Vortrag: Förderverein der Wölfersheimer Schulen "Schüler und neue Medien"

Die letzten Jahre habe ich die Vorträge im Rahmen von elan angeboten, dieses Jahr im Namen des Fördervereins der Wölfersheimer Schulen, in dem ich Schriftführer bin. Zu den Themen "Datenschutz", "Privatsphäre" und "Digitale Selbstverteidigung" schreibe ich seit langem und halte Vorträge bzw. Videokonferenzen, z.B. hier und hier zum Nachlesen.

 

Zum Schuljahresbeginn ein wichtiger Informationsvortrag zum Thema „Umgang mit neuen Medien“ für alle Eltern an, deren Kinder ein Smartphone bekommen sollen. Der Vortrag kann bequem als Videokonferenz verfolgt werden. Er enthält einen Überblick über die Risiken und die Möglichkeiten, denen die Kinder und Jugendlichen mit dem „Internet in der Hosentasche“ begegnen. Begriffe wie TikTok, WhatsApp, In-App-Käufe, Soziale Netzwerke, Mobbing, Sexting, Grooming werden ebenfalls besprochen.

 

Nach dem Vortrag können gern Fragen gestellt werden.

 

Dieser kostenlose Vortrag ist eine Informationsangebot des Fördervereins der Wölfersheimer Schulen. 

 

Der Termin: 30.08.2022 19.30 Uhr-21.30 Uhr

Einloggen über: senfcall.de

Hier klicken für einen Kalendereintrag!

Wir freuen uns über Ihre Teilnahme!

Thomas Seeling

Förderverein der Wölfersheimer Schulen

In eigener Sache: Vorträge über Internet und Datenschutz

Ich schrieb ja schon mehrmals, dass ich an Schulen Vorträge über Datenschutz, Privatsphäre, Soziale Netzwerke, "Digitale Selbstverteidigung" usw. halte und damit auf Einladung durch Klassen und Elternabende tingele (im Moment natürlich eher nicht). Meine alten Blogartikel gibt es hier, hier, hier, hier und hier.

Im Rahmen von elan ("Eltern schulen aktive Eltern") biete ich dieses Jahr zwei meiner Vorträge auch online als Videokonferenz an.

Genau wie die "live" Vorträge in Schulen ist auch die Online-Variante kostenlos.

Anmeldung geschieht über das staatliche Schulamt des Wetteraukreises (s.u.).

Lehrer, die an diesen Vorträgen teilnehmen, können mit der Akkreditierungsnummer (VA ...) eine Teilnahmebescheinigung bekommen.

Ich würde mich sehr über Interessenten freuen, die diese Vorträge von mir übernehmen und selbst halten möchten.

Alle Vorträge finden von 19.30 bis ca. 21.30 Uhr statt. Im Anschluss an die Vorträge können Fragen gestellt werden, die ich nach bestem Wissen und Gewissen beantworten werde :-)

Schüler und neue Medien
17.02.21 (VA.-Nr. 510 650 63)
19.05.21 (VA.-Nr. 510 650 74)
16.06.21 (VA.-Nr. 510 650 77)

Der Vortrag richtet sich an Eltern, die darüber nachdenken, ein Smartphone für ihr Kind anzuschaffen.
Er bietet einen Überblick über das Internet in der Hosentasche und die Möglichkeiten und Risiken, denen Kinder und Jugendliche begegnen.
Auch Begriffe wie TikTok, WhatsApp, In-App-Käufe, Soziale Netzwerke, Mobbing, Sexting, Grooming werden besprochen.
Zielgruppe: Eltern von Schülern ca. 2./3./4. Klasse, natürlich alle anderen Eltern genauso willkommen!

Dieser Vortrag ist nicht besonders technisch und bietet einen Überblick, anhand dessen eine persönliche Vertiefung leichter fallen sollte.
 

Digitale Selbstverteidigung (zweiteilig wegen Umfang)
17.03.2021 Teil 1 (VA.-Nr. 510 652 49)
21.04.2021 Teil 2 (VA.-Nr. 510 652 49)

Wie funktioniert das Internet?
Ein Überblick über die Gefährdungslage durch private und staatl. Stellen.
Ein tieferer Blick auf die Datensammlung für gezielte Werbung.
Wie benutzt man Facebook und andere Soziale Netzwerke – ohne gleich alles über sich preiszugeben?
Gegenmaßnahmen im Browser, im Emailprogramm und Tipps für das eigene Verhalten.
Zielgruppe: Schüler ab ca. 7./8. Klasse und Eltern

Dieser Vortrag ist sehr umfangreich und wird deshalb in zwei Teilen angeboten, damit am Ende jedes Teils noch eine sinnvolle Diskussion möglich ist.

 

Anmeldung mit Nennung von Titel, Datum, Mail-Adresse und vollständigem Namen bitte an:
Fortbildung.SSA.BadVilbel@kultus.hessen.de
Staatliches Schulamt für den Hochtaunus- und Wetteraukreis
Konrad-Adenauer-Allee 1-11
61118 Bad Vilbel / Dortelweil
Tel.: 06101 - 5191 600

Ihre Anmeldung ist verbindlich. Bitte informieren Sie uns umgehend, falls Sie an der Veranstaltung nicht teilnehmen können.Damit wir Ihnen die entsprechenden Zugangsdaten vor der Veranstaltung übermitteln können, ist es notwendig, dass Sie bei der Anmeldung eine regelmäßig von Ihnen genutzte Emailadresse angeben.

"Die Expertin" schreibt in der WZ über lästige Updates - Leserbrief

Die WZ hat am Samstag einen Stellenmarkt, und auf der Frontseite gibt es Glossen mit Tipps über alle möglichen Themen. Letzten Samstag erschien dort eine Glosse, in der ein Karriere-Coach sich darüber auslässt, wie lästig und unnötig Softwareupdates seien. Ich sah rot ...
[veröffentlicht am 24.09.19]

Leserbrief zur Glosse "Die Expertin"

In der Samstagsausgabe gibt es in der Rubrik "Stellenmarkt" eine Glosse mit dem Titel "Die Expertin".

Dort verfasste Tjalda Hessling am 07.09. einen Beitrag über lästige Updates auf ihrem Smartphone.

Der gesamte Inhalt dieses Beitrags zeigt nur eins: Frau Hessling mag eine Expertin auf vielen Gebieten sein, aber sie ist sicherlich nicht kompetent, über Sicherheit von Smartphones oder Computern zu schreiben.

Durch den ganzen Artikel zieht sich der Widerwillen gegen Updates, gepaart mit der schrägen Behauptung, dass bei Updates jedes Mal Geburtsdatum, Emailadresse oder andere persönliche Daten abgefragt werden. Das Gegenteil ist der Fall. Die Updates für das Betriebssystem kommen vom Hersteller des Smartphones, die Updates für Programme aus dem Appstore oder Playstore. Dort wird ganz sicher nicht (mehr) nach persönlichen Daten gefragt - die Nutzung geschieht mit dem angemeldeten Konto des Besitzers ohne weitere Nachfragen. Solche neugierigen Fragen könnten durchaus von einem Trojaner stammen, der durch ein nicht upgedatetes Handy ein bequemes Einfallstor ins Telefon gefunden hat.

Im Gegensatz zu Frau Hessling arbeite ich seit vielen Jahren in der Branche und bin überzeugt davon, dass regelmäßige Updates das wichtigste Bollwerk gegen Schadsoftware sind, und zwar noch weit vor der Nutzung eines Antivirusprogramms.

Die Nichtanwendung von Updates führt dazu, dass das Smartphone zur tickenden Zeitbombe wird, die mit zunehmendem Alter immer anfälliger gegen Viren und Trojaner sind.

Kürzlich tickerte eine Meldung durch die einschlägigen Nachrichtenportale, dass es Sicherheitslücken beim iPhone gibt, die beim schlichten Besuch einer Webseite das Gerät infizieren können.

Es ist wichtig, nicht nur beim Smartphone, sondern auch beim heimischen PC, dass die Programme und das Betriebssystem, sei es Windows, Linux, Android oder Apple iOS, immer so aktuell wie möglich gehalten werden. Es ist deswegen auch ratsam, beim Kauf eines Gerätes in die Entscheidung mit einzubeziehen, ob und wie oft Updates geliefert werden. Apple ist hier erfreulich zuverlässig, langfristig (3 bis 5 Jahre) Updates auch für ältere Geräte zu liefern. Bei Android sieht es leider schlimm aus: hier stechen nur wenige Hersteller positiv heraus, und auch das nur für ausgewählte Geräte. Leider kalkulieren die Handyhersteller gerade im preiswerten Segment ohne Updatekosten. Hier kauft man ein Gerät, das im Laufe seines Lebens nie wieder ein Update erhalten wird. Man sollte lieber ein klein wenig mehr Geld ausgeben für die Gewissheit, dass kein Bankingtrojaner heimlich Daten abgreift oder Überweisungen manipuliert. Halbwegs regelmäßig liefern nach eigenen Erfahrungen Google (für die hauseigenen Pixelmodelle), Samsung, Motorola und Nokia Updates aus. Fragen Sie vor dem Kauf eines bestimmten Modells!

Für Frau Hessling habe ich zum Schluss die Empfehlung, dass sie sich bei ihren Glossen auf die Themen beschränken sollte, für die sie tatsächlich kompetent ist. Mit solchen merkwürdigen Seitensprüngen gefährdet sie alle Smartphone-Besitzer, die ihre Ausführungen für bare Münze nehmen und nun auf Updates verzichten wollen.

Datenklau und digitale Selbstverteidigung

Zum Datenklau vor einigen Wochen habe ich mir einige allgemeinere Gedanken gemacht und als Leserbrief aufgeschrieben. Leider ist mir bei den Links zu meinem Blog ein Fehler passiert: es wurde zweimal dieselbe URL abgedruckt. Hier im Blog ist es natürlich korrigiert.
[abgedruckt am 22.01.2019]

Der letzte Woche bekannt gewordene "Datenklau" verursacht bei den Betroffenen zu Recht große Empörung.

Hier werden private Informationen bekannt gemacht und die Opfer fühlen sich gefährdet.

Wer sofort nach den ersten Pressemeldungen schon Schuldzuweisungen zu treffen wagte, ob es nun staatliche Hacker aus China, Russland, Nordkorea oder anderen Ländern wären, schmückt sich zu Unrecht mit dem Titel "Experte". Im Internet ist es unglaublich einfach, falsche Fährten zu legen und in seinen Datenpaketen als Herkunft ein beliebiges Land vorzutäuschen. Am Ende war es dann ein Scriptkiddie aus Homberg. Oder vielleicht doch nicht?

Abgesehen davon finde ich die Reaktionen auf die Veröffentlichung der Daten sehr interessant.

Es hängt offensichtlich davon ab, wer betroffen ist. Der Staat und Firmen bedienen sich ganz ungeniert an persönlichen Daten und wollen immer mehr davon. Es wird gesammelt, was das Zeug hält, und wenn es nicht ausreicht, werden neue Gesetze und technische Möglichkeiten verlangt und geschaffen, wie z.B. die seit Jahren vom Bundesverfassungsgericht immer wieder abgelehnte Vorratsdatenspeicherung oder die Pkw-Maut. Aber andererseits müssen nur "ein paar Prominente" betroffen sein, und schon laufen die Sicherheitsbehörden Amok und das Harmloseste ist noch die Behauptung, dies wäre ein "Angriff auf die Demokratie".

Wer jetzt immer noch auf dem Standpunkt steht, er habe "nichts zu verbergen", sollte mal ganz genau hin schauen, wie die "Prominenten" jetzt eine Welle der Empörung vor sich her schieben. Natürlich hat jeder etwas zu verbergen. Es ist ganz normal, wenn man seine Privatsphäre für sich behalten will.

Nach bisherigem Stand wurde nicht bei Anbietern "eingebrochen" und abgeschöpft, sondern schlicht und einfach schlechte Passwörter geknackt oder erraten, um einzelne Daten von Benutzern abzugreifen.

Daraus sollten wir als Gesellschaft und Computernutzer mehrere Lehren ziehen:

• nur Daten, die nicht im Internet sind, sind gute Daten ("think before you post").
• wenn Daten denn unbedingt im Internet sein sollten, dann so wenig wie möglich davon (Datensparsamkeit).
• Jede Datensammlung weckt Begehrlichkeiten und die Möglichkeit zum Diebstahl und Mißbrauch. Wehren wir uns als Gesellschaft weiterhin gegen die Vorratsdatenspeicherung! Auch der Staat darf nur die Daten besitzen, die unbedingt nötig sind (und nicht auf Vorrat).
• Daten liegen im Internet auf fremden Computern ("Cloud"), denen wir nicht vertrauen dürfen.
• Kommunikation sollte immer verschlüsselt sein.
• Nicht auf Links in Emails oder im Chat klicken.
• Passwörter möglichst lang und nicht erratbar wählen (keine Haustiere, Geburtstage, Kosenamen). Die Faustregeln über Sonderzeichen und das regelmäßige Wechseln sind Humbug. Länge ist Trumpf.
• Alle Geräte müssen aktuelle Software verwenden. Wer jetzt noch Windows XP oder ein Smartphone mit Android 4 oder 5 verwendet, spielt mit dem Feuer.

Mehr Tipps zur Sicherheit in meinem Blog: hier und hier

Die Cyberwehr - Leserbrief

In letzter Zeit wird die Vorsilbe "cyber" immer wieder ge- und mißbraucht. Niemand weiß so richtig, was damit ausgedrückt werden soll. Erfunden hat diesen Begriff William Gibson für seine Bücher über virtuelle Realitäten und hat damit Kinofilme wie "Matrix" inspiriert. Echte Programmierer(tm) machen sich seit langem über diesen Begriff lustig und verwenden ihn mittlerweile massiv satirisch überzeichnet selbst für reale Ereignisse ("hacker terror cyber cyber") oder als Hinweis auf überschießende politische oder mediale Berichterstattung.

In letzter Zeit wird dieser Begriff immer mehr verwendet, wenn der Autor keine Ahnung von Computern hat, aber trotzdem modern wirken will. Leider schließt sich die Wetterauer Zeitung diesem Trend an und veröffentlicht Glossen über die geplante Bundeswehrtruppe zur digitalen Kampfführung und Abwehr, die etwas spöttisch als "Cyberwehr" bezeichnet wird. Ich habe meine Zweifel, dass daraus irgend etwas werden wird.

Leserbrief zu Glossen Hr. Junginger, 06.04.17, und Fr. Spiller, 12.04.17

Fr. Spiller macht sich lustig und packt alle Vorurteile über Computerspezialisten aus, die ihr einfallen. Leider ist kein einziges davon witzig oder auch nur ansatzweise in der Lage, das Thema zu streifen. Im Gegenteil sorgt Fr. Spiller mit ihren hämischen Bemerkungen dafür, dass sich die Vorurteile über "Nerds" weiter verfestigen. Hr. Junginger zitiert ominöse "Experten", die angeblich seit Jahren vor den Gefahren des Internets warnen. Leider liefert er keinerlei Belege, welche Experten welche Gefahren befürchten.

"Hacker dringen in Atomkraftwerk ein", befürchtet Hr. Junginger. Und dagegen soll uns die neue Cybertruppe der Bundeswehr schützen? Wie wäre es, wenn man ganz einfach die kritische Infrastruktur nicht ans öffentliche Internet anschließt? Oder wenn man es doch tut – warum auch immer – dann wenigstens richtig Geld für Fachleute in die Hand nimmt, um eine solche Verbindung abzusichern? Dazu braucht es keine Bundeswehr - das BSI hat eigentlich schon genug Empfehlungen auf Lager. Man sollte nur anfangen, sie fachkundig umzusetzen.

Die "Gefahren" im Internet entstehen nach meiner Meinung gerade und hauptsächlich durch die "nation-grade attackers", also die staatlich gut finanzierten Hacker der Geheimdienste und Behörden, die den Markt für unveröffentlichte Sicherheitslücken befeuern, indem sie Umsummen zahlen, die Hersteller aber nicht informieren. Dadurch wird die Zivilgesellschaft als Ganzes unsicherer. Das FBI zog kürzlich sogar eine Anklage gegen einen mutmaßlichen Pädophilen zurück, um nicht vor Gericht das Abhörwerkzeug offenlegen zu müssen. An diesem Beispiel sieht man besonders krass, dass es definitiv nicht um den Schutz der Gesellschaft vor Verbrechern und Hackern geht, sondern um Macht und darum, sie nicht aufzugeben.

Aber hauptsächlich das Geld ist das Problem. Die Industrie zahlt vernünftige Gehälter für gute Leute. Die "Cyberwehr" bezahlt vermutlich stur nach Bundesbesoldungsordnung, für einen Leutnant also A9 mit ca. 2.800 € brutto pro Monat. Das ist vergleichbar mit einem Lehrer. Das Anfangsgehalt in der Industrie für einen Informatiker direkt nach Ende des Studiums liegt bei ca. 4.000 € mit extrem guten Entwicklungsmöglichkeiten.

Seit kurzem wird es auch immer moderner, Alltagsgegenstände mit Internetanschluss zu versehen, vom Kühlschrank über Stromzähler bis hin zu Fernsehern, Autos und Vibratoren (kein Scherz!). Diese Geräte werden unter massivem Kostendruck produziert und der Hersteller kümmert sich nach der Markteinführung nicht mehr um Software-Updates. Hier ist die Gesetzgebung gefragt, den Firmen eine Pflicht zu Updates oder ein einprogrammiertes Verfallsdatum aufzugeben, um unsichere Produkte zu verhindern. Die Selbstregulierung funktioniert nicht. Die meisten Konsumenten wollen das billigste Gerät kaufen und verstehen die Notwendigkeit von Software-Updates nicht. Die Hersteller in China kümmern sich nicht um Sicherheitslücken, weil sie keinerlei Nachteile zu befürchten haben oder diese Lücken sogar gewollt oder geduldet werden. Wenn hier der Gesetzgeber nicht eingreift, wird das Desaster noch eine Größenordnung schlimmer als bei den billigen Android-Smartphones ohne Updatemöglichkeit.

Ursprünglich wurde das Internet dezentral entworfen, um einen Atomkrieg zu überstehen. Aber jedes Netz hat Kapazitätsgrenzen, und wenn jetzt mit Macht Milliarden Geräte der Kategorie "Internet of Things" auf den Markt kommen, wird das Internet demnächst von intelligenten Toastern zerstört, die jemand gehackt hat. Aber bei alldem hilft uns keine unterbezahlte Cyberwehr, die freitags um 14.00 Uhr nach Hause geht. Hier hilft nur ein Paradigmenwechsel in der gesamten Software-Industrie hin zum "Security by Design" mit rigorosen Tests und Zulassungsvorschriften inklusive Zwang zur Update-Garantie. Und da muss die Gesetzgebung schneller werden. Eine unterbezahlte Cyberwehr ist nicht die Lösung, sondern nur zielloses Herumdoktern an den Symptomen.

Politwochs die Daten löschen - Leserbrief

Immer wieder mittwochs kommt ein Kommentar, der irgend ein Geschehnis der letzten paar Tage aufgreift und versucht, einen neuen Aspekt zu finden. Traditionell endet diese Kolumne dann mit "aber nicht politwochs" - manchmal soll das resigniert klingen, manchmal ironisch, und manchmal versteht man nicht, was der Autor damit ausdrücken will.

Genauso ist mir das letzten Mittwoch gegangen, als der Chefred. über das Datensammeln schrieb und am Ende hoffte, dass "irgendwie" die Möglichkeit besteht, dass man seine ihn betreffenden Daten löschen könnte. Wirklich verstanden habe ich nicht, was er eigentlich aussagen wollte, und das hab ich dann als Leserbrief geschrieben.

Lieber Herr Bräuning,
Ihre "politwochs"-Kolumne lässt mich etwas ratlos zurück.
Abgesehen vom Schreibfehler bei der Vorsilbe "Tera" (und nicht "Terra") verstehe ich nicht ganz, wofür oder wogegen genau Sie nun sind.

Außerdem haben Sie die größten Datenstaubsauger gar nicht erwähnt: die Geheimdienste, insbesondere die aus dem englischsprachigen Ausland, die sich einbilden, dass sie das gesamte Internet in Echtzeit überwachen müssen, um dann mit Drohnen ganze Hochzeitsgesellschaften zu töten.

Die "Profile", von denen Sie sprechen, werden mit höchster Aufmerksamkeit auch von Lebensversicherungsunternehmen erhofft und nicht nur von den Krankenversicherungen. Natürlich würde das niemand so deutlich sagen, ist ja klar. Aber gewünscht wird es, um vorherzusagen, mit welcher Wahrscheinlichkeit jemand krank wird oder bei einer gefährlichen Sportart einen Unfall erleidet. Es ist ja jetzt schon so weit gekommen, dass es Rabatte gibt, wenn man ein Fitness-Armband trägt und die Daten der Versicherung zur Verfügung stellt, oder die Kfz-Versicherung billiger wird, wenn man dem Einbau einer Blackbox zur Überwachung zustimmt.

Die amerikanische Versicherung Aetna bezuschusst die Apple-Watch im Austausch gegen die Daten. Auch die Autohersteller mit internetfähigen Autos und Bordcomputern tragen zu diffusem Unbehagen bei, wenn sie Daten sammeln und nicht offenlegen, wie diese Daten verwendet werden.

Warum z.B. Mercedes im 2-Minuten-Takt die GPS-Position, den Kilometerstand, den Verbrauch und Reifendruck an den Hersteller meldet und im Wagen die Zahl der Gurtstraffungen speichert, als Indiz für starkes Bremsen, ist fragwürdig, aber der Zweck ist ganz offensichtlich.

Ehrlich gesagt traue ich den von Ihnen ebenfalls erwähnten Firmen wie Google und Amazon noch eher als den eben erwähnten Versicherungen und Autoherstellern. Bei Google arbeiten Ingenieure, die etwas von "Security by Design" verstehen. Das kann man z.B. von der Autoindustrie nicht behaupten, wie z.B. die Berichte über Chrysler und BMW im letzten und in diesem Jahr erschreckend eindrucksvoll belegen.

Tendenziell kann ich Ihnen aber zustimmen, sofern ich die Bemerkung über das Löschen Ihrer Daten richtig verstanden habe. Es ist im Sinne der freien Entfaltung der Persönlichkeit und der Meinungsfreiheit nicht wünschenswert, dass Firmen und Staaten unkontrolliert Daten aus verschiedenen Quellen sammeln und daraus Schlussfolgerungen ziehen. Ich habe aber ehrlich gesagt wenig Hoffnung und vermute, dass dies schon lang geschieht und nur niemand darüber reden will. Wir sind definitiv auf dem Weg zu einer Gesellschaft, die die schlechtesten Dystopien aus "1984" und "Brave new world" vermengt.

Hintertüren in Software - Leserbrief

Im Moment macht der Innenminister mal wieder heiße Luft im Blätterwald mit der Forderung, staatliche Hintertüren in Software einzubauen, z.B. in Smartphones. Die Idee finde ich so blöd, dass ich einen Leserbrief dazu schrieb.
Bezeichnend für die politische Grundhaltung der WZ ist die Kürzung (so markiert).
[Veröffentlicht am 03.09.2016]

Unser Innenminister de Maizière fordert also mal wieder, dass Softwarehersteller Hintertüren in ihre Produkte einbauen sollen.

Diese Hintertüren gibt es schon lang: man nannte sie bislang Sicherheitslücken, die durch schlechte Programmierer entstanden sind.
Für Sicherheitslücken gibt es seit Jahren einen Markt, auf dem sich private Bösewichte genauso tummeln wie Staaten.
Nur mal so als Stichwort eine der erschreckenden Tatsachen dieses Marktes: Lücken, die einem Schädling das dauerhafte Einnisten in ein Gerät ermöglichen, d.h. auch einen Neustart des Geräts überstehen, werden mit Summen ab 100.000 Dollar gehandelt.

Aus der aktuellen Debatte über die "Pegasus"-Sicherheitslücke in iPhones (technisch eine schlaue Kombination von vier Lücken), auf die Apple vorbildlich in nur 10 Tagen reagiert hat und nun iOS 9.3.5 verteilt, lernen wir Folgendes:
Sicherheitslücken sind eine ganz schlimme Sache, die so schnell wie möglich behoben werden müssen, weil (natürlich) nicht nur die "Guten" sie ausnutzen, sondern ganz schnell auch die Bösen. Hier bricht ironischerweise die Klassifizierung zusammen: die "Bösen" sind in diesem Fall vermutlich ein Staat, dem der angegriffene Aktivist ein Dorn im Auge war, und die halten sich selbst natürlich wiederum für die "Guten". Alles ist relativ.

Wenn nun sogar noch bekannte Sicherheitslücken in die Geräte eingepflanzt werden (eben die von de Maizière geforderten Hintertüren), dann werden schlagartig alle unsere elektronischen Geräte gefährlich. Man muss nämlich nicht mehr aktiv nach Sicherheitslücken forschen und herausfinden, wie man durch die Kombinationen mehrerer Lücken sein Ziel erreicht, sondern es reicht, den einen Mitarbeiter eines Geheimdienstes oder des Softwareherstellers zu bestechen oder zu bedrohen, damit er die Details der Hintertür weitergibt. Es gibt keine Hintertür, die nur für die "Guten" existiert.

Wer würde denn so eine Hintertür einbauen? Der Hersteller natürlich. Und so, wie ich große Firmen kenne, wird so eine Hintertür dann in etwa 300 Software-Entwicklern bekannt sein. Die sitzen in einem Land, das nicht der deutschen Rechtsprechung unterworfen ist. Man kann sich ausrechnen, wie "sicher" so ein Produkt sein kann.

Besonders schlimm: Geheimdienste wie der amerikanische NSA sitzen mitunter jahrelang auf dem Wissen über Sicherheitslücken (sogenannte "zero day exploits", also Lücken, die ausgenutzt werden, aber dem Hersteller nicht bekannt sind), weil sie sich einbilden, die einzigen mit dieser Kenntnis zu sein. Aber natürlich ist es nicht so: wenn ein Geheimdienst eine Lücke finden oder kaufen kann, ist dies jedem anderen Bösewicht ebenso möglich. Das Zurückhalten solcher Kenntnisse gefährdet also uns alle, bei fraglichem Nutzen über eine zukünftige Gelegenheit, die vielleicht sogar nie kommen wird.

Genau das ist das Perfide an dieser Pseudo-Diskussion: Politiker fordern etwas, von dem sie nichts verstehen, und wovon jeder Sicherheitsforscher abrät. Aber die Forderung selbst, untermauert von populistischen Begründungen wie Terrorbekämpfung, steht im Raum und wird wieder und wieder diskutiert, bis der Widerstand erlahmt. Aber der mögliche Nutzen steht in keinem Verhältnis zum definitiven Schaden für alle, wenn so ein Quatsch in ein Gesetz gegossen wird.

Die Sicherheit vor elektronischen Schädlingen wäre höher, wenn sich der Bundesinnenverteidiger de Maizière um ein Gesetz zur Update-Pflicht für Sicherheitslücken kümmern würde, statt hohle Phrasen über den "rechtsfreien Raum" zu dreschen.

Wie schnell kommt denn das Update für ein Gerät in Deutschland, das nicht gerade zur Spitzenklasse gehört? Eben. Die einzigen Smartphones mit einigermaßen zuverlässiger Update-Garantie sind von Microsoft (Windows Phone), Apple (iPhone) und Google selbst (Nexus). Alle anderen Hersteller liefern Updates nur für das Top-Gerät des Jahres aus, mit Glück noch für das vom Vorjahr. Und das war's dann auch schon. Das Billig-Smartphone bezahlen wir also mit fehlender Sicherheit, weil nach Auslieferung die Uhr tickt und man sicher sein kann, dass die Software Fehler und damit Lücken enthält.

Wahlcomputer - Leserbrief

Ein paar Tage nach den Kommunalwahlen in Hessen erschien ein sehr persönlicher Bericht in unserer regionalen Tageszeitung, in dem ein Wahlhelfer über den Ablauf der Wahl und seine Eindrücke berichtete.
Eigentlich war das ein sehr netter Artikel, der Mut macht, sich selbst als Wahlhelfer zu melden und aktiv an unserer Gesellschaft mit zu arbeiten und zur Demokratie beizutragen.
Aber der Artikel hatte in meinen Augen einen üblen Haken: der Autor beschrieb, dass durch das Kumulieren und Panaschieren das Auszählen sehr kompliziert sei und spekulierte, dass es mit Wahlcomputern schneller und zuverlässiger ginge.
Das hat mir nicht gut gefallen, und in einem Leserbrief habe ich geschrieben, warum.
[veröffentlicht 15.03.2016]
[Beim Buchtitel ist mir ein Fehler passiert (von/für), unten korrigiert]

Leserbrief zum Wahlhelfer-Artikel vom 10.03.2016

Herr H. schreibt einigermaßen unterhaltsam über seine Tätigkeit als Wahlhelfer letzten Sonntag.
Ein Punkt, den er eher beiläufig erwähnt, hat mich aber als Informatiker zutiefst erschüttert:
die kritiklose Bemerkung, dass das Wahlverfahren so kompliziert und die Auszählung so anstrengend ist, dass Herr H. sich Wahlcomputer als Hilfe wünscht.

Ich als Informatiker und sehr auf Integrität und Zuverlässigkeit bedachter Software-Entwickler lehne Wahlcomputer grundsätzlich ab.
Das hört sich vielleicht zunächst absurd an, aber ich vertraue dem Grundprinzip freier, geheimer und nachvollziehbarer Wahlen.
Dies kann durch Wahlbeobachter gewährleistet werden. Aber es ist prinzipiell nicht möglich, einem Wahlcomputer zu vertrauen.

Zum Einen ist es einem Normalsterblichen nicht möglich, die Software in einem Wahlcomputer zu analysieren und zu verstehen.
Hingegen kann wirklich jeder die Auszählung der Stimmen aus den Wahlurnen beobachten und sich selbst überzeugen.

Sie mögen einwenden, dass in vielen Bereichen unseres Lebens die Prüfung an Fachleute delegiert wird, denen wir vertrauen (sollen).

Aber: eine demokratische Wahl ist das Fundament unserer Gesellschaftsordnung.
Wollen Sie wirklich an dieser Stelle Zuverlässigkeit und Vertrauen zugunsten von ein bißchen Bequemlichkeit beim Auszählen aufgeben?
Ob das Wahlergebnis nun einen oder erst zwei Tage später vorliegt, ist in meinen Augen vollkommen unerheblich. Wo ist der Zeitdruck?

Zum Zweiten weigern sich die Hersteller von Wahlcomputern, unabhängigen Kontrolleuren überhaupt diese Möglichkeit einzuräumen mit dem Hinweis auf Geschäftsgeheimnisse und Urheberrechte (z.B. weigert sich die amerikanische Firma Diebold vehement, externen Software-Prüfern Zugang zu geben).
Vertrauen wir wirklich einer amerikanischen Firma mit zweifelhaftem Leumund?

Sollte diese Hürde genommen sein, kommt das nächste Problem beim tatsächlichen Betrieb zu Tage:
es ist nicht klar, ob während der Durchführung wirklich exakt die vorher geprüfte integre Softwareversion zum Einsatz kommt oder nicht heimlich ausgetauscht wurde.

Bei früheren Wahlen hat der Chaos Computer Club (CCC) gezeigt, dass die Wahlcomputer durch menschliche Fehler nicht ausreichend geschützt werden und die Software heimlich ausgetauscht werden kann, ohne dass dies durch Schutzmechanismen bemerkt wurde. Teilweise wurden die Wahlcomputer in Privatwohnungen oder Autos von Wahlhelfern gelagert.

Ob nun wirklich die Stimme wie vom Wähler beabsichtigt gezählt wird und dies dem entspricht, was auf dem Bildschirm oder auf einer ausgedruckten "Quittung" angezeigt wird, kann der Wähler nicht prüfen.

Andreas Eschbach hat dieses Szenario in seinem Thriller "Ein König für Deutschland" sehr detailliert beschrieben. Dort hat der Programmierer eine Hintertür in die Software des Wahlcomputers eingebaut und eine Partei mit einem bestimmten Kürzel wurde unauffällig bevorzugt, wenn bestimmte Bedingungen eintrafen (so ähnlich wie die VW-Motorsoftware, die nur in bestimmten Situationen betrügt). Im Ergebnis erhielt eine monarchistische Partei die absolute Mehrheit. Das Buch ist sehr unterhaltsam geschrieben und enthält nebenbei viele interessante Details über Wahlrecht und die demokratischen Prinzipien. Ich kann es nur empfehlen!

Datenschutz und Cloud - Leserbrief

Schon ein paar Tage her, dass ich den Leserbrief als Antwort auf eine Glosse des Redakteurs B. Bräuning schrieb. Dann blieb er liegen (der Leserbrief), weil ich nicht wusste, ob mir vielleicht noch etwas mehr zum Thema einfiele. Kam aber nix mehr. Hier ist er.
[Veröffentlicht am 01.03.16, Änderungen in blau]

Leserbrief zur Glosse "Cloud" vom 17.02.2016

Herr Bräuning, Sie schreiben in Ihrer Glosse über das Thema "Cloud" und Datenschutz.

"Cloud" ist derzeit ein Modewort, und jeder will so etwas haben, sowohl geschäftlich als auch privat.

Aber: "Cloud" ist nur ein Fremdwort für "Computer anderer Leute". "Cloud" bedeutet im Wesentlichen, dass die Daten nicht auf einem Datenträger gespeichert werden, auf den Sie selbst physischen Zugriff haben, sondern ausschließlich über im Netzwerk, d.h. Internet.

Damit wird auch offensichtlich, welche Probleme man sich damit einhandelt. Zum Einen kontrolliert ein Fremder den Zugang zu den Datenträgern, und zum Anderen geschieht der Zugang über Netzwerkverbindungen, von denen wir mittlerweile wissen, dass jeder Staat sie nach Lust und Laune abhört, und zwar in großem Maßstab!
Über die Qualität der Verschlüsselung - sofern vorhanden - und die Qualität des Designs dieser Verschlüsselung kann man bei den meisten Firmen wenig Genaues erfahren.

Sie spekulieren etwas flapsig, wie in der elektronischen Cloud Datenverlust aussieht und vergleichen das bildlich mit dem Regen aus den natürlichen Wolken.
Das ist zwar unterhaltsam und gut vorstellbar, aber nicht mal bei großer Anstrengung als Metapher verwendbar.

Eine schwerwiegende kommende Ursache für Datenverlust und insbesondere Verlust der Souveränität über unsere eigenen Daten haben Sie nicht erwähnt.

Diese Ursache heißt "Gesetzgebung", und damit meine ich, dass Staaten unterschiedliche Gesetze erlassen, die den staatlichen Zugriff auf Daten in der Cloud regeln wollen.
In den USA sind gerade Beratungen im Gange, dass Firmen mit US-Sitz oder einer Niederlassung dort den amerikanischen Behörden auch Zugang zu den Daten von Tochterfirmen im Ausland gewähren müssen. Damit müsste z.B. Microsofts Tochterfirma die in Irland gespeicherten Daten an US-Behörden ausliefern. Microsoft kann sich nun aussuchen, ob sie gegen europäische oder amerikanische Gesetze verstoßen wollen - einen Tod müssen sie sterben. Ich könnte mir im schlimmsten Fall sogar vorstellen, dass die deutsche Telekom Daten ausliefern müsste, wenn ein amerikanisches Gericht die US-Tochter T-Mobile USA dazu verurteilt.

Und um noch ein bißchen weiter in die Glaskugel zu schauen: wenn das Freihandelsabkommen TTIP kommen sollte, sind die Klagen vor Schiedsgerichten vorprogrammiert, die strengen Datenschutzregeln aufzuweichen, weil sie ein Handelshemmnis darstellen.

Ich wage zu behaupten, die "Schöne Neue Welt" und "1984" von Huxley und Orwell sind in ihren Voraussagen noch harmlos gegen das, was uns bevorsteht, wenn der Datenschutz zugunsten von Firmeninteressen aufgegeben wird.

Oswin Veith hat keine Argumente und keine Antworten auf Argumente

Schüler der Singbergschule besuchen Oswin Veith an seinem Arbeitsplatz in Berlin. Dort erzählt er das übliche Märchen, dass die Vorratsdatenspeicherung so unglaublich wichtig ist. Auf Gegenargumente geht er nicht ein - weil er es nicht kann. Er kann nur die Scheinargumente bringen, die die üblichen Scharfmacher als Nebelkerzen verbreiten. Meine konkreten Nachfragen wurden nicht mehr beantwortet.
Und natürlich speichern Anbieter nicht alle "Verbindungsdaten", insbesondere speichern sie nicht die Metadaten von Email, WWW usw., wie es das Gesetz vorsieht.

Leserbrief zur bejubelten Mindestspeicherfrist

Hurra, unser regionaler Hardliner Rudi Wais hat in der WZ wieder mal einen Kommentar zur Vorratsdatenspeicherung #VDS verbrochen, und wie immer ist er resistent gegen jede Art von Argumenten dagegen. Diesmal wird ja alles viel besser, alle Vorgaben des Bundesverfassungsgerichts eingehalten, keine Verfolgung von Bagatellen wie Urheberrechtsverletzungen, und Geheimnisträger sind ja auch geschützt. Alles paletti also?

Mitnichten, schrieb ich in einem Leserbrief.

Leserbrief zur Glosse Hr. Wais 28.05.15, "Vorratsdatenspeicherung"

Hr. Wais, Sie wiederholen sich mit Ihren Behauptungen, dass die Vorratsdatenspeicherung bei irgend etwas helfen könnte.
Wirkliche Argumente kann ich Ihrem Kommentar nicht entnehmen, Gegenargumente zu Ihren Positionen wollen Sie nicht wahrnehmen.

Die jetzt "Mindestspeicherfrist" genannte Vorratsdatenspeicherung hat zwar öffentlichkeitswirksam einen Richtervorbehalt, aber der wird durch zahlreiche Ausnahmen in einer "Nebenabrede" ausgehebelt, wie netzpolitik.org aufgedeckt hat. Alles, was der Gesetzgeber jetzt oder in Zukunft als "Bestandsdaten" festlegt, unterliegt eben gerade nicht der richterlichen Prüfung. Insbesondere fällt darunter auch, dass ohne Prüfung die Zuordnung von IP-Adresse zu Anschlussinhaber abgefragt werden darf. Dies ist genau der eine Fall, den Sie mit der neuen Variante als "ausgeschlossen" behaupten.

Die Aufklärungsquoten für die im neuen Gesetz aufgelisteten Katalogstraftaten liegen bereits jetzt über 80 oder gar 90 Prozent. Ich frage mich, wo die Verhältnismäßigkeit liegt, wenn dadurch massiv Grundrechte eingeschränkt werden. Mit der Speicherung werden über jeden von uns Metadaten, Aufenthaltsorte, Bewegungsprofile über einen langen Zeitraum festgehalten - warum? Deutschland wandelt sich von einer Demokratie zu einem Präventionsstaat, in dem erst mal jeder verdächtig ist. Wollen wir das?

Die in jedem Fall vorhandenen Daten umfassen dabei auch Berufsgeheimnisträger wie Rechtsanwälte, Seelsorger, Ärzte usw.! Auch deren Mandanten und Patienten werden natürlich erfasst. Aber sie dürfen "natürlich" nicht verwendet werden. Wer's glaubt ...

Wenn Daten vorhanden sind, wachsen die Begehrlichkeiten, die Nutzung immer mehr auszuweiten. Das sieht man ja an der LKW-Maut, die jetzt flugs um die Datenerfassung für die PKW-Maut ergänzt wird. Dabei wurde im damaligen Mautgesetz klar und deutlich jegliche weitere Nutzung ausgeschlossen. "Was interessiert mich mein Geschwätz von gestern ...".

Ein Untersuchungsausschuss in USA hat festgestellt, dass die Datensammlung des FBI durch den "Patriot Act" genau keine Erfolge bewirkt hat.
Das Max-Planck-Institut für internationales Strafrecht stellte fest, dass die Vorratsdatenspeicherung nichts nutzt.
In Frankreich hat die Vorratsdatenspeicherung die Charlie-Hebdo-Morde nicht verhindert.
Die Vorratsdatenspeicherung in Deutschland von 2008 bis 2010 hat keinerlei messbare Erfolge vorzuweisen.
Die EU-Kommission legt ein Dokument "Beweise für die Notwendigkeit der Vorratsdatenspeicherung" vor und bestätigt gleichzeitig "Das Dokument erhebt nicht den Anspruch, dass die Notwendigkeit bewiesen wurde".

Es ist erschreckend, dass Sie selbst in Ihrer Glosse schon darauf hinweisen, dass das Bundesverfassungsgericht schon wieder eingreifen muss, um diese Fragen zu klären. Die amtierende deutsche Regierung ist offensichtlich nicht in der Lage, handwerklich so zu arbeiten, dass ihre Gesetze verfassungsgemäß sind. Was für ein Armutszeugnis!

Ende 2014 twittert Maas noch: "#VDS lehne ich entschieden ab. Verstößt gegen Recht auf Privatheit.". Drei Monate später kippt er um, die Karriere ist ihm wichtiger als seine Integrität. Leutheuser-Schnarrenberger ist 1995 für ihre Überzeugung noch eingestanden und wegen des Gesetzes zur Wohnraumüberwachung zurückgetreten. Dafür habe ich immer noch größten Respekt. Für Maas nicht mehr.

Die Aufklärung von Verbrechen ist auch heute schon möglich, ohne anlasslos jeden unter Verdacht zu stellen: die Staatsanwaltschaft kann in Eilfällen schon heute quasi auf Zuruf das Kommunikationsverhalten Tatverdächtiger speichern lassen. Die von der Bundesregierung nun geplante unterschiedslose Jedermannspeicherung würde dagegen hochsensible Daten Millionen unverdächtiger und ungefährlicher Bürger dem ständigen Risiko von falschem Verdacht, Datenklau oder Datenmissbrauch aussetzen. Das droht freie Kommunikation zu ersticken. Wenn Menschen nicht mehr ohne Furcht vor Nachteilen durch Anrufe oder im Internet Hilfe suchen können, verhindert dies eine sinnvolle Prävention und kann sogar Leib und Leben von Unbeteiligten gefährden.

Es ist nach wie vor keine gute Idee, anlasslos Daten zu speichern!

SSL-Verschlüsselung und die Vertrauenswürdigkeit

In letzter Zeit wird immer so viel über die Abhöraffäre gesprochen. Manche, insbesondere Politiker, sagen dann immer gern, man müsse sich selber schützen. Das mag natürlich Ablenkung sein, weil sie es sich nicht mit den USA verderben wollen, kann aber auch genausogut das völlige Fehlen von Sachkenntnis bedeuten. Wer weiß das schon so genau bei Politikern.

Zwei Dinge kann man natürlich aus dieser heißen Luft trotzdem mitnehmen: wer aus Prinzip verschlüsselt, macht es den Geheimdiensten schwerer - die Masse macht's. Und man fällt auf und ist damit automatisch verdächtig. Das kann sich jetzt jeder selbst überlegen.

Wie man Emailverschlüsselung einrichtet, wird übrigens hier ganz gut erklärt (am Beispiel von Thunderbird in Windows, das Grundprinzip ist aber bei Mac und Linux fast identisch), und ich hatte das vor einiger Zeit auch schon mal beschrieben.

Was genau passiert nun bei Verschlüsselung, und wie funktioniert Abhören?

Normalerweise nimmt man einen Browser oder ein Emailprogramm und der Computer zuhause - der Client - baut eine Verbindung zu einem anderen Computer auf, dem sogenannten Server, der eine Dienstleistung anbietet, sei das nun WWW oder Email oder Chat oder etwas ganz anderes; für unsere Betrachtungen ist das vollkommen unerheblich.

Ich will jetzt auch gar nicht so ganz im Detail darauf eingehen, wie diese Verbindung funktioniert, aber das OSI-Schichtenmodell spielt dabei eine Rolle, und die üblichen Verbindungen laufen über das TCP-Protokoll im TCP/IP. Wer tiefer Bescheid wissen will, möge den Links folgen.

Bei unverschlüsselten Verbindungen fragt der Client den Server im Klartext, und die Antwort des Servers darauf erfolgt ebenfalls im Klartext. Hier ist es natürlich vollkommen problemlos, den kompletten Inhalt in beiden Richtungen abzuhören, wenn man sich an einer der Knotenstellen dazwischen einklinken kann - Geheimdienste machen das gern am DE-CIX in Frankfurt, da trifft sich so gut wie alles, was Rang und Namen hat ... Die Bundesregierung verweigert übrigens die Antwort auf die Frage, ob deutsche Geheimdienste ebenfalls am DE-CIX abhören. Allein diese Weigerung finde ich schon sehr bezeichnend.

Man erzeugt ein Duplikat des Datenstroms, und schon mit billigen Sniffer-Werkzeugen wie Wireshark kann man gezielt herausfiltern, dass man an einer bestimmten Verbindung des Typs "T" von "A" nach "B" interessiert ist (T=email, A=Thomas, B=pop.gmx.net).

Gut, das wollen wir natürlich nicht (ich zumindest), und deswegen wollen wir es dem Lauscher an der Wand etwas schwieriger machen, und schalten TLS ein. Was bedeutet das technisch? Zunächst einmal bedeutet es, dass wir den modernen neuen Namen verwenden. Früher hieß das nämlich noch SSL, und von diesem Namen stammt auch das "s" für "secure" in den URLs, wie z.B. https://www.ccc.de.

TLS ist eine Sammlung von Methoden und Protokollen, mit denen man ver- und entschlüsseln kann, sowie Prüfsummen nach allen möglichen Standards berechnen kann. Es gibt mehrere Softwarepakete, die TLS bzw. SSL anbieten, darunter das am häufigsten verwendete OpenSSL oder auch GnuTLS.

Das Tolle an TLS ist, dass man die Ver- und Entschlüsselung mit unterschiedlichen Codes durchführen kann (asymmetrische Verschlüsselung). Der Code zum Verschlüsseln kann ruhig bekannt werden; deshalb wird er auch "öffentlicher Schlüssel" genannt. Selbst wenn man ihn besitzt, kann man einen verschlüsselten Text damit nicht wieder lesbar machen. Nur wenn man den dazugehörigen "privaten Schlüssel" besitzt, kann man den Text dechiffrieren. Ein bekanntes Verfahren heißt RSA und wurde nach den Entwicklern Rivest, Shamir, Adleman benannt.

Das asymmetrische Prinzip mit der Aufteilung in einen öffentlichen und einen geheimen Schlüssel hat zwei besondere Eigenschaften, die beide sehr nützlich sind und verwendet werden. Zum Einen kann man mit dem öffentlichen Schlüssel etwas unlesbar machen und nur der Empfänger kann es mit seinem geheimen Schlüssel wieder lesbar machen. Nicht einmal der Absender kann die Verschlüsselung rückgängig machen! Zum Anderen kann der Besitzer des geheimen Schlüssels eine elektronische Unterschrift (Signatur) erzeugen, und jeder kann mit dem öffentlichen Schlüssel prüfen, ob die Unterschrift korrekt ist.

Beim ersten Verbindungsaufbau sendet der Client eine Anfrage, ob der Server Verschlüsselung unterstützt. Falls ja, bietet er eine Liste von Verschlüsselungsverfahren an und sendet auch gleich seinen öffentlichen Schlüssel mit (in Wahrheit ist es etwas komplizierter, aber das ist das Prinzip). Mit diesem öffentlichen Schlüssel kann also der Client schon mal chiffrierten Text an den Server schicken, und nur der Server kann ihn wieder lesbar machen.

Soweit, so cool ... aber wie geht der Rückweg?

Im Prinzip funktioniert der Weg der Serverantworten genauso, nur andersrum ;).

Der Client und der Server einigen sich auf ein bestimmtes Verschlüsselungsverfahren (z.B. AES) und tauschen beim Verbindungsaufbau einen geheimen Schlüssel aus, der nur für diese eine Verbindung verwendet wird. Diesen etwas komplizierten, umständlichen Weg geht man, weil das asymmetrische Verfahren sehr rechenaufwändig ist. Man setzt es deshalb nur einmal ein, um einen zufällig gewählten Code für ein schnelleres, typischerweise symmetrisches Verfahren auszutauschen.

Soweit, so cool ... aber woher weiß ich, dass der Server wirklich die Maschine ist, die ich ansprechen will und nicht eine andere Kiste, vielleicht wurde ich sogar umgeleitet mittels Angriffsmechanismen wie DNS-Fälschung, ARP-Fälschung usw.?

Jetzt wird's komplizierter ;). Erst mal weiß ich das nicht. Der Server bietet mir beim Verbindungsaufbau seinen öffentlichen Schlüssel an. Aber ich weiß noch nicht, ob das alles zusammenpasst. Ich kann natürlich über einen anderen Weg prüfen, ob der "Fingerabdruck" (fingerprint) des öffentlichen Schlüssels korrekt ist, aber dann müsste ich mir selbst eine Liste von Fingerprints aufbauen für alle Webserver, Emailserver usw., mit denen ich sprechen will.

Üblicherweise geht man einen anderen Weg: man lässt sich den öffentlichen Schlüssel "signieren" von einem vertrauenswürdigen Dritten, einer sogenannten Zertifizierungsstelle. Und man vertraut dann nicht jedem einzelnen öffentlichen Schlüssel jedes Servers, sondern einmalig der Zertifizierungsstelle. Das sind die "Vertrauenswürdigen Institutionen" in den Interneteinstellungen bei Windows bzw. die "Authorities" im Firefox-Browser.

Das ganze scheitert dann, wenn diese Zertifizierungsstellen unterwandert oder kompromittiert werden, und dafür gibt es leider mehr als genug Beispiele, eben weil diese Abhörmöglichkeit extrem attraktiv ist.

• Vor einigen Jahren wurde die niederländische DigiNotar gehackt und gefälschte Zertifikate für bekannte Hostnamen von Google und anderen signiert (insgesamt gab es über 500 gefälschte Signaturen)
• neulich gab es eine schlimme Panne in der Türkei 
• aus dem Iran ist bekannt, dass 2011 zum Abhören gefälschte Zertifikate für google.com erkannt wurden, vermutlich vom Einbruch bei DigiNotar
• das israelische Unternehmen StartSSL wurde angegriffen
• ein Angriff auf die französische ANSSI ist noch ungeklärt
• und jetzt aktuell wurde bekannt, dass die staatliche NIC von Indien ebenfalls versucht hat, mit Zertifikaten für Hostnamen bei Google und Yahoo ihre Bürger abzuhören.

Das Problem ist nämlich: wenn das Zertifikat gefälscht ist, d.h. "falsch" signiert ist, funktioniert es technisch immer noch problemlos und sieht immer noch genauso vertrauenswürdig aus, obwohl es jemand mit böser Absicht erzeugt hat und verwendet. Nur die "Unterschrift" ist von einer anderen Stelle, der mein Browser aber ebenfalls vertraut. Nur wenn man weiß, dass das Zertifikat normalerweise von Verisign signiert wird und eben nicht von "NIC India", dann springt einem die Fälschung sofort in's Auge.

Das wäre genauso, als ob man bei einem Brief nur darauf schaut, dass er handschriftlich unterschrieben ist, aber man prüft nicht, ob die Handschrift wirklich "echt" ist.

Googles Chrome-Browser prüft übrigens bei einigen Hostnamen, ob das Zertifikat von der richtigen Instanz unterschrieben wurde, und schlägt Alarm, wenn man auf diese Weise auf eine Fälschung trifft. Diese Prüfung heißt "certificate pinning" - man legt in der eigenen Software fest, welche Signatur erwartet wird.

Als Fazit lässt sich sagen: die Mathematik lässt sich (derzeit) nicht austricksen, aber das System der vertrauenswürdigen Signaturstellen ist gehörig angeknackst, um nicht zu sagen: es ist kaputt.

Das Problem ist natürlich offensichtlich und wird auch bereits unter Sicherheitsforschern diskutiert. Eine Möglichkeit ist, dass jede Certificate Authority, die Signaturdienstleistungen anbietet, öffentlich macht, für wen sie Zertifikate ausgestellt hat. Damit könnte jeder Browser prüfen, ob ein Zertifikat wirklich hochoffiziell von dieser CA signiert werden durfte.

Bislang gab es eine gewisse Vertrauenswürdigkeit in die Signaturstellen, aber das ist in's Wanken geraten mit Bekanntwerden der Tatsache, dass insbesondere amerikanische Geheimdienste gern man mit geheimgehaltenen Gerichtsurteilen die Herausgabe aller Schlüssel erzwingen, wie etwa im Fall des Emaildienstleisters Lavabit.

Ein weiterer Ansatz ist eine Sperrliste. Da greift aber erst, wenn einem Besitzer aufgefallen ist, dass ein gefälschtes Zertifikat im Umlauf ist oder ein echtes gestohlen wurde. Die Browser können bei einer Auskunftsinstanz nachfragen, ob ein gegebenes Zertifikat (noch) gültig ist oder widerrufen wurde. Einerseits hat dies mächtige Performance-Probleme, weil für jedes Zertifikat eine Anfrage abgeschickt werden muss. Andererseits ist das ein riesiges Problem für die Privatsphäre, wenn ich einer weiteren Instanz mitteile, wo ich gerade surfe. In Firefox und Chrome gibt es diese Technik, da aber Google diese Probleme als zu schwerwiegend ansieht, ist das Feature abgeschaltet. Es gibt aber technische Weiterentwicklungen, wie z.B. eine einzelne zentrale Sperrliste.

Märchenstunde mit Oswin Veith - Leserbrief

Unser MdB Oswin Veith, der ja gemäß amtlichem Endergebnis immerhin von 60.118 Menschen im Wetteraukreis gewählt wurde (von 175.085 Wahlberechtigten und 131.480 gültigen Stimmen), denkt an seine Heimat und kommt zu Besuch, wie die WZ berichtet (06.06.2014).

Ein Ziel seines Besuchs sind die Schüler eines Politik-Grundkurses an einer Schule. Dort erzählt er lustige Sachen über die NSA-Abhöraffäre und über das transatlantische Investitionsschutz- und Partnerschaftsabkommen, die er sich ausgedacht hat und nicht im Mindesten der Realität entsprechen, wie ich schon mehrfach auch hier im Blog bemängelt hatte.

Dazu habe ich der WZ einen Leserbrief geschickt (veröffentlicht am 13.06.14):

Leserbrief zur Meldung "Veith besucht PoWi-Grundkurs" (06.06.2014)

Die WZ berichtet, dass "unser" CDU-MdB Oswin Veith eine Schule in seinem Wahlkreis besucht und dabei auch über den Abhörskandal und das transatlantische Freihandelsabkommen TTIP spricht.

Ja, ist denn schon wieder Märchenstunde? Zum Jahrestag der ersten öffentlichen Erwähnung müssen sich die Schüler erzählen lassen, dass die USA mit sich reden lassen und dass man nur ein bißchen Zeit und Diplomatie bräuchte? In welchem Traumland lebt denn Herr Veith? Die USA haben klipp und klar festgestellt, dass es kein "No-Spy"-Abkommen geben wird. Heute lese ich sogar in den Schlagzeilen, dass die USA "verärgert" über die Ermittlungen des Generalbundesanwalts sind. Bekanntlich ist der ja betriebsblind und sieht keinerlei Anfangsverdacht bei irgend etwas außer dem Abhören von Merkels Handy.

Nicht einmal eine gerichtliche Verfügung kümmert die NSA. Sie setzen einfach ungeniert weiter das Löschen von Beweismitteln fort. Besser kann man doch nicht demonstrieren, über dem Gesetz zu stehen. Und der deutsche Generalbundesanwalt Range geniert sich im Gegensatz dazu, mehr als "ein bißchen" zu ermitteln, obwohl der "begründete Anfangsverdacht" nach Meinung anderer hochrangiger Juristen definitiv gegeben ist.

Ich finde ja, dass es Sache deutscher Behörden und deutscher Politiker ist, sich für Bürgerrechte ihrer eigenen Bewohner einzusetzen. Gab es da nicht mal so etwas wie einen Amtseid mit "Schaden vom deutschen Volk abwenden", Herr Veith? Das Bundesverfassungsgericht und der Europäische Gerichtshof haben unabhängig voneinander festgestellt, dass flächendeckendes Abhören gegen die Menschenrechte verstößt. Wann passiert da etwas Konkretes?

Die Fachzeitschrift c't hat eine erschreckend detaillierte Zusammenfassung der Enthüllungen des letzten Jahres über das Ausmaß der Überwachung aufgestellt. Bitte lesen Sie hier weiter, auch wenn Sie danach vermutlich nicht mehr gut schlafen können: http://heise.de/-2214943

Beim Freihandelsabkommen TTIP (genau wie deren Pendants CETA, NAFTA und TISA) kommt mir auch langsam die Idee, dass die Politiker sich nicht um die Belange der Bürger kümmern wollen, sondern nur um die Rendite der Konzerne, die von den Klagemöglichkeiten gegen nationale Gesetze fasziniert sein dürften.

In meinen Augen geben die beteiligten Länder ihre staatliche Souveränität auf, wenn Konzerne wegen "entgangenem Gewinn" gegen unliebsame Gesetze klagen können.

Herr Veith glaubt doch selbst nicht daran, dass sich mit TTIP besserer Verbraucherschutz durchsetzen lässt! Das kostet doch wieder Geld, und das wird kein Konzern ausgeben wollen. Dazu sind sie viel zu sehr ihren Aktionären verpflichtet und eben gerade nicht dem Allgemeinwohl. Die Konzernleitungen müssen geradezu alles einsetzen, um dem Unternehmen nicht zu schaden, und entgangener Gewinn ist sicherlich ein "Schaden" im Sinne der Rendite.

Ich hoffe sehr, dass ihn die Schüler ordentlich gegrillt haben, damit er die Stimmung von der Basis wahrnimmt. Immerhin finde ich es ein sehr gutes Zeichen, dass ein Grundkurs in Politik und Wirtschaft sich für Themen interessiert, einen Politiker einlädt und ihn mit unbequemen Fragen löchert.

Heartbleed SSL-Problem - ein Überblick

Alle Welt redet über den Fehler in OpenSSL (CVE-2014-0160), durch den ungewollt interne Daten aus einem Server "herausbluten" können, die nie an die Öffentlichkeit sollten ... wie z.B. ungeschützte private SSL-Keys, oder auch Usernamen und Passwörter.

Der Fehler besteht darin, dass mehr Daten ausgeliefert werden, als "legal" im Server zur Verfügung stehen, und was in diesem "mehr" an Daten abgelegt ist, hängt nur vom Zufall und dem vorherigen Zustand des Serverdienstes ab.

Es könnten also private SSL-Keys oder Passwörter sein. Man weiß es nicht ...

Deswegen muss man als korrekt paranoider Serverbetreiber davon ausgehen, dass dieser schlimmste Fall auch wirklich eingetreten ist. Jeder Betreiber von öffentlichen Internetdiensten sollte also seine SSL-Zertifikate zurückrufen ("revoken"), sich neue beschaffen (am besten gleich mit 2048 bit Länge) und neu signieren lassen. Das wird leider häufig Geld kosten (z.B. bei Verisign, Thawte, Geotrust, Telekom usw.). Eine kostenlose Möglichkeit ist cacert.org, allerdings haben nur wenige Programme die Root-Zertifikate von cacert.org ab Werk eingebaut, so dass ein solchermaßen signiertes Zertifikat trotzdem erstmal nix nutzt und bei den meisten Benutzern als "unsicher" angemeckert wird.

Ein kleiner Lichtblick: Clients sind dem ersten Anschein nach nicht betroffen, Chrome, Firefox und Internet Explorer nutzen OpenSSL nicht. Die einzige angreifbare Android-Version ist 4.1.1. In allen späteren Versionen hat Google die Heartbeat-Funktion abgeschaltet, weil sie nicht benötigt wird. Ein Endgerät wäre auch nur  angreifbar, wenn man einen bösartigen Server aufsucht, der einen Heartbeat an den Client schickt. Oder wenn man auf seinem Androiden mit 4.1.1 einen Serverdienst betreibt (gibt es wirklich).

Hier ist eine Liste mit einem Überblick, was eigentlich passiert ist, und was Experten dazu meinen.

• http://www.openssl.org/source/openssl-1.0.1g.tar.gz 
• http://www.openssl.org/news/secadv_20140407.txt 
• https://gist.github.com/sh1n0b1/10100394 
• http://heartbleed.com/ 
• http://securityintelligence.com/heartbleed 
• http://filippo.io/Heartbleed/ 
• http://www.tedunangst.com/flak/post/heartbleed-vs-mallocconf
• https://www.schneier.com/blog/archives/2014/04/heartbleed.html
• http://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=96db902 
• http://xkcd.com/1353/ 
• http://xkcd.com/1354/ 
• http://heise.de/-2168051 
• http://heise.de/-2165517 
• http://tools.ietf.org/html/rfc5246 
• http://technet.microsoft.com/en-us/library/cc785811(v=ws.10).aspx 
• https://www.ietf.org/rfc/rfc2246.txt
• http://en.wikipedia.org/wiki/Transport_Layer_Security
• https://tools.ietf.org/html/rfc6520

Und das sollte man als nächstes tun:

• So schnell wie möglich Update auf OpenSSL 1.0.1g (oder noch neuer)
• OpenSSL libraries installieren und dynamisch gelinkte Dienste neu starten (Apache etc.)
• Neue private keys für alle SSL-fähigen Dienste erzeugen
• Alle alten Zertifikate revoken
• Statisch gelinkte Programme neu kompilieren

Über Oswin Veith, CDU, MdB für den Wetteraukreis

Ich fühle mich richtig gut in Berlin vertreten, seit ich nicht Oswin Veith gewählt habe und er trotzdem die Leiter hinaufgefallen ist bis nach Berlin in den Bundestag. Nach nur vier Jahren, wenn er die aushält, hat er somit rentenmäßig ausgesorgt. Wenn er bei der Landratswahl gescheitert ist und jetzt im Bundestag sitzt, was sagt uns das über das Peter-Prinzip?

Er stimmt für die Erhöhung der Diäten, für das kaputte Gesetz zur Abgeordnetenbestechung (man beachte die ausdrückliche Formulierung in der Strafvorschrift: "... auf Anordnung oder Weisung ..." - wie will man das denn nachweisen?), und auch wenn es derzeit keine konkreten Zeitpläne gibt, prescht er schon mal vor und kündigt an, dass er die Vorratsdatenspeicherung wieder einführen will. So zumindest berichtet die WZ in ihrer Ausgabe vom 21.02.14. Natürlich völlig unbeeindruckt von der offiziellen Linie der Koalition, dass erst das Urteil des EuGH abgewartet werden soll, ob die VDS prinzipiell mit den Menschenrechten in der EU vereinbar sein kann.

Dies finde ich so doof, dass ich dazu einen Leserbrief geschrieben habe, in dem ich beschreibe, was bei der VDS gespeichert wird, und ein bißchen spekuliert habe, was überwacht werden könnte, wenn es sie (wieder) gäbe. Es gab ja schonmal für ein paar Monate eine VDS in Deutschland, aber es gibt keine belastbare Untersuchung, dass in dieser Zeit die Aufklärung von schweren Verbrechen so signifikant zugenommen hat, dass man einen Zusammenhang zur VDS herstellen kann.

[Der Leserbrief wurde am 27.02.2014 abgedruckt. Blau markiert die Kürzung durch die WZ]

Leserbrief zur Meldung "MdB Veith befürwortet die Vorratsdatenspeicherung" 21.02.2014

Mit Schrecken, aber auch nicht wirklich verwundert, las ich die Meldung, dass Herr Veith nun aktiv das Speichern von Verbindungsdaten in Deutschland vorantreiben will. Die SPD und die CDU schaffen es innerhalb kürzester Zeit, der Demokratie schweren Schaden zuzufügen. Es gibt trotz mehrjähriger medialer Beeinflussung bislang keinerlei Nachweise oder Untersuchungen, dass die Vorratsdatenspeicherung bei irgend etwas helfen kann.

In Deutschland gab es einige Zeit lang die Vorratsdatenspeicherung für Verbindungsdaten. Das Max-Planck-Institut für ausländisches und internationales Strafrecht fand keine Hinweise darauf, dass die Speicherung auch nur einen Terroranschlag verhindert hätte - oder dass sich damit Kinderpornografie wirksamer bekämpfen ließe. Forscher der Technischen Universität Darmstadt kommen zu dem Ergebnis, dass die Vorratsdatenspeicherung nicht zur Prävention geeignet ist.

Was aber bedeutet denn die Speicherung von "Verbindungsdaten", und ist das wirklich so harmlos, wie unsere Politiker es darstellen wollen? Ganz im Gegenteil! Die Verbindungsdaten (auch Meta-Daten genannt) sind sogar kritischer und wichtiger als der eigentliche Inhalt. Unter Verbindungsdaten versteht man (im Sinne des geplanten Gesetzes), dass die Anbieter Daten darüber speichern müssen, wer die Kommunikationspartner sind, wann sie kommuniziert haben, und je nach Medium gehören dazu auch die Standortdaten oder die Internetnummer (die IP-Adresse) -- bei Handytelefonaten wird gespeichert, in welcher Funkzelle ich mich befinde; bei Email, Chat usw. wird gespeichert, wer mein Anbieter ist und in gewissem Umfang ebenfalls, wo ich mich befinde. Bei Email wird gespeichert, was im "Briefkopf" enthalten ist, also die Emailadressen. Handy-Standortdaten in Großstädten sind auf ca. 200 m genau, auf dem flachen Land je nach Abstand der Funkmasten 1-5 km.

Im Licht des nichtvorhandenen Aufklärungswillens in der Abhöraffäre, in die sicherlich auch die deutschen Geheimdienste verwickelt sind, kann ich nur feststellen: wenn Daten vorhanden sind, weckt das ganz schnell Begehrlichkeiten. Da die Schlapphüte sich offensichtlich nicht kontrollieren lassen, können und müssen wir davon ausgehen, dass der "Richtervorbehalt" zur Nutzung der Vorratsdaten das Papier nicht wert ist, auf dem er im Bundesgesetzblatt gedruckt wird. Wir werden also abgehört und ausgeforscht und bezahlen auch noch dafür! Das meine ich im Wortsinn: die Datenspeicherung geschieht bei den Anbietern, z.B. Telekom, eplus, 1&1 usw.usf. Die gigantischen Datenmengen, die bei der Speicherung anfallen, müssen eine bestimmte Zeitlang auf Speichermedien vorgehalten werden. Das kostet natürlich Geld, und ebenso natürlich werden diese Kosten solidarisch auf alle Kunden umgelegt.

Ein kleines Beispiel, was man aus den Verbindungsdaten ablesen kann: ich telefoniere mit einem Arzt. Mein Handy meldet sich in einer Funkzelle in Praxisnähe an. Der Arzt telefoniert mit einem Krankenhaus. Mein Handy meldet sich in einer Funkzelle in Krankenhausnähe an. Ein paar Tage später telefoniere ich mit dem Arzt. Dann telefoniere ich mit einer Versicherung. Danach rufe ich bei der Telefonseelsorge an.

Welches Szenario hat sich hier abgespielt? Es gehört nicht viel Phantasie dazu, nicht wahr? Und all das, ohne zu beschreiben, welche Inhalte hier jeweils transportiert wurden, allein aus der Abfolge der Ereignisse kann man erstaunlich detaillierte Schlüsse ziehen. Wollen wir, dass unser Leben in diesem Umfang für Monate gespeichert wird? Ohne dass es eine wirksame Kontrolle darüber gibt, wer auf diese Daten Zugriff hat und zu welchem Zweck? Könnte ein paranoider Schlapphut nun mutmaßen, dass solch eine Person zu einem Selbstmordattentäter werden könnte?

Zu meinem oben erwähnten Schreckensszenario gibt es noch eine Verschärfung: die elektronische Gesundheitskarte bietet einen allumfassenden Zugriff zu Patientenakten, die nach dem derzeitigen Design zentral gespeichert werden. Wäre es nicht denkbar, dass es Hintertüren gibt, um diese Daten abzugreifen? Welches Droh- und Erpressungspotential bietet es, wenn man die Krankenakten aller Deutschen unter seiner Kontrolle hätte?

[Fußnote: ich habe technisch nichts mit der eGK zu tun, das ist alles spekulativ]

Das Abhören - neue Wege für die EU?

In letzter Zeit kommentiert die WZ erstaunlich kritisch zum Thema "Abhören". Die Autoren Ferber und Spang schreiben richtig gute und tatsächlich sachliche Glossen. Deshalb habe ich die beiden in einem Leserbrief auch ein bißchen gelobt:

Leserbrief zu Kommentaren am 18.01.2014 und 06.02.2014

Herr Spang und Herr Ferber, Ihre Kommentare sind erfrischend und benennen genau, worum es geht:
das Abhören ist ein Zeichen amerikanischer Machtausübung. Es geht bei weitem nicht um Terrorismusabwehr, auch wenn uns das immer eingeredet wird. Die USA sind nur an Erdöl und Informationen interessiert. Seit dem Anschlag 9/11 dreht sich die Eskalationsspirale immer schneller.

Genauso wie bei der Vorratsdatenspeicherung, die in Deutschland diskutiert wird, fehlt jeder sachliche Nachweis, dass das Abhören und Speichern der diversen amerikanischen Geheimdienste notwendig, angemessen und verhältnismäßig ist.
Jeden Tag hören wir in den Nachrichten von neuen Anschlägen. Sollte nicht genau das verhindert werden können, wenn das Abhören wirklich so umfassend ist, wie wir jeden Tag in immer neuen Details erfahren?

Der internationale Aufruhr ist entstanden, weil die Kanzlerin festgestellt hat, dass die Amerikaner keine Rücksichten nehmen und keine Freunde kennen, wenn es um ihre Interessen geht. Seit langem ist bekannt, dass alle Geheimdienste untereinander Daten austauschen. Vielleicht ist die Kanzlerin auch nur deshalb ärgerlich geworden, weil es bekannt wurde?

Offensichtlich fehlt der politische Wille sowohl zur Aufklärung als auch zum Abstellen dieser Zustände. Es gäbe durchaus Hebel, die die EU einsetzen kann: die Überlassung von Banktransferdaten (SWIFT), die Übermittlung von Fluggastdaten (Passenger Name records), internationale Abkommen wie ACTA, TTIP uvm.

Eine mittelfristige Überlegung wäre auch, die gesamte EU in der Außen- und Sicherheitspolitik neu und klar zu positionieren. Das ginge, allerdings sollte dazu das amerikanische U-Boot namens Großbritannien (diese Formulierung habe ich bei Bronski aus dem Blog der Frankfurter Rundschau entliehen) sich entweder deutlich zur EU bekennen oder die EU verlassen.

Nicht einmal die offensichtliche Gefahr von Wirtschaftsspionage bringt unsere Regierungen dazu, mit mehr Selbstbewusstsein aufzutreten. Es ist erstaunlich, dass die üblichen Lobbys sich so bedeckt halten, statt die Probleme anzusprechen und Lösungen einzufordern. Die Klimakonferenz in Kopenhagen 2009 wurde massiv abgehört, und weil die USA vorher wussten, dass ein Plan B als Kompromiß schon vorbereitet war, konnten sie bei den regulären Verhandlungen ungeniert alles Unliebsame ablehnen.

Wie Sie schon ganz richtig gefordert haben: wenn die USA weiter spionieren, müssen wir technisch dagegen vorgehen und nicht zahnlose Reisebittsteller wie Pofalla in die USA schicken und uns dann die Beendigung der Affäre vorlügen lassen.

Technische Möglichkeiten sehe ich genug:

1. flächendeckender Einsatz von Verschlüsselung, sowohl im privaten als auch geschäftlichen Bereich. Jeder sollte grundsätzlich seine Emails verschlüsseln (installieren Sie Thunderbird mit dem Zusatzprogramm Enigmail, das gibt es für Windows, Linux und Mac). Jeder sollte nur noch verschlüsselte Webseiten aufrufen und unnötige Signaturstellen, denen man nicht vertrauen kann, aus dem Browser löschen.

2. Amerikanische Signaturfirmen für SSL-Zertifikate sollten gemieden werden, weil nicht sicher ist, ob die Geheimdienste nicht Zugriff auf deren Basisschlüssel haben (sog. Rootzertifikate). In diesem Fall wären nahezu unerkennbare "man in the middle"-Attacken möglich.

3. Jeder sollte bei der Auswahl von Dienstleistern darauf achten, ob diese ihr Rechenzentrum in der EU betreiben, oder eine Mutterfirma in USA haben, die der Jurisdiktion mit Geheimgerichten und Schweigeanordnungen unterliegt (prominente Beispiele: Facebook, Google, Amazon, Twitter).

4. Die Telekom sollte am Frankfurter Internet-Austauschknoten DE-CIX teilnehmen statt mit jedem Partnerunternehmen eigene Internetrouten auszuhandeln ("peering"), die unkontrolliert durch ausländisches Gebiet verlaufen können.

5. Da der englische Geheimdienst GCHQ die Seekabel zwischen der Insel und USA abhört und die Daten mit den Geheimdiensten von USA, Australien, Kanada und Neuseeland austauscht ("5 eyes-Gruppe"), könnten langfristig Seekabel vom Kontinent aus gebaut werden, wie z.B. jetzt gerade ein Seekabel von Europa nach Brasilien in Planung ist.

[Update: abgedruckt 13.02., von de WZ-Red. gekürzte Stellen markiert]

Die eigene Cloud - oder doch nicht? Leserbrief zum WZ-Artikel 16.11.13

Letzten Samstag war ein Artikel in der WZ, den ich für sehr fragwürdig halte: dort wird die Einrichtung einer eigenen Cloud im Internet besprochen.

Allerdings wird nicht genauer erklärt, warum man eine eigene Cloudsoftware einrichten sollte. Einen Server bei einem Rechenzentrum mieten, nur für den eigenen Kalender? Halte ich für übertrieben.

Sollen dort in der "eigenen Cloud" die Urlaubsbilder sicher gespeichert werden? Cloud ist die falsche Lösung, da verwendet man Backups oder ein NAS oder beides.

Leserbrief zum Artikel "Die eigene Cloud" WZ 16.11.2013

Der Artikel beschreibt, wie man sich selbst einen Server mit "Cloud"-Funktion einrichtet. Im Ansatz ist die Idee natürlich löblich, die Kontrolle über die eigenen Daten zu behalten. Die "Cloud" dient dazu, dass man von überall her auf seine eigenen Daten zugreifen kann, ob nun zuhause, im Büro oder unterwegs mit dem Smartphone.

Die zwei prinzipiellen Möglichkeiten, so eine "eigene Cloud" zu realisieren, sind allerdings beide nur mit großer Vorsicht genießbar, deshalb halte ich den Artikel bei weitem für zu ungenau und zu einseitig positiv.

Im Lichte der Details, die nach und nach über die diversen Geheimdienste und ihre Abhöraktivitäten ans Licht kommen, wäre die erste Überlegung nämlich nicht das "wie" - realisiere ich meine Cloud mit dem heimischen Gerät, miete ich einen V-Server oder ein richtiges "Blech" im Rechenzentrum eines Dienstleisters, sondern zunächst mal - "ob" und wenn ja, "wofür" ich so etwas wirklich so dringend benötige.

Die "eigene Cloud" begründet der Artikel eben genau mit der Datensicherheit, die bei Anbietern wie Dropbox, Box, Google, Microsoft etc. nicht gewährleistet ist, weil die Rechenzentren in den USA liegen und damit natürlich der amerikanischen Rechtsprechung unterliegen, die sehr hemdsärmelig mit Datenschutz umgeht (Patriot Act, Gag order, usw.).

Andererseits sind die Enthüllungen mittlerweile so schockierend, dass man eigentlich nichts und niemandem mehr trauen darf. Glaubwürdige Berichte beschreiben, dass die USA gezielt Schwachstellen in Standardisierungen von Verschlüsselungsalgorithmen einschleusen ließen, und die übliche Verschlüsselungstechnik für WWW, nämlich das SSL (das "s" in "https"), ist zwar mathematisch sicher, wird aber dadurch angreifbar, dass es auf dem Vertrauen in Signaturstellen beruht. Leider sind alle großen Signaturstellen (Verisign usw.) in den USA beheimatet, und es ist mehr als plausibel, dass sie durch rechtliche Anordnungen gezwungen werden können, die Basis-Signaturschlüssel ("root CA") auszuliefern. Mit diesem Besitz ist es möglich, sich in verschlüsselte Verbindungen einzuklinken und insbesondere beiden Parteien vorzugaukeln, dass ihre Verbindung sicher ist.

Es ist also zu vermuten, dass auch verschlüsselte Verbindungen abgehört werden können, und da die Telekom nicht am Datenaustausch des DE-CIX in Frankfurt teilnimmt, laufen vermutlich sehr viele Datenverbindungen unnötig durch ausländische Netze, die fröhlich abgehört werden. Aber nicht nur das, eventuell wird auch am DE-CIX direkt abgehört, genauso wie der englische Geheimdienst an den Landestellen der Seekabel in England und Zypern die Daten abschnorchelt. Mittlerweile heißt es ja auch, dass der BND sich vom englischen Geheimdienst helfen ließ, Gesetze so umzuinterpretieren, dass effektiv jeglicher Datenverkehr als "ausländisch" betrachtet wird und abgehört werden darf.

Im Grund kann man also festhalten: nur Daten, die den eigenen Rechner nicht verlassen, sind sichere Daten.

Wenn es denn unbedingt eine eigene Cloud sein muss, schlage ich einen gemieteten Server mit Linux oder BSD vor (keinen virtuellen, auch wenn das monatlich etwas teurer kommt, und ganz bestimmt keinen Windows-Server). Auf keinen Fall sollte eine Cloudsoftware auf dem Rechner oder Router zuhause laufen und eine Verbindung ins Internet geöffnet werden. Ich denke, dass die allermeisten Privatpersonen nicht in der Lage sind, sich gegen Hackereinbrüche zu schützen oder überhaupt zu erkennen. Dazu tragen leider auch Sicherheitslücken und absichtliche Hintertüren in Routern bei, über die die Fachpresse regelmäßig berichtet.

Wenn die Cloud "nur" dazu dienen soll, die eigenen Daten vor Verlust oder Zerstörung zu schützen, flapsig gesagt also eine sichere Ablage für die Urlaubsbilder gesucht wird, ist ein sicheres Speichergerät mit redundanten Festplatten die bessere Lösung (ein NAS-Gerät mit 2 bis 4 Festplatten im RAID), und immer 1 bis 3 Generationen Sicherungen der Daten an verschiedenen Stellen aufbewahren (externe Festplatten z.B.). Für diesen Zweck ist eine "eigene Cloud" zwar eine Lösung, aber nicht für dieses Problem.

Die Telekom und das Schland-Routing

Von allerorten tönt es derzeit, dass "man" ja unbedingt etwas gegen die ausufernde Schnüffelei tun muss.

Es hagelt Vorschläge, und man bekommt den Eindruck, wenn man nicht mindestens alle diese Vorschläge befolgt, steht der Geheimdienst quasi schon hinter der nächsten Wand und wenn man nur aus Versehen "Bombe" sagt oder schreibt, hört man im nächsten Moment das "hoi hoi hoi", wenn sich das SEK vom Dach abseilt.

Da gibt es Vorschläge für Emails mit Verschlüsselung (GPG), da gibt es Vorschläge, anonym mit dem Browser zu surfen, indem man Zwischenstationen verwendet, die keine Verbindungen aufzeichnen (TOR als Proxyfunktion), und es gibt auch Vorschläge, dass Datenverbindungen von den großen Providern nicht mehr durch das weltweite Warten geschickt werden, wenn Anfang und Ende der Verbindung doch beide im selben Land liegen.

Prinzipiell eine gute Idee, nur: größtenteils wird das schon längst umgesetzt, weil sich über 200 Provider in Frankfurt am DE-CIX zusammengetan haben, um genau das umzusetzen.

Nur: wer beteiligt sich nicht? Ausgerechnet die Telekom, die immer noch ihrer Monopolstellung aus dem letzten Jahrhundert nachtrauert und sich dem Prinzip der "kurzen Wege" verweigert. Die Telekom findet, dass sich alle nach ihr richten sollen, und versucht, die anderen Provider zu "privatem Peering" zu zwingen, d.h. zum Einrichten von bilateralen Übergabestellen, statt sich am genossenschaftlichen Multilateralismus in Frankfurt zu beteiligen.

Genau diese engstirnige Geschäftspolitik führt ja gerade dazu, dass ein Risiko besteht, dass eine Verbindung von einem Provider ohne direktes Peering zur Telekom durch Nichtschland geroutet werden muss, damit es letztendlich doch wieder bei der Telekom landet. Immerhin hat die Telekom einen Marktanteil von knapp 30 % auf dem deutschen DSL-Markt.

Abgesehen davon löst selbst das "Schlandrouting" (oder Schengen-Routing, wie es die Telekom nennt), nicht das grundsätzliche Problem, dass am DE-CIX fröhlich weiter direkt an den Knotenstellen des Austauschs abgehört wird. Auch das wissen wir ja leider und zum Glück durch Edward Snowden. Ich hätte mir bis vor kurzem nicht vorstellen können (und wollen ...), dass tatsächlich jemand die Chuzpe besitzt, die gigantischen Datenmengen (mehrere TB/s) anlasslos zu durchsuchen und vermutlich auch komplett zu speichern.

Lösen ließe sich dieses Problem nur, wenn man eine starke Ende-zu-Ende-Verschlüsselung einführt, die nicht auf der kaputten Vertrauenshierarchie von SSL beruht. Zur Erinnerung: wenn ich ein SSL-Zertifikat nicht persönlich kenne (also mein PC oder sonstiges Endgerät ...), muss ich darauf vertrauen, dass die Zertifizierungsstelle sorgfältig gearbeitet hat, dass also die Root-CA-Stelle ordentlich geprüft hat, wem sie ein Zertifikat ausstellt.

Bis vor einem Jahr hätte ich als grundsätzliche Empfehlung geschrieben, dass man auf https-Verschlüsselung beim Browsen im WWW achten soll. Viele Anbieter haben inzwischen eine automatische Umleitung eingebaut, so dass man bei http-Verbindungen automatisch auf https umgelenkt wird. Allerdings setzt dies voraus, dass man der SSL-Verschlüsselung vertraut. Das schützt also nur gegen Mitlauschen durch böse Buben, die es auf Geld oder ähnliches abgesehen haben.

Da wir aber mittlerweile wissen, dass auch die Root-CA-Stellen korrumpiert sind, weil die fast alle in USA sitzen und deshalb von amerikanischen Gerichten zu allen möglichen Schweinereien gezwungen werden können, kann sich mit großer Sicherheit ein Geheimdienst selbst ein gültiges Zertifikat für eine belauschte Verbindung ausstellen und somit eine "man in the middle"-Attacke ausführen, die fast nicht erkannt werden kann.

Statt der zentralisierten Behauptung von Vertrauenswürdigkeit durch Root-CA-Stellen müsste es peer-to-peer-Schlüsselaustausch geben, wie z.B. in Bruce Schneiers "Applied Cryptography" beschrieben, mit einer Vertrauenswürdigkeit ähnlich wie bei GPG, wobei hier natürlich das Problem von Agenten existiert, die verdeckt für einen Geheimdienst arbeiten und sich in so ein "web of trust" einschleichen können.

Die Angriffe, die (vermutlich) staatliche Stellen letztes Jahr im Iran gegen Google Mail durchgeführt haben, sind nur deshalb aufgeflogen, weil im Google-Chrome-Browser geprüft wird, ob beim empfangenen Zertifikat der Signierer wirklich der ist, von dem Google das Zertifikat gekauft hat. Hier ist der Geheimdienst daran gescheitert, dass sie von dieser zusätzlichen Kontrolle nichts wussten und einfach mit der falschen Identität das Zertifikat signiert haben, mit dem die Antwort nach dem Lauschen weitergegeben wurde.

Auch wenn das alles ziemlich düster aussieht, was Bürgerrechte und Privatsphäre angeht, sollte man nach wie vor im Privat- und Geschäftsleben die Tipps für sicheren Umgang mit WWW, Email und dem Internet beherzigen, die ich schon mal zusammengestellt hatte, etwa hier und hier und hier. Elternbeiräte, Lehrer oder andere interessierte Gruppen können mich für einen kostenlosen Vortrag über Datenschutz und Privatsphäre einladen, den ich hier etwas genauer beschrieben habe.

[Update 20131206: Tippfehler in URL]

Leserbrief zum Leserbrief: Einfältigkeit

Heute fiel mir bei der Lektüre der Leserbriefe mal wieder die Kinnlade 'runter
... Oder eigentlich auch nicht, von diesem Autor hatte ich nicht wirklich etwas wesentlich anderes erwartet. Die übliche Rot/Grün-Hetze und dann plötzlich ein Rundumschlag: alle Menschen, die das Abhören durch die NSA nicht gut finden, sind einfältig.

Genauer gesagt, schrieb er in einem Absatz dieses hier:

"Auch die NSA-Panikmache beeindruckt nur einfältige Menschen, denn es ist logisch, dass keine Lauscher weltweit den Smalltalk von Lieschen Müller und Karlchen Mustermann verfolgen. Wäre personell gar nicht möglich. Computer durchforsten die aufgezeichneten Daten nach verdächtigen Inhalten, und das ist auch gut so. Terroristen und Kriminelle haben ohnehin immer einen gewissen Vorsprung. Herr Snowden hat diesen Individuen jedenfalls mitgeteilt, worauf sie in Zukunft achten müssen, um nicht entdeckt zu werden."

Dazu musste ich eine Antwort schreiben. Leider ist mir zu der Bemerkung mit dem "gewissen" Vorsprung erst jetzt aufgefallen, dass hier der Grundsatz "Der Zweck heiligt die Mittel" durchschimmert und die Idee, dass der Staat -- natürlich nur heimlich -- auch illegale Mittel anwenden darf, um mit den Bösewichten mitzuhalten. Das tut schon ganz schön weh zwischen den Ohren, sowas zu lesen.

Leserbrief zum Leserbrief WZ 23.08.2013

Lieber Herr von N., ich bin beeindruckt von der Schärfe und Knappheit, in der Sie den Rest der deutschen Bevölkerung als "einfältig" bezeichnen. Ich bekenne mich schuldig: ich bin einfältig und naiv.

Ich habe nämlich bislang (halbwegs) daran geglaubt, dass wir in einem Rechtsstaat leben, und dass unsere Nachbarn ebenfalls eine demokratische Grundeinstellung haben, die sich hauptsächlich an den Menschenrechten orientiert und nicht an einem vagen Sicherheitsbedürfnis des Staats.

Mittlerweile ist es ja soweit gekommen, dass in England Antiterrorgesetze zur Abschreckung von Journalisten missbraucht werden, um ausländische Staatsbürger im Transit festzuhalten, ihre Passwörter abzupressen und ihre elektronischen Geräte zu beschlagnahmen, weil dort *vielleicht* journalistische Quellen gespeichert sind.

Selbstverständlich ist es so, dass die Emails von Lieschen Müller unwichtig sind. Ist es trotzdem in Ordnung, dass sie routinemässig durchsucht werden? Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet (z.B. in Darmstadt-Griesheim oder in Bad Aibling), gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen? Und Sie finden es ebenfalls nicht schlimm, dass Geheimdienste die UNO und EU-Diplomaten abhören? Natürlich ist das alles nur zu unserem Besten, ganz klar. Nicht, um den USA wirtschaftliche oder politische Vorteile zu verschaffen. Nein, nein.

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat kürzlich in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher und vor allem als ehemaliger Chef der Stasi-Aufklärungsbehörde sehr genau, wovon er spricht.

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege im Drucker der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird. Von 2008 bis 2011 wurden durch "technische Fehler" in USA verbotenerweise mehr als 50.000 inländische Emails (jährlich!) abgeschnorchelt. Hoppla. Ich dachte bislang, Geheimdienste sind unfehlbar? Hoffentlich wurde nicht durch einen weiteren technischen Fehler eine Drohne in Marsch gesetzt; Richter und Henker in einem, ohne ein rechtsstaatliches Verfahren zwischen Anklage, Verurteilung und Hinrichtung, und das alles unter der Regierung eines Friedensnobelpreisträgers.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen oder vor Kühen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA, von Kühen werden jährlich mehr als 100 Menschen totgetrampelt.

"Ich habe nichts zu verbergen" - Leserbrief zum Leserbrief

Es ist wirklich unglaublich: es gibt wirklich und immer noch Leute, die in der Öffentlichkeit behaupten, dass sie nichts zu verbergen haben. Immerhin gehört Mut dazu, diese Lebenseinstellung auch noch als Leserbrief an die Wetterauer Zeitung zu schicken. Hut ab.

Natürlich war ich gezwungen, darauf zu antworten (Name der Red. bekannt):

Leserbrief zum Leserbrief WZ 26.07.2013

Liebe Frau W., ich finde es schön, dass Sie Ihr Leben so unwichtig einschätzen, dass Sie "nichts zu verbergen haben". Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet, gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen?

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat jetzt in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher sehr genau, wovon er spricht.

Und das ist genau das Problem: wenn ich weiß, dass ich (wenn auch nur vielleicht) abgehört werde, bedeutet das schon, dass ich mindestens unbewusst mein Verhalten ändere. Das Bundesverfassungsgericht hat allein diese Möglichkeit der Einschränkung der Meinungsfreiheit schon kritisch bewertet (das Schlagwort von der "Schere im Kopf").

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: es geht niemanden etwas an, ob ich etwas zu verbergen habe, und Sie dürfen das auch nicht stellvertretend für Ihre Gesprächspartner entscheiden. Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Welche Schäden gehen denn von FÜNF Terroranschlägen aus? Wieviele erfolgreiche Terroranschläge gab es denn in Deutschland vor der Internetüberwachung? Können Sie sich daran erinnern? Ich nicht. Mit anderen Worten: es waren so wenig Schäden und Opfer, dass Sie erkennen müssten: das Ausmaß der Überwachung ist absolut unverhältnismäßig. Und trotz Totalüberwachung sind die Geheimdienste an der Aufklärung der NSU-Morde gescheitert. Hmmmm ...

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen. Bedenken Sie dieses Beispiel: die Krankenkassen, Ärzte und Apotheken arbeiten an der elektronischen Gesundheitskarte und wollen alle Gesundheitsdaten aller Deutschen zentral speichern. Wenn die Geheimdienste wirklich die Offenlegung der Verschlüsselung erzwingen, liegen diese sämtlichen Gesundheitsdaten offen. Das sind wunderbare Informationen. Irgendein paranoider Schlapphut könnte auf die Idee kommen, dass alle Menschen mit tödlichen Krankheiten potentielle Selbstmordattentäter sind. Spinnen Sie den Gedanken selbst weiter!

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA.