Die Cyberwehr - Leserbrief

In letzter Zeit wird die Vorsilbe "cyber" immer wieder ge- und mißbraucht. Niemand weiß so richtig, was damit ausgedrückt werden soll. Erfunden hat diesen Begriff William Gibson für seine Bücher über virtuelle Realitäten und hat damit Kinofilme wie "Matrix" inspiriert. Echte Programmierer(tm) machen sich seit langem über diesen Begriff lustig und verwenden ihn mittlerweile massiv satirisch überzeichnet selbst für reale Ereignisse ("hacker terror cyber cyber") oder als Hinweis auf überschießende politische oder mediale Berichterstattung.

In letzter Zeit wird dieser Begriff immer mehr verwendet, wenn der Autor keine Ahnung von Computern hat, aber trotzdem modern wirken will. Leider schließt sich die Wetterauer Zeitung diesem Trend an und veröffentlicht Glossen über die geplante Bundeswehrtruppe zur digitalen Kampfführung und Abwehr, die etwas spöttisch als "Cyberwehr" bezeichnet wird. Ich habe meine Zweifel, dass daraus irgend etwas werden wird.

Leserbrief zu Glossen Hr. Junginger, 06.04.17, und Fr. Spiller, 12.04.17

Fr. Spiller macht sich lustig und packt alle Vorurteile über Computerspezialisten aus, die ihr einfallen. Leider ist kein einziges davon witzig oder auch nur ansatzweise in der Lage, das Thema zu streifen. Im Gegenteil sorgt Fr. Spiller mit ihren hämischen Bemerkungen dafür, dass sich die Vorurteile über "Nerds" weiter verfestigen. Hr. Junginger zitiert ominöse "Experten", die angeblich seit Jahren vor den Gefahren des Internets warnen. Leider liefert er keinerlei Belege, welche Experten welche Gefahren befürchten.

"Hacker dringen in Atomkraftwerk ein", befürchtet Hr. Junginger. Und dagegen soll uns die neue Cybertruppe der Bundeswehr schützen? Wie wäre es, wenn man ganz einfach die kritische Infrastruktur nicht ans öffentliche Internet anschließt? Oder wenn man es doch tut – warum auch immer – dann wenigstens richtig Geld für Fachleute in die Hand nimmt, um eine solche Verbindung abzusichern? Dazu braucht es keine Bundeswehr - das BSI hat eigentlich schon genug Empfehlungen auf Lager. Man sollte nur anfangen, sie fachkundig umzusetzen.

Die "Gefahren" im Internet entstehen nach meiner Meinung gerade und hauptsächlich durch die "nation-grade attackers", also die staatlich gut finanzierten Hacker der Geheimdienste und Behörden, die den Markt für unveröffentlichte Sicherheitslücken befeuern, indem sie Umsummen zahlen, die Hersteller aber nicht informieren. Dadurch wird die Zivilgesellschaft als Ganzes unsicherer. Das FBI zog kürzlich sogar eine Anklage gegen einen mutmaßlichen Pädophilen zurück, um nicht vor Gericht das Abhörwerkzeug offenlegen zu müssen. An diesem Beispiel sieht man besonders krass, dass es definitiv nicht um den Schutz der Gesellschaft vor Verbrechern und Hackern geht, sondern um Macht und darum, sie nicht aufzugeben.

Aber hauptsächlich das Geld ist das Problem. Die Industrie zahlt vernünftige Gehälter für gute Leute. Die "Cyberwehr" bezahlt vermutlich stur nach Bundesbesoldungsordnung, für einen Leutnant also A9 mit ca. 2.800 € brutto pro Monat. Das ist vergleichbar mit einem Lehrer. Das Anfangsgehalt in der Industrie für einen Informatiker direkt nach Ende des Studiums liegt bei ca. 4.000 € mit extrem guten Entwicklungsmöglichkeiten.

Seit kurzem wird es auch immer moderner, Alltagsgegenstände mit Internetanschluss zu versehen, vom Kühlschrank über Stromzähler bis hin zu Fernsehern, Autos und Vibratoren (kein Scherz!). Diese Geräte werden unter massivem Kostendruck produziert und der Hersteller kümmert sich nach der Markteinführung nicht mehr um Software-Updates. Hier ist die Gesetzgebung gefragt, den Firmen eine Pflicht zu Updates oder ein einprogrammiertes Verfallsdatum aufzugeben, um unsichere Produkte zu verhindern. Die Selbstregulierung funktioniert nicht. Die meisten Konsumenten wollen das billigste Gerät kaufen und verstehen die Notwendigkeit von Software-Updates nicht. Die Hersteller in China kümmern sich nicht um Sicherheitslücken, weil sie keinerlei Nachteile zu befürchten haben oder diese Lücken sogar gewollt oder geduldet werden. Wenn hier der Gesetzgeber nicht eingreift, wird das Desaster noch eine Größenordnung schlimmer als bei den billigen Android-Smartphones ohne Updatemöglichkeit.

Ursprünglich wurde das Internet dezentral entworfen, um einen Atomkrieg zu überstehen. Aber jedes Netz hat Kapazitätsgrenzen, und wenn jetzt mit Macht Milliarden Geräte der Kategorie "Internet of Things" auf den Markt kommen, wird das Internet demnächst von intelligenten Toastern zerstört, die jemand gehackt hat. Aber bei alldem hilft uns keine unterbezahlte Cyberwehr, die freitags um 14.00 Uhr nach Hause geht. Hier hilft nur ein Paradigmenwechsel in der gesamten Software-Industrie hin zum "Security by Design" mit rigorosen Tests und Zulassungsvorschriften inklusive Zwang zur Update-Garantie. Und da muss die Gesetzgebung schneller werden. Eine unterbezahlte Cyberwehr ist nicht die Lösung, sondern nur zielloses Herumdoktern an den Symptomen.

Hintertüren in Software - Leserbrief

Im Moment macht der Innenminister mal wieder heiße Luft im Blätterwald mit der Forderung, staatliche Hintertüren in Software einzubauen, z.B. in Smartphones. Die Idee finde ich so blöd, dass ich einen Leserbrief dazu schrieb.
Bezeichnend für die politische Grundhaltung der WZ ist die Kürzung (so markiert).
[Veröffentlicht am 03.09.2016]

Unser Innenminister de Maizière fordert also mal wieder, dass Softwarehersteller Hintertüren in ihre Produkte einbauen sollen.

Diese Hintertüren gibt es schon lang: man nannte sie bislang Sicherheitslücken, die durch schlechte Programmierer entstanden sind.
Für Sicherheitslücken gibt es seit Jahren einen Markt, auf dem sich private Bösewichte genauso tummeln wie Staaten.
Nur mal so als Stichwort eine der erschreckenden Tatsachen dieses Marktes: Lücken, die einem Schädling das dauerhafte Einnisten in ein Gerät ermöglichen, d.h. auch einen Neustart des Geräts überstehen, werden mit Summen ab 100.000 Dollar gehandelt.

Aus der aktuellen Debatte über die "Pegasus"-Sicherheitslücke in iPhones (technisch eine schlaue Kombination von vier Lücken), auf die Apple vorbildlich in nur 10 Tagen reagiert hat und nun iOS 9.3.5 verteilt, lernen wir Folgendes:
Sicherheitslücken sind eine ganz schlimme Sache, die so schnell wie möglich behoben werden müssen, weil (natürlich) nicht nur die "Guten" sie ausnutzen, sondern ganz schnell auch die Bösen. Hier bricht ironischerweise die Klassifizierung zusammen: die "Bösen" sind in diesem Fall vermutlich ein Staat, dem der angegriffene Aktivist ein Dorn im Auge war, und die halten sich selbst natürlich wiederum für die "Guten". Alles ist relativ.

Wenn nun sogar noch bekannte Sicherheitslücken in die Geräte eingepflanzt werden (eben die von de Maizière geforderten Hintertüren), dann werden schlagartig alle unsere elektronischen Geräte gefährlich. Man muss nämlich nicht mehr aktiv nach Sicherheitslücken forschen und herausfinden, wie man durch die Kombinationen mehrerer Lücken sein Ziel erreicht, sondern es reicht, den einen Mitarbeiter eines Geheimdienstes oder des Softwareherstellers zu bestechen oder zu bedrohen, damit er die Details der Hintertür weitergibt. Es gibt keine Hintertür, die nur für die "Guten" existiert.

Wer würde denn so eine Hintertür einbauen? Der Hersteller natürlich. Und so, wie ich große Firmen kenne, wird so eine Hintertür dann in etwa 300 Software-Entwicklern bekannt sein. Die sitzen in einem Land, das nicht der deutschen Rechtsprechung unterworfen ist. Man kann sich ausrechnen, wie "sicher" so ein Produkt sein kann.

Besonders schlimm: Geheimdienste wie der amerikanische NSA sitzen mitunter jahrelang auf dem Wissen über Sicherheitslücken (sogenannte "zero day exploits", also Lücken, die ausgenutzt werden, aber dem Hersteller nicht bekannt sind), weil sie sich einbilden, die einzigen mit dieser Kenntnis zu sein. Aber natürlich ist es nicht so: wenn ein Geheimdienst eine Lücke finden oder kaufen kann, ist dies jedem anderen Bösewicht ebenso möglich. Das Zurückhalten solcher Kenntnisse gefährdet also uns alle, bei fraglichem Nutzen über eine zukünftige Gelegenheit, die vielleicht sogar nie kommen wird.

Genau das ist das Perfide an dieser Pseudo-Diskussion: Politiker fordern etwas, von dem sie nichts verstehen, und wovon jeder Sicherheitsforscher abrät. Aber die Forderung selbst, untermauert von populistischen Begründungen wie Terrorbekämpfung, steht im Raum und wird wieder und wieder diskutiert, bis der Widerstand erlahmt. Aber der mögliche Nutzen steht in keinem Verhältnis zum definitiven Schaden für alle, wenn so ein Quatsch in ein Gesetz gegossen wird.

Die Sicherheit vor elektronischen Schädlingen wäre höher, wenn sich der Bundesinnenverteidiger de Maizière um ein Gesetz zur Update-Pflicht für Sicherheitslücken kümmern würde, statt hohle Phrasen über den "rechtsfreien Raum" zu dreschen.

Wie schnell kommt denn das Update für ein Gerät in Deutschland, das nicht gerade zur Spitzenklasse gehört? Eben. Die einzigen Smartphones mit einigermaßen zuverlässiger Update-Garantie sind von Microsoft (Windows Phone), Apple (iPhone) und Google selbst (Nexus). Alle anderen Hersteller liefern Updates nur für das Top-Gerät des Jahres aus, mit Glück noch für das vom Vorjahr. Und das war's dann auch schon. Das Billig-Smartphone bezahlen wir also mit fehlender Sicherheit, weil nach Auslieferung die Uhr tickt und man sicher sein kann, dass die Software Fehler und damit Lücken enthält.

Märchenstunde mit Oswin Veith - Leserbrief

Unser MdB Oswin Veith, der ja gemäß amtlichem Endergebnis immerhin von 60.118 Menschen im Wetteraukreis gewählt wurde (von 175.085 Wahlberechtigten und 131.480 gültigen Stimmen), denkt an seine Heimat und kommt zu Besuch, wie die WZ berichtet (06.06.2014).

Ein Ziel seines Besuchs sind die Schüler eines Politik-Grundkurses an einer Schule. Dort erzählt er lustige Sachen über die NSA-Abhöraffäre und über das transatlantische Investitionsschutz- und Partnerschaftsabkommen, die er sich ausgedacht hat und nicht im Mindesten der Realität entsprechen, wie ich schon mehrfach auch hier im Blog bemängelt hatte.

Dazu habe ich der WZ einen Leserbrief geschickt (veröffentlicht am 13.06.14):

Leserbrief zur Meldung "Veith besucht PoWi-Grundkurs" (06.06.2014)

Die WZ berichtet, dass "unser" CDU-MdB Oswin Veith eine Schule in seinem Wahlkreis besucht und dabei auch über den Abhörskandal und das transatlantische Freihandelsabkommen TTIP spricht.

Ja, ist denn schon wieder Märchenstunde? Zum Jahrestag der ersten öffentlichen Erwähnung müssen sich die Schüler erzählen lassen, dass die USA mit sich reden lassen und dass man nur ein bißchen Zeit und Diplomatie bräuchte? In welchem Traumland lebt denn Herr Veith? Die USA haben klipp und klar festgestellt, dass es kein "No-Spy"-Abkommen geben wird. Heute lese ich sogar in den Schlagzeilen, dass die USA "verärgert" über die Ermittlungen des Generalbundesanwalts sind. Bekanntlich ist der ja betriebsblind und sieht keinerlei Anfangsverdacht bei irgend etwas außer dem Abhören von Merkels Handy.

Nicht einmal eine gerichtliche Verfügung kümmert die NSA. Sie setzen einfach ungeniert weiter das Löschen von Beweismitteln fort. Besser kann man doch nicht demonstrieren, über dem Gesetz zu stehen. Und der deutsche Generalbundesanwalt Range geniert sich im Gegensatz dazu, mehr als "ein bißchen" zu ermitteln, obwohl der "begründete Anfangsverdacht" nach Meinung anderer hochrangiger Juristen definitiv gegeben ist.

Ich finde ja, dass es Sache deutscher Behörden und deutscher Politiker ist, sich für Bürgerrechte ihrer eigenen Bewohner einzusetzen. Gab es da nicht mal so etwas wie einen Amtseid mit "Schaden vom deutschen Volk abwenden", Herr Veith? Das Bundesverfassungsgericht und der Europäische Gerichtshof haben unabhängig voneinander festgestellt, dass flächendeckendes Abhören gegen die Menschenrechte verstößt. Wann passiert da etwas Konkretes?

Die Fachzeitschrift c't hat eine erschreckend detaillierte Zusammenfassung der Enthüllungen des letzten Jahres über das Ausmaß der Überwachung aufgestellt. Bitte lesen Sie hier weiter, auch wenn Sie danach vermutlich nicht mehr gut schlafen können: http://heise.de/-2214943

Beim Freihandelsabkommen TTIP (genau wie deren Pendants CETA, NAFTA und TISA) kommt mir auch langsam die Idee, dass die Politiker sich nicht um die Belange der Bürger kümmern wollen, sondern nur um die Rendite der Konzerne, die von den Klagemöglichkeiten gegen nationale Gesetze fasziniert sein dürften.

In meinen Augen geben die beteiligten Länder ihre staatliche Souveränität auf, wenn Konzerne wegen "entgangenem Gewinn" gegen unliebsame Gesetze klagen können.

Herr Veith glaubt doch selbst nicht daran, dass sich mit TTIP besserer Verbraucherschutz durchsetzen lässt! Das kostet doch wieder Geld, und das wird kein Konzern ausgeben wollen. Dazu sind sie viel zu sehr ihren Aktionären verpflichtet und eben gerade nicht dem Allgemeinwohl. Die Konzernleitungen müssen geradezu alles einsetzen, um dem Unternehmen nicht zu schaden, und entgangener Gewinn ist sicherlich ein "Schaden" im Sinne der Rendite.

Ich hoffe sehr, dass ihn die Schüler ordentlich gegrillt haben, damit er die Stimmung von der Basis wahrnimmt. Immerhin finde ich es ein sehr gutes Zeichen, dass ein Grundkurs in Politik und Wirtschaft sich für Themen interessiert, einen Politiker einlädt und ihn mit unbequemen Fragen löchert.

Das Abhören - neue Wege für die EU?

In letzter Zeit kommentiert die WZ erstaunlich kritisch zum Thema "Abhören". Die Autoren Ferber und Spang schreiben richtig gute und tatsächlich sachliche Glossen. Deshalb habe ich die beiden in einem Leserbrief auch ein bißchen gelobt:

Leserbrief zu Kommentaren am 18.01.2014 und 06.02.2014

Herr Spang und Herr Ferber, Ihre Kommentare sind erfrischend und benennen genau, worum es geht:
das Abhören ist ein Zeichen amerikanischer Machtausübung. Es geht bei weitem nicht um Terrorismusabwehr, auch wenn uns das immer eingeredet wird. Die USA sind nur an Erdöl und Informationen interessiert. Seit dem Anschlag 9/11 dreht sich die Eskalationsspirale immer schneller.

Genauso wie bei der Vorratsdatenspeicherung, die in Deutschland diskutiert wird, fehlt jeder sachliche Nachweis, dass das Abhören und Speichern der diversen amerikanischen Geheimdienste notwendig, angemessen und verhältnismäßig ist.
Jeden Tag hören wir in den Nachrichten von neuen Anschlägen. Sollte nicht genau das verhindert werden können, wenn das Abhören wirklich so umfassend ist, wie wir jeden Tag in immer neuen Details erfahren?

Der internationale Aufruhr ist entstanden, weil die Kanzlerin festgestellt hat, dass die Amerikaner keine Rücksichten nehmen und keine Freunde kennen, wenn es um ihre Interessen geht. Seit langem ist bekannt, dass alle Geheimdienste untereinander Daten austauschen. Vielleicht ist die Kanzlerin auch nur deshalb ärgerlich geworden, weil es bekannt wurde?

Offensichtlich fehlt der politische Wille sowohl zur Aufklärung als auch zum Abstellen dieser Zustände. Es gäbe durchaus Hebel, die die EU einsetzen kann: die Überlassung von Banktransferdaten (SWIFT), die Übermittlung von Fluggastdaten (Passenger Name records), internationale Abkommen wie ACTA, TTIP uvm.

Eine mittelfristige Überlegung wäre auch, die gesamte EU in der Außen- und Sicherheitspolitik neu und klar zu positionieren. Das ginge, allerdings sollte dazu das amerikanische U-Boot namens Großbritannien (diese Formulierung habe ich bei Bronski aus dem Blog der Frankfurter Rundschau entliehen) sich entweder deutlich zur EU bekennen oder die EU verlassen.

Nicht einmal die offensichtliche Gefahr von Wirtschaftsspionage bringt unsere Regierungen dazu, mit mehr Selbstbewusstsein aufzutreten. Es ist erstaunlich, dass die üblichen Lobbys sich so bedeckt halten, statt die Probleme anzusprechen und Lösungen einzufordern. Die Klimakonferenz in Kopenhagen 2009 wurde massiv abgehört, und weil die USA vorher wussten, dass ein Plan B als Kompromiß schon vorbereitet war, konnten sie bei den regulären Verhandlungen ungeniert alles Unliebsame ablehnen.

Wie Sie schon ganz richtig gefordert haben: wenn die USA weiter spionieren, müssen wir technisch dagegen vorgehen und nicht zahnlose Reisebittsteller wie Pofalla in die USA schicken und uns dann die Beendigung der Affäre vorlügen lassen.

Technische Möglichkeiten sehe ich genug:

1. flächendeckender Einsatz von Verschlüsselung, sowohl im privaten als auch geschäftlichen Bereich. Jeder sollte grundsätzlich seine Emails verschlüsseln (installieren Sie Thunderbird mit dem Zusatzprogramm Enigmail, das gibt es für Windows, Linux und Mac). Jeder sollte nur noch verschlüsselte Webseiten aufrufen und unnötige Signaturstellen, denen man nicht vertrauen kann, aus dem Browser löschen.

2. Amerikanische Signaturfirmen für SSL-Zertifikate sollten gemieden werden, weil nicht sicher ist, ob die Geheimdienste nicht Zugriff auf deren Basisschlüssel haben (sog. Rootzertifikate). In diesem Fall wären nahezu unerkennbare "man in the middle"-Attacken möglich.

3. Jeder sollte bei der Auswahl von Dienstleistern darauf achten, ob diese ihr Rechenzentrum in der EU betreiben, oder eine Mutterfirma in USA haben, die der Jurisdiktion mit Geheimgerichten und Schweigeanordnungen unterliegt (prominente Beispiele: Facebook, Google, Amazon, Twitter).

4. Die Telekom sollte am Frankfurter Internet-Austauschknoten DE-CIX teilnehmen statt mit jedem Partnerunternehmen eigene Internetrouten auszuhandeln ("peering"), die unkontrolliert durch ausländisches Gebiet verlaufen können.

5. Da der englische Geheimdienst GCHQ die Seekabel zwischen der Insel und USA abhört und die Daten mit den Geheimdiensten von USA, Australien, Kanada und Neuseeland austauscht ("5 eyes-Gruppe"), könnten langfristig Seekabel vom Kontinent aus gebaut werden, wie z.B. jetzt gerade ein Seekabel von Europa nach Brasilien in Planung ist.

[Update: abgedruckt 13.02., von de WZ-Red. gekürzte Stellen markiert]

Die eigene Cloud - oder doch nicht? Leserbrief zum WZ-Artikel 16.11.13

Letzten Samstag war ein Artikel in der WZ, den ich für sehr fragwürdig halte: dort wird die Einrichtung einer eigenen Cloud im Internet besprochen.

Allerdings wird nicht genauer erklärt, warum man eine eigene Cloudsoftware einrichten sollte. Einen Server bei einem Rechenzentrum mieten, nur für den eigenen Kalender? Halte ich für übertrieben.

Sollen dort in der "eigenen Cloud" die Urlaubsbilder sicher gespeichert werden? Cloud ist die falsche Lösung, da verwendet man Backups oder ein NAS oder beides.

Leserbrief zum Artikel "Die eigene Cloud" WZ 16.11.2013

Der Artikel beschreibt, wie man sich selbst einen Server mit "Cloud"-Funktion einrichtet. Im Ansatz ist die Idee natürlich löblich, die Kontrolle über die eigenen Daten zu behalten. Die "Cloud" dient dazu, dass man von überall her auf seine eigenen Daten zugreifen kann, ob nun zuhause, im Büro oder unterwegs mit dem Smartphone.

Die zwei prinzipiellen Möglichkeiten, so eine "eigene Cloud" zu realisieren, sind allerdings beide nur mit großer Vorsicht genießbar, deshalb halte ich den Artikel bei weitem für zu ungenau und zu einseitig positiv.

Im Lichte der Details, die nach und nach über die diversen Geheimdienste und ihre Abhöraktivitäten ans Licht kommen, wäre die erste Überlegung nämlich nicht das "wie" - realisiere ich meine Cloud mit dem heimischen Gerät, miete ich einen V-Server oder ein richtiges "Blech" im Rechenzentrum eines Dienstleisters, sondern zunächst mal - "ob" und wenn ja, "wofür" ich so etwas wirklich so dringend benötige.

Die "eigene Cloud" begründet der Artikel eben genau mit der Datensicherheit, die bei Anbietern wie Dropbox, Box, Google, Microsoft etc. nicht gewährleistet ist, weil die Rechenzentren in den USA liegen und damit natürlich der amerikanischen Rechtsprechung unterliegen, die sehr hemdsärmelig mit Datenschutz umgeht (Patriot Act, Gag order, usw.).

Andererseits sind die Enthüllungen mittlerweile so schockierend, dass man eigentlich nichts und niemandem mehr trauen darf. Glaubwürdige Berichte beschreiben, dass die USA gezielt Schwachstellen in Standardisierungen von Verschlüsselungsalgorithmen einschleusen ließen, und die übliche Verschlüsselungstechnik für WWW, nämlich das SSL (das "s" in "https"), ist zwar mathematisch sicher, wird aber dadurch angreifbar, dass es auf dem Vertrauen in Signaturstellen beruht. Leider sind alle großen Signaturstellen (Verisign usw.) in den USA beheimatet, und es ist mehr als plausibel, dass sie durch rechtliche Anordnungen gezwungen werden können, die Basis-Signaturschlüssel ("root CA") auszuliefern. Mit diesem Besitz ist es möglich, sich in verschlüsselte Verbindungen einzuklinken und insbesondere beiden Parteien vorzugaukeln, dass ihre Verbindung sicher ist.

Es ist also zu vermuten, dass auch verschlüsselte Verbindungen abgehört werden können, und da die Telekom nicht am Datenaustausch des DE-CIX in Frankfurt teilnimmt, laufen vermutlich sehr viele Datenverbindungen unnötig durch ausländische Netze, die fröhlich abgehört werden. Aber nicht nur das, eventuell wird auch am DE-CIX direkt abgehört, genauso wie der englische Geheimdienst an den Landestellen der Seekabel in England und Zypern die Daten abschnorchelt. Mittlerweile heißt es ja auch, dass der BND sich vom englischen Geheimdienst helfen ließ, Gesetze so umzuinterpretieren, dass effektiv jeglicher Datenverkehr als "ausländisch" betrachtet wird und abgehört werden darf.

Im Grund kann man also festhalten: nur Daten, die den eigenen Rechner nicht verlassen, sind sichere Daten.

Wenn es denn unbedingt eine eigene Cloud sein muss, schlage ich einen gemieteten Server mit Linux oder BSD vor (keinen virtuellen, auch wenn das monatlich etwas teurer kommt, und ganz bestimmt keinen Windows-Server). Auf keinen Fall sollte eine Cloudsoftware auf dem Rechner oder Router zuhause laufen und eine Verbindung ins Internet geöffnet werden. Ich denke, dass die allermeisten Privatpersonen nicht in der Lage sind, sich gegen Hackereinbrüche zu schützen oder überhaupt zu erkennen. Dazu tragen leider auch Sicherheitslücken und absichtliche Hintertüren in Routern bei, über die die Fachpresse regelmäßig berichtet.

Wenn die Cloud "nur" dazu dienen soll, die eigenen Daten vor Verlust oder Zerstörung zu schützen, flapsig gesagt also eine sichere Ablage für die Urlaubsbilder gesucht wird, ist ein sicheres Speichergerät mit redundanten Festplatten die bessere Lösung (ein NAS-Gerät mit 2 bis 4 Festplatten im RAID), und immer 1 bis 3 Generationen Sicherungen der Daten an verschiedenen Stellen aufbewahren (externe Festplatten z.B.). Für diesen Zweck ist eine "eigene Cloud" zwar eine Lösung, aber nicht für dieses Problem.

Leserbrief zum Leserbrief: Einfältigkeit

Heute fiel mir bei der Lektüre der Leserbriefe mal wieder die Kinnlade 'runter
... Oder eigentlich auch nicht, von diesem Autor hatte ich nicht wirklich etwas wesentlich anderes erwartet. Die übliche Rot/Grün-Hetze und dann plötzlich ein Rundumschlag: alle Menschen, die das Abhören durch die NSA nicht gut finden, sind einfältig.

Genauer gesagt, schrieb er in einem Absatz dieses hier:

"Auch die NSA-Panikmache beeindruckt nur einfältige Menschen, denn es ist logisch, dass keine Lauscher weltweit den Smalltalk von Lieschen Müller und Karlchen Mustermann verfolgen. Wäre personell gar nicht möglich. Computer durchforsten die aufgezeichneten Daten nach verdächtigen Inhalten, und das ist auch gut so. Terroristen und Kriminelle haben ohnehin immer einen gewissen Vorsprung. Herr Snowden hat diesen Individuen jedenfalls mitgeteilt, worauf sie in Zukunft achten müssen, um nicht entdeckt zu werden."

Dazu musste ich eine Antwort schreiben. Leider ist mir zu der Bemerkung mit dem "gewissen" Vorsprung erst jetzt aufgefallen, dass hier der Grundsatz "Der Zweck heiligt die Mittel" durchschimmert und die Idee, dass der Staat -- natürlich nur heimlich -- auch illegale Mittel anwenden darf, um mit den Bösewichten mitzuhalten. Das tut schon ganz schön weh zwischen den Ohren, sowas zu lesen.

Leserbrief zum Leserbrief WZ 23.08.2013

Lieber Herr von N., ich bin beeindruckt von der Schärfe und Knappheit, in der Sie den Rest der deutschen Bevölkerung als "einfältig" bezeichnen. Ich bekenne mich schuldig: ich bin einfältig und naiv.

Ich habe nämlich bislang (halbwegs) daran geglaubt, dass wir in einem Rechtsstaat leben, und dass unsere Nachbarn ebenfalls eine demokratische Grundeinstellung haben, die sich hauptsächlich an den Menschenrechten orientiert und nicht an einem vagen Sicherheitsbedürfnis des Staats.

Mittlerweile ist es ja soweit gekommen, dass in England Antiterrorgesetze zur Abschreckung von Journalisten missbraucht werden, um ausländische Staatsbürger im Transit festzuhalten, ihre Passwörter abzupressen und ihre elektronischen Geräte zu beschlagnahmen, weil dort *vielleicht* journalistische Quellen gespeichert sind.

Selbstverständlich ist es so, dass die Emails von Lieschen Müller unwichtig sind. Ist es trotzdem in Ordnung, dass sie routinemässig durchsucht werden? Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet (z.B. in Darmstadt-Griesheim oder in Bad Aibling), gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen? Und Sie finden es ebenfalls nicht schlimm, dass Geheimdienste die UNO und EU-Diplomaten abhören? Natürlich ist das alles nur zu unserem Besten, ganz klar. Nicht, um den USA wirtschaftliche oder politische Vorteile zu verschaffen. Nein, nein.

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat kürzlich in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher und vor allem als ehemaliger Chef der Stasi-Aufklärungsbehörde sehr genau, wovon er spricht.

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege im Drucker der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird. Von 2008 bis 2011 wurden durch "technische Fehler" in USA verbotenerweise mehr als 50.000 inländische Emails (jährlich!) abgeschnorchelt. Hoppla. Ich dachte bislang, Geheimdienste sind unfehlbar? Hoffentlich wurde nicht durch einen weiteren technischen Fehler eine Drohne in Marsch gesetzt; Richter und Henker in einem, ohne ein rechtsstaatliches Verfahren zwischen Anklage, Verurteilung und Hinrichtung, und das alles unter der Regierung eines Friedensnobelpreisträgers.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen oder vor Kühen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA, von Kühen werden jährlich mehr als 100 Menschen totgetrampelt.

Der Terrorismus hat den Freiheitsstaat abgeschafft - Leserbrief

Die Empörung über die Abhöraffäre nimmt und nimmt keine Fahrt auf, obwohl jeden Tag schreckliche neue Details zutage treten.

Jetzt wird sogar offenbar, dass die Geheimdienste die Verschlüsselung des https-Protokolls aufbrechen wollen, indem sie von den Firmen die Herausgabe der privaten Schlüssel verlangen.

Dazu mein Leserbrief mit einer Zusammenfassung des bisher Bekannten an die WZ.

Mein Fazit: allein durch die Veränderung vieler demokratischer Staaten hin zu dieser extremen Überwachung haben die Terroristen unglaublichen Schaden angerichtet. Dieser ideelle Schaden überwiegt bei weitem alles andere, was Terroristen im Namen welchen Gottes oder welcher Ideologie auch immer bislang verursacht haben.

Leserbrief zum Dauerthema Abhören

Wenn sogar der "Spiegel" das Abhörthema zum Dauerthema auf der Website macht und dauerhaft extrem kritisch berichtet, ist das schon ein deutliches Warnzeichen für unsere Demokratie und unser Verhältnis zu sogenannten "befreundeten" Staaten. Eigentlich ist es schlimm, dass man dieses Adjektiv in Anführungszeichen setzen muss, aber es scheint nicht weit her zu sein mit der Freundschaft. In den vergangenen 12 Jahren haben sich die USA von einem freien in einen Überwachungsstaat verwandelt.

In Deutschland gab es einige Zeit lang die Vorratsdatenspeicherung für Verbindungsdaten (keine Inhalte). Das Max-Planck-Institut für ausländisches und internationales Strafrecht fand keine Hinweise darauf, dass die Speicherung einen Terroranschlag verhindert hätte - oder dass sich damit Kinderpornografie wirksamer bekämpfen ließe. Forscher der Technischen Universität Darmstadt kommen zu dem Ergebnis, dass die Vorratsdatenspeicherung wohl nicht zur Prävention geeignet ist.

Zunächst schien es "nur" Internetüberwachung zu sein, bis bekannt wurde, dass die US-Post pro Jahr 160 Milliarden Briefumschläge fotografieren und digitalisieren lässt.

Als nächstes wurde nun bekannt, dass T-Mobile USA einen Geheimvertrag mit dem FBI unterzeichnen musste, der den Ermittlern nahezu grenzenlosen Zugriff zu den Daten und zur Kommunikation ihrer Kunden gewährt.

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Die Geheimdienste "5 eyes" der englischsprachigen Länder haben vereinbart, dass sie sich gegenseitig abhören und Daten austauschen. Man darf ja nicht die eigenen Landsleute abhören. Aber die Erkenntnisse der "Freunde" darf man natürlich verwerten. Wie verlogen ist das denn?

Merkel: "Da wurde dem Bundesinnenminister sehr deutlich gesagt, es gibt keine Industriespionage gegen deutsche Unternehmen." Die amerikanische Geheimdienstführung hat mehrfach sowohl Senatoren wie auch den US-Kongress angelogen. Wie außerordentlich egal muss dann erst eine Lüge gegenüber einem europäischen Reisebittsteller sein? Es gibt 45 verschiedene amerikanische Geheimdienste, und alle haben eigene Geheimnisse.

Es ist ein offenes Geheimnis, dass amerikanische Geheimdienste auch zu Gunsten der amerikanischen Wirtschaft spionieren. Es wird kolportiert, dass Airbus Ausschreibungen verloren hat, weil Boeing durch Insiderkenntnisse Angebote nachbessern konnte. Merkel gibt sich doch immer so wirtschaftsfreundlich. Warum wird sie hier nicht zum Schutz der Wirtschaft tätig?

Deutschland und die EU könnten sich wehren; es gibt durchaus Druckmittel: Fluggastdatenabkommen, SWIFT-Datenaustausch, Freihandelsabkommen. Man muss es nur wollen. Die Datenschutzbeauftragten geben die Marschrichtung vor: derzeit keine neuen Genehmigungen für "Safe Harbour"-Anträge, d.h. keine Auftragsdatenverarbeitung im Ausland nach EU-Richtlinien, weil nicht klar ist, ob "Safe Harbour" wirklich eingehalten wird.

Eine kurzfristige Gegenmaßnahme ist das Verschlüsseln von Mails (Anleitung dazu in meinem Blog). Aber eigentlich ist das ein Zeichen, dass ich meinem Staat mißtraue. Und das ist auch kein schönes Gefühl.

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Bis jetzt kann ich nur feststellen: Job well done.

Im Vergleich zu anderen Todesursachen rangiert Terrorismus deutlich unter "ferner liefen". Es gibt viel mehr Tote durch Krankheiten, Drogen, Unfälle. Warum erhält Terrorismus soviel Aufmerksamkeit? Das ist genau das, was die Terroristen wollen. Meine Theorie dazu: Ohne Aufmerksamkeit durch die Medien gäbe es langfristig keine oder kaum Anreize, Anschläge zu verüben.