt werden willkürlich mal 5, mal 7, mal 10 Personen. Diese Anonymitätsgrenze (auch Anonymitätsschwelle oder Auswertungsschwelle) fühlt sich richtig an, stammt jedoch weder aus der Marktforschung noch aus der Statistik. Manche Umfragetools haben diese Forderung unkritisch implementiert und erzeugen damit ein falsches Sicherheitsgefühl – und unnötigen Datenverlust. Entscheidend für die Anonymität ist nämlich nicht, wie viele Personen eine Frage beantworten, sondern wie viele Personen diese Frage hätten beantworten können. In den folgenden Abschnitten erfahren Sie, weshalb eine Anonymitätsgrenze und eine Mindestteilnehmerzahl nicht zielführend sind, und worauf Sie stattdessen achten sollten, um bei der Ergebnis-Auswertung die Anonymität zu gewährleisten.

• Anonymität hängt nicht von der Antwortanzahl ab
• Anonymität gewährleisten: Handlungsempfehlung in 3 Schritten
• Warum eine starre Mindestteilnehmerzahl sogar schadet
• Der einzige Edge Case: Wo eine Mindestteilnehmerzahl tatsächlich sinnvoll sein kann
• Was die Wissenschaft dazu sagt
• Fazit 

Anonymität hängt nicht von der Antwortanzahl ab

• Die ACME Group hat die Abteilung A
• In dieser Abteilung arbeiten 100 Frauen. 
• Zwei Frauen aus Abteilung A nehmen an der Umfrage Teil

• Die ACME Group hat die Abteilung B
• In dieser Abteilung arbeiten 2 Frauen. 
• Alle Frauen aus Abteilung B nehmen an der Umfrage Teil
• Die Antworten der Gruppe „weiblich“ + “Abteilung B“ sind vermutlich nicht anonym.  

• Geschlecht + Alter + Standort
• Abteilung + Rolle + Führungsebene

Anonymität gewährleisten: Handlungsempfehlung in 3 Schritten

Als allererstes müssen die möglichen Grundgesamtheiten (also die tatsächlichen Gruppengrößen) ermittelt werden. Dies gilt in jedem Fall, auch unabhängig davon, ob ein Umfragetool irgendeine Form von „Mindestteilnahme“-Funktion anbietet.

Ganz konkret, hier eine mögliche Vorgehensweise:

Schritt 1: Identifizieren Sie die Fragen nach Quasi-Identifikatoren in Ihrem Fragebogen

Quasi-Identifikatoren sind die Merkmale, die Personen beschreibbar machen – also die Fragen nach soziodemographischen Merkmalen wie:

• Geschlecht 
• Alter
• Abteilung / Team
• Standort
• Rolle / Funktion
• Führungsebene
• Betriebszugehörigkeit

Schritt 2: Ermitteln Sie die Größe aller Gruppen, die diese Merkmale bilden

Für jedes Merkmal und jede Kombination dieser Merkmale gilt:

• Wie viele Personen gibt es insgesamt mit diesem Merkmal?
• Wie viele Personen fallen in jede Kombination? (z. B. Geschlecht + Standort + Alter)
   

Sie haben also die Gruppengrößen ermittelt und festgestellt, dass einige Kombinationen recht große Grundgesamtheiten ergeben (z. B. „männlich + 40–59“) und andere eher klein bleiben (z. B. „divers + Standort B“). Aber was ist klein und wann ist klein „zu klein“?

Leider gibt es keine universell feste Zahl, die immer sicher ist und die Anonymität gewährleistet. Das bestätigen sowohl Fachliteratur als auch aktuelle Studien.  Was es stattdessen gibt ist die Empfehlung, einen risikobasierten Ansatz zu wählen und individuell, anhand der Teilnehmerstruktur und der bekannten Daten bestimmte Größen festzusetzen. 

Wichtig ist hier keine starre Schwelle, sondern eine nachvollziehbare Entscheidung:

Kann sich eine Person in dieser Gruppe verstecken, oder steht sie faktisch alleine da?
 

Ob eine Gruppe anonym ist, hängt vom Kontext ab — von den Merkmalen, von der Struktur Ihrer Belegschaft und von möglichen Kombinationen. Eine feste, pauschale Mindestgröße kann dieses Risiko nie zuverlässig abbilden.

Schritt 3: Entfernen oder aggregieren Sie alle Gruppen unterhalb einer sinnvollen Mindestgröße

Sie haben bereits die Gruppen gebildet und deren Größe gebildet, bzw. sinnvolle Schwellenwerte festgelegt. Nun haben Sie viele Hebel, um die zu riskant kleinen Gruppen zu vermeiden und die Gesamtzahl der Gruppen zu reduzieren. 

1. Abgefragte Merkmale oder Ausprägungen reduzieren 

Prüfen Sie kritisch, welche Merkmale für die Analyse tatsächlich notwendig sind. Viele Fragebögen enthalten mehr soziodemografische Merkmale als für das konkrete Projekt benötigt – dadurch entstehen viele, sehr kleine Gruppen. 

Beispiel: „Rolle“ oder „Betriebszugehörigkeit“ können inhaltlich relevant sein, werden aber häufig einfach routinemäßig abgefragt, selbst wenn sie für die konkrete Fragestellung nicht benötigt werden oder nur sehr kleine Gruppen bilden.

2. Merkmale und Ausprägungen aggregieren – Gruppen vergrößern

Zusammengefasste Ausprägungen reduzieren die Anzahl möglicher Gruppen und vergrößern diese gleichzeitig. Bedenken Sie hierbei die potenziellen Maßnahmen, welche Sie aus Ihrem Umfrageprojekt ableiten können. Sind überhaupt Maßnahmen pro Alterskategorie 40-45 umsetzbar? Falls nicht, aggregieren Sie die Ausprägungen.

Beispiel: 

• Alter nicht in zehn Kategorien, sondern in drei breiten Bereichen abfragen. 
• Viele Standorte in Funktionsbereiche (Produktion, Vertrieb) oder regional (Nord-Ost, Süd) zusammenzufassen.
• Geschlecht auslassen, oder in 3 statt 5 Identitäten abfragen
   

3. Weniger sinnvoll: Reporting-Funktionen einschränken (keine Rohdaten, keine Filter) 

Reporting-Funktionen können zur Identifikation einzelner Personen führen (Stichproben, Rohdatenauswertung, Filtern nach..). Durch Einschränkungen im Reporting lassen sich solche Risiken vermeiden: Filterung oder Rohdatenauswertung lässt sich für Ihren Account deaktivieren. Aber dann erübrigen sich oftmals viele Fragen, bspw. nach dem Geschlecht in Mitarbeiterbefragungen, wenn es in der Auswertung ohnehin nicht sinnvoll differenziert werden kann.

4. Vermeintlich sinnvoll aber über Umwege doch nicht anonym

Beispiel: Eine Bedingung „Wenn Abteilung A, dann Frage nach Geschlecht überspringen“ soll kleine Gruppen schützen, führt jedoch zu neuen Risiken.

Über den Umweg „wer hat diese Frage nicht gesehen?“ lässt sich die Gruppe erneut eingrenzen – und damit potenziell identifizieren. 

Warum eine starre Mindestteilnehmerzahl (Ergebnisse ab X Antworten) sogar schadet

1. Eine <X Teilnehmer-Regel ist wissenschaftlich nicht begründet
   Es gibt keine Evidenz, dass das Unterdrücken kleiner Fallzahlen die Re-Identifikation tatsächlich verhindert. Und die Schwellen (z. B. 5, 7 oder 10) sind oft willkürlich gewählt, statt risikobasiert ermittelt.
2. Falscher Fokus: Zähler statt Nenner
   Die Größe der potenziellen Grundgesamtheit (der Nenner) bestimmt das Re-Identifikationsrisiko. Stattdessen orientieren sich starre Mindestteilnehmerzahlen ausschließlich am Zähler (Anzahl der Antworten) → das ist ein grundlegender konzeptioneller Fehler.
3. Sie führt zu unnötigem Datenverlust, schlechterer Datenqualität und Ausgrenzung
   Starre Mindestgrenzen blockieren Ergebnisse, selbst wenn kein reales Risiko besteht.

Beispiel:

Vier Personen geben eine Antwort > Das Tool verlangt fünf. > Ergebnis: Die Daten werden unterdrückt oder im schlimmsten Fall gelöscht.

Diese pauschale Unterdrückung erzeugt:

• Informationsverluste
• künstliche „Datenlöcher“
• schlechtere Auswertbarkeit
• reduzierte Aussagekraft
• ignorierte Stimmen und Ausgrenzung von Personen, deren gültiges Feedback nicht berücksichtigt wird

Besonders problematisch ist dies, wenn die Grundgesamtheit groß ist (z. B. 200 Mitarbeitende in einem Team). Denn dann wäre das Re-Identifikationsrisiko praktisch null – trotz nur 4 Antworten. 

Der einzige Edge Case: Wo eine Mindestteilnehmerzahl tatsächlich sinnvoll sein kann

Es gibt nur einen Sonderfall, in dem eine Mindestteilnehmerzahl eine Rolle spielt – und der gilt nur unter sehr engen Bedingungen. Eine Mindestteilnehmerzahl ist ausschließlich dann von Bedeutung, wenn alle folgenden Bedingungen erfüllt sind:

1. die Größe der Grundgesamtheit ist unbekannt 
2. die Größe der Grundgesamtheit wird nach der Umfrage bekannt
3. sie stellt sich im Ergebnis als sehr klein heraus
4. während oder nach der Umfrage tauchen Informationen auf, die diese kleine Gruppe identifizierbar machen könnten.

Ein Beispiel:

Zu Jahresbeginn wird eine Umfrage gestartet, die das ganze Jahr über geöffnet bleibt. Eine Frage lautet: „Haben Sie 2025 an einer externen Schulung teilgenommen?“

1. Vorab ist die Größe der Antwortgruppe unbekannt: Niemand weiß zu Beginn, wie viele Mitarbeitende im Laufe des Jahres eine Schulung besuchen werden. (Wenn man es wüsste, würde man das Risiko für die Anonymität einschätzen können. Und dann auf die Frage entweder verzichten, oder die Frage vom Rest abtrennen, oder aber auch normal stellen)
2. Nach Ablauf des Jahres ist die Information bekannt: nun weiß man, wie viele Mitarbeiter eine Schulung besucht haben. (Wenn man diese Information nicht hat, lassen sich auch nicht unbedingt Schlüsse auf die Personen ziehen)
3. Die Gruppe stellt sich als sehr klein heraus: Am Jahresende zeigt sich, dass nur eine einzige Person eine Schulung besucht hat. (Wenn diese Bedingung nicht erfüllt wäre, wenn also die Gruppe sehr groß wäre, dann wäre auch eine De-Anonymisierung nicht möglich)
4. Nachträglich eingegangene Informationen machen die Gruppe identifizierbar: Es wird intern bekannt, welche Person im Unternehmen eine Schulung absolviert hat. (ohne diese Information ist die Anonymität gesichert, unabhängig von den Restlichen Bedingungen)

Damit wäre die eine Person eindeutig identifiziert.

Doch statt mit Mindestteilnehmerzahlen zu arbeiten (die häufig falsch oder missbräuchlich eingesetzt werden), haben wir im LamaPoll-Tool eine andere Option implementiert: die Funktion „getrennte Auswertung“.
 

Wenn absehbar ist, dass am Ende wenige Personen eine bestimmte Antwortoption wählen könnten, kann diese Frage so eingestellt werden, dass sie vollständig getrennt vom Rest ausgewertet wird.  Damit stellen wir sicher, dass – selbst falls diese einzelne Antwort später identifizierbar werden sollte – der restliche Fragebogen anonym bleibt und nicht mit dieser identifizierbaren Antwort verknüpft werden kann.
 

In solchen Fällen ist jedoch auch zu prüfen, ob die Frage inhaltlich wirklich erforderlich ist oder ob die entsprechende Information bereits an anderer Stelle vorliegt. Wenn die Information anderweitig verfügbar ist, muss sie nicht zusätzlich über die Umfrage erhoben werden. Wenn sie dagegen nirgendwo sonst erfasst wird, ist die Frage unproblematisch – selbst dann, wenn später nur eine Person diese Antwortoption wählt.  

Was die Wissenschaft dazu sagt

1. Die bekannte „< X-Fälle-Regel“ ist nicht einmal „umstritten“, sondern nachweislich ungeeignet. Ein kleiner Auszug:

Die Studie „Less than five is less than ideal: replacing the ‘less than 5 cell size’ rule with a risk-based data disclosure protocol in a public health setting“ zeigt klar:

• Eine starre „kleiner X“-Grenze ist willkürlich, wissenschaftlich nicht belegt und bietet keinen zuverlässigen Schutz.
• Sie verhindert häufig unnötig die Auswertung und Veröffentlichung relevanter Daten.
• Moderne Ansätze in der Gesundheitsstatistik ersetzen diese Regel zunehmend durch risikobasierte Verfahren.

Wissenschaftlich fundierte Methoden wie k-Anonymität  , sowie deren Erweiterungen l-Diversity und t-Closeness zeigen ebenfalls: 

• Es geht nicht um die Anzahl der Personen
• Es geht um das Schutzprofil der Attribute
• Selbst kleine Gruppen sind nur dann riskant, wenn sie eindeutig bzw. einzigartig sind

Keines dieser Modelle arbeitet mit fixen Schwellen wie „5“.
 

2. Eurostat und Disclosure-Control-Leitfäden

Eurostat und internationale SDC-Richtlinien empfehlen ebenfalls keine festen Mindestfallzahlen. Stattdessen wird ein kontextabhängiger Ansatz gefordert:

• Bewertung des tatsächlichen Re-Identifikationsrisikos
• Einsatz gezielter Schutzmaßnahmen wie Aggregation oder Unterdrückung einzelner Zellen
• Kein allgemeingültiger Schwellenwert („magische Zahl“) für Mindestfallzahlen
   

3. Zentrale Erkenntnis

Wissenschaft und Statistik sind sich einig: Anonymität hängt wesentlich von der Größe der Grundgesamtheit und von vorhandenen Informationen ab – nicht von der Anzahl der Antworten. Datenschutz entsteht nicht durch eine fixe Teilnehmerzahl, sondern durch die Bewertung des tatsächlichen Offenlegungsrisikos. 

Fazit

Mindestteilnehmerzahlen erhöhen die Anonymität nicht – sie blenden nur Daten aus, erzeugen ein falsches Sicherheitsgefühl und vernichten wertvolles Feedback. Wissenschaftlich ist diese Mindestanzahl nicht begründet: Nicht die Zahl der Antworten entscheidet über Re-Identifikationsrisiken, sondern die Größe der zugrunde liegenden Gruppen.

Wer echte Anonymität gewährleisten will, muss deshalb nicht Antworten ausblenden, sondern die Grundgesamtheiten prüfen, Kleinstgruppen vermeiden, Merkmale sinnvoll aggregieren und unnötige soziodemografische Fragen weglassen. Etablierte, international anerkannte Datenschutzmethoden stützen diesen Ansatz: Anonymität entsteht durch kontextabhängige Bewertung und intelligente Datenaufbereitung – nicht durch starre Fallzahlregeln.

Mindestteilnehmerzahlen sind somit keine Schutzmaßnahme, sondern eine bequeme, aber wirkungslose Heuristik. Ein risikobasierter, methodisch sauberer Ansatz ermöglicht es dagegen, sowohl den Datenschutz zu wahren als auch die Stimme jeder Person sinnvoll in die Analyse einzubeziehen.

Jetzt Online Umfrage erstellen