In eigener Sache: Vorträge über Internet und Datenschutz

Ich schrieb ja schon mehrmals, dass ich an Schulen Vorträge über Datenschutz, Privatsphäre, Soziale Netzwerke, "Digitale Selbstverteidigung" usw. halte und damit auf Einladung durch Klassen und Elternabende tingele (im Moment natürlich eher nicht). Meine alten Blogartikel gibt es hier, hier, hier, hier und hier.

Im Rahmen von elan ("Eltern schulen aktive Eltern") biete ich dieses Jahr zwei meiner Vorträge auch online als Videokonferenz an.

Genau wie die "live" Vorträge in Schulen ist auch die Online-Variante kostenlos.

Anmeldung geschieht über das staatliche Schulamt des Wetteraukreises (s.u.).

Lehrer, die an diesen Vorträgen teilnehmen, können mit der Akkreditierungsnummer (VA ...) eine Teilnahmebescheinigung bekommen.

Ich würde mich sehr über Interessenten freuen, die diese Vorträge von mir übernehmen und selbst halten möchten.

Alle Vorträge finden von 19.30 bis ca. 21.30 Uhr statt. Im Anschluss an die Vorträge können Fragen gestellt werden, die ich nach bestem Wissen und Gewissen beantworten werde :-)

Schüler und neue Medien
17.02.21 (VA.-Nr. 510 650 63)
19.05.21 (VA.-Nr. 510 650 74)
16.06.21 (VA.-Nr. 510 650 77)

Der Vortrag richtet sich an Eltern, die darüber nachdenken, ein Smartphone für ihr Kind anzuschaffen.
Er bietet einen Überblick über das Internet in der Hosentasche und die Möglichkeiten und Risiken, denen Kinder und Jugendliche begegnen.
Auch Begriffe wie TikTok, WhatsApp, In-App-Käufe, Soziale Netzwerke, Mobbing, Sexting, Grooming werden besprochen.
Zielgruppe: Eltern von Schülern ca. 2./3./4. Klasse, natürlich alle anderen Eltern genauso willkommen!

Dieser Vortrag ist nicht besonders technisch und bietet einen Überblick, anhand dessen eine persönliche Vertiefung leichter fallen sollte.
 

Digitale Selbstverteidigung (zweiteilig wegen Umfang)
17.03.2021 Teil 1 (VA.-Nr. 510 652 49)
21.04.2021 Teil 2 (VA.-Nr. 510 652 49)

Wie funktioniert das Internet?
Ein Überblick über die Gefährdungslage durch private und staatl. Stellen.
Ein tieferer Blick auf die Datensammlung für gezielte Werbung.
Wie benutzt man Facebook und andere Soziale Netzwerke – ohne gleich alles über sich preiszugeben?
Gegenmaßnahmen im Browser, im Emailprogramm und Tipps für das eigene Verhalten.
Zielgruppe: Schüler ab ca. 7./8. Klasse und Eltern

Dieser Vortrag ist sehr umfangreich und wird deshalb in zwei Teilen angeboten, damit am Ende jedes Teils noch eine sinnvolle Diskussion möglich ist.

 

Anmeldung mit Nennung von Titel, Datum, Mail-Adresse und vollständigem Namen bitte an:
Fortbildung.SSA.BadVilbel@kultus.hessen.de
Staatliches Schulamt für den Hochtaunus- und Wetteraukreis
Konrad-Adenauer-Allee 1-11
61118 Bad Vilbel / Dortelweil
Tel.: 06101 - 5191 600

Ihre Anmeldung ist verbindlich. Bitte informieren Sie uns umgehend, falls Sie an der Veranstaltung nicht teilnehmen können.Damit wir Ihnen die entsprechenden Zugangsdaten vor der Veranstaltung übermitteln können, ist es notwendig, dass Sie bei der Anmeldung eine regelmäßig von Ihnen genutzte Emailadresse angeben.

Timeout - Andreas Eschbach - Buchbesprechung

Tja, am Wochenende hatte ich endlich ein bißchen Zeit, um den dritten und letzten Teil von Eschbachs Erzählung über die Kohärenz fertig zu lesen.

Es war spannend geschrieben, aber das Ende war ein wenig enttäuschend, dafür, wie unbesiegbar und vorausschauend die Kohärenz in den ersten beiden Teilen geschildert wurde.

Auch der dritte Teil ist wieder eine Mischung aus Thriller, Roadmovie und Coming-of-age. Das Roadmovie beschreibt den Rückweg von Christopher und Serenity nach Europa, zunächst nach Paris, dann in die Bretagne und zum Showdown nach London. Christopher fasst sich ein Herz und gesteht Serenity, dass er in sie verliebt ist - das Erwachsenwerden nimmt breiten Raum ein, weil er sich viele Gedanken darüber macht, wie er es sagen soll, wie sie darauf reagiert, und wie er mit einer eventuellen Ablehnung zurecht kommen soll.
Ausgelöst wird die Rückkehr nach Europa durch einen geplanten Anschlag auf die Mobilfunkinfrastruktur von Cleveland, als die Gruppe im Hide-Out erfährt, dass der amerikanische Präsident mit großer Wahrscheinlichkeit bei einem Krankenhausaufenthalt dort in die Kohärenz aufgenommen werden soll. Jeremiah Jones und die anderen Helfer werden erwischt; das Hideout muss geräumt werden. In der Nacht davor flüchten Christopher und Serenity, weil Christopher eine Falle oder zumindest das Scheitern befürchtet, und er behält Recht.

Der "Penta-Byte-Mann" taucht jetzt auch als Person auf, nachdem er im ersten Teil erwähnt wurde und im zweiten Teil schon Tipps per Internet gegeben hat.

Beim Lesen des zweiten Teils hatte ich mich schon gewundert, dass Eschbach ein so merkwürdiger Fehler unterlaufen ist, den Präfix "Peta" falsch zu schreiben. Die Auflösung des Rätsels folgt nun im dritten Teil: es war nicht falsch geschrieben, sondern ein Wortspiel des Hackers mit seinem italienischen Nachnamen "Forti" - "Penta" für die griechische Fünf und "Byte" für "8 bit" - daraus ergibt sich als Produkt "Forty" - Vierzig.

Sehr schön beschrieben der Flug nach Paris als Luftfracht, die Weiterreise in die Bretagne, das Treffen mit Forti und seine cineastische Begeisterung. Ich vermute, dass die Filmaufnahmen und das Set in der Bretagne so ähnlich tatsächlich  stattgefunden haben.

Die Nebenhandlung fand ich ebenso faszinierend: die Kohärenz entwickelt eine "Lightvariante" namens Lifehook, quasi ein implantiertes Mobiltelefon, und bewirbt es als logischen nächsten Schritt nach den sozialen Netzwerken (im Buch "FriendWeb", ganz klar ist Facebook gemeint). Sehr schön beschrieben, wie jemand durch die Nichtnutzung zum Außenseiter wird und durch diesen Druck der "Peergroup" seinen Widerstand schließlich aufgibt und teilnimmt.

Viele Puzzleteile aus den ersten beiden Teilen finden nun ihren Platz und fügen sich ins große Bild ein. Etwas sehr sportlich fand ich die Entwicklung einer selbstlernenden Bilderkennungssoftware, um in den Filmen, die der Penta-Byte-Mann aus seinem Leben  aufgenommen hat, die eine Szene ausfindig zu machen, die vielleicht eine eklatante Schwachstelle der Kohärenz zeigen könnte.

Den Schluss fand ich eher unbefriedigend. Ich kann mir zwar durchaus vorstellen, dass eine "externe" Infrastruktur neben dem Mobilfunknetz nötig sein könnte, um die Verbindungen zwischen den "Upgradern" herzustellen, aber es ist bei der vorher so oft so stark betonten Weitsichtigkeit der Kohärenz kaum glaubhaft, dass der eine technische Knotenpunkt ohne Absicherung und ohne Redundanz verwendet werden kann, um den Sieg davonzutragen. In Fachsprache wäre das ein "Single point of Failure", und den kann sich ein neu entstandenes Intelligenzwesen einfach nicht leisten, das seine Existenz der ungestörten und ausfallsicheren Infrastruktur verdankt. Christopher sitzt also buchstäblich in einem Glaskasten (kugelsicher), durch einen Trick ganz allein gelassen, und kann an einem Terminal die "tödlichen" Befehle eingeben, weil die Kohärenz dieses Terminal nicht abschalten kann, ohne sich selbst zu gefährden? Wirklich kaum glaubhaft. Ein dummes Eingabeterminal kann man jederzeit abschalten. Den Zugang zur Datenbankschnittstelle kann man ebenso leicht blockieren. Und im allerschlechtesten Fall könnte man den Netzwerkport lahmlegen, durch den das Terminal ins Netz kommt. Oder das Kabel herausziehen. Mal wieder hatte ich das Gefühl, das Buch ist fast zu Ende, deswegen muss jetzt ein möglichst schneller Schluss her.

Fazit: gute Unterhaltung, man darf aber nicht allzusehr über die Details nachdenken, wenn man zufällig in der Branche arbeitet.

SSL-Verschlüsselung und die Vertrauenswürdigkeit

In letzter Zeit wird immer so viel über die Abhöraffäre gesprochen. Manche, insbesondere Politiker, sagen dann immer gern, man müsse sich selber schützen. Das mag natürlich Ablenkung sein, weil sie es sich nicht mit den USA verderben wollen, kann aber auch genausogut das völlige Fehlen von Sachkenntnis bedeuten. Wer weiß das schon so genau bei Politikern.

Zwei Dinge kann man natürlich aus dieser heißen Luft trotzdem mitnehmen: wer aus Prinzip verschlüsselt, macht es den Geheimdiensten schwerer - die Masse macht's. Und man fällt auf und ist damit automatisch verdächtig. Das kann sich jetzt jeder selbst überlegen.

Wie man Emailverschlüsselung einrichtet, wird übrigens hier ganz gut erklärt (am Beispiel von Thunderbird in Windows, das Grundprinzip ist aber bei Mac und Linux fast identisch), und ich hatte das vor einiger Zeit auch schon mal beschrieben.

Was genau passiert nun bei Verschlüsselung, und wie funktioniert Abhören?

Normalerweise nimmt man einen Browser oder ein Emailprogramm und der Computer zuhause - der Client - baut eine Verbindung zu einem anderen Computer auf, dem sogenannten Server, der eine Dienstleistung anbietet, sei das nun WWW oder Email oder Chat oder etwas ganz anderes; für unsere Betrachtungen ist das vollkommen unerheblich.

Ich will jetzt auch gar nicht so ganz im Detail darauf eingehen, wie diese Verbindung funktioniert, aber das OSI-Schichtenmodell spielt dabei eine Rolle, und die üblichen Verbindungen laufen über das TCP-Protokoll im TCP/IP. Wer tiefer Bescheid wissen will, möge den Links folgen.

Bei unverschlüsselten Verbindungen fragt der Client den Server im Klartext, und die Antwort des Servers darauf erfolgt ebenfalls im Klartext. Hier ist es natürlich vollkommen problemlos, den kompletten Inhalt in beiden Richtungen abzuhören, wenn man sich an einer der Knotenstellen dazwischen einklinken kann - Geheimdienste machen das gern am DE-CIX in Frankfurt, da trifft sich so gut wie alles, was Rang und Namen hat ... Die Bundesregierung verweigert übrigens die Antwort auf die Frage, ob deutsche Geheimdienste ebenfalls am DE-CIX abhören. Allein diese Weigerung finde ich schon sehr bezeichnend.

Man erzeugt ein Duplikat des Datenstroms, und schon mit billigen Sniffer-Werkzeugen wie Wireshark kann man gezielt herausfiltern, dass man an einer bestimmten Verbindung des Typs "T" von "A" nach "B" interessiert ist (T=email, A=Thomas, B=pop.gmx.net).

Gut, das wollen wir natürlich nicht (ich zumindest), und deswegen wollen wir es dem Lauscher an der Wand etwas schwieriger machen, und schalten TLS ein. Was bedeutet das technisch? Zunächst einmal bedeutet es, dass wir den modernen neuen Namen verwenden. Früher hieß das nämlich noch SSL, und von diesem Namen stammt auch das "s" für "secure" in den URLs, wie z.B. https://www.ccc.de.

TLS ist eine Sammlung von Methoden und Protokollen, mit denen man ver- und entschlüsseln kann, sowie Prüfsummen nach allen möglichen Standards berechnen kann. Es gibt mehrere Softwarepakete, die TLS bzw. SSL anbieten, darunter das am häufigsten verwendete OpenSSL oder auch GnuTLS.

Das Tolle an TLS ist, dass man die Ver- und Entschlüsselung mit unterschiedlichen Codes durchführen kann (asymmetrische Verschlüsselung). Der Code zum Verschlüsseln kann ruhig bekannt werden; deshalb wird er auch "öffentlicher Schlüssel" genannt. Selbst wenn man ihn besitzt, kann man einen verschlüsselten Text damit nicht wieder lesbar machen. Nur wenn man den dazugehörigen "privaten Schlüssel" besitzt, kann man den Text dechiffrieren. Ein bekanntes Verfahren heißt RSA und wurde nach den Entwicklern Rivest, Shamir, Adleman benannt.

Das asymmetrische Prinzip mit der Aufteilung in einen öffentlichen und einen geheimen Schlüssel hat zwei besondere Eigenschaften, die beide sehr nützlich sind und verwendet werden. Zum Einen kann man mit dem öffentlichen Schlüssel etwas unlesbar machen und nur der Empfänger kann es mit seinem geheimen Schlüssel wieder lesbar machen. Nicht einmal der Absender kann die Verschlüsselung rückgängig machen! Zum Anderen kann der Besitzer des geheimen Schlüssels eine elektronische Unterschrift (Signatur) erzeugen, und jeder kann mit dem öffentlichen Schlüssel prüfen, ob die Unterschrift korrekt ist.

Beim ersten Verbindungsaufbau sendet der Client eine Anfrage, ob der Server Verschlüsselung unterstützt. Falls ja, bietet er eine Liste von Verschlüsselungsverfahren an und sendet auch gleich seinen öffentlichen Schlüssel mit (in Wahrheit ist es etwas komplizierter, aber das ist das Prinzip). Mit diesem öffentlichen Schlüssel kann also der Client schon mal chiffrierten Text an den Server schicken, und nur der Server kann ihn wieder lesbar machen.

Soweit, so cool ... aber wie geht der Rückweg?

Im Prinzip funktioniert der Weg der Serverantworten genauso, nur andersrum ;).

Der Client und der Server einigen sich auf ein bestimmtes Verschlüsselungsverfahren (z.B. AES) und tauschen beim Verbindungsaufbau einen geheimen Schlüssel aus, der nur für diese eine Verbindung verwendet wird. Diesen etwas komplizierten, umständlichen Weg geht man, weil das asymmetrische Verfahren sehr rechenaufwändig ist. Man setzt es deshalb nur einmal ein, um einen zufällig gewählten Code für ein schnelleres, typischerweise symmetrisches Verfahren auszutauschen.

Soweit, so cool ... aber woher weiß ich, dass der Server wirklich die Maschine ist, die ich ansprechen will und nicht eine andere Kiste, vielleicht wurde ich sogar umgeleitet mittels Angriffsmechanismen wie DNS-Fälschung, ARP-Fälschung usw.?

Jetzt wird's komplizierter ;). Erst mal weiß ich das nicht. Der Server bietet mir beim Verbindungsaufbau seinen öffentlichen Schlüssel an. Aber ich weiß noch nicht, ob das alles zusammenpasst. Ich kann natürlich über einen anderen Weg prüfen, ob der "Fingerabdruck" (fingerprint) des öffentlichen Schlüssels korrekt ist, aber dann müsste ich mir selbst eine Liste von Fingerprints aufbauen für alle Webserver, Emailserver usw., mit denen ich sprechen will.

Üblicherweise geht man einen anderen Weg: man lässt sich den öffentlichen Schlüssel "signieren" von einem vertrauenswürdigen Dritten, einer sogenannten Zertifizierungsstelle. Und man vertraut dann nicht jedem einzelnen öffentlichen Schlüssel jedes Servers, sondern einmalig der Zertifizierungsstelle. Das sind die "Vertrauenswürdigen Institutionen" in den Interneteinstellungen bei Windows bzw. die "Authorities" im Firefox-Browser.

Das ganze scheitert dann, wenn diese Zertifizierungsstellen unterwandert oder kompromittiert werden, und dafür gibt es leider mehr als genug Beispiele, eben weil diese Abhörmöglichkeit extrem attraktiv ist.

• Vor einigen Jahren wurde die niederländische DigiNotar gehackt und gefälschte Zertifikate für bekannte Hostnamen von Google und anderen signiert (insgesamt gab es über 500 gefälschte Signaturen)
• neulich gab es eine schlimme Panne in der Türkei 
• aus dem Iran ist bekannt, dass 2011 zum Abhören gefälschte Zertifikate für google.com erkannt wurden, vermutlich vom Einbruch bei DigiNotar
• das israelische Unternehmen StartSSL wurde angegriffen
• ein Angriff auf die französische ANSSI ist noch ungeklärt
• und jetzt aktuell wurde bekannt, dass die staatliche NIC von Indien ebenfalls versucht hat, mit Zertifikaten für Hostnamen bei Google und Yahoo ihre Bürger abzuhören.

Das Problem ist nämlich: wenn das Zertifikat gefälscht ist, d.h. "falsch" signiert ist, funktioniert es technisch immer noch problemlos und sieht immer noch genauso vertrauenswürdig aus, obwohl es jemand mit böser Absicht erzeugt hat und verwendet. Nur die "Unterschrift" ist von einer anderen Stelle, der mein Browser aber ebenfalls vertraut. Nur wenn man weiß, dass das Zertifikat normalerweise von Verisign signiert wird und eben nicht von "NIC India", dann springt einem die Fälschung sofort in's Auge.

Das wäre genauso, als ob man bei einem Brief nur darauf schaut, dass er handschriftlich unterschrieben ist, aber man prüft nicht, ob die Handschrift wirklich "echt" ist.

Googles Chrome-Browser prüft übrigens bei einigen Hostnamen, ob das Zertifikat von der richtigen Instanz unterschrieben wurde, und schlägt Alarm, wenn man auf diese Weise auf eine Fälschung trifft. Diese Prüfung heißt "certificate pinning" - man legt in der eigenen Software fest, welche Signatur erwartet wird.

Als Fazit lässt sich sagen: die Mathematik lässt sich (derzeit) nicht austricksen, aber das System der vertrauenswürdigen Signaturstellen ist gehörig angeknackst, um nicht zu sagen: es ist kaputt.

Das Problem ist natürlich offensichtlich und wird auch bereits unter Sicherheitsforschern diskutiert. Eine Möglichkeit ist, dass jede Certificate Authority, die Signaturdienstleistungen anbietet, öffentlich macht, für wen sie Zertifikate ausgestellt hat. Damit könnte jeder Browser prüfen, ob ein Zertifikat wirklich hochoffiziell von dieser CA signiert werden durfte.

Bislang gab es eine gewisse Vertrauenswürdigkeit in die Signaturstellen, aber das ist in's Wanken geraten mit Bekanntwerden der Tatsache, dass insbesondere amerikanische Geheimdienste gern man mit geheimgehaltenen Gerichtsurteilen die Herausgabe aller Schlüssel erzwingen, wie etwa im Fall des Emaildienstleisters Lavabit.

Ein weiterer Ansatz ist eine Sperrliste. Da greift aber erst, wenn einem Besitzer aufgefallen ist, dass ein gefälschtes Zertifikat im Umlauf ist oder ein echtes gestohlen wurde. Die Browser können bei einer Auskunftsinstanz nachfragen, ob ein gegebenes Zertifikat (noch) gültig ist oder widerrufen wurde. Einerseits hat dies mächtige Performance-Probleme, weil für jedes Zertifikat eine Anfrage abgeschickt werden muss. Andererseits ist das ein riesiges Problem für die Privatsphäre, wenn ich einer weiteren Instanz mitteile, wo ich gerade surfe. In Firefox und Chrome gibt es diese Technik, da aber Google diese Probleme als zu schwerwiegend ansieht, ist das Feature abgeschaltet. Es gibt aber technische Weiterentwicklungen, wie z.B. eine einzelne zentrale Sperrliste.

Blackout - Andreas Eschbach - Buchbesprechung

Ich hab mal wieder ein Buch gelesen. Nichts aktuelles, sondern ein bißchen was älteres von Andreas Eschbach - "Blackout", der erste Teil einer Trilogie.

Dem Klappentext nach ein Buch für Jugendliche, aber genau wie die Bücher aus dem "Marsprojekt", über Telekinese und über das Klonen auch sehr gut für Erwachsene lesbar. Das gebundene Buch hat ca. 450 Seiten, und ich habe es an einem Wochenende durchgelesen - dies ist eines der Bücher, die richtig gut "flutschen". Eschbach hat einen sehr lebendigen Sprachstil, die Dialoge klingen realistisch - für einen alten Sack wie mich natürlich. Vermutlich würden die Jugendlichen auch mehr Jugendsprache verwenden, aber darum geht's natürlich nicht ;)

Es ist der erste Teil der Thriller-Trilogie, und es geht darum, dass mehrere Forschungsprojekte es im Geheimen geschafft haben, ein Bio-Interface zu entwickeln, mit dem man Menschen über Mobilfunk miteinander vernetzen kann. Die Forscher in der Geschichte verstehen nach wie vor nicht, wie ein Gehirn genau funktioniert und was welche elektrischen Impulse an bestimmten Orten bedeuten oder hervorrufen, aber sie haben einfach ausprobiert, diese elektrischen Impulse abzugreifen und mit einem bioelektrischen Interface über Funk an derselben Stelle in ein zweites Gehirn einzuspeisen.

Innerhalb kurzer Zeit entwickelt sich daraus eine Bewegung - die "Upgrader" bilden eine Kollektivintelligenz und planen, den Rest der Menschheit ebenfalls in ihr Netz aufzunehmen. Angedeutet wird in einem Nebensatz auch, dass die verschiedenen Forschergruppen in Konkurrenz stehen, aber das wird (im ersten Teil noch ...?) nicht weiter vertieft.

Die Idee ist nicht neu, man erinnert sich sofort an die Borg bei Star Trek, und auch bei Perry Rhodan gab es schon mehrere Begegnungen mit Kollektivintelligenzen, zum Einen natürlich die Superintelligenzen, die aus einzelnen Bewusstseinen entstanden sind (wie ES), zum Anderen aber auch Lebewesen unterhalb der SI-Stufe, die vernetzt sind, z.B. sehr schön beschrieben in einem PR-Taschenbuch.

Was allerdings im Gegensatz zu den Schilderungen bei Star Trek und PR neu ist, ist die Detailstufe, in der Andreas Eschbach beschreiben kann, wie sich die Vernetzung anfühlt. Als Thriller ist es natürlich entsprechend düster geschrieben und die Vernetzung wird aus Sicht der Außenstehenden als nicht wünschenswert geschildert. Trotzdem liest es sich unglaublich faszinierend, dass die Upgrader sich wie Bewohner der Wikipedia fühlen müssen - sie haben Zugriff auf alles Wissen aller anderen Vernetzten, und das umfasst mittlerweile natürlich alles, was irgendwie eine Schnittstelle zum Internet hat, auch Abhörfunktionen, Appliances usw., was als "Internet der Dinge" auch langsam in der realen Welt Fahrt aufnimmt (intelligente Stromzähler, Kühlschränke, die selbständig nachbestellen, Autos, Autopiloten in Flugzeugen usw.usf.).

Dabei gehen die Upgrader sehr gezielt und unauffällig vor. Die Gewöhnung ("Einschwingen") dauert nach Implantation des Interfaces etwa eine Woche, deshalb wurden bislang keine hochrangigen Politiker aufgenommen, sondern hauptsächlich Entscheider aus der zweiten und dritten Reihe, die man im Urlaub o.ä. "infiziert" hat. Es ist aber natürlich absehbar, wann auch "wichtige" Menschen wie Staatschefs gezielt aufgenommen werden.

Die Hauptperson ist ein genialer Computerhacker mit leicht autistischen Zügen, Christopher Kidd, dessen Eltern in das Netz aufgenommen wurden, und der sie befreien will. Er flieht aus der Zivilisation, als er erkennt, dass zunächst sein Vater und später auch seine Mutter assimiliert wurden, und nimmt Verbindung zu einer Gruppe von ebenfalls in die Natur geflüchteten Wissenschaftlern auf, weil das Netz mittlerweile auch Zugriff auf Überwachungskameras, Banktransaktionen etc. gewonnen hat und Telefongespräche abhören kann, weil ECHELON auch integriert wurde. Der Gruppe, die ihn aufnimmt, gehört auch einer der Entwickler des Bio-Interfaces an und sie planen, gegen die Kohärenz zu kämpfen. "Computer Kid" erhielt von seinem Vater ebenfalls einen Biochip implantiert, aber es scheint, dass der Chip gezielt manipuliert wurde; Kid kann ihn auf Gedankenbefehl abschalten und sich dadurch willentlich aus der Gemeinschaft ausklinken.

Anekdote am Rand: obwohl es ein deutsches Buch eines deutschen Autors ist, enthält es den typischen Übersetzungsfehler vom Englischen ins Deutsche: die Computerchips werden als "Silikon"-Chips bezeichnet, obwohl es natürlich Silizium heißen müsste (im Englischen gibt es "silicon" - Silizium und "silicone" - Silikon, und leider verbiegen es die meisten Übersetzer).

Ich habe bislang nur den ersten Teil gelesen, so dass noch keine großen Erkenntnisse über die "Kohärenz", d.h. die Gesamtheit der vernetzten Gehirne, bekannt sind. Interessant, aber befremdlich ist bislang, dass noch nicht absehbar ist, was das Ziel der Kohärenz ist, wenn alle Menschen aufgenommen wurden - abgesehen natürlich von den üblichen Wünschen wie Weltfrieden, Abrüstung, Umweltschutz und so weiter, was ziemlich plausibel klingt. Andererseits entfällt durch die Vernetzung jede Art von Privatsphäre, und die Upgrader konstatieren, dass es nicht mehr nötig ist, etwas vor den anderen zu verbergen. Ich verstehe auch nicht ganz, woher die Sachlichkeit kommt, mit der alle Entscheidungen der Kohärenz gefällt und durchgeführt werden. Bislang sind die Beschreibungen aller Handlungen absolut zielstrebig und logisch, ähnlich wie Spock oder die Aphiliker bei Perry Rhodan. Ich würde mir eher vorstellen, dass eine Summe von Gehirnen auch Gefühle haben und deshalb nicht alle Handlungen rational wären.

Die Funktionsweise der Kohärenz wird als "Gehirne im Gleichklang" beschrieben. Der Name stammt aus der Lasertechnik - Laserlicht ist so energiereich, weil alle Wellenbündel in derselben Polarisation und Phase schwingen, d.h. alle Wellenberge und -täler treten gleichzeitig und in derselben "Richtung" auf. Nach dem ersten Teil ist (für mich) immer noch völlig offen, ob sich tatsächlich eine Gemeinschaftsintelligenz bildet, die in Summe eine Willensbildung durchführen, oder ob es ein "Mastermind" gibt, das alle anderen beherrscht und die "Richtung" vorgibt.

Wie auch immer sich die Geschichte weiterentwickelt: die Gedankenspiele, die durch diese Idee beim Leser ausgelöst werden, rütteln an den Fundamenten unserer bisherigen Menschlichkeit: die Individualität, das Recht auf Privatsphäre, das Recht auf eigene Entscheidungen, das Recht, nicht von anderen dominiert zu werden, das Recht, eben auch falsche oder wenigstens irrationale Entscheidungen zu treffen. Vielleicht haben die ersten Upgrader tatsächlich bewusst die Entscheidung getroffen, sich zu vernetzen. Aber sie nehmen immer mehr Personen mit Zwang in ihre Gemeinschaft auf, die ihnen "nützlich" erscheinen, ob diese wollen oder nicht. An dieser Stelle kollidieren die rein sachlich erscheinende Entscheidung (aus Sicht der Upgrader) mit den Menschenrechten der zukünftigen Vernetzten.

Auf jeden Fall ist die Schwachstelle der Upgrader natürlich die Mobilfunktechnik und die Abhängigkeit von der Stromversorgung der Basisstationen und natürlich die Netzabdeckung - in einem gigantischen Flächenland wie USA noch eher als z.B. in Deutschland, wo man mittlerweile sogar in Dörfern wie meinem Wohnort LTE mit knapp 10 MBit/s. bekommen kann. Die Chips selbst sind autark und speisen sich aus der Bioelektrizität des menschlichen Körpers. Eschbach versucht das gar nicht weiter zu vertiefen, das ist einfach ein Fakt, ohne dass die Geschichte nicht so gut funktionieren würde.

Sehr unterhaltsam fand ich die Schilderung von verschiedenen kleinen Situationen aus der Sichtweise von zwei Personen: Kid und einer Helferin während der Vorbereitung eines Sabotageakts gegen eine Fabrik, in der die Biochips hergestellt werden, Serenity. Zwischen diesen beiden Jugendlichen wird sich in den Folgebänden möglicherweise etwas anbahnen, wer weiß?

Eine offensichtliche Lösung wäre also, auf jegliche Art von Vernetzung zu verzichten, z.B. "das Internet" abzuschalten, um die Kohärenz zu  bekämpfen. Andererseits fallen die "Netzlosen" oder "Befreiten" in ein tagelanges Koma, was in vielen Fällen sicherlich zu gefährlichen Situationen, Unfällen, etc. führen könnte - und aufgrund der heutigen bestehenden Abhängigkeit vom "Netz" schon kaum machbar erscheint. In der Geschichte sind die Upgrader - noch - eine Untergrundbewegung, von der niemand weiß. Selbst die Gruppe, der sich Kid anschließt, hält seine Geschichte und die Konsequenzen für kaum glaubwürdig.

Ich bin gespannt, wie es weitergeht.

Das Abhören - neue Wege für die EU?

In letzter Zeit kommentiert die WZ erstaunlich kritisch zum Thema "Abhören". Die Autoren Ferber und Spang schreiben richtig gute und tatsächlich sachliche Glossen. Deshalb habe ich die beiden in einem Leserbrief auch ein bißchen gelobt:

Leserbrief zu Kommentaren am 18.01.2014 und 06.02.2014

Herr Spang und Herr Ferber, Ihre Kommentare sind erfrischend und benennen genau, worum es geht:
das Abhören ist ein Zeichen amerikanischer Machtausübung. Es geht bei weitem nicht um Terrorismusabwehr, auch wenn uns das immer eingeredet wird. Die USA sind nur an Erdöl und Informationen interessiert. Seit dem Anschlag 9/11 dreht sich die Eskalationsspirale immer schneller.

Genauso wie bei der Vorratsdatenspeicherung, die in Deutschland diskutiert wird, fehlt jeder sachliche Nachweis, dass das Abhören und Speichern der diversen amerikanischen Geheimdienste notwendig, angemessen und verhältnismäßig ist.
Jeden Tag hören wir in den Nachrichten von neuen Anschlägen. Sollte nicht genau das verhindert werden können, wenn das Abhören wirklich so umfassend ist, wie wir jeden Tag in immer neuen Details erfahren?

Der internationale Aufruhr ist entstanden, weil die Kanzlerin festgestellt hat, dass die Amerikaner keine Rücksichten nehmen und keine Freunde kennen, wenn es um ihre Interessen geht. Seit langem ist bekannt, dass alle Geheimdienste untereinander Daten austauschen. Vielleicht ist die Kanzlerin auch nur deshalb ärgerlich geworden, weil es bekannt wurde?

Offensichtlich fehlt der politische Wille sowohl zur Aufklärung als auch zum Abstellen dieser Zustände. Es gäbe durchaus Hebel, die die EU einsetzen kann: die Überlassung von Banktransferdaten (SWIFT), die Übermittlung von Fluggastdaten (Passenger Name records), internationale Abkommen wie ACTA, TTIP uvm.

Eine mittelfristige Überlegung wäre auch, die gesamte EU in der Außen- und Sicherheitspolitik neu und klar zu positionieren. Das ginge, allerdings sollte dazu das amerikanische U-Boot namens Großbritannien (diese Formulierung habe ich bei Bronski aus dem Blog der Frankfurter Rundschau entliehen) sich entweder deutlich zur EU bekennen oder die EU verlassen.

Nicht einmal die offensichtliche Gefahr von Wirtschaftsspionage bringt unsere Regierungen dazu, mit mehr Selbstbewusstsein aufzutreten. Es ist erstaunlich, dass die üblichen Lobbys sich so bedeckt halten, statt die Probleme anzusprechen und Lösungen einzufordern. Die Klimakonferenz in Kopenhagen 2009 wurde massiv abgehört, und weil die USA vorher wussten, dass ein Plan B als Kompromiß schon vorbereitet war, konnten sie bei den regulären Verhandlungen ungeniert alles Unliebsame ablehnen.

Wie Sie schon ganz richtig gefordert haben: wenn die USA weiter spionieren, müssen wir technisch dagegen vorgehen und nicht zahnlose Reisebittsteller wie Pofalla in die USA schicken und uns dann die Beendigung der Affäre vorlügen lassen.

Technische Möglichkeiten sehe ich genug:

1. flächendeckender Einsatz von Verschlüsselung, sowohl im privaten als auch geschäftlichen Bereich. Jeder sollte grundsätzlich seine Emails verschlüsseln (installieren Sie Thunderbird mit dem Zusatzprogramm Enigmail, das gibt es für Windows, Linux und Mac). Jeder sollte nur noch verschlüsselte Webseiten aufrufen und unnötige Signaturstellen, denen man nicht vertrauen kann, aus dem Browser löschen.

2. Amerikanische Signaturfirmen für SSL-Zertifikate sollten gemieden werden, weil nicht sicher ist, ob die Geheimdienste nicht Zugriff auf deren Basisschlüssel haben (sog. Rootzertifikate). In diesem Fall wären nahezu unerkennbare "man in the middle"-Attacken möglich.

3. Jeder sollte bei der Auswahl von Dienstleistern darauf achten, ob diese ihr Rechenzentrum in der EU betreiben, oder eine Mutterfirma in USA haben, die der Jurisdiktion mit Geheimgerichten und Schweigeanordnungen unterliegt (prominente Beispiele: Facebook, Google, Amazon, Twitter).

4. Die Telekom sollte am Frankfurter Internet-Austauschknoten DE-CIX teilnehmen statt mit jedem Partnerunternehmen eigene Internetrouten auszuhandeln ("peering"), die unkontrolliert durch ausländisches Gebiet verlaufen können.

5. Da der englische Geheimdienst GCHQ die Seekabel zwischen der Insel und USA abhört und die Daten mit den Geheimdiensten von USA, Australien, Kanada und Neuseeland austauscht ("5 eyes-Gruppe"), könnten langfristig Seekabel vom Kontinent aus gebaut werden, wie z.B. jetzt gerade ein Seekabel von Europa nach Brasilien in Planung ist.

[Update: abgedruckt 13.02., von de WZ-Red. gekürzte Stellen markiert]

Die eigene Cloud - oder doch nicht? Leserbrief zum WZ-Artikel 16.11.13

Letzten Samstag war ein Artikel in der WZ, den ich für sehr fragwürdig halte: dort wird die Einrichtung einer eigenen Cloud im Internet besprochen.

Allerdings wird nicht genauer erklärt, warum man eine eigene Cloudsoftware einrichten sollte. Einen Server bei einem Rechenzentrum mieten, nur für den eigenen Kalender? Halte ich für übertrieben.

Sollen dort in der "eigenen Cloud" die Urlaubsbilder sicher gespeichert werden? Cloud ist die falsche Lösung, da verwendet man Backups oder ein NAS oder beides.

Leserbrief zum Artikel "Die eigene Cloud" WZ 16.11.2013

Der Artikel beschreibt, wie man sich selbst einen Server mit "Cloud"-Funktion einrichtet. Im Ansatz ist die Idee natürlich löblich, die Kontrolle über die eigenen Daten zu behalten. Die "Cloud" dient dazu, dass man von überall her auf seine eigenen Daten zugreifen kann, ob nun zuhause, im Büro oder unterwegs mit dem Smartphone.

Die zwei prinzipiellen Möglichkeiten, so eine "eigene Cloud" zu realisieren, sind allerdings beide nur mit großer Vorsicht genießbar, deshalb halte ich den Artikel bei weitem für zu ungenau und zu einseitig positiv.

Im Lichte der Details, die nach und nach über die diversen Geheimdienste und ihre Abhöraktivitäten ans Licht kommen, wäre die erste Überlegung nämlich nicht das "wie" - realisiere ich meine Cloud mit dem heimischen Gerät, miete ich einen V-Server oder ein richtiges "Blech" im Rechenzentrum eines Dienstleisters, sondern zunächst mal - "ob" und wenn ja, "wofür" ich so etwas wirklich so dringend benötige.

Die "eigene Cloud" begründet der Artikel eben genau mit der Datensicherheit, die bei Anbietern wie Dropbox, Box, Google, Microsoft etc. nicht gewährleistet ist, weil die Rechenzentren in den USA liegen und damit natürlich der amerikanischen Rechtsprechung unterliegen, die sehr hemdsärmelig mit Datenschutz umgeht (Patriot Act, Gag order, usw.).

Andererseits sind die Enthüllungen mittlerweile so schockierend, dass man eigentlich nichts und niemandem mehr trauen darf. Glaubwürdige Berichte beschreiben, dass die USA gezielt Schwachstellen in Standardisierungen von Verschlüsselungsalgorithmen einschleusen ließen, und die übliche Verschlüsselungstechnik für WWW, nämlich das SSL (das "s" in "https"), ist zwar mathematisch sicher, wird aber dadurch angreifbar, dass es auf dem Vertrauen in Signaturstellen beruht. Leider sind alle großen Signaturstellen (Verisign usw.) in den USA beheimatet, und es ist mehr als plausibel, dass sie durch rechtliche Anordnungen gezwungen werden können, die Basis-Signaturschlüssel ("root CA") auszuliefern. Mit diesem Besitz ist es möglich, sich in verschlüsselte Verbindungen einzuklinken und insbesondere beiden Parteien vorzugaukeln, dass ihre Verbindung sicher ist.

Es ist also zu vermuten, dass auch verschlüsselte Verbindungen abgehört werden können, und da die Telekom nicht am Datenaustausch des DE-CIX in Frankfurt teilnimmt, laufen vermutlich sehr viele Datenverbindungen unnötig durch ausländische Netze, die fröhlich abgehört werden. Aber nicht nur das, eventuell wird auch am DE-CIX direkt abgehört, genauso wie der englische Geheimdienst an den Landestellen der Seekabel in England und Zypern die Daten abschnorchelt. Mittlerweile heißt es ja auch, dass der BND sich vom englischen Geheimdienst helfen ließ, Gesetze so umzuinterpretieren, dass effektiv jeglicher Datenverkehr als "ausländisch" betrachtet wird und abgehört werden darf.

Im Grund kann man also festhalten: nur Daten, die den eigenen Rechner nicht verlassen, sind sichere Daten.

Wenn es denn unbedingt eine eigene Cloud sein muss, schlage ich einen gemieteten Server mit Linux oder BSD vor (keinen virtuellen, auch wenn das monatlich etwas teurer kommt, und ganz bestimmt keinen Windows-Server). Auf keinen Fall sollte eine Cloudsoftware auf dem Rechner oder Router zuhause laufen und eine Verbindung ins Internet geöffnet werden. Ich denke, dass die allermeisten Privatpersonen nicht in der Lage sind, sich gegen Hackereinbrüche zu schützen oder überhaupt zu erkennen. Dazu tragen leider auch Sicherheitslücken und absichtliche Hintertüren in Routern bei, über die die Fachpresse regelmäßig berichtet.

Wenn die Cloud "nur" dazu dienen soll, die eigenen Daten vor Verlust oder Zerstörung zu schützen, flapsig gesagt also eine sichere Ablage für die Urlaubsbilder gesucht wird, ist ein sicheres Speichergerät mit redundanten Festplatten die bessere Lösung (ein NAS-Gerät mit 2 bis 4 Festplatten im RAID), und immer 1 bis 3 Generationen Sicherungen der Daten an verschiedenen Stellen aufbewahren (externe Festplatten z.B.). Für diesen Zweck ist eine "eigene Cloud" zwar eine Lösung, aber nicht für dieses Problem.

Die Telekom und das Schland-Routing

Von allerorten tönt es derzeit, dass "man" ja unbedingt etwas gegen die ausufernde Schnüffelei tun muss.

Es hagelt Vorschläge, und man bekommt den Eindruck, wenn man nicht mindestens alle diese Vorschläge befolgt, steht der Geheimdienst quasi schon hinter der nächsten Wand und wenn man nur aus Versehen "Bombe" sagt oder schreibt, hört man im nächsten Moment das "hoi hoi hoi", wenn sich das SEK vom Dach abseilt.

Da gibt es Vorschläge für Emails mit Verschlüsselung (GPG), da gibt es Vorschläge, anonym mit dem Browser zu surfen, indem man Zwischenstationen verwendet, die keine Verbindungen aufzeichnen (TOR als Proxyfunktion), und es gibt auch Vorschläge, dass Datenverbindungen von den großen Providern nicht mehr durch das weltweite Warten geschickt werden, wenn Anfang und Ende der Verbindung doch beide im selben Land liegen.

Prinzipiell eine gute Idee, nur: größtenteils wird das schon längst umgesetzt, weil sich über 200 Provider in Frankfurt am DE-CIX zusammengetan haben, um genau das umzusetzen.

Nur: wer beteiligt sich nicht? Ausgerechnet die Telekom, die immer noch ihrer Monopolstellung aus dem letzten Jahrhundert nachtrauert und sich dem Prinzip der "kurzen Wege" verweigert. Die Telekom findet, dass sich alle nach ihr richten sollen, und versucht, die anderen Provider zu "privatem Peering" zu zwingen, d.h. zum Einrichten von bilateralen Übergabestellen, statt sich am genossenschaftlichen Multilateralismus in Frankfurt zu beteiligen.

Genau diese engstirnige Geschäftspolitik führt ja gerade dazu, dass ein Risiko besteht, dass eine Verbindung von einem Provider ohne direktes Peering zur Telekom durch Nichtschland geroutet werden muss, damit es letztendlich doch wieder bei der Telekom landet. Immerhin hat die Telekom einen Marktanteil von knapp 30 % auf dem deutschen DSL-Markt.

Abgesehen davon löst selbst das "Schlandrouting" (oder Schengen-Routing, wie es die Telekom nennt), nicht das grundsätzliche Problem, dass am DE-CIX fröhlich weiter direkt an den Knotenstellen des Austauschs abgehört wird. Auch das wissen wir ja leider und zum Glück durch Edward Snowden. Ich hätte mir bis vor kurzem nicht vorstellen können (und wollen ...), dass tatsächlich jemand die Chuzpe besitzt, die gigantischen Datenmengen (mehrere TB/s) anlasslos zu durchsuchen und vermutlich auch komplett zu speichern.

Lösen ließe sich dieses Problem nur, wenn man eine starke Ende-zu-Ende-Verschlüsselung einführt, die nicht auf der kaputten Vertrauenshierarchie von SSL beruht. Zur Erinnerung: wenn ich ein SSL-Zertifikat nicht persönlich kenne (also mein PC oder sonstiges Endgerät ...), muss ich darauf vertrauen, dass die Zertifizierungsstelle sorgfältig gearbeitet hat, dass also die Root-CA-Stelle ordentlich geprüft hat, wem sie ein Zertifikat ausstellt.

Bis vor einem Jahr hätte ich als grundsätzliche Empfehlung geschrieben, dass man auf https-Verschlüsselung beim Browsen im WWW achten soll. Viele Anbieter haben inzwischen eine automatische Umleitung eingebaut, so dass man bei http-Verbindungen automatisch auf https umgelenkt wird. Allerdings setzt dies voraus, dass man der SSL-Verschlüsselung vertraut. Das schützt also nur gegen Mitlauschen durch böse Buben, die es auf Geld oder ähnliches abgesehen haben.

Da wir aber mittlerweile wissen, dass auch die Root-CA-Stellen korrumpiert sind, weil die fast alle in USA sitzen und deshalb von amerikanischen Gerichten zu allen möglichen Schweinereien gezwungen werden können, kann sich mit großer Sicherheit ein Geheimdienst selbst ein gültiges Zertifikat für eine belauschte Verbindung ausstellen und somit eine "man in the middle"-Attacke ausführen, die fast nicht erkannt werden kann.

Statt der zentralisierten Behauptung von Vertrauenswürdigkeit durch Root-CA-Stellen müsste es peer-to-peer-Schlüsselaustausch geben, wie z.B. in Bruce Schneiers "Applied Cryptography" beschrieben, mit einer Vertrauenswürdigkeit ähnlich wie bei GPG, wobei hier natürlich das Problem von Agenten existiert, die verdeckt für einen Geheimdienst arbeiten und sich in so ein "web of trust" einschleichen können.

Die Angriffe, die (vermutlich) staatliche Stellen letztes Jahr im Iran gegen Google Mail durchgeführt haben, sind nur deshalb aufgeflogen, weil im Google-Chrome-Browser geprüft wird, ob beim empfangenen Zertifikat der Signierer wirklich der ist, von dem Google das Zertifikat gekauft hat. Hier ist der Geheimdienst daran gescheitert, dass sie von dieser zusätzlichen Kontrolle nichts wussten und einfach mit der falschen Identität das Zertifikat signiert haben, mit dem die Antwort nach dem Lauschen weitergegeben wurde.

Auch wenn das alles ziemlich düster aussieht, was Bürgerrechte und Privatsphäre angeht, sollte man nach wie vor im Privat- und Geschäftsleben die Tipps für sicheren Umgang mit WWW, Email und dem Internet beherzigen, die ich schon mal zusammengestellt hatte, etwa hier und hier und hier. Elternbeiräte, Lehrer oder andere interessierte Gruppen können mich für einen kostenlosen Vortrag über Datenschutz und Privatsphäre einladen, den ich hier etwas genauer beschrieben habe.

[Update 20131206: Tippfehler in URL]

Portabler Apache-Webserver selbst gebaut

Heute hab ich mal wieder eine kleine Anleitung vorbereitet. Sozusagen aus aktuellem Anlass ;)

Ich habe mich vor kurzem bereit erklärt, als Aushilfe beim Förderverein der Wölfersheimer Schulen einzusteigen und den Webserver ein wenig zu betreuen, weil der edle Spender, der das aufgebaut und bisher betreut hat, beruflich viel um die Ohren hat.

Es geht aber natürlich nicht an, dass jemand direkt am produktiven System Änderungen durchführt, es muss also eine Testumgebung her, in der ich Dinge ausprobieren und auch sonst "herumspielen" kann. Idealerweise sollte es möglich sein, die Änderungen an den Vorstand des Vereins zu schicken, dort begutachten zu lassen, und dann die freigegebenen Änderungen auf den "Live"-Webserver zu überspielen.

Normalerweise ist es kein großes Problem, ein paar Webseiten zusammenzubauen und den Kollegen die Änderungen als Email zuzuschicken.

Das scheitert aber in dem Moment, wenn der Webserver aktive Inhalte ausliefert, wie z.B. Datenbankabfragen durchführt oder einfach nur aktive Seiten in Form von Python-Skripten oder JSP ausliefert. Soweit geht es zum Glück beim Förderverein nicht, es handelt sich "nur" um PHP-Skripte, die vom Apache ausgeführt werden und in HTML-Seiten resultieren, die beim Browser aufschlagen.

Also besteht die Testumgebung minimal aus einem Apache Webserver und dem PHP-Skriptinterpreter. Zusammen mit ein bißchen weiterem Kleinkram besteht der "PortableApache" aus knapp 40 MB Material. Das passt bequem auf den allerkleinsten USB-Stick, in ein Eckchen auf dem Smartphone oder MP3-Player zum bequemen Herumtragen.

Was braucht man nun? Das hängt vom Betriebssystem ab. Für Windows (weil die Vorstandskollegen Windows einsetzen) benötigt man die Installationsdateien von Apache httpd und ein PHP-Paket. Ein paar Bemerkungen zu den Windows-Paketen: es gibt verschiedene vorgefertigte Pakete, unter den Kategorien "VC9", "VC10", "VC11". Das sind Grundpakete von Microsoft (die sogenannte C-Runtime). Die Versionen 9 und 10 laufen mit Windows XP, Version 11 setzt mindestens Windows 7 voraus. Deshalb habe ich hier die Variante mit VC9 verlinkt.

Jetzt werden aus den ZIP-Dateien ein paar Dateien ausgepackt, man braucht gar nicht so viel ;)

Im Internet findet man viele Anleitungen, wie man einen portablen Apache Webserver zusammenbaut. Allen gemeinsam ist, dass sie die Verzeichnisstruktur für Apache beibehalten, es gibt also Verzeichnisse für Logfiles, Module, Konfigurationsdateien usw. Braucht man auf einem USB-Stick eigentlich nicht. Ich habe deshalb alles zusammengeworfen und ein Verzeichnis für Apache und ein Verzeichnis für PHP festgelegt. Das reicht ;)

Man beginnt mit einem Verzeichnis "PortableApache" und legt dort Unterverzeichnisse für "apache" und "php" an. Außerdem benötigt man noch ein Unterverzeichnis, in dem die Dokumente liegen, die ausgeliefert werden sollen. Im Beispiel unten ist dies das Verzeichnis "html", das parallel zu "apache" und "php" liegt. In der Konfigurationsdatei wird es dann als "../html" angesprochen. Auf diese Weise sind die Dokumente unabhängig vom Standort des Apache immer erreichbar.

In das Verzeichnis "apache" gehört nun folgendes:

1. mod_mime.so
2. mod_cgi.so
3. openssl.cfg.cnf
4. msvcr100.dll
5. openssl.exe
6. pcre.dll
7. ssleay32.dll
8. zlib1.dll
9. htpasswd.exe
10. httpd.exe
11. libapr-1.dll
12. libapriconv-1.dll
13. libaprutil-1.dll
14. libeay32.dll
15. libhttpd.dll
16. libxml2.dll
17. httpd-ssl.conf
18. magic
19. mime.types
20. httpd.conf
21. mod_mime_magic.so
22. mod_rewrite.so
23. mod_setenvif.so
24. mod_ssl.so
25. mod_status.so
26. mod_substitute.so
27. mod_userdir.so
28. mod_version.so
29. mod_vhost_alias.so
30. mod_alias.so
31. mod_authn_core.so
32. mod_authz_core.so
33. mod_deflate.so
34. mod_dir.so
35. mod_env.so
36. mod_headers.so
37. mod_imagemap.so
38. mod_include.so
39. mod_info.so
40. mod_log_config.so
41. mod_log_debug.so
42. mod_log_forensic.so
43. mod_logio.so
44. php5apache2_4.dll

Die Datei php5apache2_4.dll nimmt man aus dem PHP-Paket.

Im Verzeichnis "php" braucht man ein bißchen mehr Kram, je nachdem, welche  PHP-Funktionen den Skripten zur Verfügung stehen sollen. Wer sich mit PHP auskennt, kann hier natürlich brutal ausmisten, für Grundbedürfnisse kann man meinen Vorschlag noch deutlich verschlanken.

1. glib-2.dll
2. gmodule-2.dll
3. icudt49.dll
4. icuin49.dll
5. icuio49.dll
6. icule49.dll
7. iculx49.dll
8. icutest49.dll
9. icutu49.dll
10. icuuc49.dll
11. libeay32.dll
12. libenchant.dll
13. libenchant_ispell.dll
14. libenchant_myspell.dll
15. libpq.dll
16. libsasl.dll
17. php-cgi.exe
18. php-win.exe
19. php.exe
20. php.gif
21. php.ini-development
22. php.ini-production
23. php5apache2_4.dll
24. php5nsapi.dll
25. php5ts.dll
26. ssleay32.dll

Das Unterverzeichnis "php/ext" enthält folgende Dateien:

1. php_bz2.dll
2. php_curl.dll
3. php_enchant.dll
4. php_exif.dll
5. php_fileinfo.dll
6. php_gd2.dll
7. php_gettext.dll
8. php_gmp.dll
9. php_intl.dll
10. php_mbstring.dll
11. php_openssl.dll
12. php_shmop.dll
13. php_sockets.dll

Um sicherzustellen, dass PHP funktioniert, sollte man nun an dieser Stelle eine Kommandozeile öffnen (Eingabeaufforderung, cmd.exe), in das Verzeichnis "PortableApache/php" wechseln und testen, ob der PHP-Interpreter sich meldet und seine Versionsnummer bekannt gibt:
H:\PortableApache\php>.\php -v
PHP 5.4.19 (cli) (built: Aug 21 2013 01:12:03)
Copyright (c) 1997-2013 The PHP Group
Zend Engine v2.4.0, Copyright (c) 1998-2013 Zend Technologies

Für diese veränderte Umgebung  muss man dann natürlich auf die Konfigurationsdateien beträchtlich anpassen, damit das Apache-httpd-Programm weiß, wo alle weiteren Module und Dateien zu finden sind.

Man braucht also eine httpd.conf, in der die Verzeichnisse alle aufgeführt sind. Wichtig ist, dass in dieser Konfigurationsdatei keine absoluten Verzeichnisnamen enthalten sind, sondern nur solche, die relativ zum Arbeitsverzeichnis des Webservers (des Prozesses httpd.exe) formuliert sind. Zur Verdeutlichung habe ich diese Stellen unten fett markiert.
Vom Standpunkt der Sicherheit aus gesehen ist diese Webserver-Datei natürlich absolut unvollständig, da fehlen noch einige Anweisungen, um Einbrüche von außen zu verhindern. Das ist aber nicht der Zweck eines "PortableApache". Diese Konfigurationsdatei da unten also bitte nicht als Vorlage für einen "echten" Webserver im Internet verwenden!

Listen 80
LoadModule alias_module mod_alias.so
LoadModule logio_module mod_logio.so
LoadModule log_config_module mod_log_config.so
LoadModule dir_module mod_dir.so
LoadModule mime_module mod_mime.so
LoadModule authn_core_module mod_authn_core.so
LoadModule authz_core_module mod_authz_core.so
LoadModule cgi_module mod_cgi.so
LoadModule env_module mod_env.so
LoadModule rewrite_module mod_rewrite.so
LoadModule setenvif_module mod_setenvif.so
LoadModule ssl_module mod_ssl.so
LoadModule php5_module php5apache2_4.dll
ServerName localhost:80
DocumentRoot "../html"
ServerAdmin you@yourdomain.de
# Include httpd-ssl.conf

ScriptAlias /cgi-bin/ "../cgi-bin/"
LogFormat "%h %l %u %t \"%r\" %>s %b" common
CustomLog access.log common
ErrorLog  error.log
PidFile   httpd.pid

<IfModule php5_module>
  AddHandler application/x-httpd-php .php
  PHPIniDir "../php"
</IfModule>

<IfModule rewrite_module>
  RewriteEngine On
</IfModule>

<IfModule php5_module>
  DirectoryIndex index.php index.htm index.html
</IfModule>

<IfModule dir_module>
  DirectoryIndex index.html index.htm
</IfModule>

<IfModule mime_module>
  TypesConfig "mime.types"
  AddType application/x-compress .Z
  AddType application/x-gzip .gz .tgz
  AddType application/x-bzip2 .bz2 .tz2
</IfModule>

<IfModule ssl_module>
  SSLRandomSeed startup builtin
  SSLRandomSeed connect builtin
</IfModule>

<Directory "../html">
  AllowOverride All
</Directory>

Das Apache-Modul für "rewrite" brauche ich, damit ich solche Spielereien mit der Datei ".htaccess" in den Datenverzeichnissen machen kann:

RewriteEngine on
Options +FollowSymlinks
RewriteBase /

RewriteRule (.*)_(.*)_(.*).html$ /_start.php?cat=$1&id=$2&edit=$3
RewriteRule (.*)_(.*).html$ /_start.php?cat=$1&id=$2
RewriteRule (.*).html$ /_start.php?cat=$1

Ich habe da oben auch schon den Anfang einer SSL-Konfiguration angedeutet, aber natürlich funktioniert das nur, wenn man sich mit dem openssl-Programm ein eigenes Zertifikat baut, also einen private key. Dazu später vielleicht mal einen eigenen Artikel, wie man sich selbst zur root-CA-Instanz macht und dann für sich selbst Keys erzeugt und signiert.

Für eine erste Prüfung, ob diese httpd.conf auch wirklich funktioniert, ruft man "httpd.exe -t" auf (-t testet, ob eine Konfigurationsdatei einigermaßen funktionsfähig aussieht). Wenn man hier die Meldung "Syntax OK" erhält, kann man fast schon loslegen ;)

Für die bequeme Nutzung ist noch ein kleines Startskript vonnöten, das den Apache aufruft. Ich habe es "start.cmd" genannt und direkt in das Verzeichnis "PortableApache" gesteckt.

cd /D "%~dp0apache"
PATH %~dp0php;%PATH%
.\httpd.exe -f httpd.conf


Der Inhalt dieses kleinen Webservers wird nun angezeigt, wenn man mit einem Browser die URL "http://localhost" oder "http://127.0.0.1" aufruft.

"Ich habe nichts zu verbergen" - Leserbrief zum Leserbrief

Es ist wirklich unglaublich: es gibt wirklich und immer noch Leute, die in der Öffentlichkeit behaupten, dass sie nichts zu verbergen haben. Immerhin gehört Mut dazu, diese Lebenseinstellung auch noch als Leserbrief an die Wetterauer Zeitung zu schicken. Hut ab.

Natürlich war ich gezwungen, darauf zu antworten (Name der Red. bekannt):

Leserbrief zum Leserbrief WZ 26.07.2013

Liebe Frau W., ich finde es schön, dass Sie Ihr Leben so unwichtig einschätzen, dass Sie "nichts zu verbergen haben". Sie finden also, das es nicht schlimm ist, wenn ausländische Geheimdienste, teilweise sogar auf deutschem Hoheitsgebiet, gegen das deutsche Grundgesetz verstoßen, Abhörzentralen unterhalten und alles mitlauschen, und vor allem auf Vorrat mitschneiden und aufzeichnen?

Nicht mal unser Bundespräsident teilt Ihre Meinung. Er hat jetzt in einer Stellungnahme gesagt, "Die Angst, unsere Telefonate oder Mails würden von ausländischen Nachrichtendiensten erfasst und gespeichert, schränkt das Freiheitsgefühl ein". Ich denke, er weiß als Ostdeutscher sehr genau, wovon er spricht.

Und das ist genau das Problem: wenn ich weiß, dass ich (wenn auch nur vielleicht) abgehört werde, bedeutet das schon, dass ich mindestens unbewusst mein Verhalten ändere. Das Bundesverfassungsgericht hat allein diese Möglichkeit der Einschränkung der Meinungsfreiheit schon kritisch bewertet (das Schlagwort von der "Schere im Kopf").

Selbst wenn Sie denken, dass Sie nichts zu verbergen haben: es geht niemanden etwas an, ob ich etwas zu verbergen habe, und Sie dürfen das auch nicht stellvertretend für Ihre Gesprächspartner entscheiden. Kommunikation braucht zwei Partner. Wissen Sie alles über Ihren Gesprächspartner? Wissen Sie, ob er nicht vielleicht im Fokus der Überwachung steht? Dann sind Sie automatisch auch verdächtig, allein aufgrund Ihrer Bekanntschaft. Upps.

Bitte lesen Sie diesen Artikel in Spiegel Online: "5 schlechte Argumente für mehr Überwachung".

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Welche Schäden gehen denn von FÜNF Terroranschlägen aus? Wieviele erfolgreiche Terroranschläge gab es denn in Deutschland vor der Internetüberwachung? Können Sie sich daran erinnern? Ich nicht. Mit anderen Worten: es waren so wenig Schäden und Opfer, dass Sie erkennen müssten: das Ausmaß der Überwachung ist absolut unverhältnismäßig. Und trotz Totalüberwachung sind die Geheimdienste an der Aufklärung der NSU-Morde gescheitert. Hmmmm ...

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen. Bedenken Sie dieses Beispiel: die Krankenkassen, Ärzte und Apotheken arbeiten an der elektronischen Gesundheitskarte und wollen alle Gesundheitsdaten aller Deutschen zentral speichern. Wenn die Geheimdienste wirklich die Offenlegung der Verschlüsselung erzwingen, liegen diese sämtlichen Gesundheitsdaten offen. Das sind wunderbare Informationen. Irgendein paranoider Schlapphut könnte auf die Idee kommen, dass alle Menschen mit tödlichen Krankheiten potentielle Selbstmordattentäter sind. Spinnen Sie den Gedanken selbst weiter!

Das Problem ist ja nicht, dass Daten von einer Quelle oder einem Gespräch gespeichert werden, sondern die Verknüpfung von Daten aus vielen Quellen, und die Gefahr von Fehlschlüssen und wildgewordenen Algorithmen - oder schlichten menschlichen Fehlern. Ich erinnere an Terry Gilliams dystopischen Film "Brazil", in dem durch eine tote Fliege der Name "Tuttle" zu "Buttle" wird, und deswegen ein Unschuldiger von der Polizei getötet wird.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Viel mehr Angst, als tatsächlich Gefahr besteht. Bei Ihnen hat es schon geklappt.

Wäre ich Amerikaner, hätte ich mehr Angst vor meinen "normalen" Mitmenschen als vor Terroristen. Durch privaten Waffenbesitz sterben jedes Jahr knapp 35.000 Menschen in den USA.

Der Terrorismus hat den Freiheitsstaat abgeschafft - Leserbrief

Die Empörung über die Abhöraffäre nimmt und nimmt keine Fahrt auf, obwohl jeden Tag schreckliche neue Details zutage treten.

Jetzt wird sogar offenbar, dass die Geheimdienste die Verschlüsselung des https-Protokolls aufbrechen wollen, indem sie von den Firmen die Herausgabe der privaten Schlüssel verlangen.

Dazu mein Leserbrief mit einer Zusammenfassung des bisher Bekannten an die WZ.

Mein Fazit: allein durch die Veränderung vieler demokratischer Staaten hin zu dieser extremen Überwachung haben die Terroristen unglaublichen Schaden angerichtet. Dieser ideelle Schaden überwiegt bei weitem alles andere, was Terroristen im Namen welchen Gottes oder welcher Ideologie auch immer bislang verursacht haben.

Leserbrief zum Dauerthema Abhören

Wenn sogar der "Spiegel" das Abhörthema zum Dauerthema auf der Website macht und dauerhaft extrem kritisch berichtet, ist das schon ein deutliches Warnzeichen für unsere Demokratie und unser Verhältnis zu sogenannten "befreundeten" Staaten. Eigentlich ist es schlimm, dass man dieses Adjektiv in Anführungszeichen setzen muss, aber es scheint nicht weit her zu sein mit der Freundschaft. In den vergangenen 12 Jahren haben sich die USA von einem freien in einen Überwachungsstaat verwandelt.

In Deutschland gab es einige Zeit lang die Vorratsdatenspeicherung für Verbindungsdaten (keine Inhalte). Das Max-Planck-Institut für ausländisches und internationales Strafrecht fand keine Hinweise darauf, dass die Speicherung einen Terroranschlag verhindert hätte - oder dass sich damit Kinderpornografie wirksamer bekämpfen ließe. Forscher der Technischen Universität Darmstadt kommen zu dem Ergebnis, dass die Vorratsdatenspeicherung wohl nicht zur Prävention geeignet ist.

Zunächst schien es "nur" Internetüberwachung zu sein, bis bekannt wurde, dass die US-Post pro Jahr 160 Milliarden Briefumschläge fotografieren und digitalisieren lässt.

Als nächstes wurde nun bekannt, dass T-Mobile USA einen Geheimvertrag mit dem FBI unterzeichnen musste, der den Ermittlern nahezu grenzenlosen Zugriff zu den Daten und zur Kommunikation ihrer Kunden gewährt.

"Prism" habe doch keine fünf konkreten Terroranschläge in Deutschland verhindert, wie es zunächst hieß. "Vielleicht mehr, vielleicht weniger", sagte Friedrich jetzt. Dafür musste also unsere gesamte Kommunikation überwacht werden?

Jeder ist betroffen: nicht durch durch eigenes aktives Verhalten, sondern auch, weil Firmen Daten über uns speichern und natürlich über's Internet miteinander austauschen.

Es geht um die flächendeckende Abschöpfung des Internetgebrauchs, nicht nur um sogenannte Metadaten, sondern um alle Daten inklusive der https-verschlüsselten: E-Mails, Chat, Suchanfragen, Videotelefonate, Käufe. Das wäre so, als ob jeder Mensch dauerhaft per Video total überwacht wird. Wer weiß, was man in ein paar Jahren mit diesen gespeicherten Daten anstellen kann?

Die Geheimdienste "5 eyes" der englischsprachigen Länder haben vereinbart, dass sie sich gegenseitig abhören und Daten austauschen. Man darf ja nicht die eigenen Landsleute abhören. Aber die Erkenntnisse der "Freunde" darf man natürlich verwerten. Wie verlogen ist das denn?

Merkel: "Da wurde dem Bundesinnenminister sehr deutlich gesagt, es gibt keine Industriespionage gegen deutsche Unternehmen." Die amerikanische Geheimdienstführung hat mehrfach sowohl Senatoren wie auch den US-Kongress angelogen. Wie außerordentlich egal muss dann erst eine Lüge gegenüber einem europäischen Reisebittsteller sein? Es gibt 45 verschiedene amerikanische Geheimdienste, und alle haben eigene Geheimnisse.

Es ist ein offenes Geheimnis, dass amerikanische Geheimdienste auch zu Gunsten der amerikanischen Wirtschaft spionieren. Es wird kolportiert, dass Airbus Ausschreibungen verloren hat, weil Boeing durch Insiderkenntnisse Angebote nachbessern konnte. Merkel gibt sich doch immer so wirtschaftsfreundlich. Warum wird sie hier nicht zum Schutz der Wirtschaft tätig?

Deutschland und die EU könnten sich wehren; es gibt durchaus Druckmittel: Fluggastdatenabkommen, SWIFT-Datenaustausch, Freihandelsabkommen. Man muss es nur wollen. Die Datenschutzbeauftragten geben die Marschrichtung vor: derzeit keine neuen Genehmigungen für "Safe Harbour"-Anträge, d.h. keine Auftragsdatenverarbeitung im Ausland nach EU-Richtlinien, weil nicht klar ist, ob "Safe Harbour" wirklich eingehalten wird.

Eine kurzfristige Gegenmaßnahme ist das Verschlüsseln von Mails (Anleitung dazu in meinem Blog). Aber eigentlich ist das ein Zeichen, dass ich meinem Staat mißtraue. Und das ist auch kein schönes Gefühl.

Das eigentliche Ziel von Terrorismus ist es, Angst zu verbreiten. Bis jetzt kann ich nur feststellen: Job well done.

Im Vergleich zu anderen Todesursachen rangiert Terrorismus deutlich unter "ferner liefen". Es gibt viel mehr Tote durch Krankheiten, Drogen, Unfälle. Warum erhält Terrorismus soviel Aufmerksamkeit? Das ist genau das, was die Terroristen wollen. Meine Theorie dazu: Ohne Aufmerksamkeit durch die Medien gäbe es langfristig keine oder kaum Anreize, Anschläge zu verüben.

Sicherheit beim electronic banking

In den letzten Tagen ging eine einigermaßen spektakuläre Meldung durch die Presse: beim electronic banking wurden über 40.000 Euro gestohlen. Ursprünglich ging es wohl um mehr als 100.000 Euro, von denen aber ein Teil von den Banken zurückgebucht werden konnte.

Unabhängig vom Verlauf dieser Aktion und der Frage, wer nun zu welchem Zeitpunkt einen Fehler gemacht hat, will ich mal zusammen sammeln, wie man das electronic banking und generell seinen PC "sicher" machen kann, wenn man das Internet benutzen will.

Vorweg: absolute Sicherheit gibt es nicht. Die Bösewichte werden immer einfallsreicher. Es läuft auf ein Hase-und-Igel-Wettrennen hinaus. Wie beim Absichern der eigenen Wohnung gegen Einbrecher: es muss nicht perfekt sein, aber es muss den Bösewicht so viel Mühe kosten, dass er von seinem schändlichen Tun ablässt (und sich ein leichteres Opfer sucht).

Nun konkreter zum Absichern von electronic banking. Die meisten der Ratschläge sind allgemein verwendbar, aber man sollte sie unbedingt beherzigen, wenn man via Internet seine Bankgeschäfte erledigen will.

Viele der folgenden Tipps überschneiden oder ergänzen sich. Wenn Sie mehrere davon für sich einsetzen, sollte das Ihre Sicherheit deutlich steigern.

• Nicht Windows verwenden. Windows ist so weit verbreitet, dass es sich für Bösewichte ganz besonders lohnt, hierfür Schadprogramme zu entwickeln. Dieser Ratschlag ist nicht ideologisch gemeint, sondern eine statistische Tatsache. Verwenden Sie Linux oder Apple mit einem passenden ebanking-Programm. Für browserbasiertes ebanking geht sogar ein "browser-only" Netbook mit Googles ChromeOS, z.B. von Samsung.
• Verwenden Sie einen separaten PC nur für das ebanking. Vermeiden Sie dort die Installation von unnötiger Software, wenn es für das ebanking nicht unbedingt nötig ist. Surfen Sie nicht mit diesem PC. Verwenden Sie den PC wirklich nur für das ebanking. Rufen Sie mit diesem PC keine anderen Webseiten auf. Erledigen Sie mit diesem PC nicht Ihre Email.
  Kaufen Sie z.B. ein kleines Netbook gebraucht bei ebay, das sollte für unter 100 Euro möglich sein. Man bekommt für diesen Betrag einen kleinen PC mit intel Atom, 1 GB RAM, Festplatte ist vollkommen unwichtig (20-40 GB reichen völlig, am bequemsten wäre natürlich SSD statt einer mechanischen Festplatte). Löschen Sie den PC komplett und richten Sie ihn selbst neu ein, selbst wenn der Verkäufer ein "neu installiertes Windows" anbietet.
• Verwenden Sie zum ebanking ein separates Betriebssystem, das Sie von einer CD oder von einem schreibgeschützten USB-Stick starten. Die c't bietet hierzu kostenlos die Linux-Variante "Bankix" an.
• Verwenden Sie niemals ein öffentliches WLAN für Ihre Bankgeschäfte. Mag sein, dass die Funkstrecke mit WPA2 gesichert ist, aber ab der Basisstation ist es ungeschützt und kann belauscht werden.
• Achten Sie auf Warnungen im Browser, dass die Website, die Sie besuchen wollen, "unbekannt" ist oder das Zertifikat ungültig oder abgelaufen ist. Dies sind Anzeichen dafür, dass Sie nicht die gewünschte Website besuchen, sondern Ihnen ein anderes Ziel "untergeschoben" wurde. Lesen Sie den Sicherheitshinweis genau durch. Im Zweifelsfall fragen Sie die Hotline Ihrer Bank und gehen nicht weiter.
• Installieren Sie in Ihrem Browser "Add-Ons" oder "Extensions", die einige der Sicherheitsprobleme umgehen, indem bestimmte Funktionen abgeschaltet oder nur bei zugelassenden Websites aktiviert werden ("whitelist"). Zugegeben: damit wird das Surfen umständlicher, aber definitiv sicherer. Ich empfehle "uBlock origin" "Adblock Plus Edge", "NoScript" bzw. "NotScripts", "Secure Login" und "Better Privacy". Genauer erklärt habe ich das hier schon mal. Blättern Sie bis zu der Frage "Was kann man dagegen machen?"
• Achten Sie darauf, wenn Sie Mitteilungen bekommen, dass sich an einem Zugang zu einem Dienst im Internet etwas geändert hat. Google, PayPal etc. verschicken Emails, wenn jemand das Passwort ändert. Schalten Sie diese Benachrichtigungsfunktion nicht ab! Wenn Sie die Änderung nicht selbst veranlasst haben, ist höchste Alarmstufe! Dann hat jemand einen Ihrer Online-Zugänge geknackt. Versuchen Sie, so schnell wie möglich den eigenen Zugang wiederzuerlangen. Meistens ist ein Angriff auf das Emailkonto der erste Schritt zum Online-Finanzbetrug und -Kontomissbrauch! Wer die Email kontrolliert, kann bei anderen Diensten Passwörter, Handynummern etc. ändern und die Warnungen darüber abfangen.
• Verwenden Sie unterschiedliche Passwörter für jeden Internetdienst. Niemand kann sich alle Passwörter merken, das ist auch gar nicht schlimm. Verwenden Sie einen Passwortgenerator oder Passwortsafe, der komplizierte, zufällige Passwörter erzeugen kann. Die üblichen Programme für diesen Zweck können das Passwort automatisch in den Browser übertragen, so dass Sie es nicht umständlich abtippen müssen. Alternativ können Sie Ihre Passwörter aufschreiben oder speichern (ich nehme eine Tabellenkalkulation dafür und speichere die Passwortdatei verschlüsselt auf einen USB-Stick ab).
  Ein paar ganz gute Ratschläge finden sich beim BSI oder mit dieser Google-Suche.
• Öffnen Sie in Ihrer Email keine Dateianhänge, wenn Sie keine Zusendung von Anhängen erwarten. Sprechen Sie mit dem Absender, ob er Ihnen wirklich einen Anhang zugeschickt hat, bzw. sprechen Sie vorher ab, dass Ihnen Dateien geschickt werden.
• Klicken Sie in Ihrer Email nicht auf WWW-Adressen (URLs).
• Schalten Sie in Windows die Anzeige von Dateiendungen ein. Windows unterdrückt normalerweise diese Anzeige, aber dadurch übersieht man häufig, dass man z.B. kein PDF anklickt, sondern eine Datei, die Rechnung.PDF.EXE heißt (doppelte Dateiendung).
  Speichern Sie Dateianhänge ab. Dabei kann der Virusscanner die Datei überprüfen. Beachten Sie die Warnungen, falls welche angezeigt werden.
• Verwenden Sie unübliche Programme. Die haben normalerweise nicht die gängigen Sicherheitslücken (vielleicht andere, aber unübliche ;) ).
  Nehmen Sie z.B. Foxit statt Acrobat Reader oder lesen Sie PDF in den neueren Versionen von Firefox oder Google Chrome.
  Verzichten Sie auf Flash. Das ist derzeit noch ein wenig schmerzhaft, aber Youtube z.B. setzt zunehmend mehr auf Videos in HTML5-Technik. Flash ist eigentlich nur eine Ansammlung von Sicherheitslücken. Allein im Februar gab es drei Notfall-Updates.
• Mißtrauen Sie prinzipiell jeder Email, in der es um Geld geht oder um eine Firma, die Ihnen androht, dass eines Ihrer Online-Konten gesperrt wird, wenn Sie nicht umgehend dort Ihr Passwort und eine TAN eingeben (oder sinngemäß ähnlich). Ihre Bank, ebay oder Paypal schicken prinzipiell keine Emails, dass Ihr Konto gesperrt wird.
• Achten Sie zeitnah auf die Installation sämtlicher Fehlerkorrekturen für das Betriebssystem und die ebanking-Software.
• Achten Sie auch auf Updates für den Browser, für Oracle Java Runtime, Acrobat Reader und Flash (nicht Zutreffendes streichen ;) ).
• Schalten Sie in allen Programm die automatische Update-Funktion ein, soweit möglich.
• Ein Virenscanner nutzt nur, wenn er verhaltensbasiert überwachen kann. Viren und Trojaner ändern sich erfahrungsgemäß im Stundentakt. Wenn ein Antivirus-Programm Schadprogramme nur anhand ihrer "Kennungen" (Signaturen) erkennen kann, ist es immer im Nachteil. Insbesondere bemerken die Programmierer von Schadprogrammen, wenn ein Antivirus-Hersteller neue Kennungen veröffentlich, und passen dann sofort ihre Schädlinge an.
  Achten Sie darauf, dass das Antivirus-Programm mindestens täglich ein Update der Viruskennungen bekommt. Je mehr, desto besser.
• Die meisten Schädlinge verbreiten sich über infizierte Webseiten. Die meisten Betreiber von Webseiten wissen das nicht einmal. Über eine Sicherheitslücke dringen Hacker in den Webserver ein und ergänzen die regulären Webseiten um "unsichtbaren" Inhalt, der über eine Sicherheitslücke im Browser oder in Flash/Java dann den eigenen PC infizieren kann. Deshalb: verwenden Sie Linux oder Apple oder einen unüblichen Browser.
• Verwenden Sie nicht die browserbasierte ebanking-Variante, die Ihre Bank anbietet. Der Browser ist prinzipiell unsichere Software. Installieren Sie eine spezielle ebanking-Software, die mit HBCI arbeitet (z.B. das kostenlose Hibiscus, das es für Windows, Apple und Linux gibt). HBCI ist entweder mit einer speziellen Bankkarte möglich (sieht so aus wie eine Giro-/Kreditkarte mit Chip) oder mit Verschlüsselung über einen Datenträger (nannte sich früher "Diskette", geht mit USB-Stick genausogut). Die meisten Banken lassen sich HBCI mit Chipkarte jährlich bezahlen, HBCI mit Schlüsseldiskette ist i.a. kostenlos. Der Aufwand bei der Einrichtung ist etwas höher (man muss postalisch mit der Bank Verschlüsselungsinformationen austauschen, die sog. "öffentlichen Schlüssel").
• Falls Sie eine HCBI-Karte haben, benötigen Sie einen Kartenleser. Nehmen Sie nicht das billigste Modell, sondern eines mit eigenem Display und eigener Tastatur (von Kobil oder ReinerSCT). Ansonsten kann ein Trojaner auf dem PC die Eingabe Ihrer PIN zur Karte abfangen - das ist natürlich nur dann ein Risiko, wenn die Originalkarte gestohlen wird. Achten Sie darauf, dass der Kartenleser mit Ihrem PC zusammen arbeitet (nicht jeder Kartenleser funktioniert mit Apple oder Linux).
• Wenn es denn doch ebanking mit dem Browser sein soll, verwenden Sie nicht das TAN-Verfahren (auch wenn es iTAN oder mTAN ist). Derzeit vernünftig ist ein Verfahren, bei dem Sie von der Bank ein zusätzliches Gerät ("Token") bekommen, das eine Geheimnummer für jeden Vorgang erzeugt. Dieses Gerät dürfen Sie natürlich nicht verlieren oder in fremde Hände geben. Auch das Zusenden von TANs per SMS ist eine schlechte Idee, GSM, UMTS und LTE sind nicht sicher und können relativ problemlos abgehört werden. Außerdem könnte sich ein wirklich bösartiger, gewiefter Mensch eine doppelte SIM-Karte beschaffen und die SMS abfangen. Bis Anfang Juli gab es das bei unserer örtlichen Volksbank als Sonderaktion sogar kostenlos.
• Das Verfahren mit einem zusätzlichen Gerät, das Geheimnummern erzeugt, bietet auch PayPal für kleines Geld an. Wenn Sie PayPal verwenden: unbedingt benutzen! Alternativ gibt es die Möglichkeit, diese Geheimnummern mit einer Android-App zu erzeugen. Das halte ich für fast genauso gut (wenn das Smartphone nicht infiziert wird).
• Schalten Sie bei Google ebenfalls die zweistufige Authentisierung ein! Die Geheimnummern zur Anmeldung kommen dann entweder per SMS auf Ihr Handy, oder Sie verwenden die App Google Authenticator. Damit wird es deutlich schwerer, Ihr Google-Email-Konto zu kapern. Klicken Sie dazu in irgendeiner Google-App (Mail, Kalender, Google Plus etc.) auf Ihr Profilfoto rechts oben, dann auf "Konto", danach auf "Sicherheit" und dann auf "Bestätigung in zwei Schritten".
• Den o.g. "Google Authenticator" kann man auch verwenden, um die zweistufige Anmeldung bei DropBox durchzuführen!
• Richten Sie für alle Fälle eine zweite Emailadresse bei einem anderen Anbieter ein. Verwenden Sie diese Emailadresse zur Wiederherstellung Ihres "Erstkontos", wenn der schlimmste Fall eintrifft und jemand das Passwort irgendwie herausbekommen hat. Lassen Sie alle Benachrichtigungen über Passwortänderungen parallel auch an diese zweite Emailadresse senden!
• Richten Sie zur Kontowiederherstellung Ihre Handynummer ein, so dass der Anbieter Ihnen eine SMS schicken kann. Dies geht nur vorbeugend, bevor das Kind in den Brunnen gefallen ist!
• Ein exotischer Ratschlag, der eher für das berufliche Umfeld gilt: stecken Sie keine "gefundenen" oder fremden USB-Sticks in Ihren PC. Manche Firmennetze wurden auf diese Weise schon infiltriert, auch wenn die Firewalls noch so gut sind. Manche "USB-Sticks" sind komplette kleine PCs, die Ihr Opfer gezielt angreifen können und dort Schadsoftware einschleusen.
• Wenn Sie ein Smartphone für Bankgeschäfte verwenden wollen, achten Sie auch hier auf die o.g. Sicherheitsvorkehrungen. Installieren Sie keine unbekannte Software.
• Bei Android:
  * schalten Sie den USB-Debugging-Mode aus, wenn Sie ihn nicht brauchen.
  * Schalten Sie "Software aus unbekannten Quellen" aus.
  * Installieren Sie ein vertrauenswürdiges Antivirus-Programm, z.B. von Kaspersky, Sophos, Norton, AVG, Avast.
  * Installieren Sie keine Apps, die unnötige Rechte beanspruchen.
  * Verwenden Sie ein Kontrollprogramm wie SRT AppGuard.
• Für Profis: lesen Sie den heise-Newsticker und die Mailingliste Full Dosclosure. Wenn Sie hier einige Wochen mitgelesen haben und immer noch gut schlafen können, sind Sie wirklich ein Profi! ;)

[Update 20130722: Tippfehler, Adblock Plus durch Adblock Edge ersetzt]

[Update 20180710: Adblock Edge durch uBlock origin ersetzt]

Datenschutz im Internet oder - Anleitung für eine handfeste Paranoia

Die Welt ist schlecht, das wissen wir im Grund unseres Herzens doch alle.
Jeder ist nur auf seinen eigenen Vorteil bedacht. Die Ethik eines Menschen bemessen wir nur noch daran, wie groß der Schaden ist, den er anrichtet, wenn er in seine eigenen Taschen wirtschaftet.

Im Internet ist es genauso wie im echten Leben: Jeder will nur unser Bestes.
Im echten Leben ist unser Bestes natürlich unser Geld.
Im Internet hingegen ist das Wichtigste, was wir haben, unsere Privatsphäre und unsere privaten Daten.

Ich zähle mal ein paar Sachen auf, die mir gerade so durch den Kopf gehen, wie man Privatsphäre verliert, und schlage gegen Ende dann einige Hilfsmittel für die gängigen Browser vor, mit denen jeder ein wenig mehr Kontrolle über seine Privatsphäre behalten und wiedererlangen kann, wenn er sich durch's Netz bewegt.

Das, was ich hier aufzähle, biete ich übrigens auch kostenlos als Vortrag an, z.B. für Schulklassen, Schulelternbeiräte usw. Genaueres hab ich neulich hier schon mal aufgeschrieben.

Zu unseren privaten Daten gehören ganz banale Sachen, die für sich genommen vollkommen harmlos sind. Das Gefährliche daran, wenn man diese Daten im Internet irgendwo preisgibt: das Internet vergisst nichts. Und wenn man mal die Kontrolle verloren hat, kann man diese Daten nicht mehr "einfangen" und zurückholen. Und je mehr dieser "harmlosen" Daten spazieren gehen, desto umfangreicher wird das Bild, das sich jemand von uns machen kann.

Ja nun, aber was ist so gefährlich daran? Je mehr solcher Daten man über sich preisgibt, desto zielgerichteter kann z.B. Werbung zugeschnitten sein. Das ist die eine Seite, die vielleicht für sich betrachtet gar nicht mal so schlecht klingt ... auf den ersten Blick. Preisgegebene Daten können aber auch sein, dass man irgendwann mal private Fotos geteilt hat, die man mit mehr Lebenserfahrung vielleicht lieber doch nicht veröffentlicht hätte.

Übrigens bedeutet "veröffentlichen" nicht nur, dass man seine privaten Urlaubs- oder Party-Fotos bei Facebook + Co. abgibt - es reicht auch, wenn man ein privates Foto an einen Freund oder Liebhaber gibt, der dann irgendwann und irgendwie ein "Ex" wird. Manche "Ex" können ganz schön garstig werden und aus Rache diese sehr privaten Fotos (die mit viel Rosa) ungefragt veröffentlichen. Man kann dann zwar mit rechtlichen Mitteln den "Ex" sehr gut ausbremsen, nichtsdestotrotz sind die Bilder dann in der Welt. Noch ein Randproblem: wenn zwei Jugendliche solche "privaten" Fotos machen und weiterverbreiten, fällt das auch ganz schnell unter Kinderpornographie, und das ist dann sogar strafrechtlich bedeutsam, wenn derjenige über 14 ist, also schon beschränkt strafmündig. Das gibt dann vielleicht sogar einen Eintrag im Bundeszentralregister ("polizeiliches Führungszeugnis"), und das macht sich bei der ersten Bewerbung gar nicht gut ...

Auch, wenn es nicht in den strafbaren Bereich geht, kann es doch sein, dass man verlockt ist, etwas zu schreiben oder zu veröffentlichen, was man später bereut. Faustregel: nur das schreiben, was man derjenigen Person auch direkt in's Gesicht sagen würde. Als Intimitätsregel schlage ich vor, nur solche Daten oder Beiträge zu schreiben, die man auch an einer Kneipentheke in normaler Lautstärke erzählen würde (wo ggfs. auch Fremde mithören könnten).

Zurück zum eigentlichen Thema: das Preisgeben von Daten kann ganz offensichtlich sein: ich gebe meine Adresse, Namen, vielleicht noch Geschlecht, Geburtsdatum, Telefonnummer auf einer Webseite ein, weil mich ein Gewinnspiel verlockt. Das Perfide daran: ein Datensatz wird um so wertvoller für Adresshandelsfirmen, je mehr Zusatzinformationen darin stecken. Simple Listen mit Name und Postadresse gibt es im Tausenderpack für wenige Euronen. Wenn aber noch qualifizierende Informationen enthalten sind, wie z.B. Alter, Telefonnummer, Anzahl der Kinder, Arbeitgeber, Berufsbezeichnung, oder sogar Finanzinformationen (Nettogehalt zwischen x und y €), kann so ein einzelner Datensatz schnell mal 30-40 € wert sein. Eine Firma gibt also eine lächerlich geringe Summe für die Gewinne aus (10 iPads oder so) und gewinnt dadurch im besten Fall einige Tausend Datensätze, mit denen Werbung gemacht werden kann. Mal ehrlich: wer liest das Kleingedruckte und streicht die Einverständniserklärung für Werbung durch? Und: wer glaubt denn ernsthaft, dass sich eine Firma daran hält, wenn man das Kreuzchen bei "erlaubt" nicht macht?

Es gibt auch nicht ganz so offensichtliche Informationen, die man über sich preisgibt: in sozialen Netzwerken. Das ist natürlich zum Einen der Zweck eines solchen Netzwerks (ob das nun Facebook, Google Plus, Xing, LinkedIn oder eher unbekannte wie Diaspora sind, ist unerheblich): man findet Gleichgesinnte, die das Interesse zu einem bestimmten Thema teilen. Mit Hilfe des Internets ist es natürlich leicht, solche Seelenverwandtschaften zu finden. Andererseits gibt man dadurch eine riesige Sammlung von privatesten Informationen über sich preis, mit jedem "Like" oder "+1" weiß der Betreiber des Netzwerks ein Häppchen mehr über den Benutzer. Und wenn ich fünfmal die "Star Trek"-Filme ge-like-d habe, könnte es erfolgversprechend sein, mir die Kinowerbung für den neuesten Film etwas prominenter unter die Nase zu reiben. Oder sogar Werbung für ein Kino in meiner Nähe, verbunden mit der Info, wann der Film dort läuft, und beim Anklicken kann ich gleich Karten reservieren.

Hier sind natürlich auch die "location-based services" gefährlich, also die Dienste, die ich z.B. mit dem Smartphone unterwegs nutze. Nahezu jedes heutige Smartphone enthält GPS-Technik. Das Handy weiß also, wo ich mich gerade befinde. Dienste we "Foursquare" oder "Google Latitude" verwenden diese Daten, um mir regionale Vorschläge zu machen (wo ist die nächste Pizzeria, Geldautomat, Bushaltestelle usw.). Ob das Handy nun "nach Hause telefoniert" und irgendwohin übermittelt, dass ich mich gerade am Ort XY befinde, hängt von den Apps ab, die auf dem Smartphone installiert sind. Hier lohnt es sich auf jeden Fall, während der Installation einer App genau hinzuschauen, welche Rechte diese App anfordert (ich spreche hier hauptsächlich über Android, das ich als Entwickler genauer kenne). Wenn eine "harmlose" App wie z.B. ein Bildschirmschoner oder eine Taschenlampe anfordert, das GPS und die Internetverbindung benutzen zu dürfen, sollten einige Alarmglocken anfangen zu schrillen. Fußnote: es gibt eine tolle App namens "AppGuard", mit der man einer Android-App nachträglich Berechtigungen entziehen kann, auch ohne gerootetes Smartphone (ab Android-Version 2.3).

Letztes Jahr gab es übrigens eine technisch recht interessante, aber vom Prinzip her ganz schön gefährliche App namens "where are the girls" für Apples iPhone. Diese App hat die öffentlichen Abfragefunktionen (die sog. "APIs", "application programming interface") von Foursquare, Facebook und anderen sozialen Netzwerken genutzt, um dem Anwender der App persönliche Daten über "girls" zu liefern, die in der Umgebung sind.

Idee dabei: ich gehe in eine Disco und frage ab, wer sich noch in dieser Disco befindet (das ist genau der Zweck von "foursquare", diese Information zu veröffentlichen). Dann nehme ich den Nutzernamen und frage nach familiären Daten dieser Person bei einem Netzwerk wie Facebook. Dann weiß ich z.B., dass das hübsche Mädchen einen großen Bruder hat, und kann sie ansprechen und dabei diese neu gewonnenen Informationen verwenden, um einen hohen Grad an Vertrautheit herzustellen, indem ich vorgebe, ihren Bruder zu kennen. Der Phantasie sind hier keine Grenzen gesetzt ... Apple hat übrigens diese App recht schnell wieder aus dem App Store entfernt, aber natürlich kann das jeder andere App-Programmierer nachbauen.

Es ist also sehr (in Worten: sehr) sinnvoll, in allen sozialen Netzwerken die Privatsphäre-Einstellungen so restriktiv wie möglich zu setzen, also die Sichtbarkeit so einzustellen, dass nur gut bekannte Personen die eigenen persönlichen Daten und Beiträge sehen können. Leider ist Facebook berüchtigt dafür, häufig neue Funktionen einzuführen und die Grundeinstellungen dafür dann auf "alle Welt kann es sehen" zu setzen. Es ist also ratsam, entweder regelmäßig nachzuschauen oder die Ankündigungen von Facebook zu verfolgen, dass es neue Funktionen gibt, und dann in den Kontoeinstellungen unter "Privatsphäre" wieder alles so einzustellen, dass nur "Freunde" alles sehen dürfen. Schon für "Freunde von Freunden" würde ich als Empfehlung ein wesentlich strengeres Regime einführen, so dass diese deutlich weniger sehen dürfen.


 Übrigens gibt es eine sehr unangenehme Eigenschaft in Facebook, die man unbedingt abschalten sollte: wenn man mit einer Person befreundet ist, können die Apps, die dieser "Freund" einsetzt, meine persönlichen Daten abfragen, bis hin zu Geburtstag, Wohnort, Links und alle Posts, Likes usw..

Nach diesem Exkurs zu den Schattenseiten von Apps und Smartphones und sozialen Netzwerken wieder zurück zum eigentlichen Thema dieses Artikels: Privatspäre und Werbung.

Auf den ersten Blick ist es natürlich eine Win-Win-Situation, wenn ich mehr Daten über mich preisgebe: ich bekomme keine Werbung, die mich nicht interessiert, und der Werbetreibende hat eine sehr hohe "Konversionsrate", d.h. das Verhältnis von Aufwand zu Erfolg bei seiner Werbung ist sehr hoch.

Auf den zweiten Blick verliere ich aber die Kontrolle: wenn ich nämlich mehrfach Interesse an etwas hatte, aber dann den Spaß daran verliere, bekomme ich trotzdem weiter Werbung, auch wenn ich sie später nicht mehr will. Es dauert dann recht lang, bis diese Informationen "veralten". Oder wenn ich nur zu einem bestimmten Zweck ein Geschenk bei Amazon gekauft habe, bekomme ich danach vergleichbare Angebote ("das könnte Sie auch interessieren"). Vor Jahren hab ich mal für einen Spaß ein Schlagerlied aus den Sechzigern gekauft (grässliche Musik!), und ich bekomme jetzt immer noch solche Hinweise. Dumm gelaufen.

Noch unauffälliger sammeln Firmen Informationen über mich, wenn ich Webseiten besuche. Die HTTP-Technik ist an sich konstruktiv (fachchinesisch!) ein "zustandsloses" Protokoll, das bedeutet, die Gegenstelle erinnert sich prinzipiell nicht an mich (kann sie nicht), wenn ich die Webseite zweimal besuche. Das gefällt den Seitenbetreibern aber nicht, deshalb wurden Hilfsmittel erfunden, um diesen Zustand zu "reparieren". Das geschieht mit Hilfe von sogenannten Cookies oder Sitzungskennungen (manchmal auch beides zusammen). Mit Hilfe dieser Techniken kann eine Webseite erkennen, dass ich schon mal da war, und kann dann mittels interner Buchführung nachschauen, was ich beim letzten Mal gemacht habe. Manchmal ist das praktisch (Warenkörbe für das Einkaufen wären ohne Cookies oder Session-IDs kaum möglich). Auf der anderen Seite kann die Webseite darüber auch in Maßen bestimmen, wie lange ich eine Webseite betrachtet habe, d.h. die Dauer meines Besuchs feststellen. Über diese Maßzahl kann also berechnet werden, wie interessant die Webseite für mich war.

Die meisten modernen Webseiten heutzutage arbeiten mit Werbevermarktern zusammen, d.h. sie vermieten einen bestimmten Bereich in der angezeigten Webseite, haben aber überhaupt keine Kontrolle, was dort angezeigt wird. Die Werbung (Text, Bild, Video, Flash) wird von einem Server des Werbedienstleisters geholt und angezeigt. Und hier ist gleich der nächste Kontrollverlust: die Werbung wird zum Einen auf meine Kosten vom Server des Dienstleisters geholt, und der Dienstleister erfährt zum Anderen dadurch von mir selbst, dass ich gerade eine Webseite besucht habe, auf der er Werbung geschaltet hat. Üblicherweise hat mir die Webseite aber gar nicht mitgeteilt, dass sie meine persönlichen Daten (in Form meiner IP-Adresse) an einen Dienstleister weitergibt, indem in der Webseite eine "fremde" URL eingeschmuggelt wird, die mein Browser i.a. automatisch abruft. Es gab zwar diverse Gesetzesänderungen in den letzten Jahren, aber so gut wie niemand hält sich daran, das den Besuchern der Webseiten mitzuteilen. Wohlwollend muss ich sagen, dass Google seit Neuestem einen Hinweis einblendet, dass Cookies verwendet werden. Viele andere tun das (immer noch) nicht.

Gefährlich oder unangenehm wird es dann, wenn die Informationen aus dem Medium Internet verwendet werden, um eine andere Form von Werbung zu transportieren. Hier gab es letztes Jahr ein wenig Aufruhr bei folgendem Fall: ein amerikanisches Versandunternehmen hat ein wenig "Data Mining" betrieben, d.h. einfach mal neue Verknüpfungen zwischen den schon vorhandenen gesammelten Daten hergestellt. Dabei hat sich über mehrere Millionen Datensätze von betrachteten Artikeln des Webshops herausgestellt, dass es ungefähr 25 Datensätze braucht, um mit einer Sicherheit von 98% eine Schwangerschaft einer Besucherin zu konstatieren. Diese Versandfirma hat dann eine Zeitlang zielstrebig Werbekataloge verschickt. In dem bekannt gewordenen Fall war die Besucherin des Webshops minderjährig, und die Eltern wunderten sich zunächst, warum sie einen Katalog mit Babyzubehör in der Post hatten. Mit anderen Worten: das Versandhaus wusste zwei Wochen vor den Eltern, dass die 16-jährige Tochter schwanger war.

Nebenbei: das erinnert mich an die Szene aus "Harry und Sally", als der Spediteur eine Woche vor Harry wusste, dass sich seine Frau Helen von ihm scheiden lassen wollte ("Don't fuck with Mr. Zero"). Sie wollte ihm nicht den Geburtstag versauen ;)

So, nun ist also der Untergang des Abendlands, wenn nicht sogar der Weltuntergang, an die Wand gemalt. Und nun?

Was kann man dagegen machen?
Kann man was dagegen machen?

Ja, man kann! Sogar eine ganze Menge. Leider gibt es keine Patentlösung, man muss für sich selbst einen Kompromiss finden zwischen dem Nutzen, den man selbst aus Webseiten ziehen will, und der Menge an privaten Daten, die man preisgeben will. Wenn man alles abblockt, ist man zwar sicher, aber manche Dinge funktionieren dann einfach nicht. Wie immer im Leben: es ist eine Abwägungssache.

Allein schon mit Bordmitteln kann man in den meisten Browsern einiges an Privatsphäre schützen. Allerdings sind diese Einstellungen meistens global gültig, sie gelten also immer und für alle besuchten Websites. Das ist eher lästig und unbequem, weil es eben doch gewisse Websites gibt, denen man mehr vertraut als anderen. Hier gibt es für die meisten Browser kleine Zusatzpakete ("Add-On" oder "Extension" genannt), die eine Kategorisierung ermöglichen. Man kann damit bestimmte Websites als "vertrauenswürdig" kennzeichnen und sie mit voller Funktionalität benutzen, andere als "bedingt vertrauenswürdig" mit Einschränkungen, und andere Websites werden mit voll aufgedrehtem Mißtrauen besucht.

Umgekehrt gilt: es wurden auch schon Fälle von "undercover" Add-Ons bekannt, die sich im Browser einklinken und "nach Hause telefonieren", hier hat man dann den Teufel mit dem Beelzebub ausgetrieben. Die Add-Ons, die ich vorstelle, halte ich für vertrauenswürdig. Das muss aber nix heißen, ich kann mich auch irren, und Sie müssen mir auch nicht vertrauen ;), schließlich geht es in diesem Artikel um eine Anleitung für den Weg zu einer guten Paranoia ...

Mein Lieblings-Add-On für Firefox ist nicht mehr "Adblock Plus" (deswegen auch kein Link), sondern eine Abspaltung davon namens Adblock Edge, das die allermeiste lästige Werbung ausfiltern kann. Sie wird nicht nur nicht angezeigt, sondern auch nicht von fremden Werbeservern abgerufen, und das ist schonmal eine deutliche Verbesserung. Adblock Plus Edge wird mit "Filterlisten" gesteuert, die man abonnieren kann, oder man kann auch seine eigenen Regeln eingeben, was erlaubt und verboten ist. Dasselbe Problem hier: beim Abruf der Filterlisten teile ich dem Lieferanten der Filterliste mit, dass ich den Werbeblocker einsetze. Der Nutzen überwiegt für mich, so dass ich hier mit nur ganz wenig Bauchschmerzen die Filterliste abonniert habe. Diese Funktion gibt es auch für Google Chrome. Ich empfehle nicht mehr Adblock Plus, weil vor einigen Wochen heraus kam, dass die Firma hinter Adblock Plus andere Webseiten gegen Gebühr auf eine Whitelist nimmt und vorschreibt, wie "akzeptable" Werbung aussehen soll. Diese Geschäftspraktik will ich nicht unterstützen.

Nachtrag (20151111): das Add-On "Adblock Edge" wird nicht mehr weiterentwickelt, stattdessen wird die Verwendung des leistungsfähigeren und schnelleren "uBlock origin" empfohlen. Dieses Add-On gibt es sowohl für Firefox als auch für Chrome.

Als Ergänzung zu sehen ist eine Extension, die ich nur für Google Chrome kenne: Facebook Adblock. Diese Erweiterung verhindert die "sponsored stories", die Facebook ungefragt anzeigt.

Das nächstbeste, das ich fast noch mehr liebe, ist ein Add-On, mit dem man steuern kann, welche Websites Programme im Webcode auf meinem Rechner ausführen dürfen (Javascript, Java, Flash, usw.). Die meisten Schädlinge, die man sich beim Browsen einfangen kann, dringen über Programmfehler im Browser in den PC ein, und davon wiederum die meisten über Code von bewusst oder kriminell verseuchten Websites ("code injection", unsichtbare I-Frames, transparente Layer usw.). Hier kann man also nicht nur etwas für die Privatsphäre tun, sondern auch für die Sicherheit des PCs.

Dieses Add-On gibt es als "NoScript" für Firefox, und für Google Chrome etwas Ähnliches namens "NotScripts". Das sind übrigens zwei verschiedene Produkte. Es gibt auch ein "ScriptNo" des Firefox-Entwicklers für Chrome, aber das halte ich für schlechter.

Ehrlicherweise muss ich dazusagen, dass das Surfen mit einem solchen Skriptblocker unbequemer wird. Viele moderne Webseiten funktionieren erstmal nicht wie gewohnt, manche Seiten werden gar nicht erst angezeigt und man sitzt vor einem weißen Bildschirm, oder das Layout der Seite ist durcheinander oder kaputt. Für diesen Fall (der Browser "kennt" die Website also noch nicht) kann man dann schrittweise Genehmigungen vergeben ("whitelist"), bis die Website korrekt funktioniert, und man hat dann trotzdem unerwünschte Drittseiten ausgeschlossen. Das braucht zugegeben etwas Übung und Erfahrung, bis man herausgefunden hat, was man einschalten bzw. erlauben darf, und was nicht nötig ist. Das ist aber auch eine heilsame Erkenntnis: mit diesem Hilfsmittel wird angezeigt, wieviele verschiedene Quellen befragt werden, wenn man eine "einfache" Webseite abruft, und wieviele Stellen nun Kenntnis davon haben, dass ich gerade eine bestimmte Seite abgerufen habe.

Nebenbei wird der Browser auch ein wenig schneller, wenn man die Werbung nicht abrufen lässt ;)

Was ich prinzipiell bei diesem schrittweisen Vorgehen nicht erlaube, sind Abrufe von Werbedienstleistern. Hier sind mal ein paar aufgezählt, die bei mir keinen Fuß in die virtuelle Tür bekommen:

• googlesyndication.com
• googleadservices.com
• quality-channel.de
• google-analytics.com
• ivwbox.de
• doubleclick.net

Aber dieser Artikel ist ja auch eine Anleitung, um paranoid zu werden, also muss da auch ein bißchen Mühe dabei sein ;)

Übrigens funktionieren die meisten Websites mehrstufig: das sieht man bei "spiegel.de" sehr schön. Mit abgeschalteten Skripten bekommt man nur die Anzeige von "NotScripts", dass "spiegel.de" geblockt wurde. Im ersten Schritt zur Prüfung sollte man nun "spiegel.de" vorübergehend erlauben ("temp").

Die Seite wird nun automatisch neu geladen, und da jetzt die Ausführung von Skripten erlaubt ist, die direkt von "spiegel.de" kommen, wird ein bißchen Code ausgeführt. Aber dieser Code hat es in sich: hier werden Programmteile nachgeladen, die von weiteren Servern wiederum Javascript-Programme holen und ausführen wollen. Probieren Sie's aus! Diese weiteren Dienstleister würde ich an Ihrer Stelle nicht mehr erlauben ;)








Des weiteren, wenn wir gerade von Privatsphäre zu Sicherheit gesprungen sind, noch ein Add-On, das ich sehr gern mag, weil es mir das Gefühl gibt, eine bestimmte Art von Schadsoftware auszutricksen: es heißt "Secure Login" für Firefox und löst ein eigentlich sehr exotisches Problem, das aber wirklich mal vor einiger Zeit von einigen Schädlingen gern verwendet wurde. Diese Schädlinge nutzen aus, dass die Browser zur Bequemlichkeit des Benutzers Namen und Passwörter speicher können (hoffentlich verschlüsselt! Haben Sie das eingeschaltet? Im Firefox unter "Einstellungen" -> "Sicherheit" -> "Master Password"!) und beim Erkennen bestimmter Schlüsselwörter in Webseiten automatisch die gespeicherten Daten in die Formularfelder einsetzen können. Hier kommt nun einiges zusammen: die Formularfelder werden vom Browser-Automatismus recht früh während des Ladens und Anzeigens gefüllt,  und wenn in der Webseite bestimmte Javascript-Funktionen verwendet werden, kann ein Skript im Web-Code diese gefüllten Formularfelder während des Starts ("<body onload=scriptfunktion>") auslesen und (siehe oben) "nach Hause telefonieren". Das Add-On verzögert das Ausfüllen der Formularfelder durch den Browser, und es verhindert ebenfalls bestimmte Mechanismen, derer sich diese Schädlinge bedienen. Für mich ein Muss!

Zurück zur Privatsphäre: ähnlich wie Adblock, das gezielt Werbung verhindert, gibt es ein vergleichbares Add-On, das für den Schutz vor Ausspionieren entwickelt wurde, und auch Aufrufe von Statistikfunktionen verhindert. Es heißt "Ghostery" und macht den Browser zum unsichtbaren "Geist", der eine Website besucht, aber nicht die von externen Dienstleistern eingebundenen Zählfunktionen aufruft (es verhindert also z.B. auch transparente 1x1-Bilder, sogenannte "web bugs", die zum Zählen eingesetzt werden). Außerdem begrenzt es die Lebensdauer von Cookies. Manche Server wollen "unsterbliche" Cookies setzen, damit sie auch nach Jahren den Besucher wiedererkennen, aber das will ich ganz sicher nicht. Cookies können entweder bis zur Beendigung des Browsers am Leben bleiben oder für einen bestimmten Zeitraum (3-30 Tage ist normal).

Manche Websites versuchen auch, unterschiedliche Cookies zu setzen, manche davon kurzlebig, manche dauerhaft. Diese Datenpakete werden vom Server des Anbieters an meinen Browser geliefert und enthalten irgendwelche Daten. Beim nächsten Besuch werden von meinem Browser diese(s) Cookie(s) wieder vorgezeigt und ich bin damit wiedererkennbar. Die meisten Cookies sind übrigens auch verschlüsselt oder wenigstens "verschleiert", teilweise zum Verkleinern, teilweise aber auch tatsächlich, um zu verbergen, was drin steckt. Ein sehr gutes Add-On zum Überwachen und automatischen Aufräumen von Cookies ist "Better Privacy" für Firefox.

Diese Add-Ons überschneiden sich teilweise, man muss sie nicht alle einsetzen, aber jedes von ihnen gibt dem Benutzer ein Stück seiner Privatsphäre zurück. Wenn man mehrere einsetzt, wird der Schnitt besser ;)

In diesem Sinne: lasst uns eine gesunde Paranoia entwickeln!

[Update 20131106: Umbruchfehler, Links eingefügt, Hinweis auf Vortrag]
[Update 20130722: Hinweis auf Adblock Edge statt Adblock Plus]
[Update 20151111: Hinweis auf uBlock origin statt Adblock Edge]