Innere Sicherheit und deutscher Biedermeier

Just hat das Bun­des­ver­fas­sungs­ge­richt (BVG) ei­nem Eil­an­trag von 30.000 Bür­gern statt ge­ge­ben und das Ge­setz zur Vor­rats­da­ten­spei­che­rung ein­ge­schränkt, so dass le­dig­lich bei schwe­ren Straf­ta­ten auf die bei den Internet- und Mobilfunk-Providern für sechs Mo­nate ge­spei­cher­ten Da­ten zu­ge­grif­fen wer­den darf. Bis zur Haupt­ver­hand­lung des BVGs darf man ge­spannt sein, ob wei­ter­hin alle Verbindungs- und Po­si­ti­ons­da­ten un­be­schol­te­ner Bür­ger ge­spei­chert wer­den, ohne dass kon­krete Ver­dachts­mo­mente be­ste­hen. Ich finde es zu­tiefst be­un­ru­hi­gend, wie die rechtst­staat­li­che Prin­zi­pien der Ver­hält­nis­mä­ßig­keit und Un­schulds­ver­mu­tung nach der vom Par­la­ment be­schlos­se­nen Ras­ter­fahn­dung, Nummernschild-Speicherung auf Au­to­bah­nen und Vor­rats­da­ten­spei­che­rung nicht im Bun­des­tag ver­fas­sungs­kon­form ver­ab­schie­det, son­dern erst durch die höchste rich­ter­li­che In­stan­zen zu­recht­ge­rückt wer­den muss­ten. Es scheint, als zeige sich hier eine Schwach­stelle un­se­rer De­mo­kra­tie, die un­ter dem Vor­wand der Schaf­fung in­ne­rer Si­cher­heit gna­den­los aus­ge­schöpft wird. Die zur Recht­fer­ti­gung an­ge­führ­ten Ar­gu­mente in Be­zug auf eine ter­ro­ris­ti­schen Be­dro­hung, or­ga­ni­sierte Kri­mi­na­li­tät und Kin­der­por­no­gra­phie kann man als sol­che nicht leug­nen, so­dern viel­mehr fra­gen, ob eine ge­ne­relle Ver­däch­ti­gung al­ler Bür­ger zu ei­ner ge­fühl­ten Ver­bes­se­rung der Si­cher­heit bei­trägt, wenn man glei­cher­ma­ßen pri­mitve Be­dro­hungs­sze­na­rien auf­recht­er­hal­ten muss und eine Angst vor freier Mei­nungs­äu­ße­rung auf­kommt. Men­schen, die un­ter ei­ner stän­di­gen Be­ob­ach­tung ste­hen, ändern ihr Ver­hal­ten, pas­sen sich an, wer­den di­zi­pli­niert und hal­ten ihr Mei­nung zu­rück, um Kon­flikte mit ei­ner ima­gi­nä­ren Zen­sur zu vermeiden.

Viele fra­gen sich noch im­mer, was sie denn zu ver­ber­gen ha­ben. Es sind all die Sa­chen, die sie ei­nem Frem­den nicht er­zäh­len wür­den. Zum Bei­spiel: Te­le­fon­num­mern, Adres­sen, Krank­hei­ten, Be­zie­hun­gen, Hob­bys, Kon­to­num­mer, Vor­lie­ben, Mei­nung zu be­stimm­ten Sach­ver­hal­ten - also vor al­lem ge­set­zes­kon­forme Dinge, die je­doch nie­man­den et­was an­ge­hen, so­fern man es nicht selbst will. Als In­for­ma­ti­ker möchte nach­fol­gend ein paar tech­ni­sche Mög­lich­kei­ten er­klä­ren, wie man seine pri­vate und in­time Kom­mu­ni­ka­tion auf­recht­er­hal­ten kann und wie nicht. De­facto ist kaum be­kannt, wel­ches tech­ni­sches Know-How be­reit­steht, um aus Un­men­gen von Da­ten per­sön­li­che Pro­file her­zu­stel­len. Den­noch ist es auf kurz oder lang nur ein ver­zwei­fel­ter Ver­such staat­li­chen Re­pres­sio­nen aus dem Weg zu ge­hen und sich mit ei­nem pas­si­ven Wi­der­stand zu be­hel­fen und eine zweite deut­sche Bie­der­mei­er­zeit zu begründen.

An­onyme Sim-Karten:

Bis vor kur­zem war es noch mög­lich, an­onym, d.h. ohne sich mit Na­men und An­schrift re­gis­trie­ren zu müs­sen, prepaid-Karten für das Handy zu be­zie­hen. Ich fand die­ses An­ge­bot et­was an­rü­chig, da der In­ha­ber der Seite auch hin­ter den SYMYO-Prepaid-(billig)-Karten steht. In je­dem Fall ist diese Art des an­ony­men Ver­triebs laut des Te­le­me­di­en­ge­set­zes § 113 il­le­gal (im Aus­land kann man diese sim-Karten meist in je­dem Ki­osk kau­fen ohne auch nur ein Ster­bens­wört­chen zu ver­lie­ren). Den­noch mag es nicht we­nige Mög­lich­kei­ten ge­ben (Floh­markt, Ebay, Be­kannte, etc) an eine prepaid-Karte zu ge­lan­gen, die auf ei­nen an­de­ren Na­men re­gis­triert ist. Es ist je­doch eine Il­lu­sion zu glau­ben, da­mit voll­kom­men un­er­kannt te­le­fo­nie­ren zu kön­nen, da man diese Num­mer wohl kaum für sich be­hal­ten möchte: (1) Freunde wer­den deine Num­mer zu­sam­men mit dei­nem Na­men in ih­rem Te­le­fon­buch ab­le­gen; (2) dein Name wird ir­gend­wann mal in ei­nem Ge­sprä­che fal­len; (3) an­hand dei­ner Po­si­ti­ons­da­ten kann auf dei­nen Arbeits- und Wohn­ort und letzt­lich auf deine Per­son ge­schlos­sen wer­den; (4) deine Stimme ließe sich ana­ly­sie­ren und dir zu­ord­nen. Auch wenn durch die der­zei­tige Pra­xis der Vor­rats­da­ten­spei­che­rung le­dig­lich Punkt (3) ab­ge­deckt wer­den kann, so ist Punkt (2) und (4) tech­nisch ähn­lich ein­fach rea­li­sier­bar, wie Tar­get Ad­ver­tis­ments, was so­eben bei den Social-Networks und Internet-Service-Providern (Bri­tish Telecom) ein­ge­setzt wird. Ich frage mich nur, wie lange es noch dau­ern wird, bis Herr Schäu­ble mit die­sem Vor­schlag an die Öffent­lich­keit tritt. Als in­spi­rie­ren­des Bei­spiel könnte der Film "A Scan­ner Dark" die­nen. Ganz ne­ben­bei wäre dann auch die An­ony­mi­tät der gu­ten al­ten Te­le­fon­zelle passe.

Voice over IP

Wirk­lich sichere/annonyme Te­le­fo­nie ist im Fest­netz­be­reich mei­nes­wis­sens nicht mög­lich. Im Mo­bil­funk gibt es ei­nige we­nige Al­ter­na­ti­ven, doch wirk­lich stan­dar­di­siert ist die Ver­schlüs­se­lung von Ende-zu-Ende-Verbindungen nur in Voive-over-IP Pro­gram­men wie Skype, Gizzmo-Project und an­de­ren. Da der Quell­code von Skype nicht frei ver­füg­bar ist, be­zwei­fele ich je­doch das Feh­len von Hin­ter­tür­chen für x-belibige Be­hör­den oder Fir­men. In je­dem Fall ist es gut zu hei­ßen, dass die Be­nut­zung die­ser Dienste keine wahr­heits­ge­mäße Re­gis­trie­rung er­for­dert. Glei­ches gilt auch für die Kom­mu­ni­ka­tion in­ner­halb von Online-Spielen und di­ver­ser In­stant Mes­sa­ging Dienste.

WLAN Hot­spots:

Mit dem ei­ge­nen Rech­ner in ei­nem of­fen oder ver­schlüs­sel­ten WLAN zu sur­fen mag be­quem, doch bei wei­tem nicht si­cher sein. Es ob­liegt dem Be­trei­ber des Hot­spots, ob er den ge­sam­ten Daten­ver­kehr auf­zeich­net oder nicht. Ab­so­lute Si­cher­heit hat man in­so­fern nur, wenn man ver­schlüs­selte E-Mails ver­sen­det oder auf SSL-verschlüsselte Web­sites zu­greift. Auch wenn man sich vor der Be­nut­zung des Hot­spots nicht aus­wei­sen muss, hin­ter­lässt man seine Spu­ren. Bei­spiels­weise wird die welt­weit ein­deu­tige MAC-Adresse der Netz­werk­karte bei je­der TCP/IP-Verbindung (oder auch UDP) mit­ge­sandt. Die MAC-Adresse ist (ein­fach ge­sagt) ein Be­stand­teil der Ver­bin­dungs­da­ten und wird des­halb im Rah­men der Vor­rats­da­ten­spei­che­rung eben­falls für den Zeit­raum von sechs Mo­na­ten ge­spei­chert. Kennt man die MAC-Adresse ei­nes Ver­däch­ti­gen, so könnte bei ver­schie­de­nen In­ter­net­pro­vi­der, wel­che die Ver­bin­dungs­da­ten ja spei­chern müs­sen, nach­fra­gen, von wel­cher Te­le­fon­num­mer der Ver­däch­tige mit sei­nem Lap­top on­line ge­gan­gen ist - sprich: man könnte dar­über hin­aus so­gar ein Be­we­gungs­pro­fil er­stel­len. Das klappt na­tür­lich nur, wenn der Be­tref­fende in die­ser Zeit seine MAC-Adresse nicht ge­än­dert hat. Nicht jede Netz­werk­karte lässt sol­che Ände­run­gen zu, wenn doch, dann ist es sehr ein­fach.
Auf die viel­fa­chen Va­ri­an­ten il­le­gal Zu­gang zu halb-offenen WLANs zu be­kom­men, möchte ich jetzt hier mal nicht eingehen.

In­ter­net­ca­fes:

Der­zeit ist es noch nicht Vor­ge­schrie­ben sich in In­ter­net­ca­fes aus­zu­wei­sen und an­ony­mes sur­fen theo­re­tisch mög­lich. Ebenso, wie bei den Hot­spots solte man sich der Tat­sa­che be­wusst sein, dass der Be­trei­ber nicht nur den un­ge­si­cher­ten Daten­ver­kehr pro­to­kol­lie­ren kann, son­dern auch all das, was man in die Tas­ta­tur ein­häm­mert. Ins­be­son­dere Pass­wör­ter für E-Mail Post­fä­cher und das On­line­ban­king ob­liegt die­ser Ge­fahr. Hie­sige Ban­ken glau­ben sich der­zeit durch Spam-Schutz-Abfragen vor dem Pfis­hing zu schüt­zen, an­statt eine vir­tu­elle Tas­ter­tur an­zu­bie­ten, de­ren Zif­fer­n­an­ord­nung ra­do­mi­siert ist (siehe Banko de Credito del Peru vor­macht.

Auf­grund der rie­si­gen Daten­menge, die über ein hal­bes Jahr hin­weg an­fällt, ist auch gut vor­stell­bar, dass al­lein der Be­such be­stimm­ter In­ter­net­sei­ten si­gni­fi­kat auf eine Per­son hin­wei­sen kann. Das häu­fige Wech­seln des In­ter­net­ca­fes bringt des­halb auch nicht so viel.

An­ony­mi­sie­rungs­tools:

Werk­zeuge, wie Tor oder I2p ma­chen nur wirk­lich Sinn, wenn man sich auf SSL-verschlüsselten Sei­ten be­wegt. An­sons­ten ver­zö­gern sie die Daten­über­mitt­lung der­art, dass sie als un­prak­ti­ka­bel gel­ten so lang nicht ge­nü­gend Leute in der un­mit­tel­ba­ren Um­ge­bung ei­nen Tor-(Exit-)Node be­trei­ben. Wer nun wie­derum eine Reihe sol­cher Exit-Nodes be­treibt, ist in der Lage die IP-Verschleierung auf­zu­de­cken. Ich glaube nicht, dass Ge­heim­dienste dies nicht schon längst tun. Ebenso kann da­von aus­ge­gan­gen wer­den, dass die Da­ten, die durche in Tor-Netzwerk wan­dern, von be­son­de­ren In­ter­esse sind, denn of­fen­bar hat dort je­mand was zu ver­heim­li­chen, weil eben nicht so viele Leute kon­se­quent Tor ein­set­zen.
Ähn­lich wie bei der Stimm­ana­lyse ist es bis­wei­len auch mög­lich in­di­vi­du­elle Schreib­stile in Fo­ren, Blogs, etc ei­ner Per­son zu­zu­ord­nen. Sprich: die ganze Ver­schlüs­se­lung hat kei­nen Sinne, wenn man sich dann durch seine le­xi­ka­li­sche Hand­schrift verät.

E-Mail

ich kann es nicht oft ge­nug wie­der­ho­len: her­kömm­li­che ver­sen­dete E-Mails sind un­ge­fähr so ver­trau­lich, wie eine Post­karte. Beim Ver­sandt ei­ner E-Mail vom Sen­der zum Emp­fän­ger durch­läuft die Nach­richt eine Viel­zahl von Rech­nern im welt­wit größ­ten Com­pu­ter­netz­werk - dem In­ter­net. Auf je­dem die­ser Rech­ner kann die ge­sen­dete Nach­richt im Klar­text ge­le­sen wer­den - ebenso wie eine Post­karte. Diese lässt sich ver­mei­den, in dem In­halt der E-Mail ver­schlüs­selt wird. Nur der Sen­der und der Emp­fän­ger ken­nen den Schlüs­sel, der es er­mög­licht die Nach­richt im Klar­text zu le­sen, al­len an­de­ren zeigt sich ein wüs­tes Buchstaben- und Zah­len­ge­wirr. Lei­der wen­det kaum je­mand die vor­han­de­nen ver­fah­ren zu Ver­schlüs­se­lung an.

Briefe und Pakete:

Ab­ge­se­hen da­von, dass eine mil­lio­nen­fa­cher Bruch mit Brief­ge­heim­nis durch die Aus­wer­tung von Brief- und Pa­ket­sen­dun­gen be­reits in den mi­nis­te­ria­len Schub­la­den schlum­mert, gilt die­ser Weg noch als si­cher. Insebseon­dere dann, wenn die darin be­find­li­chen Da­ten ko­diert und ve­schlüs­selt (als ul­tra slim USB-Stick, Fest­platte) sind.