Die Bundeswehr wurde abgehört - Leserbrief

Die Abhöraffäre der Bundeswehr über den Einsatz von Taurus-Marschflugkörpern erregt gar nicht so viel Aufmerksamkeit, wie sie eigentlich verdient hätte. Zur Glosse in der WZ schrieb ich ein paar Anmerkungen zur Verwendung proprietärer Software, die man nicht unter eigener Kontrolle hat.

[veröffentlicht am 14.03.2024]

Fr. Warnecke spricht einen wichtigen Punkt an: die digitale Souveränität, insbesondere das staatliche Handeln in Krisenfällen, ist in Gefahr, wenn wir Software verwenden, deren Quellen und Betrieb nicht der eigenen Kontrolle unterliegen.

Das ist der Fall bei allen ausländischen Diensten nicht nur für Videokonferenzen wie Zoom, WebEx, Teams, BlueJeans etc. Diese Dienste werden auf Servern betrieben, auf die Deutschland keinen Einfluss hat, und die Quelltexte der zugrundeliegenden Software sind nicht einsehbar.

Es ist also nicht nur so, dass bei Verwendung dieser Dienste die Gefahr von z.B. russischen Hackern besteht, sondern natürlich auch das gewollte Abhören durch “befreundete” Dienste. Dass der deutsche Staat und seine Organe abgehört werden, wissen wir seit Assange und Snowden, und die milde Empörung von Merkel (“Abhören unter Freunden geht gar nicht”) war ungefähr die zahmste und zahnloseste Reaktion, die man sich vorstellen kann.

Die Alternative besteht darin, Software zu verwenden, deren Abläufe man selbst prüfen kann (“Open Source Software”, OSS) und die man selbst betreibt. Der Wetteraukreis ist hier bei der regionalen Lösung für Schulen, die bis 2022 verwendet wurde, eine der wenigen positiven Ausnahmen gewesen: das damalige “wtkedu” hat eine Videokonferenzlösung aus und in Deutschland verwendet. Auch das staatliche Schulamt für den Wetteraukreis verwendet mit “Big Blue Button” eine OSS-Lösung, die in Deutschland betrieben wird. So geht verantwortungsvolles Handeln. Schulen sind natürlich nicht das primäre Ziel von ausländischen Abhöraktivitäten, aber das befolgte Prinzip ist vernünftig. Es gibt auch staatliche Institutionen, die auf Open Source setzen und entsprechende Dienstleistungen anbieten. Der Heise Newsticker hat hier schon vor Jahren über das “Projekt Phoenix” bei Dataport berichtet.

Auch bei PC-Arbeitsplätzen wäre es mittlerweile sinnvoll, sich von Microsoft Windows abzuwenden: der unkontrollierte und nicht abschaltbare Datenabfluss in Windows 10 und 11 ist genauso ärgerlich wie die zunehmende Überfrachtung mit Werbung und Zwangsmaßnahmen wie die Online-Benutzeranmeldung bei Microsoft. Linux ist seit Jahren eine ernst zu nehmende Alternative, und es gibt Varianten, die den Umstieg von Windows durch die Ähnlichkeit der Bedienung enorm erleichtern. “Linux Mint” z.B. sieht nahezu genauso aus wie Windows. Das hätte nebenbei auch den Vorteil, dass man sich vom höllischen Dreigestirn Active Directory, Exchange und Outlook lösen könnte, die für die meisten der aktuellen Sicherheitsprobleme und Erpressungsvorfälle bei Krankenhäusern, Ämtern, Behörden und Firmen verantwortlich sind.

Inwieweit die aktuelle Abhöraffäre der Bundeswehr eine tatsächliche Gefahr darstellt oder ein geplantes Täuschungsmanöver war, wird vermutlich im Dunkeln bleiben. Es ist offensichtlich, dass eine ungeschützte Telefoneinwahl eines Teilnehmers in Singapur ein offenes Scheunentor für das Abhören darstellt. Die veröffentlichten Gesprächsinhalte lassen aber vermuten, dass schon vor der Telefoneinwahl abgehört wurde. Wenn man Verschwörungstheorien mag, könnte das alles Absicht gewesen sein. Dies kann man natürlich ad infinitum weiter spinnen (“die wissen, dass wir wissen, dass sie wissen ...” usw.).

Die Cyberwehr - Leserbrief

In letzter Zeit wird die Vorsilbe "cyber" immer wieder ge- und mißbraucht. Niemand weiß so richtig, was damit ausgedrückt werden soll. Erfunden hat diesen Begriff William Gibson für seine Bücher über virtuelle Realitäten und hat damit Kinofilme wie "Matrix" inspiriert. Echte Programmierer(tm) machen sich seit langem über diesen Begriff lustig und verwenden ihn mittlerweile massiv satirisch überzeichnet selbst für reale Ereignisse ("hacker terror cyber cyber") oder als Hinweis auf überschießende politische oder mediale Berichterstattung.

In letzter Zeit wird dieser Begriff immer mehr verwendet, wenn der Autor keine Ahnung von Computern hat, aber trotzdem modern wirken will. Leider schließt sich die Wetterauer Zeitung diesem Trend an und veröffentlicht Glossen über die geplante Bundeswehrtruppe zur digitalen Kampfführung und Abwehr, die etwas spöttisch als "Cyberwehr" bezeichnet wird. Ich habe meine Zweifel, dass daraus irgend etwas werden wird.

Leserbrief zu Glossen Hr. Junginger, 06.04.17, und Fr. Spiller, 12.04.17

Fr. Spiller macht sich lustig und packt alle Vorurteile über Computerspezialisten aus, die ihr einfallen. Leider ist kein einziges davon witzig oder auch nur ansatzweise in der Lage, das Thema zu streifen. Im Gegenteil sorgt Fr. Spiller mit ihren hämischen Bemerkungen dafür, dass sich die Vorurteile über "Nerds" weiter verfestigen. Hr. Junginger zitiert ominöse "Experten", die angeblich seit Jahren vor den Gefahren des Internets warnen. Leider liefert er keinerlei Belege, welche Experten welche Gefahren befürchten.

"Hacker dringen in Atomkraftwerk ein", befürchtet Hr. Junginger. Und dagegen soll uns die neue Cybertruppe der Bundeswehr schützen? Wie wäre es, wenn man ganz einfach die kritische Infrastruktur nicht ans öffentliche Internet anschließt? Oder wenn man es doch tut – warum auch immer – dann wenigstens richtig Geld für Fachleute in die Hand nimmt, um eine solche Verbindung abzusichern? Dazu braucht es keine Bundeswehr - das BSI hat eigentlich schon genug Empfehlungen auf Lager. Man sollte nur anfangen, sie fachkundig umzusetzen.

Die "Gefahren" im Internet entstehen nach meiner Meinung gerade und hauptsächlich durch die "nation-grade attackers", also die staatlich gut finanzierten Hacker der Geheimdienste und Behörden, die den Markt für unveröffentlichte Sicherheitslücken befeuern, indem sie Umsummen zahlen, die Hersteller aber nicht informieren. Dadurch wird die Zivilgesellschaft als Ganzes unsicherer. Das FBI zog kürzlich sogar eine Anklage gegen einen mutmaßlichen Pädophilen zurück, um nicht vor Gericht das Abhörwerkzeug offenlegen zu müssen. An diesem Beispiel sieht man besonders krass, dass es definitiv nicht um den Schutz der Gesellschaft vor Verbrechern und Hackern geht, sondern um Macht und darum, sie nicht aufzugeben.

Aber hauptsächlich das Geld ist das Problem. Die Industrie zahlt vernünftige Gehälter für gute Leute. Die "Cyberwehr" bezahlt vermutlich stur nach Bundesbesoldungsordnung, für einen Leutnant also A9 mit ca. 2.800 € brutto pro Monat. Das ist vergleichbar mit einem Lehrer. Das Anfangsgehalt in der Industrie für einen Informatiker direkt nach Ende des Studiums liegt bei ca. 4.000 € mit extrem guten Entwicklungsmöglichkeiten.

Seit kurzem wird es auch immer moderner, Alltagsgegenstände mit Internetanschluss zu versehen, vom Kühlschrank über Stromzähler bis hin zu Fernsehern, Autos und Vibratoren (kein Scherz!). Diese Geräte werden unter massivem Kostendruck produziert und der Hersteller kümmert sich nach der Markteinführung nicht mehr um Software-Updates. Hier ist die Gesetzgebung gefragt, den Firmen eine Pflicht zu Updates oder ein einprogrammiertes Verfallsdatum aufzugeben, um unsichere Produkte zu verhindern. Die Selbstregulierung funktioniert nicht. Die meisten Konsumenten wollen das billigste Gerät kaufen und verstehen die Notwendigkeit von Software-Updates nicht. Die Hersteller in China kümmern sich nicht um Sicherheitslücken, weil sie keinerlei Nachteile zu befürchten haben oder diese Lücken sogar gewollt oder geduldet werden. Wenn hier der Gesetzgeber nicht eingreift, wird das Desaster noch eine Größenordnung schlimmer als bei den billigen Android-Smartphones ohne Updatemöglichkeit.

Ursprünglich wurde das Internet dezentral entworfen, um einen Atomkrieg zu überstehen. Aber jedes Netz hat Kapazitätsgrenzen, und wenn jetzt mit Macht Milliarden Geräte der Kategorie "Internet of Things" auf den Markt kommen, wird das Internet demnächst von intelligenten Toastern zerstört, die jemand gehackt hat. Aber bei alldem hilft uns keine unterbezahlte Cyberwehr, die freitags um 14.00 Uhr nach Hause geht. Hier hilft nur ein Paradigmenwechsel in der gesamten Software-Industrie hin zum "Security by Design" mit rigorosen Tests und Zulassungsvorschriften inklusive Zwang zur Update-Garantie. Und da muss die Gesetzgebung schneller werden. Eine unterbezahlte Cyberwehr ist nicht die Lösung, sondern nur zielloses Herumdoktern an den Symptomen.

Hintertüren in Software - Leserbrief

Im Moment macht der Innenminister mal wieder heiße Luft im Blätterwald mit der Forderung, staatliche Hintertüren in Software einzubauen, z.B. in Smartphones. Die Idee finde ich so blöd, dass ich einen Leserbrief dazu schrieb.
Bezeichnend für die politische Grundhaltung der WZ ist die Kürzung (so markiert).
[Veröffentlicht am 03.09.2016]

Unser Innenminister de Maizière fordert also mal wieder, dass Softwarehersteller Hintertüren in ihre Produkte einbauen sollen.

Diese Hintertüren gibt es schon lang: man nannte sie bislang Sicherheitslücken, die durch schlechte Programmierer entstanden sind.
Für Sicherheitslücken gibt es seit Jahren einen Markt, auf dem sich private Bösewichte genauso tummeln wie Staaten.
Nur mal so als Stichwort eine der erschreckenden Tatsachen dieses Marktes: Lücken, die einem Schädling das dauerhafte Einnisten in ein Gerät ermöglichen, d.h. auch einen Neustart des Geräts überstehen, werden mit Summen ab 100.000 Dollar gehandelt.

Aus der aktuellen Debatte über die "Pegasus"-Sicherheitslücke in iPhones (technisch eine schlaue Kombination von vier Lücken), auf die Apple vorbildlich in nur 10 Tagen reagiert hat und nun iOS 9.3.5 verteilt, lernen wir Folgendes:
Sicherheitslücken sind eine ganz schlimme Sache, die so schnell wie möglich behoben werden müssen, weil (natürlich) nicht nur die "Guten" sie ausnutzen, sondern ganz schnell auch die Bösen. Hier bricht ironischerweise die Klassifizierung zusammen: die "Bösen" sind in diesem Fall vermutlich ein Staat, dem der angegriffene Aktivist ein Dorn im Auge war, und die halten sich selbst natürlich wiederum für die "Guten". Alles ist relativ.

Wenn nun sogar noch bekannte Sicherheitslücken in die Geräte eingepflanzt werden (eben die von de Maizière geforderten Hintertüren), dann werden schlagartig alle unsere elektronischen Geräte gefährlich. Man muss nämlich nicht mehr aktiv nach Sicherheitslücken forschen und herausfinden, wie man durch die Kombinationen mehrerer Lücken sein Ziel erreicht, sondern es reicht, den einen Mitarbeiter eines Geheimdienstes oder des Softwareherstellers zu bestechen oder zu bedrohen, damit er die Details der Hintertür weitergibt. Es gibt keine Hintertür, die nur für die "Guten" existiert.

Wer würde denn so eine Hintertür einbauen? Der Hersteller natürlich. Und so, wie ich große Firmen kenne, wird so eine Hintertür dann in etwa 300 Software-Entwicklern bekannt sein. Die sitzen in einem Land, das nicht der deutschen Rechtsprechung unterworfen ist. Man kann sich ausrechnen, wie "sicher" so ein Produkt sein kann.

Besonders schlimm: Geheimdienste wie der amerikanische NSA sitzen mitunter jahrelang auf dem Wissen über Sicherheitslücken (sogenannte "zero day exploits", also Lücken, die ausgenutzt werden, aber dem Hersteller nicht bekannt sind), weil sie sich einbilden, die einzigen mit dieser Kenntnis zu sein. Aber natürlich ist es nicht so: wenn ein Geheimdienst eine Lücke finden oder kaufen kann, ist dies jedem anderen Bösewicht ebenso möglich. Das Zurückhalten solcher Kenntnisse gefährdet also uns alle, bei fraglichem Nutzen über eine zukünftige Gelegenheit, die vielleicht sogar nie kommen wird.

Genau das ist das Perfide an dieser Pseudo-Diskussion: Politiker fordern etwas, von dem sie nichts verstehen, und wovon jeder Sicherheitsforscher abrät. Aber die Forderung selbst, untermauert von populistischen Begründungen wie Terrorbekämpfung, steht im Raum und wird wieder und wieder diskutiert, bis der Widerstand erlahmt. Aber der mögliche Nutzen steht in keinem Verhältnis zum definitiven Schaden für alle, wenn so ein Quatsch in ein Gesetz gegossen wird.

Die Sicherheit vor elektronischen Schädlingen wäre höher, wenn sich der Bundesinnenverteidiger de Maizière um ein Gesetz zur Update-Pflicht für Sicherheitslücken kümmern würde, statt hohle Phrasen über den "rechtsfreien Raum" zu dreschen.

Wie schnell kommt denn das Update für ein Gerät in Deutschland, das nicht gerade zur Spitzenklasse gehört? Eben. Die einzigen Smartphones mit einigermaßen zuverlässiger Update-Garantie sind von Microsoft (Windows Phone), Apple (iPhone) und Google selbst (Nexus). Alle anderen Hersteller liefern Updates nur für das Top-Gerät des Jahres aus, mit Glück noch für das vom Vorjahr. Und das war's dann auch schon. Das Billig-Smartphone bezahlen wir also mit fehlender Sicherheit, weil nach Auslieferung die Uhr tickt und man sicher sein kann, dass die Software Fehler und damit Lücken enthält.

Oswin Veith hat keine Argumente und keine Antworten auf Argumente

Schüler der Singbergschule besuchen Oswin Veith an seinem Arbeitsplatz in Berlin. Dort erzählt er das übliche Märchen, dass die Vorratsdatenspeicherung so unglaublich wichtig ist. Auf Gegenargumente geht er nicht ein - weil er es nicht kann. Er kann nur die Scheinargumente bringen, die die üblichen Scharfmacher als Nebelkerzen verbreiten. Meine konkreten Nachfragen wurden nicht mehr beantwortet.
Und natürlich speichern Anbieter nicht alle "Verbindungsdaten", insbesondere speichern sie nicht die Metadaten von Email, WWW usw., wie es das Gesetz vorsieht.

Staatliche Hacker machen das Internet unsicher

Gelegentlich berichtet die Wetterauer Zeitung doch tatsächlich noch über Abhören und Hacken. Die Tendenz ist uneinheitlich, in manchen Glossen wird das Abhören kritisiert, generell klingt es für mich nach "kann man eh nix dran ändern" und "es geht um Terrorismus" bis hin zu "denkt doch an die Kinder". Letzte Woche war mal wieder eine etwas verwirrte Veröffentlichung, auf die ich einen Leserbrief schrieb:

Leserbrief zur Glosse Hr. Gillies, 23.12.2014

Herr Gillies schreibt über die "Hacker", die Webseiten und andere öffentlich erreichbare Dienste im Internet angreifen.
Zu diesen Diensten gehören leider seit langem auch Einrichtungen der Infrastruktur wie Kraftwerke, Industrieanlagen usw.
Gerade bei solchen Einrichtungen ist es sträfliche Dummheit, sie schlecht gesichert im Internet öffentlich erreichbar zu machen.

Und auch "normale" Webseiten werden gern angegriffen. Bei *diesem* Hacken geht es meistens um Erpressung ("ich lege Deine Seite lahm, und Du machst kein Geschäft mehr") oder um das verdeckte Einschleusen von Infektionsprogrammen, die dann beim Empfänger Viren und Trojaner installieren. Eine andere Form von Hacken versucht gezielt, interessante Opfer auszumachen ("spear fishing") und dann von *innen* Spionage zu betreiben. Dazu zählen auch bösartig veränderte USB-Sticks ("Bad USB", z.b. in c't 18/2014, S. 44).

Es wäre aber ein Fehler, allein auf die "bösen Hacker" zu schimpfen.

Was meiner Meinung nach viel stärker dazu beiträgt, dass das Internet unsicher ist, sind die diversen Geheimdienste, die Verschlüsselungsalgorithmen unterwandern und durch gezielte Manipulationen Standards verschlechtern, um sich selbst das "Hacken" zu erleichtern.

Genauso trägt dazu bei, dass die Geheimdienste, u.a. auch der BND, angekündigt haben, von "Hackerfirmen" wie Vupen bislang unveröffentlichte Sicherheitslücken zu kaufen, um einen Informationsvorsprung beim eigenen Hacken zu erlangen. Sicherheitslücken müssen so schnell wie möglich an den Hersteller der Software gemeldet werden und dürfen nicht zur Handelsware werden.

Diese Verhaltensweise ist genau das Gegenteil von verantwortungsvollem Handeln zur Sicherheit aller im Netz. Wenn der Geheimdienst eine Sicherheitslücke kennt, heißt das nämlich auch, dass Bösewichte diese Lücken genauso kaufen oder sogar selbst herausfinden können. Schließlich ist der Verkauf durch solche gewissenlosen Firmen nicht exklusiv. Wer Geld hat - und das haben Geheimdienste!, der hat einen Wissensvorsprung.

Abgesehen davon: wer glaubt denn ernsthaft, dass ausländische Geheimdienste wirklich zu den "Guten" gehören? Wer an der Quelle der Informationen sitzt (wie z.B. am Frankfurter Internetknoten DE-CIX), wird schwerlich zum Nachteil der eigenen Industrie Geheimnisse für sich behalten, sondern sie auf dem kurzen Dienstweg in die Heimat weitermelden. Das Abhören des Kanzlerhandys, das Ausspähen der Klimakonferenz in Kopenhagen, und sogar das Ausspähen der PCs von Mitgliedern des amerikanischen CIA-Untersuchungsausschusses sprechen Bände.

SSL-Verschlüsselung und die Vertrauenswürdigkeit

In letzter Zeit wird immer so viel über die Abhöraffäre gesprochen. Manche, insbesondere Politiker, sagen dann immer gern, man müsse sich selber schützen. Das mag natürlich Ablenkung sein, weil sie es sich nicht mit den USA verderben wollen, kann aber auch genausogut das völlige Fehlen von Sachkenntnis bedeuten. Wer weiß das schon so genau bei Politikern.

Zwei Dinge kann man natürlich aus dieser heißen Luft trotzdem mitnehmen: wer aus Prinzip verschlüsselt, macht es den Geheimdiensten schwerer - die Masse macht's. Und man fällt auf und ist damit automatisch verdächtig. Das kann sich jetzt jeder selbst überlegen.

Wie man Emailverschlüsselung einrichtet, wird übrigens hier ganz gut erklärt (am Beispiel von Thunderbird in Windows, das Grundprinzip ist aber bei Mac und Linux fast identisch), und ich hatte das vor einiger Zeit auch schon mal beschrieben.

Was genau passiert nun bei Verschlüsselung, und wie funktioniert Abhören?

Normalerweise nimmt man einen Browser oder ein Emailprogramm und der Computer zuhause - der Client - baut eine Verbindung zu einem anderen Computer auf, dem sogenannten Server, der eine Dienstleistung anbietet, sei das nun WWW oder Email oder Chat oder etwas ganz anderes; für unsere Betrachtungen ist das vollkommen unerheblich.

Ich will jetzt auch gar nicht so ganz im Detail darauf eingehen, wie diese Verbindung funktioniert, aber das OSI-Schichtenmodell spielt dabei eine Rolle, und die üblichen Verbindungen laufen über das TCP-Protokoll im TCP/IP. Wer tiefer Bescheid wissen will, möge den Links folgen.

Bei unverschlüsselten Verbindungen fragt der Client den Server im Klartext, und die Antwort des Servers darauf erfolgt ebenfalls im Klartext. Hier ist es natürlich vollkommen problemlos, den kompletten Inhalt in beiden Richtungen abzuhören, wenn man sich an einer der Knotenstellen dazwischen einklinken kann - Geheimdienste machen das gern am DE-CIX in Frankfurt, da trifft sich so gut wie alles, was Rang und Namen hat ... Die Bundesregierung verweigert übrigens die Antwort auf die Frage, ob deutsche Geheimdienste ebenfalls am DE-CIX abhören. Allein diese Weigerung finde ich schon sehr bezeichnend.

Man erzeugt ein Duplikat des Datenstroms, und schon mit billigen Sniffer-Werkzeugen wie Wireshark kann man gezielt herausfiltern, dass man an einer bestimmten Verbindung des Typs "T" von "A" nach "B" interessiert ist (T=email, A=Thomas, B=pop.gmx.net).

Gut, das wollen wir natürlich nicht (ich zumindest), und deswegen wollen wir es dem Lauscher an der Wand etwas schwieriger machen, und schalten TLS ein. Was bedeutet das technisch? Zunächst einmal bedeutet es, dass wir den modernen neuen Namen verwenden. Früher hieß das nämlich noch SSL, und von diesem Namen stammt auch das "s" für "secure" in den URLs, wie z.B. https://www.ccc.de.

TLS ist eine Sammlung von Methoden und Protokollen, mit denen man ver- und entschlüsseln kann, sowie Prüfsummen nach allen möglichen Standards berechnen kann. Es gibt mehrere Softwarepakete, die TLS bzw. SSL anbieten, darunter das am häufigsten verwendete OpenSSL oder auch GnuTLS.

Das Tolle an TLS ist, dass man die Ver- und Entschlüsselung mit unterschiedlichen Codes durchführen kann (asymmetrische Verschlüsselung). Der Code zum Verschlüsseln kann ruhig bekannt werden; deshalb wird er auch "öffentlicher Schlüssel" genannt. Selbst wenn man ihn besitzt, kann man einen verschlüsselten Text damit nicht wieder lesbar machen. Nur wenn man den dazugehörigen "privaten Schlüssel" besitzt, kann man den Text dechiffrieren. Ein bekanntes Verfahren heißt RSA und wurde nach den Entwicklern Rivest, Shamir, Adleman benannt.

Das asymmetrische Prinzip mit der Aufteilung in einen öffentlichen und einen geheimen Schlüssel hat zwei besondere Eigenschaften, die beide sehr nützlich sind und verwendet werden. Zum Einen kann man mit dem öffentlichen Schlüssel etwas unlesbar machen und nur der Empfänger kann es mit seinem geheimen Schlüssel wieder lesbar machen. Nicht einmal der Absender kann die Verschlüsselung rückgängig machen! Zum Anderen kann der Besitzer des geheimen Schlüssels eine elektronische Unterschrift (Signatur) erzeugen, und jeder kann mit dem öffentlichen Schlüssel prüfen, ob die Unterschrift korrekt ist.

Beim ersten Verbindungsaufbau sendet der Client eine Anfrage, ob der Server Verschlüsselung unterstützt. Falls ja, bietet er eine Liste von Verschlüsselungsverfahren an und sendet auch gleich seinen öffentlichen Schlüssel mit (in Wahrheit ist es etwas komplizierter, aber das ist das Prinzip). Mit diesem öffentlichen Schlüssel kann also der Client schon mal chiffrierten Text an den Server schicken, und nur der Server kann ihn wieder lesbar machen.

Soweit, so cool ... aber wie geht der Rückweg?

Im Prinzip funktioniert der Weg der Serverantworten genauso, nur andersrum ;).

Der Client und der Server einigen sich auf ein bestimmtes Verschlüsselungsverfahren (z.B. AES) und tauschen beim Verbindungsaufbau einen geheimen Schlüssel aus, der nur für diese eine Verbindung verwendet wird. Diesen etwas komplizierten, umständlichen Weg geht man, weil das asymmetrische Verfahren sehr rechenaufwändig ist. Man setzt es deshalb nur einmal ein, um einen zufällig gewählten Code für ein schnelleres, typischerweise symmetrisches Verfahren auszutauschen.

Soweit, so cool ... aber woher weiß ich, dass der Server wirklich die Maschine ist, die ich ansprechen will und nicht eine andere Kiste, vielleicht wurde ich sogar umgeleitet mittels Angriffsmechanismen wie DNS-Fälschung, ARP-Fälschung usw.?

Jetzt wird's komplizierter ;). Erst mal weiß ich das nicht. Der Server bietet mir beim Verbindungsaufbau seinen öffentlichen Schlüssel an. Aber ich weiß noch nicht, ob das alles zusammenpasst. Ich kann natürlich über einen anderen Weg prüfen, ob der "Fingerabdruck" (fingerprint) des öffentlichen Schlüssels korrekt ist, aber dann müsste ich mir selbst eine Liste von Fingerprints aufbauen für alle Webserver, Emailserver usw., mit denen ich sprechen will.

Üblicherweise geht man einen anderen Weg: man lässt sich den öffentlichen Schlüssel "signieren" von einem vertrauenswürdigen Dritten, einer sogenannten Zertifizierungsstelle. Und man vertraut dann nicht jedem einzelnen öffentlichen Schlüssel jedes Servers, sondern einmalig der Zertifizierungsstelle. Das sind die "Vertrauenswürdigen Institutionen" in den Interneteinstellungen bei Windows bzw. die "Authorities" im Firefox-Browser.

Das ganze scheitert dann, wenn diese Zertifizierungsstellen unterwandert oder kompromittiert werden, und dafür gibt es leider mehr als genug Beispiele, eben weil diese Abhörmöglichkeit extrem attraktiv ist.

• Vor einigen Jahren wurde die niederländische DigiNotar gehackt und gefälschte Zertifikate für bekannte Hostnamen von Google und anderen signiert (insgesamt gab es über 500 gefälschte Signaturen)
• neulich gab es eine schlimme Panne in der Türkei 
• aus dem Iran ist bekannt, dass 2011 zum Abhören gefälschte Zertifikate für google.com erkannt wurden, vermutlich vom Einbruch bei DigiNotar
• das israelische Unternehmen StartSSL wurde angegriffen
• ein Angriff auf die französische ANSSI ist noch ungeklärt
• und jetzt aktuell wurde bekannt, dass die staatliche NIC von Indien ebenfalls versucht hat, mit Zertifikaten für Hostnamen bei Google und Yahoo ihre Bürger abzuhören.

Das Problem ist nämlich: wenn das Zertifikat gefälscht ist, d.h. "falsch" signiert ist, funktioniert es technisch immer noch problemlos und sieht immer noch genauso vertrauenswürdig aus, obwohl es jemand mit böser Absicht erzeugt hat und verwendet. Nur die "Unterschrift" ist von einer anderen Stelle, der mein Browser aber ebenfalls vertraut. Nur wenn man weiß, dass das Zertifikat normalerweise von Verisign signiert wird und eben nicht von "NIC India", dann springt einem die Fälschung sofort in's Auge.

Das wäre genauso, als ob man bei einem Brief nur darauf schaut, dass er handschriftlich unterschrieben ist, aber man prüft nicht, ob die Handschrift wirklich "echt" ist.

Googles Chrome-Browser prüft übrigens bei einigen Hostnamen, ob das Zertifikat von der richtigen Instanz unterschrieben wurde, und schlägt Alarm, wenn man auf diese Weise auf eine Fälschung trifft. Diese Prüfung heißt "certificate pinning" - man legt in der eigenen Software fest, welche Signatur erwartet wird.

Als Fazit lässt sich sagen: die Mathematik lässt sich (derzeit) nicht austricksen, aber das System der vertrauenswürdigen Signaturstellen ist gehörig angeknackst, um nicht zu sagen: es ist kaputt.

Das Problem ist natürlich offensichtlich und wird auch bereits unter Sicherheitsforschern diskutiert. Eine Möglichkeit ist, dass jede Certificate Authority, die Signaturdienstleistungen anbietet, öffentlich macht, für wen sie Zertifikate ausgestellt hat. Damit könnte jeder Browser prüfen, ob ein Zertifikat wirklich hochoffiziell von dieser CA signiert werden durfte.

Bislang gab es eine gewisse Vertrauenswürdigkeit in die Signaturstellen, aber das ist in's Wanken geraten mit Bekanntwerden der Tatsache, dass insbesondere amerikanische Geheimdienste gern man mit geheimgehaltenen Gerichtsurteilen die Herausgabe aller Schlüssel erzwingen, wie etwa im Fall des Emaildienstleisters Lavabit.

Ein weiterer Ansatz ist eine Sperrliste. Da greift aber erst, wenn einem Besitzer aufgefallen ist, dass ein gefälschtes Zertifikat im Umlauf ist oder ein echtes gestohlen wurde. Die Browser können bei einer Auskunftsinstanz nachfragen, ob ein gegebenes Zertifikat (noch) gültig ist oder widerrufen wurde. Einerseits hat dies mächtige Performance-Probleme, weil für jedes Zertifikat eine Anfrage abgeschickt werden muss. Andererseits ist das ein riesiges Problem für die Privatsphäre, wenn ich einer weiteren Instanz mitteile, wo ich gerade surfe. In Firefox und Chrome gibt es diese Technik, da aber Google diese Probleme als zu schwerwiegend ansieht, ist das Feature abgeschaltet. Es gibt aber technische Weiterentwicklungen, wie z.B. eine einzelne zentrale Sperrliste.

Niemand macht sich Sorgen - Leserbrief

Am Samstag und heute waren aus aktuellem Anlass mal wieder Artikel bzw. Glossen in der WZ, und ich stelle fest, dass die Journalisten es immer noch nicht auf die Reihe bringen, was der Unterschied zwischen freiwilligen Daten in sozialen Netzen und dem Abhören durch staatliche Organe ist.

Nach Einsendung des Leserbriefs als Email erhielt ich diesen Hinweis von der Redaktion: "vielen Dank für die Zusendung Ihres Leserbriefes. Den letzten Satz können wir nicht veröffentlichen, da er einen Hinweis auf einen Artikel im Spiegel enthält. Vielen Dank für Ihr Veständnis." (sic)

[Update 20140716: heute veröffentlicht, Änderungen und Auslassungen markiert]

Leserbrief zur Glosse Hr. B. WZ 05.07.2014, Artikel Hr. S. 07.07.2014

Hr. B., Ihre Glosse ist im Prinzip eine Bankrotterklärung an das Grundgesetz und die Menschenrechte, wenn Sie schreiben, dass wir "andere Sorgen" haben und uns deshalb nicht um das Abhören durch unsere "Freunde" kümmern.

Ganz im Gegenteil: ich mache mir enorme Sorgen, gleichzeitig habe ich ein schreckliches Gefühl der Machtlosigkeit. Dazu kommt noch die Beobachtung, dass unserer Regierung offensichtlich alles egal ist. Ein zahnloser Untersuchungsausschuss, in dem auch noch ein Doppelagent sass; ein Generalbundesanwalt, der trotz der vielfältigen Veröffentlichungen keinen Anfangsverdacht sieht; ein Minister, der sich abspeisen lässt und die Affäre für beendet erklärt; ein Regierungshandy, dessen neueste Technik schon wieder als geknackt gilt - kein Wunder, der Kryptochip darin kommt von Blackberry aus Kanada; ein Geheimdienst, der jeden automatisch für einen Extremisten hält, wenn er sich für Verschlüsselung interessiert (für TOR z.B.). Und eigentlich auch kein Wunder, das Hr. Range so dezent vorgeht: er ist ein politischer Beamter, dem Justizminister unterstellt und eben kein unabhängiger Jurist, der nur dem Gesetz verpflichtet ist.

Wenn Staaten ihre eigenen Bürger so extrem bespitzeln: kann man das noch Demokratie nennen? Was sind das für Menschen, die sich als Entwickler und Programmierer für so etwas hergeben? Die Stasi brauchte noch riesige Mengen an Informanten und Akten. Die Geheimdienste heutzutage brauchen nur noch gigantische Mengen an Speicherplatz. Die Abhörmöglichkeiten geben ihnen willfährige Telekommunikationsfirmen und sogar die "befreundeten" Geheimdienste. Hier fragt man sich ernsthaft, wo die Loyalitäten liegen - und ob die Politik das wusste oder nicht. Und natürlich werden die Kosten für das Abhören auf alle Kunden umgelegt. Wir bezahlen unser eigenes Abhören!

Hr. B., leider vermischen Sie immer noch die freiwillige Teilnahme an sozialen Netzwerken mit dem grenzen- und schrankenlosen Abhören durch Geheimdienste. Eine einzelne Firma kann niemals soviele Daten über mich sammeln. Abgesehen davon gibt es ein deutsches Datenschutzgesetz (zugegeben, etwas zahnlos), und auf europäischer Ebene wird ebenfalls darüber diskutiert.

Gefährlich wird es einerseits, wenn Daten aus vielen verschiedenen Quellen zusammengeführt werden. So etwas kann Facebook nicht in derselben Größenordnung wie die NSA und die "five eyes". Und noch gefährlicher wird es andererseits, wenn nicht nur die persönlichen Vorlieben, sondern auch die Verbindungsdaten ausgeforscht werden. Die Verbindungsdaten sagen aus, wer mit wem wann gesprochen hat und meistens auch noch, von welchem Ort aus. Schlimm wird es, wenn daraus automatisiert Folgerungen und Schlüsse gezogen werden, und am Ende sagt dann ein Geheimdienstchef ganz lapidar öffentlich "wir töten aufgrund von Meta-Daten".

Hr. S., es ist vollkommen falsch, davon zu sprechen, es werden "nur" Meta-Daten gesammelt. Schon allein diese Meta-Daten sind brandgefährlich und können unangenehm viele Informationen liefern und ausreichend Anlass bieten, weiter in den Fokus zu rücken.

Hoffentlich wurde die Drohne nicht durch einen falschen Schluss in Marsch gesetzt; Richter und Henker in einem, ohne ein rechtsstaatliches Verfahren zwischen Anklage, Verurteilung und Hinrichtung, und das alles unter der Regierung eines Friedensnobelpreisträgers. Vermutlich sogar gefüttert mit Daten auch vom BND, und vielleicht sogar gesteuert von einem Kontrollzentrum in Deutschland. Damit ist Deutschland am Morden beteiligt, obwohl unser Grundgesetz die Todesstrafe verbietet.

Selbst wenn *Sie* denken, dass Sie nichts zu verbergen haben: Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob *er* nicht vielleicht im Fokus der Überwachung steht? Dann sind *Sie* automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Ich weise nochmals auf diesen etwas älteren Artikel in Spiegel Online hin: "5 schlechte Argumente für mehr Überwachung".

Märchenstunde mit Oswin Veith - Leserbrief

Unser MdB Oswin Veith, der ja gemäß amtlichem Endergebnis immerhin von 60.118 Menschen im Wetteraukreis gewählt wurde (von 175.085 Wahlberechtigten und 131.480 gültigen Stimmen), denkt an seine Heimat und kommt zu Besuch, wie die WZ berichtet (06.06.2014).

Ein Ziel seines Besuchs sind die Schüler eines Politik-Grundkurses an einer Schule. Dort erzählt er lustige Sachen über die NSA-Abhöraffäre und über das transatlantische Investitionsschutz- und Partnerschaftsabkommen, die er sich ausgedacht hat und nicht im Mindesten der Realität entsprechen, wie ich schon mehrfach auch hier im Blog bemängelt hatte.

Dazu habe ich der WZ einen Leserbrief geschickt (veröffentlicht am 13.06.14):

Leserbrief zur Meldung "Veith besucht PoWi-Grundkurs" (06.06.2014)

Die WZ berichtet, dass "unser" CDU-MdB Oswin Veith eine Schule in seinem Wahlkreis besucht und dabei auch über den Abhörskandal und das transatlantische Freihandelsabkommen TTIP spricht.

Ja, ist denn schon wieder Märchenstunde? Zum Jahrestag der ersten öffentlichen Erwähnung müssen sich die Schüler erzählen lassen, dass die USA mit sich reden lassen und dass man nur ein bißchen Zeit und Diplomatie bräuchte? In welchem Traumland lebt denn Herr Veith? Die USA haben klipp und klar festgestellt, dass es kein "No-Spy"-Abkommen geben wird. Heute lese ich sogar in den Schlagzeilen, dass die USA "verärgert" über die Ermittlungen des Generalbundesanwalts sind. Bekanntlich ist der ja betriebsblind und sieht keinerlei Anfangsverdacht bei irgend etwas außer dem Abhören von Merkels Handy.

Nicht einmal eine gerichtliche Verfügung kümmert die NSA. Sie setzen einfach ungeniert weiter das Löschen von Beweismitteln fort. Besser kann man doch nicht demonstrieren, über dem Gesetz zu stehen. Und der deutsche Generalbundesanwalt Range geniert sich im Gegensatz dazu, mehr als "ein bißchen" zu ermitteln, obwohl der "begründete Anfangsverdacht" nach Meinung anderer hochrangiger Juristen definitiv gegeben ist.

Ich finde ja, dass es Sache deutscher Behörden und deutscher Politiker ist, sich für Bürgerrechte ihrer eigenen Bewohner einzusetzen. Gab es da nicht mal so etwas wie einen Amtseid mit "Schaden vom deutschen Volk abwenden", Herr Veith? Das Bundesverfassungsgericht und der Europäische Gerichtshof haben unabhängig voneinander festgestellt, dass flächendeckendes Abhören gegen die Menschenrechte verstößt. Wann passiert da etwas Konkretes?

Die Fachzeitschrift c't hat eine erschreckend detaillierte Zusammenfassung der Enthüllungen des letzten Jahres über das Ausmaß der Überwachung aufgestellt. Bitte lesen Sie hier weiter, auch wenn Sie danach vermutlich nicht mehr gut schlafen können: http://heise.de/-2214943

Beim Freihandelsabkommen TTIP (genau wie deren Pendants CETA, NAFTA und TISA) kommt mir auch langsam die Idee, dass die Politiker sich nicht um die Belange der Bürger kümmern wollen, sondern nur um die Rendite der Konzerne, die von den Klagemöglichkeiten gegen nationale Gesetze fasziniert sein dürften.

In meinen Augen geben die beteiligten Länder ihre staatliche Souveränität auf, wenn Konzerne wegen "entgangenem Gewinn" gegen unliebsame Gesetze klagen können.

Herr Veith glaubt doch selbst nicht daran, dass sich mit TTIP besserer Verbraucherschutz durchsetzen lässt! Das kostet doch wieder Geld, und das wird kein Konzern ausgeben wollen. Dazu sind sie viel zu sehr ihren Aktionären verpflichtet und eben gerade nicht dem Allgemeinwohl. Die Konzernleitungen müssen geradezu alles einsetzen, um dem Unternehmen nicht zu schaden, und entgangener Gewinn ist sicherlich ein "Schaden" im Sinne der Rendite.

Ich hoffe sehr, dass ihn die Schüler ordentlich gegrillt haben, damit er die Stimmung von der Basis wahrnimmt. Immerhin finde ich es ein sehr gutes Zeichen, dass ein Grundkurs in Politik und Wirtschaft sich für Themen interessiert, einen Politiker einlädt und ihn mit unbequemen Fragen löchert.

Captain America 2

Ich war mal wieder im Kino - in einer Comicverfilmung.

Sage ich schon, dass ich die verfilmten Marvel-Comics liebe? Ne, ich glaube nicht.

Also: ich liebe ja diese Comic-Verfilmungen von Marvel. Als Kind hab ich immer ganz fasziniert diese schrägen Helden gelesen, die alle auf die eine oder andere Weise eine Macke oder ein Handicap hatten.

Das wirkte damals auf mich schon wesentlich glaubwürdiger als diese blankpolierten Helden wie Superman oder Batman. Soweit man bei magischen Ringen, netzspritzenden Spinnenbissopfern, Dingen mit Steinpanzerung nach Weltraumflügen und ähnlichem überhaupt von Glaubwürdigkeit reden kann ;)

Natürlich hab ich auch Superman und Batman und alles andere gelesen, was ich in die Finger bekam. Das war einfach eine faszinierende Fantasiewelt, und die Vorstellung, dass es einen Beschützer gibt, hat doch 'was Beruhigendes, oder nicht?

Also, äh ... ja. Ich war mal wieder im Kino. Hm, sagte ich schon. Aber noch nicht, in welchem Film. Nun denn, irgendwann muss es raus. Oder lesen Sie Blogs, ohne die Überschrift wahr zu nehmen? Glaube ich eigentlich nicht. Aber ich sprech's trotzdem nochmal aus: es handelt sich um den zweiten Teil von Captain America, "The Winter Soldier".

Nervig ist die Angewohnheit, aus einem englischen Untertitel ("The Winter Soldier") einen anderen englischen Untertitel ("Return of the first Avenger") zu machen, das ist doch blödsinnig. Cap 2 handelt hauptsächlich von den Überresten der Organisation Hydra, und der "Winter Soldier" ist ein Experiment  des in den 70ern verstorbenen Nazi-Wissenschaftlers Zola.

Im Moment gibt es ja sozusagen eine Flut von Filmen, die alle so ein bißchen miteinander verbunden sind. Man erkennt eine zeitliche Reihenfolge in den Filmen über Iron Man (1-3), Thor (1-2), Captain America (1-2) und den Avengers, es werden immer mal wieder Anspielungen gemacht und insbesondere die Teaser nach dem Abspann deuten an, wie es weitergeht. Außerdem findet sich in nahezu allen Filmen entweder als Andeutung oder als Handlungselement der Tesserakt (mathematisch ein vierdimensionaler Würfel - in unserer eingeschränkten Sichtweise müsste die Projektion eigentlich anders aussehen, nämlich in etwa so wie auf diesem außergewöhnlichen Gemälde über die Kreuzigung, "Crucifixion (Corpus Hypercubus)" von Salvador Dalí).

Allerdings hat mich bei diesem Film die fehlende Glaubwürdigkeit der Handlung schon ein bißchen gestört: für die Invasion aus einer anderen Dimension in "Avengers I" wurden alle Avenger gebraucht, aber wenn fliegende Monstermaschinen, angetrieben von Starks Repulsor-Antrieb, 20 Mio. Menschen gezielt auf's Korn nehmen und umbringen wollen, muss Cap alleine 'ran (ok, mit Black Widow und Falcon), und Iron Man sitzt zuhause und kuschelt mit seiner mittlerweile geheilten Pepper Potts?

Allzuviel über den Verlauf der Handlung will ich nicht verraten, es gibt einige sehr überraschende Wendungen, und wenn man die vorher weiß, geht viel vom Spaß beim Schauen verloren.

Unglaublich spannend fand ich den Anschlag auf Nick Fury und die Verfolgungsjagd mit dem Auto. Überhaupt finde ich sehr erstaunlich, wie zuverlässig die Sprachsteuerung funktioniert, sowohl in Autos als auch in Bürocomputern, Flugzeugen und so weiter. So weit ist Siri noch nicht ;)

Sehr schön auch die Szene in dem alten Rechenzentrum von S.H.I.E.L.D. mit den Bandmaschinen, den riesigen Monitoren und Klackertastaturen. Erfrischend dann als Anachronismus der USB-Hub.

Naja, ansonsten ist das Ende nicht so überraschend. Es war klar, dass es einen Countdown geben muss, und das Narrativium sorgt dafür, dass der Held immer in der letzten Sekunde die Lösung findet (hier: den Chip einsetzt). Erstaunlich nur, dass der "böse" Chip entfernt wird, dann gibt es eine minutenlange Prügelei mit leerer Fassung, und der Heli-Carrier funktioniert trotzdem problemlos. Erst mit dem Einsetzen des neuen Chips verbreitet sich in allen beteiligten Maschinen die Manipulation und alles ist gut.

Rundum empfehlenswert, wenn man Actionfilme aus einem Comic-Universum mag. Als Software-Entwickler lassen mich die Fortschritte bei der Tricktechnik (CGI) immer wieder staunend und fassungslos zurück. Es ist genial, was an Filmqualität mittlerweile aus dem Computer kommt.

Aber auch der Charakter Steve Rogers kommt nicht zu kurz: der Film besteht nicht nur aus Action. Insbesondere konstatiert Cap, dass er im 2. Weltkrieg die Freiheit verteidigt hat. Zu Anfang des Films geht es darum, die Überwachung zu verstärken, und das schmeckt ihm gar nicht. Auf die Parallelen zur aktuellen Wirklichkeit brauche ich nicht weiter einzugehen, denke ich. Die Realität hat uns hier eingeholt, wie ich vor einiger Zeit schon schrieb. Ich finde es sehr sympathisch und die Dosierung war genau richtig, in der Cap an sich zweifelt.

Beeindruckend die Leistung eines namenlosen Technikers, der am Computer sitzt, von einem der Bösewichte mit der Pistole bedroht wird, damit er die Überwachungsmaschinerie startet. Man kann genau den Widerstreit zwischen Angst vor der Bedrohung und seinen Wunsch erkennen, eben nicht zur Überwachung beizutragen. Um was es geht, hat Cap ja vorher in einer Durchsage genau erklärt. Der Zuschauer fiebert mit und rechnet schon ziemlich fest damit, dass der Techniker erschossen wird, bis im letzten Moment ... Mehr verrate ich nicht ;)

Außerdem besucht Cap seine alte Liebe Peggy, die im Gegensatz zu ihm die 70 Jahre leider nicht so frisch überstanden hat. Er erinnert sie daran, dass sie ihm immer noch einen Tanz schulde ... sehr romantisch (erwähnte ich schon, dass ich auch gern tanze? Ich mag am liebsten Tango und Quickstep).

Achja: Robert Redford spielt mit, und gar nicht mal schlecht. Aber alt geworden ist der Mann. Ui. Typisch für Geheimdienst ist seine Rolle sehr ambivalent, erst ganz am Ende zeigt sich sein wahrer Standpunkt. Mehr verrate ich auch hier nicht ;)

Also: definitiv angucken. Die Logikschwächen sind verschmerzbar. Die Bilder sind toll. Es lohnt sich!

Über Oswin Veith, CDU, MdB für den Wetteraukreis

Ich fühle mich richtig gut in Berlin vertreten, seit ich nicht Oswin Veith gewählt habe und er trotzdem die Leiter hinaufgefallen ist bis nach Berlin in den Bundestag. Nach nur vier Jahren, wenn er die aushält, hat er somit rentenmäßig ausgesorgt. Wenn er bei der Landratswahl gescheitert ist und jetzt im Bundestag sitzt, was sagt uns das über das Peter-Prinzip?

Er stimmt für die Erhöhung der Diäten, für das kaputte Gesetz zur Abgeordnetenbestechung (man beachte die ausdrückliche Formulierung in der Strafvorschrift: "... auf Anordnung oder Weisung ..." - wie will man das denn nachweisen?), und auch wenn es derzeit keine konkreten Zeitpläne gibt, prescht er schon mal vor und kündigt an, dass er die Vorratsdatenspeicherung wieder einführen will. So zumindest berichtet die WZ in ihrer Ausgabe vom 21.02.14. Natürlich völlig unbeeindruckt von der offiziellen Linie der Koalition, dass erst das Urteil des EuGH abgewartet werden soll, ob die VDS prinzipiell mit den Menschenrechten in der EU vereinbar sein kann.

Dies finde ich so doof, dass ich dazu einen Leserbrief geschrieben habe, in dem ich beschreibe, was bei der VDS gespeichert wird, und ein bißchen spekuliert habe, was überwacht werden könnte, wenn es sie (wieder) gäbe. Es gab ja schonmal für ein paar Monate eine VDS in Deutschland, aber es gibt keine belastbare Untersuchung, dass in dieser Zeit die Aufklärung von schweren Verbrechen so signifikant zugenommen hat, dass man einen Zusammenhang zur VDS herstellen kann.

[Der Leserbrief wurde am 27.02.2014 abgedruckt. Blau markiert die Kürzung durch die WZ]

Leserbrief zur Meldung "MdB Veith befürwortet die Vorratsdatenspeicherung" 21.02.2014

Mit Schrecken, aber auch nicht wirklich verwundert, las ich die Meldung, dass Herr Veith nun aktiv das Speichern von Verbindungsdaten in Deutschland vorantreiben will. Die SPD und die CDU schaffen es innerhalb kürzester Zeit, der Demokratie schweren Schaden zuzufügen. Es gibt trotz mehrjähriger medialer Beeinflussung bislang keinerlei Nachweise oder Untersuchungen, dass die Vorratsdatenspeicherung bei irgend etwas helfen kann.

In Deutschland gab es einige Zeit lang die Vorratsdatenspeicherung für Verbindungsdaten. Das Max-Planck-Institut für ausländisches und internationales Strafrecht fand keine Hinweise darauf, dass die Speicherung auch nur einen Terroranschlag verhindert hätte - oder dass sich damit Kinderpornografie wirksamer bekämpfen ließe. Forscher der Technischen Universität Darmstadt kommen zu dem Ergebnis, dass die Vorratsdatenspeicherung nicht zur Prävention geeignet ist.

Was aber bedeutet denn die Speicherung von "Verbindungsdaten", und ist das wirklich so harmlos, wie unsere Politiker es darstellen wollen? Ganz im Gegenteil! Die Verbindungsdaten (auch Meta-Daten genannt) sind sogar kritischer und wichtiger als der eigentliche Inhalt. Unter Verbindungsdaten versteht man (im Sinne des geplanten Gesetzes), dass die Anbieter Daten darüber speichern müssen, wer die Kommunikationspartner sind, wann sie kommuniziert haben, und je nach Medium gehören dazu auch die Standortdaten oder die Internetnummer (die IP-Adresse) -- bei Handytelefonaten wird gespeichert, in welcher Funkzelle ich mich befinde; bei Email, Chat usw. wird gespeichert, wer mein Anbieter ist und in gewissem Umfang ebenfalls, wo ich mich befinde. Bei Email wird gespeichert, was im "Briefkopf" enthalten ist, also die Emailadressen. Handy-Standortdaten in Großstädten sind auf ca. 200 m genau, auf dem flachen Land je nach Abstand der Funkmasten 1-5 km.

Im Licht des nichtvorhandenen Aufklärungswillens in der Abhöraffäre, in die sicherlich auch die deutschen Geheimdienste verwickelt sind, kann ich nur feststellen: wenn Daten vorhanden sind, weckt das ganz schnell Begehrlichkeiten. Da die Schlapphüte sich offensichtlich nicht kontrollieren lassen, können und müssen wir davon ausgehen, dass der "Richtervorbehalt" zur Nutzung der Vorratsdaten das Papier nicht wert ist, auf dem er im Bundesgesetzblatt gedruckt wird. Wir werden also abgehört und ausgeforscht und bezahlen auch noch dafür! Das meine ich im Wortsinn: die Datenspeicherung geschieht bei den Anbietern, z.B. Telekom, eplus, 1&1 usw.usf. Die gigantischen Datenmengen, die bei der Speicherung anfallen, müssen eine bestimmte Zeitlang auf Speichermedien vorgehalten werden. Das kostet natürlich Geld, und ebenso natürlich werden diese Kosten solidarisch auf alle Kunden umgelegt.

Ein kleines Beispiel, was man aus den Verbindungsdaten ablesen kann: ich telefoniere mit einem Arzt. Mein Handy meldet sich in einer Funkzelle in Praxisnähe an. Der Arzt telefoniert mit einem Krankenhaus. Mein Handy meldet sich in einer Funkzelle in Krankenhausnähe an. Ein paar Tage später telefoniere ich mit dem Arzt. Dann telefoniere ich mit einer Versicherung. Danach rufe ich bei der Telefonseelsorge an.

Welches Szenario hat sich hier abgespielt? Es gehört nicht viel Phantasie dazu, nicht wahr? Und all das, ohne zu beschreiben, welche Inhalte hier jeweils transportiert wurden, allein aus der Abfolge der Ereignisse kann man erstaunlich detaillierte Schlüsse ziehen. Wollen wir, dass unser Leben in diesem Umfang für Monate gespeichert wird? Ohne dass es eine wirksame Kontrolle darüber gibt, wer auf diese Daten Zugriff hat und zu welchem Zweck? Könnte ein paranoider Schlapphut nun mutmaßen, dass solch eine Person zu einem Selbstmordattentäter werden könnte?

Zu meinem oben erwähnten Schreckensszenario gibt es noch eine Verschärfung: die elektronische Gesundheitskarte bietet einen allumfassenden Zugriff zu Patientenakten, die nach dem derzeitigen Design zentral gespeichert werden. Wäre es nicht denkbar, dass es Hintertüren gibt, um diese Daten abzugreifen? Welches Droh- und Erpressungspotential bietet es, wenn man die Krankenakten aller Deutschen unter seiner Kontrolle hätte?

[Fußnote: ich habe technisch nichts mit der eGK zu tun, das ist alles spekulativ]

Das Abhören - neue Wege für die EU?

In letzter Zeit kommentiert die WZ erstaunlich kritisch zum Thema "Abhören". Die Autoren Ferber und Spang schreiben richtig gute und tatsächlich sachliche Glossen. Deshalb habe ich die beiden in einem Leserbrief auch ein bißchen gelobt:

Leserbrief zu Kommentaren am 18.01.2014 und 06.02.2014

Herr Spang und Herr Ferber, Ihre Kommentare sind erfrischend und benennen genau, worum es geht:
das Abhören ist ein Zeichen amerikanischer Machtausübung. Es geht bei weitem nicht um Terrorismusabwehr, auch wenn uns das immer eingeredet wird. Die USA sind nur an Erdöl und Informationen interessiert. Seit dem Anschlag 9/11 dreht sich die Eskalationsspirale immer schneller.

Genauso wie bei der Vorratsdatenspeicherung, die in Deutschland diskutiert wird, fehlt jeder sachliche Nachweis, dass das Abhören und Speichern der diversen amerikanischen Geheimdienste notwendig, angemessen und verhältnismäßig ist.
Jeden Tag hören wir in den Nachrichten von neuen Anschlägen. Sollte nicht genau das verhindert werden können, wenn das Abhören wirklich so umfassend ist, wie wir jeden Tag in immer neuen Details erfahren?

Der internationale Aufruhr ist entstanden, weil die Kanzlerin festgestellt hat, dass die Amerikaner keine Rücksichten nehmen und keine Freunde kennen, wenn es um ihre Interessen geht. Seit langem ist bekannt, dass alle Geheimdienste untereinander Daten austauschen. Vielleicht ist die Kanzlerin auch nur deshalb ärgerlich geworden, weil es bekannt wurde?

Offensichtlich fehlt der politische Wille sowohl zur Aufklärung als auch zum Abstellen dieser Zustände. Es gäbe durchaus Hebel, die die EU einsetzen kann: die Überlassung von Banktransferdaten (SWIFT), die Übermittlung von Fluggastdaten (Passenger Name records), internationale Abkommen wie ACTA, TTIP uvm.

Eine mittelfristige Überlegung wäre auch, die gesamte EU in der Außen- und Sicherheitspolitik neu und klar zu positionieren. Das ginge, allerdings sollte dazu das amerikanische U-Boot namens Großbritannien (diese Formulierung habe ich bei Bronski aus dem Blog der Frankfurter Rundschau entliehen) sich entweder deutlich zur EU bekennen oder die EU verlassen.

Nicht einmal die offensichtliche Gefahr von Wirtschaftsspionage bringt unsere Regierungen dazu, mit mehr Selbstbewusstsein aufzutreten. Es ist erstaunlich, dass die üblichen Lobbys sich so bedeckt halten, statt die Probleme anzusprechen und Lösungen einzufordern. Die Klimakonferenz in Kopenhagen 2009 wurde massiv abgehört, und weil die USA vorher wussten, dass ein Plan B als Kompromiß schon vorbereitet war, konnten sie bei den regulären Verhandlungen ungeniert alles Unliebsame ablehnen.

Wie Sie schon ganz richtig gefordert haben: wenn die USA weiter spionieren, müssen wir technisch dagegen vorgehen und nicht zahnlose Reisebittsteller wie Pofalla in die USA schicken und uns dann die Beendigung der Affäre vorlügen lassen.

Technische Möglichkeiten sehe ich genug:

1. flächendeckender Einsatz von Verschlüsselung, sowohl im privaten als auch geschäftlichen Bereich. Jeder sollte grundsätzlich seine Emails verschlüsseln (installieren Sie Thunderbird mit dem Zusatzprogramm Enigmail, das gibt es für Windows, Linux und Mac). Jeder sollte nur noch verschlüsselte Webseiten aufrufen und unnötige Signaturstellen, denen man nicht vertrauen kann, aus dem Browser löschen.

2. Amerikanische Signaturfirmen für SSL-Zertifikate sollten gemieden werden, weil nicht sicher ist, ob die Geheimdienste nicht Zugriff auf deren Basisschlüssel haben (sog. Rootzertifikate). In diesem Fall wären nahezu unerkennbare "man in the middle"-Attacken möglich.

3. Jeder sollte bei der Auswahl von Dienstleistern darauf achten, ob diese ihr Rechenzentrum in der EU betreiben, oder eine Mutterfirma in USA haben, die der Jurisdiktion mit Geheimgerichten und Schweigeanordnungen unterliegt (prominente Beispiele: Facebook, Google, Amazon, Twitter).

4. Die Telekom sollte am Frankfurter Internet-Austauschknoten DE-CIX teilnehmen statt mit jedem Partnerunternehmen eigene Internetrouten auszuhandeln ("peering"), die unkontrolliert durch ausländisches Gebiet verlaufen können.

5. Da der englische Geheimdienst GCHQ die Seekabel zwischen der Insel und USA abhört und die Daten mit den Geheimdiensten von USA, Australien, Kanada und Neuseeland austauscht ("5 eyes-Gruppe"), könnten langfristig Seekabel vom Kontinent aus gebaut werden, wie z.B. jetzt gerade ein Seekabel von Europa nach Brasilien in Planung ist.

[Update: abgedruckt 13.02., von de WZ-Red. gekürzte Stellen markiert]

Die eigene Cloud - oder doch nicht? Leserbrief zum WZ-Artikel 16.11.13

Letzten Samstag war ein Artikel in der WZ, den ich für sehr fragwürdig halte: dort wird die Einrichtung einer eigenen Cloud im Internet besprochen.

Allerdings wird nicht genauer erklärt, warum man eine eigene Cloudsoftware einrichten sollte. Einen Server bei einem Rechenzentrum mieten, nur für den eigenen Kalender? Halte ich für übertrieben.

Sollen dort in der "eigenen Cloud" die Urlaubsbilder sicher gespeichert werden? Cloud ist die falsche Lösung, da verwendet man Backups oder ein NAS oder beides.

Leserbrief zum Artikel "Die eigene Cloud" WZ 16.11.2013

Der Artikel beschreibt, wie man sich selbst einen Server mit "Cloud"-Funktion einrichtet. Im Ansatz ist die Idee natürlich löblich, die Kontrolle über die eigenen Daten zu behalten. Die "Cloud" dient dazu, dass man von überall her auf seine eigenen Daten zugreifen kann, ob nun zuhause, im Büro oder unterwegs mit dem Smartphone.

Die zwei prinzipiellen Möglichkeiten, so eine "eigene Cloud" zu realisieren, sind allerdings beide nur mit großer Vorsicht genießbar, deshalb halte ich den Artikel bei weitem für zu ungenau und zu einseitig positiv.

Im Lichte der Details, die nach und nach über die diversen Geheimdienste und ihre Abhöraktivitäten ans Licht kommen, wäre die erste Überlegung nämlich nicht das "wie" - realisiere ich meine Cloud mit dem heimischen Gerät, miete ich einen V-Server oder ein richtiges "Blech" im Rechenzentrum eines Dienstleisters, sondern zunächst mal - "ob" und wenn ja, "wofür" ich so etwas wirklich so dringend benötige.

Die "eigene Cloud" begründet der Artikel eben genau mit der Datensicherheit, die bei Anbietern wie Dropbox, Box, Google, Microsoft etc. nicht gewährleistet ist, weil die Rechenzentren in den USA liegen und damit natürlich der amerikanischen Rechtsprechung unterliegen, die sehr hemdsärmelig mit Datenschutz umgeht (Patriot Act, Gag order, usw.).

Andererseits sind die Enthüllungen mittlerweile so schockierend, dass man eigentlich nichts und niemandem mehr trauen darf. Glaubwürdige Berichte beschreiben, dass die USA gezielt Schwachstellen in Standardisierungen von Verschlüsselungsalgorithmen einschleusen ließen, und die übliche Verschlüsselungstechnik für WWW, nämlich das SSL (das "s" in "https"), ist zwar mathematisch sicher, wird aber dadurch angreifbar, dass es auf dem Vertrauen in Signaturstellen beruht. Leider sind alle großen Signaturstellen (Verisign usw.) in den USA beheimatet, und es ist mehr als plausibel, dass sie durch rechtliche Anordnungen gezwungen werden können, die Basis-Signaturschlüssel ("root CA") auszuliefern. Mit diesem Besitz ist es möglich, sich in verschlüsselte Verbindungen einzuklinken und insbesondere beiden Parteien vorzugaukeln, dass ihre Verbindung sicher ist.

Es ist also zu vermuten, dass auch verschlüsselte Verbindungen abgehört werden können, und da die Telekom nicht am Datenaustausch des DE-CIX in Frankfurt teilnimmt, laufen vermutlich sehr viele Datenverbindungen unnötig durch ausländische Netze, die fröhlich abgehört werden. Aber nicht nur das, eventuell wird auch am DE-CIX direkt abgehört, genauso wie der englische Geheimdienst an den Landestellen der Seekabel in England und Zypern die Daten abschnorchelt. Mittlerweile heißt es ja auch, dass der BND sich vom englischen Geheimdienst helfen ließ, Gesetze so umzuinterpretieren, dass effektiv jeglicher Datenverkehr als "ausländisch" betrachtet wird und abgehört werden darf.

Im Grund kann man also festhalten: nur Daten, die den eigenen Rechner nicht verlassen, sind sichere Daten.

Wenn es denn unbedingt eine eigene Cloud sein muss, schlage ich einen gemieteten Server mit Linux oder BSD vor (keinen virtuellen, auch wenn das monatlich etwas teurer kommt, und ganz bestimmt keinen Windows-Server). Auf keinen Fall sollte eine Cloudsoftware auf dem Rechner oder Router zuhause laufen und eine Verbindung ins Internet geöffnet werden. Ich denke, dass die allermeisten Privatpersonen nicht in der Lage sind, sich gegen Hackereinbrüche zu schützen oder überhaupt zu erkennen. Dazu tragen leider auch Sicherheitslücken und absichtliche Hintertüren in Routern bei, über die die Fachpresse regelmäßig berichtet.

Wenn die Cloud "nur" dazu dienen soll, die eigenen Daten vor Verlust oder Zerstörung zu schützen, flapsig gesagt also eine sichere Ablage für die Urlaubsbilder gesucht wird, ist ein sicheres Speichergerät mit redundanten Festplatten die bessere Lösung (ein NAS-Gerät mit 2 bis 4 Festplatten im RAID), und immer 1 bis 3 Generationen Sicherungen der Daten an verschiedenen Stellen aufbewahren (externe Festplatten z.B.). Für diesen Zweck ist eine "eigene Cloud" zwar eine Lösung, aber nicht für dieses Problem.

Die Telekom und das Schland-Routing

Von allerorten tönt es derzeit, dass "man" ja unbedingt etwas gegen die ausufernde Schnüffelei tun muss.

Es hagelt Vorschläge, und man bekommt den Eindruck, wenn man nicht mindestens alle diese Vorschläge befolgt, steht der Geheimdienst quasi schon hinter der nächsten Wand und wenn man nur aus Versehen "Bombe" sagt oder schreibt, hört man im nächsten Moment das "hoi hoi hoi", wenn sich das SEK vom Dach abseilt.

Da gibt es Vorschläge für Emails mit Verschlüsselung (GPG), da gibt es Vorschläge, anonym mit dem Browser zu surfen, indem man Zwischenstationen verwendet, die keine Verbindungen aufzeichnen (TOR als Proxyfunktion), und es gibt auch Vorschläge, dass Datenverbindungen von den großen Providern nicht mehr durch das weltweite Warten geschickt werden, wenn Anfang und Ende der Verbindung doch beide im selben Land liegen.

Prinzipiell eine gute Idee, nur: größtenteils wird das schon längst umgesetzt, weil sich über 200 Provider in Frankfurt am DE-CIX zusammengetan haben, um genau das umzusetzen.

Nur: wer beteiligt sich nicht? Ausgerechnet die Telekom, die immer noch ihrer Monopolstellung aus dem letzten Jahrhundert nachtrauert und sich dem Prinzip der "kurzen Wege" verweigert. Die Telekom findet, dass sich alle nach ihr richten sollen, und versucht, die anderen Provider zu "privatem Peering" zu zwingen, d.h. zum Einrichten von bilateralen Übergabestellen, statt sich am genossenschaftlichen Multilateralismus in Frankfurt zu beteiligen.

Genau diese engstirnige Geschäftspolitik führt ja gerade dazu, dass ein Risiko besteht, dass eine Verbindung von einem Provider ohne direktes Peering zur Telekom durch Nichtschland geroutet werden muss, damit es letztendlich doch wieder bei der Telekom landet. Immerhin hat die Telekom einen Marktanteil von knapp 30 % auf dem deutschen DSL-Markt.

Abgesehen davon löst selbst das "Schlandrouting" (oder Schengen-Routing, wie es die Telekom nennt), nicht das grundsätzliche Problem, dass am DE-CIX fröhlich weiter direkt an den Knotenstellen des Austauschs abgehört wird. Auch das wissen wir ja leider und zum Glück durch Edward Snowden. Ich hätte mir bis vor kurzem nicht vorstellen können (und wollen ...), dass tatsächlich jemand die Chuzpe besitzt, die gigantischen Datenmengen (mehrere TB/s) anlasslos zu durchsuchen und vermutlich auch komplett zu speichern.

Lösen ließe sich dieses Problem nur, wenn man eine starke Ende-zu-Ende-Verschlüsselung einführt, die nicht auf der kaputten Vertrauenshierarchie von SSL beruht. Zur Erinnerung: wenn ich ein SSL-Zertifikat nicht persönlich kenne (also mein PC oder sonstiges Endgerät ...), muss ich darauf vertrauen, dass die Zertifizierungsstelle sorgfältig gearbeitet hat, dass also die Root-CA-Stelle ordentlich geprüft hat, wem sie ein Zertifikat ausstellt.

Bis vor einem Jahr hätte ich als grundsätzliche Empfehlung geschrieben, dass man auf https-Verschlüsselung beim Browsen im WWW achten soll. Viele Anbieter haben inzwischen eine automatische Umleitung eingebaut, so dass man bei http-Verbindungen automatisch auf https umgelenkt wird. Allerdings setzt dies voraus, dass man der SSL-Verschlüsselung vertraut. Das schützt also nur gegen Mitlauschen durch böse Buben, die es auf Geld oder ähnliches abgesehen haben.

Da wir aber mittlerweile wissen, dass auch die Root-CA-Stellen korrumpiert sind, weil die fast alle in USA sitzen und deshalb von amerikanischen Gerichten zu allen möglichen Schweinereien gezwungen werden können, kann sich mit großer Sicherheit ein Geheimdienst selbst ein gültiges Zertifikat für eine belauschte Verbindung ausstellen und somit eine "man in the middle"-Attacke ausführen, die fast nicht erkannt werden kann.

Statt der zentralisierten Behauptung von Vertrauenswürdigkeit durch Root-CA-Stellen müsste es peer-to-peer-Schlüsselaustausch geben, wie z.B. in Bruce Schneiers "Applied Cryptography" beschrieben, mit einer Vertrauenswürdigkeit ähnlich wie bei GPG, wobei hier natürlich das Problem von Agenten existiert, die verdeckt für einen Geheimdienst arbeiten und sich in so ein "web of trust" einschleichen können.

Die Angriffe, die (vermutlich) staatliche Stellen letztes Jahr im Iran gegen Google Mail durchgeführt haben, sind nur deshalb aufgeflogen, weil im Google-Chrome-Browser geprüft wird, ob beim empfangenen Zertifikat der Signierer wirklich der ist, von dem Google das Zertifikat gekauft hat. Hier ist der Geheimdienst daran gescheitert, dass sie von dieser zusätzlichen Kontrolle nichts wussten und einfach mit der falschen Identität das Zertifikat signiert haben, mit dem die Antwort nach dem Lauschen weitergegeben wurde.

Auch wenn das alles ziemlich düster aussieht, was Bürgerrechte und Privatsphäre angeht, sollte man nach wie vor im Privat- und Geschäftsleben die Tipps für sicheren Umgang mit WWW, Email und dem Internet beherzigen, die ich schon mal zusammengestellt hatte, etwa hier und hier und hier. Elternbeiräte, Lehrer oder andere interessierte Gruppen können mich für einen kostenlosen Vortrag über Datenschutz und Privatsphäre einladen, den ich hier etwas genauer beschrieben habe.

[Update 20131206: Tippfehler in URL]

Ausgebrannt - Andreas Eschbach - Buchbesprechung

Ja ja, ich weiß, dass ich zu spät bin. Dieser Roman ist 2007 erschienen. Ich hab' ihn auch schon vor einiger Zeit gekauft, aber aus Gründen bin ich jetzt erst zum Lesen gekommen. Geblättert hatte ich schon mal nach dem Kaufen, aber irgendwie kam mir immer etwas anderes dazwischen. Aber der Besuch der Lesung in Lauterbach, die mich total begeistert hat, hat mir dann doch einen Schub(s) gegeben.

Bücher werden zwar mit der Zeit nicht besser, wenn man sie wie Wein liegenlässt, aber die Neugierde steigt. Nachdem ich also endlich den Anfang gefunden hatte, konnte ich das Buch kaum weglegen, und manche Abende wurden etwas länger als sonst, weil ich gerade an eine besonders spannende oder interessante Stelle gekommen war. Dies ist eines der besten Werke von Eschbach, soviel schon vorneweg.

Über den Inhalt will ich nicht besonders viel erzählen, sondern eher etwas über meine Eindrücke während des Lesens. Eine gute Zusammenfassung findet sich in der Wikipedia. Einige kleine Spoiler kann man dort finden, aber ehrlich gesagt, finde ich nicht, dass dieses Buch das Attribut "Thriller" so verdient wie z.B. "Nobelpreis", in dem es wirklich um echte und vorgetäuschte Verbrechen geht und alles auf einen Höhepunkt zustrebt. Von daher schmerzt es nicht besonders, wenn man Zusammenhänge schon vorher kennt, mich schon gar nicht ;). Ich bin sowieso jemand, der zuerst den Schluss liest, genau wie Harry in "Harry und Sally". Nebenbei nennt Sally in der Flugzeugszene nach fünf Jahren genau deswegen Harry einen "Engel des Todes", und das ist jetzt die Überleitung zum nächsten Absatz ;)

Genau wie auch das spätere Buch "Todesengel" liest sich "Ausgebrannt" streckenweise wie ein Sachbuch mit sehr vielen fachlichen und numerischen Details zu Ölförderung, Eisenbahnbau, Strahlungsleistung der Sonne, Solarzellen, Plausibilitätsrechnungen u.ä. Genau das finde ich an Eschbachs Büchern extrem spannend: diese Fülle an akribischen Details trägt dazu bei, dass ich mich als wissenschaftlich interessierter Mensch in dieser fiktiven Welt so zuhause fühlte.

Faszinierend fand ich an diesem Buch, wie glaubwürdig die Intrigen der diversen Geheimdienste, Firmenlenker und Politiker beschrieben wurden. Teilweise hat Eschbach hier die Realität von 2013, z.B. die NSA-Abhörgeschichte, vorweggenommen. Er bezieht sich zwar auf das früher bekanntgewordene ECHELON, aber grundsätzlich wirkt alles so extrem nachvollziehbar, dass es beunruhigend ist.

Die Charaktere handeln einfach, sie haben keine besonderen Eigenschaften, auf die das Buch eingeht. Im Wesentlichen ist "Ausgebrannt" ein buchgewordenes Roadmovie, in dem Markus Westermann immerzu hin und her reist. Sein Unfall und das Koma geschehen auf den ersten paar Seiten, und ungefähr in der Mitte bei Buches, nach knapp 300 Seiten, hat die Handlung den Bogen zurück zu diesem dämlichen Autounfall geschlagen. Dieser, ausgelöst durch einen leeren Tank, ist natürlich symptomatisch für die gesamte Geschichte, in der es darum geht, wie wichtig Erdöl ist und wie abhängig unsere gesamte Gesellschaft davon geworden ist.

Wenn ich versuchen wollte, die Ziele chronologisch aufzuzählen, wird das ein ganz schön langer Absatz ... Mal sehen: Westermann reist als Software-Entwickler in die USA, um eine amerikanische Finanzsoftware an die deutsche Sprache und Rechtsprechung anzupassen. Auf dem ersten Stück der Reise trifft er Block und besucht mehrere Ölförderstätten, darunter auch in Saudi-Arabien. Block verschwindet, er reist zurück nach USA, will die Unterlagen aus dem Schließfach holen und stellt fest, dass es von der CIA per Gerichtsbeschluss leergeräumt wurde. Er forscht nach Taggard und findet ihn über Kommilitonen, frühere Freunde, Nachbarn und den Wohnort seiner Eltern. Auf dem Weg zu Taggard geschieht der Autounfall. Sein Bruder schmuggelt ihn nach Deutschland in eine Klinik. Von dort reist er mit einem Zweit-Reisepass über die Niederlande zurück nach USA und findet Taggard in "Bare Hands Creek". Von dort flüchtet er und findet Amy in dem aufgegebenen Forschungszentrum. Dann trifft er eine Senatorin und den Präsidenten der USA in Washington. Im Epilog reist er per Schiff und Luftschiff zu seinem Neffen nach Deutschland.

Abgesehen von seinem Ehrgeiz und dem Drang, "etwas" in USA zu erreichen, hat Westermann nicht viel, was ihn dem Leser näherbringt (mir zumindest nicht). Es gibt einige minimal übernatürlich angehauchte Andeutungen, so haben er und seine Geliebte Amy Visionen über die Zukunft. Amys Vision allerdings stellt sich als kindliche Erinnerung heraus, weil sie damals zufällig im Keller die Akte "Alfred Westermann" beim Spielen gefunden hat, dazu gleich noch mehr. Markus' Vision von einem "gläsernen Turm" ist kein Hochhaus, das ihm gehört und in dem er residiert, sondern die "Westerman"-Maschine, die billig Alkohol gewinnen kann.

Seitenhiebe auf aktuelle (genauer: damals schon aktuelle) Entwicklungen machen das gesamte Buch sehr unterhaltsam, z.B. erlebt Dorothea das Auftreten eines Rechtsanwalts, der ihr eine Abmahnung persönlich zustellt und verlangt, dass sie ihren Dorfladen schließt. Die Begründung dafür klingt aberwitzig, aber juristisch vermutlich haltbar, so dass sich der "normale Menschenverstand" sträubt, das für bare Münze zu nehmen: ihr Sohn hat Werbezettel verteilt, in denen er die (an dieser Stelle schon massiv gestiegenen) Spritkosten in Relation zum Einkauf beim Dorfladen und beim 30 km entfernten Supermarkt setzt. Die Abmahnung behauptet nun, sie habe unerlaubte "vergleichende Werbung" betrieben. Denkbar ist das natürlich, andererseits gab es vor einigen Jahren eine Gesetzesreform, die - sachliche - vergleichende Werbung erlaubt, und was wäre sachlicher, als die konkreten Preise zu benennen und die eigenen Transportkosten zu addieren?

Einige dramaturgisch nachvollziehbare, aber auch nicht wirklich glaubwürdige Verrenkungen beschreiben, dass der ehemalige CIA-Agent Taggard Markus' Vater Alfred kannte und dessen Erfindung zugunsten der amerikanischen (Erdöl-)Wirtschaft verschwinden lässt, sogar hilft, ihn am Ende durch Manipulationen am Auto ermorden zu lassen. Rein zufällig landen die Unterlagen über diese Erfindung bei Amys Vater, und bei Markus' Einbruch in ein abgelegenes, geheimes Forschungslabor stellt sich heraus, dass es deren Vater gehört und von der mittlerweile von Markus hochschwangeren Amy bewohnt wird.

Der Schluss ist abrupt, aber das bin ich mittlerweile von Eschbach gewöhnt. Das Buch hat etwas Happy End, aber nicht viel.

Durch die wiederentdeckte Erfindung von Alfred Westermann ist es möglich, mit wenig Aufwand Gärungsalkohol zum Antrieb für Motoren zu gewinnen, ohne aufwändig Energie in die Destillation zu stecken. Die Idee mit einer osmotisch wirksamen Folie ist plausibel genug für das Buch. Nicht wirklich plausibel ist das generöse Auftreten der USA, die der ganzen Welt diese "Westerman"-Maschinen zur Verfügung stellt, nachdem vorher eher der Führungsanspruch durchschimmerte und der Versuch, sich Vorteile zu verschaffen.

Mir hat nicht besonders gut gefallen, wie leicht die Massenherstellung der "Westermans" anläuft. Eine unterhaltsame Anekdote am Rand findet sich aber auch hier in einem Seitenhieb: eine bestimmte Maschine zur Stoffherstellung wird benötigt. Der Geheimdienst hat aber "rein zufällig" die Pläne dieser deutschen Maschine greifbar.

Die Welt verändert sich massiv, die Regionalität nimmt zwangsläufig zu, auf Erdöl basierende Produkte werden extrem teuer oder fallen ganz weg (Plastik, Medikamente, Dünger, ...), aber die USA bleiben noch lange Zeit eine starke Hegemonialmacht, auch wenn der föderale Staatenverbund im Epilog 30 Jahre später massiv zu bröckeln begonnen hat. Es gibt kaum noch Flugverkehr, kaum noch Tourismus, religiöser Extremismus nimmt wieder zu.

Die Rolle der USA und ihr massives geheimdienstliches Eingreifen zum Schutz der eigenen Politik und Wirtschaft klingt heute weniger überraschend als zum Zeitpunkt der Erstveröffentlichung. Hier ist nichts erfunden, durch die Enthüllungen von Snowden wissen wir, dass es tatsächlich so ist, und vielleicht noch schlimmer.

Hier kann sich jeder Leser selbst eine Meinung darüber bilden, wie selbstverständlich Mächte ohne Rücksicht auf Menschen, Staaten und Umwelt in fremde Politik eingreifen und auf Menschen- und Bürgerrechte pfeifen. Auch andere Verschwörungstheorien werden aufgegriffen und plausibel eingeordnet, z.B. der Bau des Panama-Kanals, die Ausbeutung von Erdölfeldern in Venezuela und Ecuador, der Bau von Pipelines, die Protektion der saudi-arabischen Königsfamilie und vieles mehr.

Fazit: heute lesenswerter denn je. Unbedingt zugreifen!

Leserbrief zum Leserbrief: Einfältigkeit

Heute fiel mir bei der Lektüre der Leserbriefe mal wieder die Kinnlade 'runter
... Oder eigentlich auch nicht, von diesem Autor hatte ich nicht wirklich etwas wesentlich anderes erwartet. Die übliche Rot/Grün-Hetze und dann plötzlich ein Rundumschlag: alle Menschen, die das Abhören durch die NSA nicht gut finden, sind einfältig.

Genauer gesagt, schrieb er in einem Absatz dieses hier:

"Auch die NSA-Panikmache beeindruckt nur einfältige Menschen, denn es ist logisch, dass keine Lauscher weltweit den Smalltalk von Lieschen Müller und Karlchen Mustermann verfolgen. Wäre personell gar nicht möglich. Computer durchforsten die aufgezeichneten Daten nach verdächtigen Inhalten, und das ist auch gut so. Terroristen und Kriminelle haben ohnehin immer einen gewissen Vorsprung. Herr Snowden hat diesen Individuen jedenfalls mitgeteilt, worauf sie in Zukunft achten müssen, um nicht entdeckt zu werden."

Dazu musste ich eine Antwort schreiben. Leider ist mir zu der Bemerkung mit dem "gewissen" Vorsprung erst jetzt aufgefallen, dass hier der Grundsatz "Der Zweck heiligt die Mittel" durchschimmert und die Idee, dass der Staat -- natürlich nur heimlich -- auch illegale Mittel anwenden darf, um mit den Bösewichten mitzuhalten. Das tut schon ganz schön weh zwischen den Ohren, sowas zu lesen.

Leserbrief zum Leserbrief WZ 23.08.2013

Lieber Herr von N., ich bin beeindruckt von der Schärfe und Knappheit, in der Sie den Rest der deutschen Bevölkerung als "einfältig" bezeichnen. Ich bekenne mich schuldig: ich bin einfältig und naiv.

Ich habe nämlich bislang (halbwegs) daran geglaubt, dass wir in einem Rechtsstaat leben, und dass unsere Nachbarn ebenfalls eine demokratische Grundeinstellung haben, die sich hauptsächlich an den Menschenrechten orientiert und nicht an einem vagen Sicherheitsbedürfnis des Staats.

Mittlerweile ist es ja soweit gekommen, dass in England Antiterrorgesetze zur Abschreckung von Journalisten missbraucht werden, um ausländische Staatsbürger im Transit festzuhalten, ihre Passwörter abzupressen und ihre elektronischen Geräte zu beschlagnahmen, weil dort *vielleicht* journalistische Quellen gespeichert sind.

Selbstverständlich ist es so, dass die Emails von Lieschen Müller unwichtig sind. Ist es trotzdem in Ordnung, dass sie routinemässig durchsucht werden? Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet (z.B. in Darmstadt-Griesheim oder in Bad Aibling), gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen? Und Sie finden es ebenfalls nicht schlimm, dass Geheimdienste die UNO und EU-Diplomaten abhören? Natürlich ist das alles nur zu unserem Besten, ganz klar. Nicht, um den USA wirtschaftliche oder politische Vorteile zu verschaffen. Nein, nein.

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat kürzlich in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher und vor allem als ehemaliger Chef der Stasi-Aufklärungsbehörde sehr genau, wovon er spricht.

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege im Drucker der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird. Von 2008 bis 2011 wurden durch "technische Fehler" in USA verbotenerweise mehr als 50.000 inländische Emails (jährlich!) abgeschnorchelt. Hoppla. Ich dachte bislang, Geheimdienste sind unfehlbar? Hoffentlich wurde nicht durch einen weiteren technischen Fehler eine Drohne in Marsch gesetzt; Richter und Henker in einem, ohne ein rechtsstaatliches Verfahren zwischen Anklage, Verurteilung und Hinrichtung, und das alles unter der Regierung eines Friedensnobelpreisträgers.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen oder vor Kühen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA, von Kühen werden jährlich mehr als 100 Menschen totgetrampelt.

Butzbach Open Air - James Bond - Skyfall

Gestern war Kino-Tag. Ich liebe Kino, leider hab ich nur so wenig Zeit.

Dummerweise hab ich letztes Jahr den neuen James Bond-Film im Kino verpasst.
Umso erfreuter habe ich neulich in der Zeitung gelesen, dass er zum Programm des Butzbacher Open Air-Kinosommers im Landgrafenschloss gehört.

Da meine Frau - obwohl James Bond-Fan - den Schauspieler Daniel Craig gar nicht leiden kann, musste ich ohne sie hingehen. Ich muss dazusagen, dass mir die vorherigen Schauspieler auch deutlich besser gefallen. Schon "Casino Royale" war ein austauschbarer Action-Kracher ohne den feinen Humor und die Selbstironie der früheren Filme. Hier stechen insbesondere Roger Moore und Pierce Brosnan hervor.

Auch die Restauration in Butzbach ist sehr empfehlenswert, ich hatte einen Fleischspieß vom Grill für 4 Euro, und das Geld war gut angelegt. Popcorn ist natürlich im Kino ebenfalls ein Muss ;)

Mit einbrechender Dunkelheit fing der Film an. Es gab einen kurzen Vorfilm von etwa fünf Minuten zur Unterhaltung,  auf niederländisch mit deutschen Untertiteln, der auch sehr nett war. Genau wie auf das Bingo-Spiel will ich aber darauf nicht weiter eingehen.

Um es kurz zu machen: der Film hat mich ziemlich enttäuscht. Während des Films riss es mich noch einigermaßen mit, weil die Action und die Tricks wirklich gut gemacht sind, aber die ruhigen Szenen zogen sich wie Kaugummi, und wenn es dermaßen langweilig wird, fange ich an, über das Bisherige nachzudenken, und da taten sich doch einige dramaturgische und inhaltliche Lücken auf.

Zur Erinnerung: eine verschlüsselte Festplatte mit den Daten und Klarnamen nahezu aller NATO-Agenten, die in Terrororganisationen infiltriert wurden, wird gestohlen. Während eines dramatischen Kampfs auf dem Dach eines fahrenden Zugs befiehlt "M" der zweiten Agentin, trotz unklaren Schussfelds zu schießen. Sie trifft nicht den Bösewicht, sondern Bond, und die Festplatte verschwindet mit dem Zug in einem Tunnel. Bond wird vermisst, überlebt aber natürlich. Klar, eine Schulterwunde und ein Sturz aus geschätzten 50 m Höhe machen einem britischen Superagenten wenig aus. Warum die Agentin nicht einfach noch einmal geschossen hat, um den zweiten Schwarzfahrer zu erwischen, wurde mir nicht klar.

Die Festplatte wird entschlüsselt und der Unbekannte droht, jede Woche fünf Agenten zu enttarnen. Ein Anschlag auf das MI6-Gebäude führt zu einer politischen Affäre, und ein Staatssekretär legt "M" einen ehrenhaften Rücktritt nah. Sie verweigert dies und besteht darauf, das "Problem" selbst zu lösen. Der Anschlag wurde durch Hacking und computergesteuerte, geöffnete Erdgas-Ventile ausgeführt: der Angreifer scheint also sehr gute Computerkenntnisse zu besitzen. Bond kehrt zurück, ist aber in katastrophaler körperlicher Verfassung und besteht keinen Test. "M" belügt ihn darüber und versetzt ihn zurück in den aktiven Dienst.

Der Dieb der Festplatte wird identifiziert und Bond verfolgt ihn nach Shanghai. In einem Hochhaus führt Patrice seinen Killerjob aus und stürzt danach ab. Bond erfährt zwar nicht, wer der Auftraggeber war, aber er findet einen Casino-Chip. Er löst ihn an der Kasse ein und erhält einen Koffer mit 4 Mio. Euro. Außerdem trifft er eine elegante Frau, die schon in der Suite des Ermordeten anwesend war. Sie scheint die Vertraute des Bösewichts zu sein. Falls Bond es schaffe, ihre Bodyguards zu besiegen, erwarte sie ihn an Bord eines bestimmten Schiffes.

Natürlich schafft Bond das und trifft Sévérine. Das Schiff fährt zu einer von ihren Bewohnern aufgegebenen Insel. Dort erschießt der Bösewicht Sévérine in einem grausamen Schießspiel und wird danach festgesetzt, weil Bond mit Hilfe eines Peilsenders seine Position bekannt geben konnte.

Allerdings war die Festnahme Teil des Plans: der (sehr junge und sehr von sich überzeugte) "Q" schließt den "bösen" Laptop mit zwei (?) Kabeln an und untersucht ihn. Dabei schafft es ein sehr aggressives Virus, aus dem Laptop ins MI6-Computernetz auszubrechen und alle computergesteuerten Türen und Klappen zur Kanalisation zu öffnen, so dass der Bösewicht entkommen kann. Er verübt einen Anschlag auf den Untersuchungsausschuss, in dem "M" gerade Rede und Antwort stehen muss. Bond flüchtet mit "M" zunächst in ihrem Bentley, dann steigen sie um auf Bonds eigenen DB5.

Der Showdown findet im Anwesen von Bonds Eltern "Skyfall" in Schottland statt. Mit viel Bums und Feuerwerk werden die meisten Meuchelmörder und ein großer Armeehubschrauber besiegt. Dabei geht das Gebäude in Flammen auf. "M", Bond und der Wildhüter der Bonds, der gerade im Begriff war, nach Bonds angeblichem Tod den Besitz aufzulösen, flüchten durch einen Tunnel. "M" wird angeschossen und flüchtet in eine Kapelle. Dort tötet Bond den Ex-Agenten Silva. "M" stirbt.

Als Schlusspointe und vermutlich Grundstein für eine Neuauflage der kommenden Filme lernt Bond zurück im Büro seinen neuen Chef kennen, den früheren Staatssekretär Mallory, nun "M". Die Agentin, die ihn zu Beginn statt des Festplattendiebs angeschossen hat, erklärt, lieber im Innendienst bleiben zu wollen, und stellt sich als "Eve Moneypenny" vor.

Der Film hat mehrere gravierende logische Fehler. Ich konnte mir bis eben nicht einmal den Namen des Bösewichts merken und musste sogar bei Wikipedia nachschlagen, damit ich wenigstens einmal seinen Eigennamen hinschreiben konnte ;). Einen Tag später ...

Der schlimmste Fehler ist natürlich, dass nach der Gefangennahme auf der Insel "Q" Silvas Laptop anscheinend ohne weiteren Sicherheitsvorkehrungen mit einem Netzwerkkabel verband und in Betrieb nahm. Eine ernsthafte forensische Analyse setzt voraus, dass während der Untersuchung keine Änderungen am Untersuchungsobjekt geschehen können. Insbesondere darf das Gerät nicht eingeschaltet sein. Am besten wäre es, die Festplatte auszubauen, zu kopieren und nur die Kopie zu untersuchen. Das höchste der Gefühle wäre, eine virtuelle Maschine mit dem Festplattenabbild zu starten, die keine Verbindung zum echten Netzwerk hat.

Andererseits sieht man hier sehr schön die Gefahren, die das "Internet der Dinge" mit sich bringt, wenn also Geräte des täglichen Lebens einen Netzwerkanschluss bekommen und gesteuert werden können. Warum sollte man die Gasleitungen im MI6-Gebäude von außen über Internet erreichbar machen? Warum hatte der Laptop von "M" Zugang zu diesen Gasventilen, wenn er gehackt werden kann? Üblicherweise gestattet man Zugriff nach dem "need to know"-Prinzip. Wer den Zugriff nicht braucht, bekommt ihn nicht, selbst wenn er der oberste Boss ist. Jeder Zugang ist prinzipiell ein möglicher Angriffspunkt ("attack vector").

Ein weiterer Logikfehler geschieht während des Kampfs gegen die Bodyguards: der Gegner nimmt die Walther-Pistole, die durch Fingerabdrucksensoren auf Bond geeicht ist, und während des Angriffs der Echse fällt sie in den Staub. Bond springt auf den Rücken einer anderen Echse, um von dort wieder nach oben zu gelangen. Er hat keine Zeit, seine Pistole zu suchen. Später steckt er sie aber ganz gelassen wieder ein.

Besonders langweilig fand ich die Befragung im Untersuchungsausschuss, als "M" von ihrem verstorbenen Mann erzählt und ein längliches Gedicht von Tennyson rezitiert. Dabei gibt es Umblendungen zu Bond auf dem Weg zu ihr.

Im Lichte der gerade tobenden Debatte um das umfassende Abhören ist es natürlich besonders erschreckend, wenn am Anfang des Films während der Verfolgung des Diebs durch die Stadt die Bond-Kollegen im Büro Zugriff auf "Überwachungskameras, Satelliten, Verkehrsüberwachung" verlangen und nahezu sofort widerspruchslos bekommen. Jeder von ihnen weiß also, wie umfangreich die Überwachung ist, und kann sie wie selbstverständlich sofort in Anspruch nehmen.

Eigentlich bin ich ein großer James Bond-Fan. Mir gefallen die technischen Spielereien, die "Q" erfindet, und sein running gag, Bond möge wenigstens diesmal ein Auto heile wieder zurückbringen. Natürlich wird jedes Auto zerstört, und auch sonst hat Bond ein Händchen für die Schwachpunkte von "Q"s Erfindungen ;). Außerdem mag ich die intellektuellen Wortgefechte, die sich Bond mit seinen Gegnern liefert. Nun gut, das unsichtbare Auto war ein bißchen zu extrem, das war sogar mir zu unglaubwürdig ;).

Im aktuellen Film gibt es eine Andeutung von homosexuellen Streicheleien, als Bond auf der Insel gefesselt ist und der Bösewicht ihm wie üblich eine längliche Rede hält, damit Bond und die Zuschauer verstehen, warum alles so ist, wie es ist, und ein missmutiger Bond erklärt: "Wie kommen Sie darauf, dass es für mich das erste Mal ist?". Das kommt in keinster Weise an die Dialoge in den früheren Filmen heran. Das tiefschürfendste in den Craig-Bond-Filmen war noch der Dialog zwischen Vesper Lynd und Bond in "Casino Royal" im Zugrestaurant auf dem Weg zum Poker-Wettbewerb, als sie beide sich gegenseitig analysieren und feststellen, dass sie Waisen sein müssen.

Update 2013-08-04:

Inhaltlich war die Geschichte auch nicht so toll: der Ex-Agent, der die Seiten wechselt, ist schon in "Goldeneye" aufgetreten, und das Folter-Opfer, das aus Rache "M" im Visier hat, gab es auch schon in "Die Welt ist nicht genug". Ein doppelter Neu-Aufguss also ;)

"Ich habe nichts zu verbergen" - Leserbrief zum Leserbrief

Es ist wirklich unglaublich: es gibt wirklich und immer noch Leute, die in der Öffentlichkeit behaupten, dass sie nichts zu verbergen haben. Immerhin gehört Mut dazu, diese Lebenseinstellung auch noch als Leserbrief an die Wetterauer Zeitung zu schicken. Hut ab.

Natürlich war ich gezwungen, darauf zu antworten (Name der Red. bekannt):

Leserbrief zum Leserbrief WZ 26.07.2013

Liebe Frau W., ich finde es schön, dass Sie Ihr Leben so unwichtig einschätzen, dass Sie "nichts zu verbergen haben". Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet, gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen?

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat jetzt in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher sehr genau, wovon er spricht.

Und das ist genau das Problem: wenn ich weiß, dass ich (wenn auch nur vielleicht) abgehört werde, bedeutet das schon, dass ich mindestens unbewusst mein Verhalten ändere. Das Bundesverfassungsgericht hat allein diese Möglichkeit der Einschränkung der Meinungsfreiheit schon kritisch bewertet (das Schlagwort von der "Schere im Kopf").

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: es geht niemanden etwas an, ob ich etwas zu verbergen habe, und Sie dürfen das auch nicht stellvertretend für Ihre Gesprächspartner entscheiden. Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Welche Schäden gehen denn von FÜNF Terroranschlägen aus? Wieviele erfolgreiche Terroranschläge gab es denn in Deutschland vor der Internetüberwachung? Können Sie sich daran erinnern? Ich nicht. Mit anderen Worten: es waren so wenig Schäden und Opfer, dass Sie erkennen müssten: das Ausmaß der Überwachung ist absolut unverhältnismäßig. Und trotz Totalüberwachung sind die Geheimdienste an der Aufklärung der NSU-Morde gescheitert. Hmmmm ...

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen. Bedenken Sie dieses Beispiel: die Krankenkassen, Ärzte und Apotheken arbeiten an der elektronischen Gesundheitskarte und wollen alle Gesundheitsdaten aller Deutschen zentral speichern. Wenn die Geheimdienste wirklich die Offenlegung der Verschlüsselung erzwingen, liegen diese sämtlichen Gesundheitsdaten offen. Das sind wunderbare Informationen. Irgendein paranoider Schlapphut könnte auf die Idee kommen, dass alle Menschen mit tödlichen Krankheiten potentielle Selbstmordattentäter sind. Spinnen Sie den Gedanken selbst weiter!

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA.

Der Terrorismus hat den Freiheitsstaat abgeschafft - Leserbrief

Die Empörung über die Abhöraffäre nimmt und nimmt keine Fahrt auf, obwohl jeden Tag schreckliche neue Details zutage treten.

Jetzt wird sogar offenbar, dass die Geheimdienste die Verschlüsselung des https-Protokolls aufbrechen wollen, indem sie von den Firmen die Herausgabe der privaten Schlüssel verlangen.

Dazu mein Leserbrief mit einer Zusammenfassung des bisher Bekannten an die WZ.

Mein Fazit: allein durch die Veränderung vieler demokratischer Staaten hin zu dieser extremen Überwachung haben die Terroristen unglaublichen Schaden angerichtet. Dieser ideelle Schaden überwiegt bei weitem alles andere, was Terroristen im Namen welchen Gottes oder welcher Ideologie auch immer bislang verursacht haben.

Leserbrief zum Dauerthema Abhören

Wenn sogar der "Spiegel" das Abhörthema zum Dauerthema auf der Website macht und dauerhaft extrem kritisch berichtet, ist das schon ein deutliches Warnzeichen für unsere Demokratie und unser Verhältnis zu sogenannten "befreundeten" Staaten. Eigentlich ist es schlimm, dass man dieses Adjektiv in Anführungszeichen setzen muss, aber es scheint nicht weit her zu sein mit der Freundschaft. In den vergangenen 12 Jahren haben sich die USA von einem freien in einen Überwachungsstaat verwandelt.

In Deutschland gab es einige Zeit lang die Vorratsdatenspeicherung für Verbindungsdaten (keine Inhalte). Das Max-Planck-Institut für ausländisches und internationales Strafrecht fand keine Hinweise darauf, dass die Speicherung einen Terroranschlag verhindert hätte - oder dass sich damit Kinderpornografie wirksamer bekämpfen ließe. Forscher der Technischen Universität Darmstadt kommen zu dem Ergebnis, dass die Vorratsdatenspeicherung wohl nicht zur Prävention geeignet ist.

Zunächst schien es "nur" Internetüberwachung zu sein, bis bekannt wurde, dass die US-Post pro Jahr 160 Milliarden Briefumschläge fotografieren und digitalisieren lässt.

Als nächstes wurde nun bekannt, dass T-Mobile USA einen Geheimvertrag mit dem FBI unterzeichnen musste, der den Ermittlern nahezu grenzenlosen Zugriff zu den Daten und zur Kommunikation ihrer Kunden gewährt.

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Die Geheimdienste "5 eyes" der englischsprachigen Länder haben vereinbart, dass sie sich gegenseitig abhören und Daten austauschen. Man darf ja nicht die eigenen Landsleute abhören. Aber die Erkenntnisse der "Freunde" darf man natürlich verwerten. Wie verlogen ist das denn?

Merkel: "Da wurde dem Bundesinnenminister sehr deutlich gesagt, es gibt keine Industriespionage gegen deutsche Unternehmen." Die amerikanische Geheimdienstführung hat mehrfach sowohl Senatoren wie auch den US-Kongress angelogen. Wie außerordentlich egal muss dann erst eine Lüge gegenüber einem europäischen Reisebittsteller sein? Es gibt 45 verschiedene amerikanische Geheimdienste, und alle haben eigene Geheimnisse.

Es ist ein offenes Geheimnis, dass amerikanische Geheimdienste auch zu Gunsten der amerikanischen Wirtschaft spionieren. Es wird kolportiert, dass Airbus Ausschreibungen verloren hat, weil Boeing durch Insiderkenntnisse Angebote nachbessern konnte. Merkel gibt sich doch immer so wirtschaftsfreundlich. Warum wird sie hier nicht zum Schutz der Wirtschaft tätig?

Deutschland und die EU könnten sich wehren; es gibt durchaus Druckmittel: Fluggastdatenabkommen, SWIFT-Datenaustausch, Freihandelsabkommen. Man muss es nur wollen. Die Datenschutzbeauftragten geben die Marschrichtung vor: derzeit keine neuen Genehmigungen für "Safe Harbour"-Anträge, d.h. keine Auftragsdatenverarbeitung im Ausland nach EU-Richtlinien, weil nicht klar ist, ob "Safe Harbour" wirklich eingehalten wird.

Eine kurzfristige Gegenmaßnahme ist das Verschlüsseln von Mails (Anleitung dazu in meinem Blog). Aber eigentlich ist das ein Zeichen, dass ich meinem Staat mißtraue. Und das ist auch kein schönes Gefühl.

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Bis jetzt kann ich nur feststellen: Job well done.

Im Vergleich zu anderen Todesursachen rangiert Terrorismus deutlich unter "ferner liefen". Es gibt viel mehr Tote durch Krankheiten, Drogen, Unfälle. Warum erhält Terrorismus soviel Aufmerksamkeit? Das ist genau das, was die Terroristen wollen. Meine Theorie dazu: Ohne Aufmerksamkeit durch die Medien gäbe es langfristig keine oder kaum Anreize, Anschläge zu verüben.