BKA – politik-digital

Servergate: Piraten-Anwalt im Interview

Charlie Rutz — Tue, 24 May 2011 16:00:10 +0000

Auf Beschluss des Amtsgerichts Darmstadt beschlagnahmten am vergangenen Freitag Bundeskriminalamt (BKA) und Polizei die Server der Piratenpartei Deutschland. Damit wurden die Webseite und ein erheblicher Teil der Kommunikationsstrukturen der Partei lahmgelegt. Der Anwalt der Piratenpartei Emanuel Schach legte Beschwerde ein. politik-digital.de sprach mit ihm.

Ziel der Hausdurchsuchung am 20. Mai bei der aixIT GmbH und der Beschlagnahme sämtlicher Server, die die Piratenpartei dort mietete, soll nicht die Partei selbst gewesen sein. Der Aktion soll ein “angekündigtes Rechtshilfeersuchen” aus Frankreich zugrunde gelegen haben. Zuvor war die Webseite des französischen Engergiekonzerns Électricité de France (EDF) im Rahmen der “Operation Green Rights” Ziel einer DDoS-Attacke seitens des Hacker-Kollektivs Anonymous (siehe Öffentliche Erklärung der Gruppe Anonymous) geworden.

Laut Piratenpartei sollen unbekannte Dritte im vergangenen April in einer frei zugänglichen Textablage auf der IT-Infrastruktur der Piraten einen kryptographischen (SSH)-Schlüssel abgelegt haben, der zum Angriff auf einen Server von EDF hätte verwendet werden können. politik-digital.de befragte den von der Piratenpartei mit dem Fall beauftragten Rechtsanwalt Emanuel Schach.

politik-digital.de: Herr Schach, wie stellt sich für Sie der Fall #Servergate dar? Welcher Beschluss des Amtsgerichts Darmstadt liegt der Beschlagnahme der Piraten-Server zu Grunde?

Emanuel Schach:
Die einzige verifizierbare Information, die mir bislang vorliegt, ist der Beschluss des Amtsgerichts Darmstadt vom 19.05.2011, mit dem die Durchsuchung und Beschlagnahme angeordnet wurden. Demnach gehen die Ermittlungen von französischen Behörden aus. Es geht um einen von anonymen Tätern geführten DDoS-Angriff auf die Website eines französischen Energieversorgers.

politik-digital.de: Welchen Inhalt hat der Beschluss?

Man habe im Rahmen der Ermittlungen Hinweise auf die von der Piratenpartei Deutschland betriebene Domain http://piratenpad.de erhalten. In Folge dieser Hinweise aus Frankreich habe das BKA Wiesbaden dort bereits im Vorfeld des Beschlusses auf einem Pad eine Reihe von Links zu anderen Seiten gefunden, die den Verdacht der Ermittler begründet haben, man werde auf dem Server, auf dem die Domain betrieben wird, nähere Hinweise zu den Tätern finden. Der Beschluss begründet sich im Wesentlichen mit der angeblichen Flüchtigkeit von Daten im Internet und der daraus abgeleiteten Befürchtung, die für die französischen Ermittler eventuell wichtigen Daten könnten ohne die Maßnahme verloren gehen. Dies rechtfertige den Beschluss, auch wenn ein justizielles Rechtshilfeersuchen aus Frankreich bislang nur angekündigt sei, aber noch nicht vorliege. Zudem gebe es in Deutschland keine Verpflichtung eines Providers, ohne richterlichen Beschluss derartige Daten zu sichern.

politik-digital.de: Ist es korrekt, dass die Piratenpartei Deutschland umfassend mit den Ermittlungsbehörden kooperierte?

Kooperation bedeutet Zusammenarbeit. Eine solche hat es meines Wissens nicht gegeben. Man hat sich lediglich exakt an die gesetzlichen Verpflichtungen gehalten. Die Piratenpartei hat durch einen vor Ort anwesenden Techniker den Polizeibeamten des Bundeskriminalamtes, die die Durchsuchung und Beschlagnahme durchgeführt haben, dabei geholfen, die Daten, die sie sichern wollten bzw. nach dem Beschluss auch sichern mussten, schnellstmöglich zu kopieren. Dem lag die Erwägung zu Grunde, dass einerseits die laufende Aktion ohnehin nicht zu verhindern war, andererseits nur so einigermaßen sichergestellt werden konnte, dass die Maßnahme möglichst schnell und mit möglichst geringer Beeinträchtigung über die Bühne gehen konnte. Schließlich waren sämtliche Server, die bei der aixIT GmbH gehostet werden, während der Durchsuchung vom Netz und damit ein großer Teil der Kommunikations- und Arbeitsinfrastruktur der Piratenpartei ausgefallen.

politik-digital.de: Was ist Gegenstand der von der Piratenpartei eingelegten Beschwerde?

Mit der Beschwerde rügen wir eine Reihe von Rechtsverletzungen, die den Beschluss meines Erachtens rechtswidrig und damit unzulässig machen. So durfte das Gericht nicht ohne offizielles Rechtshilfeersuchen tätig werden. Hier hat das Gericht in einer Art vorauseilendem Gehorsam gehandelt. Das Argument, die Daten seien flüchtig und es bestehe daher die Gefahr eines Verlustes, überzeugt mich schon deshalb nicht, weil die DDoS-Attacke, die dem ganzen Verfahren zu Grunde liegt, zum Zeitpunkt des Beschlusses schon fast genau einen Monat zurücklag. Es stand daher nicht zu erwarten, dass die Daten just in den kommenden Tagen verschwinden würden. Zudem ist es völlig überzogen, zur Sicherung der Daten auf diese Weise auf alle Daten der Piratenpartei bei aixIT zuzugreifen.

Tagtäglich werden in einer Vielzahl von Fällen Provider durch gerichtlichen Beschluss dazu gezwungen, IP-Verbindungsdaten zu speichern, damit Rechtsanwaltsfirmen für die großen Rechteverwerter angebliche Urheberrechtsverletzungen verfolgen können. Dazu braucht es keinerlei Durchsuchungen und Beschlagnahmen. Und das funktionierte auch schon vor einigen Jahren so, als dies noch über die Staatsanwaltschaften lief. Auch damals war völlig klar, dass man das mit einem Auskunftsersuchen erledigen kann und muss. Da kam niemand auf die Idee, bei der Telekom mit einem Durchsuchungs- und Beschlagnahmebeschluss aufzuschlagen und die Server für einen halben Tag lahmzulegen, um an Daten zu kommen. Außerdem halte ich es für vollkommen unverhältnismäßig, wegen den Daten zu einem Pad, um das es offenbar zu gehen scheint, fast die komplette Infrastruktur der Piratenpartei lahmzulegen.

Last but not least handelt es sich bei den betroffenen Servern um die einer politischen Partei im Sinne des Art. 21 GG. Diese Norm gewährt ihr einen besonderen verfassungsrechtlichen Schutz. Der Zugriff auf derart viele und zum Teil auch sensible Daten – ich erinnere daran, dass auch die Mailserver vom Netz und durch den Beschluss dem Zugriff der Ermittlungsbehörden zumindest potenziell offen standen – beeinträchtigt diese Garantie des Grundgesetzes. Wie kann eine Partei unbefangen an der politischen Willensbildung teilnehmen, wenn sie jederzeit damit rechnen muss, dass wegen eines Ermittlungsverfahrens gegen Unbekannte die Exekutive auf sämtliche Unterlagen, E-Mails und Arbeitspapiere Zugriff haben? Bemerkenswerterweise hat sich das Gericht mit diesen Gedanken überhaupt nicht beschäftigt, also Art. 21 GG bei Erlass des Beschlusses nicht berücksichtigt. Obgleich das kaum „übersehen“ worden sein kann.

politik-digital.de: Können Sie bitte veranschaulichen, inwiefern aus Ihrer Sicht im vorliegenden Fall gegen die Verhältnismäßigkeit der Mittel verstoßen wurde?

Bei Durchsuchungen und Beschlagnahmen gilt das Übermaßverbot. Das besagt, sehr allgemein gesprochen, dass man nicht mit Kanonen auf Spatzen schießen darf, vor allem dann nicht, wenn man mit weniger einschneidenden Maßnahmen das Ziel auch erreichen kann. Dazu hat der Bundesgerichtshof erst im vergangenen Jahr festgestellt, dass es z. B. nicht mehr verhältnismäßig und daher unzulässig ist, wenn wegen einiger weniger, noch dazu bekannter Mails der komplette E-Mail-Account eines Benutzers beschlagnahmt wird. Damals ging es um ein Staatsschutzverfahren und der Account gehörte einem Angeklagten. Hier geht es um eine DDoS-Attacke und einen unbeteiligten Provider, denn nichts anderes war hier die Piratenpartei. Daher habe ich keinerlei Zweifel, dass der Beschluss im wahrsten Sinne des Wortes „maßlos“ ist.

politik-digital.de: Ist es vorstellbar, dass es zu einer ähnlichen Aktion gegen größere Parteien wie CDU, SPD oder Grüne hätte kommen können?

Diese Frage mag jeder für sich beantworten. Man stelle sich dazu vor, die Staatsanwaltschaft hätte in einem solchen Fall die Zentrale der CDU oder FDP für einen Tag stillgelegt und in sämtlichen Ordnern und auf allen Rechnern nach Informationen zu anonymen Tätern gesucht, evtl. sogar auf dem Rechner, der die E-Mails von Frau Merkel oder Herrn Rösler beherbergt. Ich bin davon überzeugt, in diesem Fall wäre sich die öffentliche Meinung einig, dass dies ein völlig inakzeptabler Eingriff der Ermittlungsbehörden in die Arbeit der Parteien und damit ein Angriff der Exekutive auf die Grundlagen des demokratischen Rechtsstaates wäre.

politik-digital.de: Welche rechtliche und politische Dimension hat für Sie das Vorgehen der Staatsanwaltschaft Darmstadt? Gibt es ähnliche Beispiele. Und was für Konsequenzen sind aus #Servergate zu schließen?

Ein solcher Durchsuchungs- bzw. Beschlagnahmeexzess ist leider kein Einzelfall. Bereits im vergangenen Jahr waren bei einem Mandanten als „Geschädigtem“ wegen einer eingefangenen Schaddatei sämtliche Rechner und Datenträger beschlagnahmt worden. Glücklicherweise gelang es dort, die Unzulässigkeit des entsprechenden Beschlusses feststellen zu lassen. Und ich bin mir sicher, dass die meisten Kollegen in Deutschland ähnliches berichten können. Neu ist meines Wissens jedoch ein solcher Zugriff auf die Infrastruktur einer Partei.

Es ist schwer vorstellbar, dass weder beim Bundeskriminalamt noch bei der Staatsanwaltschaft oder beim Amtsgericht die politische Brisanz einer solchen Aktion erkannt worden sein soll. Hier ist der Rechtsstaat nicht nur gefordert, sondern auch herausgefordert. Nimmt die Justiz das hin, setzt sie damit nach meiner Überzeugung ein fatales Zeichen. Wenn ein DDoS-Angriff Anlass sein darf, eine unbeteiligte Partei zu durchstöbern, womit müssen wir dann als nächstes rechnen? Wo sind dann die Grenzen? Hier ist die Justiz gefordert, die Grenzen rechtsstaatlichen Ermittelns deutlich aufzeigen.

Links, zwo, drei, vier (KW 28)

Dominique Roth — Fri, 16 Jul 2010 16:31:51 +0000

Der Sun Chronicle will seine Leser erziehen, Wowereit will W-Lan für Alle in Berlin, eine Internetseite will den humanitären Einsatz revolutionieren und das BKA will sperren und löschen: Die Linkliste mit allerhand Interessantem aus einer Woche Netzwelt.

Sun Chronicle: pay per comment

Der Sun Chronicle will seine Leser zur Netiquette erziehen. Deswegen müssen diese nun einmalig 99 Cent zahlen, um auf der Homepage der US-amerikanischen Online-Zeitung Kommentare abgeben zu dürfen. Dazu müssen sich die User mit Name, Adresse, Telefonnummer sowie der Kreditkartennummer registrieren. Der Schritt sei nötig gewesen, da es in der Vergangenheit „eklatante Verletzungen der Forenregeln, falsche Anschuldigungen und grundlose Unterstellungen“ gegeben habe. Bereits im April wurde das Forum deswegen stillgelegt, berichtet heise.de.

Wowereit: W-LAN Berlinweit kostenbefreit

Berlins Oberbürgermeister Klaus Wowereit spricht sich abermals für ein kostenloses W-Lan Netz in der Berliner Innenstadt aus. Der SPD-Politiker will die Umsetzung nochmals prüfen lassen, nachdem ein erster Antrag für ein solches Vorhaben bereits vor Jahren scheiterte. In der Zwischenzeit hat die Stadt Aachen innerhalb von acht Monaten ein flächendeckendes W-Lan Netz aufgebaut. Wie Wowereit dem Tagesspiegel sagte, gebe es also ein gutes Beispiel, wie dies in der Praxis funktioniere.

Homepage rettet Leben

Die Website ushahidi.com hilft beim Katastrophenschutz. Auf dem Online-Portal werden verschiedenste Nachrichten über Plünderungen, Vertreibungen, Vulkanausbrüche oder Überschwemmungen gebündelt. Im Anschluss werden die Daten ausgewertet und die registrierten Nutzer in der Umgebung per SMS gewarnt. Zudem werden Rettungskräfte – soweit vorhanden – an diesen Ort geschickt. Somit konnte die Seite vor allem beim Erdbeben in Haiti viele Menschenleben retten. Wie faz.net berichtet, gab es durch ushahidi.com „1800 geographisch exakt bestimmten Notfallmeldungen, denen die Hilfsdienste vor Ort nachgehen konnten.“

BKA: Zuerst sperren, dann löschen

Das Bundeskriminalamt (BKA) ist mit dem Löschen von kinderpornografischen Inhalten im Internet nicht zufrieden. In der Praxis zeige sich, dass das Löschen von Internetseiten mit einem solchen Inhalt zu lange dauere. Laut einem BKA-internen Bericht dauere es bei 40 Prozent der Homepages über eine Woche, bis die Seite gelöscht würde. Gerade in dieser Zeit wird die Website aber enorm oft angeklickt, so der Bericht, der welt.de vorliegt. Das BKA fordert deswegen, Inhalte bis zu deren Löschung zu sperren. Anders sieht das die Bundesjustizministerin Sabine Leutheuser-Schnarrenberger. Sie hält am Grundsatz „Löschen statt Sperren“ fest und machte indirekt das BKA für zu lange Löschfristen verantwortlich. „Die kurze Laufzeit des neuen BKA-Arbeitsschwerpunktes „Löschen statt Sperren“ lässt sicher keine Rückschlüsse hinsichtlich der Effektivität zu“, wird die Ministerin auf golem.de zitiert.

“Kein Limit für Einsatz von Bundestrojanern”

Florian Wittig — Fri, 20 Jun 2008 15:52:01 +0000

Am 20. Juni 2008 war IT-Sicherheitsexperte Andreas Pfitzmann von 12.30 Uhr bis 13:45 zu Gast im tageschau.de-Chat. Er beantwortete Fragen zu den Befugnissen des Bundeskriminalamtes, dem "Bundestrojaner" und warum Terroristen sich von Online-Durchsuchungen nicht abschrecken lassen.

Moderator: Herzlich willkommen im tagesschau-Chat, heute zum Thema Online-Überwachung, Vorratsdatenspeicherung und Sicherheit im Netz. Unser Gast ist heute Professor Andreas Pfitzmann von der Technischen Universität Dresden. Er ist Leiter der Datenschutz- und Sicherheitsgruppe an der TU Dresden. Für die Experten unter uns: Aktuelle Forschungsprojekte von ihm laufen zum Thema „anonymes Surfen im Web“ und „Datenschutzgerechtes Identitätsmanagment“. Der Chat wird wie (fast) immer vom ARD-Hauptstadtstudio aus moderiert. Herr Pfitzmann chattet aus Dresden, dorthin die erste Frage:

M.Nießen: Wie lange könnte ein so genannter "Bundestrojaner" unerkannt operieren, bevor er von einer erfahrenen Person entdeckt und analysiert wird?

Andreas Pfitzmann: Kommt sehr darauf an, wie gut er gemacht ist und wie erfahren und aufmerksam die Person ist. Ich könnte also alles zwischen 2 Minuten und 200 Jahren rechtfertigen als Antwort. Eine erfahrene Person wird aber anders agieren: Vermeiden, dass ein so genannter Bundestrojaner auf ihren Rechner kommt. Das kann sie ziemlich gut sicherstellen.

Moderator: Gleich noch was, damit man weiß, wer Angst haben muss:
fredo: Können Trojaner auch in der Linux-Welt installiert werden?

Andreas Pfitzmann: Klar. Der Unterschied ist, dass es der Hersteller schwerer hat, ein Trojanisches Pferd in einer Software zu verstecken, deren Quelltext offengelegt ist, als in Software beispielsweise von MS oder Apple, wo der Quelltext nicht allgemein zugänglich ist.

Moderator: Das heißt, auch auf diese Frage lautet die Antwort ja?

Mac-User: Ist der "Bundestrojaner" mac-kompatibel?

Andreas Pfitzmann: Ich glaube nicht, dass es "den" Bundestrojaner gibt, es wird viele sehr unterschiedliche Arten von Bundestrojanern geben. Mag sein, dass manche davon auch mac-kompatibel sind.

hissi: Wie wahrscheinlich ist es, dass der Trojaner in Software vom Staat versteckt ist, z.B. in der Elster Software?

Andreas Pfitzmann: Ich persönlich glaube nicht, dass dies so geplant ist, aber Ihre Frage zeigt – wie auch meine unscharfe Antwort – dass das Vertrauensverhältnis zwischen BürgerInnen und Staat gerade massiv leidet. Die Terroristen werden sich hierüber sehr freuen. Denn Terroristen sind motiviert, können sich schulen lassen und ihre Rechner off-line betreiben. Kurzum: Die, die überwacht werden sollen, können mit der Maßnahme am wenigsten überwacht werden. Leider verstehen das viele unserer Politiker nicht (oder sie lassen sich das Verständnis zumindest nicht anmerken).

dasparadoxon: Jemand der wirklich Ahnung hat, kann seinen Rechner zumindest etwas schützen. Werden diese Lauschangriffe nicht nur "unerfahrene" Opfer treffen ?

Andreas Pfitzmann: Aus meiner Sicht ein klares Ja. Und damit würde ich behaupten, dass Terrorismusbekämpfung nur vorgeschoben ist.

efkay: Jeder, der eine vernünftige Firewall hat, sollte sich doch eigentlich keine Sorgen machen müssen.
jarek: Mit einer professinell betriebener Firewall kann man jeden Zugriff von außen unterbinden, somit auch Installation von Trojanern, oder ?

Andreas Pfitzmann: Ja, wobei auch bei einer Firewall das Problem bleibt, dass Sie ja hin und wieder auch Programme downloaden und dann ausführen.

johnny: Wird der Trojaner Bestandteil einer Software (irgendwas mit Microsoft) sein, oder ein eigener Dienst?

Andreas Pfitzmann: Beides ist denkbar. Ich glaube, die Bundestrojanerdiskussion wird Open Source Auftrieb geben, außerdem sollen und werden wir Tools entwickeln, die die Konsistenz verteilter Programmversionnen sicherstellen, also Bundestrojaner für alle oder für niemand.

none: Herr Pfitzmann, wie beurteilen Sie die (Existenz der) Gefahr, dass staatliche Stellen den Einbau von Lücken in bestimmte Softwareprodukte, z.B. bekannte Betriebssysteme, verlangen werden?

Andreas Pfitzmann: Ich glaube nicht, dass das in Deutschland in den nächsten paar Jahren gefordert wird. Aber einerseits ist es in den letzten 20 Jahren immer so gewesen, dass das heute Unvorstellbare in fünf Jahren massiv gefordert wurde. Andererseits sind amerikanische (wie auch andere) Geheimdienste keinesfalls so zimperlich (und gut kontrolliert) wie deutsche Behörden.

none: Ist es nicht so, dass ein wirklich funktionierender "Bundestrojaner" einen 0-day exploit – also eine unbekannte Schwachstelle benötigt? Heißt das nicht in letzter Konsequenz, dass sehr wohl alle betroffenen, z.B. Windows- Rechner durchsucht werden können? Ganz im Gegensatz zu den angekündigten "10-12 Ausnahmefällen"? Mithin wäre doch eine Massenanwendung möglich?

Andreas Pfitzmann: Alle wären sicherlich nicht betroffen: Terroristen werden ihre Rechner in der heißen Phase ihrer Anschlagsvorbereitung offline betreiben, aber das von Ihnen beschriebene Problem besteht und zeigt folgendes Dilemma: Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, hat die Aufgabe, Staat, Wirtschaft und Bürger zu schützen, also Lücken schnellstmöglich zu stopfen bzw. stopfen zu lassen (und dabei auch in begrenztem Umfang zu veröffentlichen). Das BKA hat ein großes Interesse, solche Lücken geheim zu halten und möglichst lange zu nutzen.
BSI und BKA unterstehen dem Innenminister. Klar, dass das massiv Glaubwürdigkeit und Vertrauen kostet. Ich kann nur sagen: Die Terroristen wollten unsere Gesellschaft verändern (haben es aber nicht geschafft). Geschafft haben es die Innenpolitiker (wobei ich unterstelle, dass dies zumindest manche nicht wollten).

palettentreter: Man muss ja davon ausgehen, dass Verbrecher einfach auf exotische Plattformen ausweichen, um das Unterschieben von Rootkits o.ä. zu erschweren. Glauben Sie, dass der Staat über die nötigen Ressourcen verfügt, um in kurzer Zeit, und mit minimalem Entdeckungsrisiko, professionell gesicherte Systeme zu infiltrieren?

Andreas Pfitzmann: Das BKA verfügt über diese Ressourcen nicht. Denkbar ist natürlich Amtsthilfe, sei es vom BSI, der NSA, Mossad, KGB. 😉
Nächste Frage?

none: Verzeihen Sie mir, wenn ich nochmal auf einen Punkt zurückkomme: Eine massenweise Anwendung des Bundestrojaners (tausende Fälle pro Jahr) an Recht und Gesetz vorbei ist also technisch ohne weiteres möglich?

Moderator: Anmerkung dazu: Es gibt 3. Wenn die BKA-Novelle so kommt wie geplant, liegt die Begrenzung vermutlich eher im Aufwand, der betrieben wird, um einen Bundestrojaner zu programmieren und einem Verdächtigen unterzujubeln. Der ist so groß, dass es nur ein paar Fälle sind – sagt das Bundesinneministerium.

Andreas Pfitzmann: Wenn es um die Infiltrierung weitgehend ungeschützter Rechner über Kommunikationsnetze geht, dann gibt es technisch wie auch wirtschaftlich kein Limit, deshalb halte ich diese Methode auch für demokratie-unverträglich, da für Massenüberwachung geeignet. Ich würde deshalb andere Infiltrationsmethoden bevorzugen:
Abstrahlung auswerten; physischer Zugriff.

dasparadoxon: Wie kann man dem FaceBook-Bürger die Problematik erklären ?
Andreas Pfitzmann: Schwierig. Ich wäre schon froh, wenn Herr Ziercke (Jörg Ziercke, Präsident des Bundeskriminalamtes, Anm. der Redaktion) und Herr Dr. Schäuble sie verstünden.

Moderator: Phsyischer Zugriff heißt: persönlich ran an den Rechner des Verdächtigen?

Andreas Pfitzmann: Ja – was auch bedeuten kann: In die Wohnung einsteigen.

danimo: Nochmal zurück zur Know-How-Quelle für den Einsatz des Bundestrojaners: Ist es nicht viel wahrscheinlicher, dass das BKA sich Unterstützung aus der Wirtschaft holt? Firmen, die Software und Dienstleistungen für Nachrichtendienste bereitstellen, dürften doch ausreichend existieren.

Andreas Pfitzmann: Das BKA wird sicherlich versuchen, Know-How dazuzukaufen. Macht die Sache aber nicht besser, sondern schlimmer: Jetzt stören wir nicht nur das Vertrauensverhältnis Bürger-Staat, sondern auch noch Konsument-Produzent.

horst: Zum Thema "Abstrahlung auswerten": Wie weit funktioniert das in der Praxis? Über welche Reichweite ist so eine Abstrahlung noch auswertbar und wie weit unterscheidet sich das nach Monitortyp? (TFT,CRT)

Andreas Pfitzmann: Da gibt es in der öffentlichen Literatur nur wenige Experimente und die Dienste schweigen. Abstrahlung von Monitoren kann man mit Amateurechnik mindestens einige zehn Meter gut auswerten, mit Profitechnik vermutlich einige Kilometer. Akustische Abstrahlung (jede Taste klingt anders) einige zehn Meter. Elektrische oder magnetische Impulse durch Tastendrücke vermutlich einige 100 Meter.
Kurzum: Es wäre zumindest einen sehr ernsthaften Versuch wert und ich finde es hoch interessant, dass das BKA hierauf auffällig unauffällig in keiner Weise eingeht. Zumal diese Abstrahlungsauswertung eine Methode wäre, der sich niemand, auch keine Terroristen, auch nicht mit Offline-Betrieb, entziehen könnte. Kurzum: Diese Ignoranz wirft die Frage auf, ob es bei der Massnahme wirklich um Terroristen fangen geht oder etwas anderes.

dasparadoxon: Oh Gott. Akustische Abstrahlung…das wusste ich nicht…

Moderator: So gehts mir auch.

none: Zu Abstrahlung (Tempest): Gilt bei "Abstrahlung" nicht dasselbe wie für den Bundestrojaner? Ein einigermaßen technisch versierter Terrorist kann sich leicht davor schützen?

Andreas Pfitzmann: Und akustische Wohnraumüberwachung ist erlaubt 😉

hmm: Zum Thema Abstrahlung (Monitor, Tastatur): Gibt es zu Ihren Aussagen Quellen?
Andreas Pfitzmann: Wenig. Die Namen zum Googeln sind van Eck (sehr alt, erste Veröffentlichung hierzu) und Markus Kuhn (Cambrige).Cambridge, UK, genauer.

Moderator: Wenn ich Sie richtig zusammenfasse, macht der Bundestrojaner für den Terroristenfang wenig Sinn.

Andreas Pfitzmann: Zumindest in den Varianten, auf die sich die Große Koalition geeinigt hat. Leider.

Moderator: Was vermuten Sie dann hinter diesen Maßnahmen, wir reden ja uch über Vorratsdatenspeicherung etc.?

Andreas Pfitzmann: Die Politik will Aktion demonstrieren und merkt nicht, wie lächerlich sie sich gegenüber denjenigen macht, die von der Technik Ahnung haben.
Ich sollte vielleicht einmal klar sagen, dass ich Online-Durchsuchung durch Auswertung der Abstrahlung (und ggf. spätere offene Beschlagnahme) für durchaus zielführend und ggf. auch angemessen halte. Ganz anders ist dies bei der Vorratsdatenspeicherung, wo nicht nur bestehende Sicherheitslücken der IT ausgenutzt werden, sondern auch noch zusätzliche geschaffen.
Es wird NSA, KGB wie auch die organisiere Kriminalität sehr freuen, dass auch für sie (denn die speichernden Systeme werden unsicher sein oder über „social engineering“ aufgemacht, vgl. Telekom-Skandal) Kommunikationsdaten aller Kommunikation sechs Monate lang zum Abruf bereit gehalten werden.

Moderator: Anmerkung 1: Nach der derzeit geplanten BKA-Novelle, darf das BKA nicht in eine Wohnung eindringen, um dort einen Trojaner oder ähnliches zu platzieren.

Anmerkung 2: Zum Thema akustische Überwachung mit Dank an User "None" http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-577.html ist der Link zur PhD-Arbeit von Markus Kuhn.

Andreas Pfitzmann: Ja, so ist es: Die CDU hat sich profiliert, dass es Online-Durchsuchung gibt. Die SPD hat sich profiliert: Aber nicht durch Einstieg in die Wohnung. Super für beide. Und die Terroristen freuen sich, dass es gegen sie nicht wirkt. Schlecht nur für unsere demokratische Gesellschaft.

foo bar: Ich habe als Bürger immer gedacht, dass die Politik solche Gesetze u.a. mit Experten wie Ihnen bespricht/entwirft?

Andreas Pfitzmann: Nein, die Politik fragt uns zwar, glaubt aber dem BKA. Und das BKA hat natürlich auch Eigeninteressen – Ausbau der IT-Abteilung.

Moderator: Noch mal ein paar technische Details.
ego: Nochmal die Frage zu den Ports: Ist es möglich, konrolliert alle Ports zu sperren? Ein blick in NETSTAT zeigt, wie schwierig es wohl ist, auch wenn die Firewall aktiv ist.

Andreas Pfitzmann: Da passe ich, bin kein Firewall-Experte. Aber wenn ich nicht will, dass mein Rechner über das Netz infiltriert wird, dann hänge ich ihn nicht an Netz. So viel Wissen traue ich auch andern zu.

wolfgang: Warum Onlinedurchsuchung, wenn "man-in-the-middle"-Angriffe leichter gehen?

Andreas Pfitzmann: Zweites ist Kommunikationsüberwachung. Das wird natürlich auch gemacht. Bei Online-Durchsuchung möchten die Suchenden auf ALLES zugreifen können, unabhängig davon, ob es jemals kommuniziert wird.

Kako: Ist Deutschland das einzige Land, welches einen Bundestrojaner einführen will, oder gibt es schon Länder, die mit sowas schon arbeiten?

Andreas Pfitzmann: Die USA arbeiten mit sowas schon viele Jahre.

Moderator: Und müssen sich nicht an deutsches Recht halten, wenn Sie mal in good old germany reinschauen.

irrlaender: Ist das auch nicht alles Angstmache? Wie soll man dieses Massen von Daten denn auswerten können?

Andreas Pfitzmann: Die NSA ist einer der größten IT-Anwender weltweit. Das BKA ist verglichen damit nicht gut ausgestattet. Die Auswertungstools (data mining ist das Schlagwort) gibt es bereits. Sie werden u.a. im Marketing benötigt.

Moderator: Zwischenfrage: können wir ein paar Minuten überziehen?

Andreas Pfitzmann: Ja.

Moderator: Prima.
Viele Fragen zum Thema bzw. Vorschlag zwei Rechner – einer fürs Arbeiten, einer fürs Netz. Das hilft gegen alle Art von Schadsoftware, hat Prof. Pfitzmann ja schon erklärt, aber Detailfrage:

Nolle: Beispiel: Ich habe einen alten Rechner, der für das Internet reicht. Auf dem sind weder die privaten Filmchen mit der Familie noch meine geschäftlichen oder behördlichen Vorgänge. Um nun aber ein herruntergeladenes .pdf oder Rechnung auf den Offline-Rechner zu bekommen, benutze ich einen USB Stick. Könnte dieser vom "Bundes"trojaner als Medium benutzt werden, um auch den Offline-Rechner zu durchsuchen?

Andreas Pfitzmann: Wenn Sie auf ihrem Stick nur Daten transportieren, aber keine Programme, dann sind Sie mit dieser Maßnahme gegen "Bundestrojaner" sicher.
Was uns zu der uralten Erkenntnis zurückbringt, dass es klug ist, zwischen Programmen und Daten zu unterscheiden. Leider haben grosse Softwareanbieter diese Unterscheidung zunehmend verwischt.

GeMe: Ein Trojaner ließe sich doch sicherlich in einer interaktiven Webseite wie z.B. einem Gewinnspiel verstecken?

Andreas Pfitzmann: Hoffentlich ist Ihr Rechner so konfiguriert, dass Programmcode auf einer Webseite nicht beliebig auf Ihre Speicherinhalte zugreifen kann.

Moderator: Das Verfassungsgericht hat festgelegt, dass Bundestrojaner etc. nur für die Abwehr oder Verfolgung von schweren Straftaten zulässig ist. Aber denoch:

M.Nießen: Im Internet klingt immer wieder die Vermutung durch, das man mit der Onlinedurchsuchung eigentlich die illegalen Raubkopierer kontrollieren will. Wie beurteilen sie diese Vermutung?

tankwart: Wie schätzen sie die Rolle der Musik und Filmindustrie ein? (Filesharing)

Andreas Pfitzmann: Ich glaube nicht, dass Musik oder Filmindustrie momentan treibend sind. Dr. Schäuble will Terroristen fangen, nicht Raubkopierer. Aber die Erfahrung sagt natürlich: Die in fünf Jahren voll ausgebaute IT-Abteilung des BKA, die leider leider keine durchschlagenden Erfolge gegen den Terrorismus verbuchen wird (die sind so gemein und betreiben ihre Rechner offline), wird dann sagen: Aber wir können vielleicht helfen, dass zwar nicht der Terrorismus ausgerottet wird, aber das Raubkopieren. Und wenn wir nun schon mal die vielen ExpertInnen im BKA bezahlen.

hmm: Ist es nicht möglich, in .pdf oder .doc-Dateien, also eigentlich Daten, Schadcode zu implementieren?

Moderator: Ich hoffe mal, dass es nicht so ist. PDF sind Grundnahrungsmittel für recherchierende Journalisten.

Andreas Pfitzmann: Leider geht es sowohl bei pdf wie auch bei doc. Wie gesagt, Microsoft und andere haben unserer Bequemlichkeit zuliebe sehr unsichere IT-Systeme in den Markt gebracht. Ich vermute aber: Terroristen können auch mit reinen Text-Dateien kommunizieren.

Moderator: Und letzte Frage:

Herman: Was macht Ihnen mehr Sorgen: Die Datensammelwut des Staates oder die der Wirtschaft?

Andreas Pfitzmann: Sorgen machen mir fremde Geheimdienste und organisierte Kriminalität, die auch Daten sammeln, wie auch versuchen werden, auf "unsere" Datensammlungen zuzugreifen. Sie werden dabei häufig Erfolg haben. Deshalb sollten wir bereits die Erfassbarkeit von Daten minimieren und insbesondere Datensammlungen nur dann anlegen, wenn dies absolut unvermeidbar ist und die Sammlungen anonymisiert oder pseudonymisiert sind.
Kurzum: Unser Staat arbeitet aus meiner Sicht nicht bewusst gegen uns. Manche seiner Entscheidungsträger sind nur sehr technik-unkundig. Und ich hoffe, dass der Telekom-Skandal dazu nütze ist, die Vorratsdatespeicherung abzublasen und die Wirtschaft durch den Staat besser zu kontrollieren.

Moderator: Damit ist unser tagesschau-Chat zu Ende. Mein Name ist Wolfram Leytz. Herzlichen Dank nach Dresden an Professor Pfitzmann, dass Sie sich Zeit für die Diskussion genommen haben! Das Protokoll des Chats ist in Kürze auf den Websiten von tagesschau.de und politik-digital.de zu lesen. Das tagesschau-Chat-Team wünscht allen noch einen schönen Tag und ein schönes Wochenende und gibt nach Dresden an Prof Pfitzmann zum Schlusswort:

Andreas Pfitzmann: Wir sollten uns und anderen möglichst solides Wissen, auch über IT-Sicherheit beibringen. Nur darauf kann rationale Politik aufbauen.
Moderator: Stellvertretend für andere:

dasparadoxon: Sehr guter Chat ! Ich schneide mir ne Scheibe von ihrem Optimismus ab !

Umfrage: Fühlen sie sich durch die neuen Sicherheitsgesetze in Ihrer persönlichen Freiheit eingeschränkt?- 95 Prozent haben "Ja" gesagt, fünf Prozent "Nein".

Speichern personenbezogener Daten verboten

admin — Sun, 30 Sep 2007 22:00:00 +0000

Das Bundeskriminalamt sorgt mit seiner vorsorglichen Speicherung von Nutzerdaten gerade für Unmut in der Netzwelt, der Deutsche Bundestag zeichnet ebenfalls auf, wer denn so auf seinem Internetauftritt vorbeischaut – und bis vor kurzem protokollierte auch das Bundesjustizministerium (BMJ) die Daten seiner Website-Besucher. Ein rechtswidriges Vorgehen, so entschied das Berliner Amtsgericht in einem Grundsatzurteil vom 27. März, das jetzt veröffentlicht wurde. Geklagt hatte der Jurist Patrick Breyer, tätig unter anderem für den Arbeitskreis Vorratsdatenspeicherung. Das BMJ reagierte und erstellt lediglich noch anonyme Statistiken über die Besucher seiner Website.

Aktionswebsite www.wir-speichern-nicht.de vom Arbeitskreis Vorratsdatenspeicherung.

Was sich die Datensammler zunutze machen: Wer im Internet surft,
hinterlässt Spuren. Dazu gehört die IP-Adresse, eine Ziffernfolge, die
netzfähigen Rechnern und Geräten zugeordnet ist und sie eindeutig
identifiziert. Damit lässt sich zurückverfolgen, wer von wo ins Netz
geht. Nach der Entscheidung des Amtsgerichts dürfen diese Daten nur so
lange gespeichert werden, wie der Internetnutzer auf der Seite
verweilt. Eine längere Aufbewahrung verletze das Recht auf
informationelle Selbstbestimmung.

Das Urteil könnte einige Websitebetrieber vor Probleme stellen: Denn
nicht nur Behörden speichern Daten ihrer Besucher, auch Blogssoftwares
wie etwa WordPress zeichnen in den Grundeinstellungen auf, wer auf die
Weblogs zugreift.

Hilfe für die Betreiber von Online-Diensten, Blogs
und Foren möchte der Arbeitskreis Vorratsdatenspeicherung bieten. Mit der Aktion „Wir speichern nicht – we respect your privacy“
will er aufklären, wie man die Anonymität seiner vorbeisurfenden
Besucher sicherstellen kann. Anbieter, die mitmachen, bekommen ein
Gütesiegel für ihre Website.
Patrick Breyer spricht von einem Urteil „mit Signalwirkung für die
gesamte Internetbranche“.

Es erscheint allerdings fraglich, ob und wie
das Berliner Urteil internationale Internet-Anbieter beeindruckt. Ob
Google, Amazon oder eBay – Nutzerverhalten aufzuzeichnen gehört bei
vielen Diensten dazu, das schreibt Breyer selbst auf seiner Website. Und stellt dort auch eine Musterklage zur Verfügung, mit der man sich gegen unerwünschte Protokollierung wehren soll.

Via netzpolitik.org und heise.de

Versierte Internetnutzer im BKA

sdowe — Sun, 30 Sep 2007 22:00:00 +0000

Aufsehen und Verärgerung erregt eine Unterseite des Webauftritts des Bundeskriminalamts (BKA) zur „militanten gruppe“ bei Gegnern (z.B. Arbeitskreis Vorratsdatenspeicherung, Netzpolitik) der Vorratsdatenspeicherung. Die „militante gruppe“ ist eine linksradikale Untergrundorganisation, die unter anderem durch Brandanschläge in Berlin und Umgebung bekannt wurde. Nach Informationen des Berliner Tagesspiegel, die gestern veröffentlicht wurden, hat das BKA die IP-Adressen der Nutzer ihrer eigenen Unter-Website seit 2004 gespeichert.

Mit einer IP-Adresse kann der Ort bestimmt werden, von dem ein Internet-Nutzer ins Netz geht. Ziel: Die Besucher der Site sollten persönlich ermittelt werden, um in den Untersuchungen gegen Mitglieder mutmaßlich terroristischer Gruppen voran zu kommen. Frei nach der These des Ego-Googelns geht das BKA offenbar davon aus, dass die Mitglieder solcher Gruppen im Internet nach sich selbst und themenverwandten Websites suchen. Ergebnis: Jeder Nutzer dieser Site muss sich nun unter Generalverdacht wähnen.

Das BKA stellt immerhin im Impressum klar, dass es keine Haftung „für eventuelle Schäden oder Konsequenzen,
die durch die direkte oder indirekte Nutzung der angebotenen Inhalte entstehen“ übernimmt. Auch auf Sicherheitslücken im E-Mailverkehr macht das BKA im Impressum aufmerksam: So könnten „Beispielsweise (…) E-Mails auf ihrem Weg an die Mitarbeiter des BKA von versierten Internet-Nutzern aufgehalten und eingesehen werden“. Dass die "versierten Internet-Nutzer" im BKA sitzen und Ihre Fähigkeiten sich nicht nur auf das Tracking von Mails begrenzen, bleibt unerwähnt.

Bei Interesse an der Speicherung der eigenen IP-Adresse durch das BKA bitte hier klicken.

Big-Brother-Award 2002 Update

admin — Wed, 30 Oct 2002 22:00:00 +0000

Am Freitag, den 25. Oktober 2002 wurden zum dritten Mal die Deutschen Big-Brother-Awards verliehen. Netzaktivisten vergaben den Preis in acht Kategorien, unter anderem ‘Politik’, ‘Verbraucherschutz’, ‘Arbeitswelt’ und ‘Kommunikation’.

Großkonzerne, zwei Minister und Klaus Wowereit als Bundesratspräsident – so nobel die Liste der Preisträger klang, scheuten die Ausgezeichneten bis auf einen doch die Verleihung der Big Brother Awards. Denn die Awards gehen an Preisträger, für die Datenschutz und Privatsphäre von Verbrauchern Fremdwörter sind.

So strafte die Experten-Jury aus Datenschützern und Computer-Aktivisten Wowereit für die Bundesratsinitiative ab, die Internet-Provider und andere Teledienstleister verpflichten will, auf unbeschränkte Zeit zu speichern, wer wann und wie ihre Dienste genutzt hat. Damit sei die vollständige telekommunikative Überwachung möglich, begründeten die Preisverleiher ihre Entscheidung.

Hessens Innenminister Volker Bouffier hatte nach Meinung der Jury “stellvertretend für seine Kollegen in anderen Bundesländern” einen Big Brother Award für die Novellierung des Landespolizeigesetzes verdient. Das Gesetz habe Rasterfahndungen erheblich vereinfacht, auch gegen Bedenken von Teilen der Justiz.

Big Brother-würdig waren auch die Karteien, in denen das BKA potenzielle politische Gewalttäter und kriminelle Ausländer “präventiv” speichert, auch ohne dass vorher strafbar geworden seien.

In der Kategorie Arbeitswelt ging der Preis an die Bayer AG in Leverkusen, weil der Konzern von neuen Auszubildenden einen Drogentest verlangt. Den Big Brother Award im Bereich Verbraucherschutz bekam die Deutsche Post. Sie war bereits im vergangenen Jahr nominiert worden, weil sie Daten aus Adressänderungen und Nachsendeanträgen weiterverkauft.

Wer die Weitergabe seiner Daten ablehne, werde von der Post mit einem Anschreiben doch noch zur Einwilligung gedrängt, rügte die Jury des Big Brother Awards.

Software-Riese Microsoft war bereits mehrfach nominiert worden, aber bisher stets leer ausgegangen. Die Jury wollte sich Vorwürfe vermeiden, sie prügele einfach auf das Hassobjekt vieler Computerfreaks ein. Diesmal ging aber doch ein Big Brother an den “Windows”-Produzenten – für seine Lebensleistung. Neben zahlreichen Sicherheitslücken baue Microsoft in neue Programme wie “Media Player” Registrier- und Überwachungsmechanismen ein.

In einer Sache ging die vielgeschmähte Softwarefirma aber mit gutem Beispiel voran: Der Datenschutzbeauftragte von Microsoft Deutschland erschient auf der Verleihungszeremonie um Preis und Kritik entgegennehmen. In der Vergangenheit hatten die Preisträger wie Innenminister Otto Schily die Veranstaltung geschwänzt.

Ihre Negativ-Preise verliehen die Organisatoren um den Bielefelder Computer-Verein FoeBud e. V. zum dritten Mal. Big Brother Awards gibt es auch in England, den USA, Österreich und der Schweiz.

And the Big-Brother-Award 2002 goes to…

Microsoft AG
(Kategorie: Lifetime-Award)

Die Microsoft AG erhält den Big-Brother-Award für das Lebenswerk wegen der Summierung von Privacy-Problemen über viele Jahre hinweg (heimliche Registrierung, Passport, XP-Service-Pack 1, Palladium, .net). Dieser Preis ist gleichzeitig der Hauptpreis der Big-Brother-Awards des Jahres 2002 wegen der Realisierung von DRM (Digital Rights Management) durch die Hintertür (Windows Media Player).

Bayer Aktiengesellschaft (Kategorie: Arbeitswelt)

Die Bayer AG, Leverkusen, erhält den BigBrotherAward in der Kategorie Arbeitswelt für ihre demütigende Praxis Auszubildende vor der Einstellung einem sogenannten Drogenscreening zu unterziehen.

Innenminiter NRW Dr. Fritz Behrens (Kategorie: Regionalpreis)

Der hessische Innenminister Volker Bouffier erhält den Big-Brother-Award der Kategorie Politik, weil er im Land Hessen die vom Gericht verbotene Rasterfahndung per Gesetzesnovellierung quasi durch die Hintertür wieder eingeführt hat.

Deutsche Post AG (Kategorie: Verbraucherschutz)

Die Deutsche Post AG erhält den Preis in der Kategorie Verbraucherschutz wegen des datenschutzwidrigen Umgangs mit Daten aus den Post-Nachsendeanträgen (erzwungenes Doppeltes Opt-Out). Nur wer zweimal ausdrücklich widerspricht, kann verhindern, dass seine ihre Adresse weiter gegeben wird.

Hessischer Innenminister Volker Bouffier (Kategorie: Politik)

Der hessische Innenminister Volker Bouffier erhält den Big-Brother-Award der Kategorie Politik, weil er im Land Hessen die vom Gericht verbotene Rasterfahndung per Gesetzesnovellierung quasi durch die Hintertür wieder eingeführt hat.

Deutscher Bundesrat (Kategorie: Kommunikation)

Der Deutsche Bundesrat erhält den Big-Brother-Award der Kategorie Kommunikation für seinen Beschluss, Telekommunikations(dienste)anbieter zu verpflichten, die Verbindungsdaten von allen Nutzerinnen und Nutzern für eine nicht festgelegte Dauer für Zwecke von Polizei und Geheimdienste auf Vorrat zu speichern (Vorratsdatenspeicherung).

Toll Collect GmbH (Kategorie: Technik)

Die Toll Collect GmbH erhält den Big-Brother-Award in der Kategorie Technik, da mit der satellitengestützen Erhebung und zentralen Verarbeitung der Bewegungsdaten von Kraftfahrzeugen eine neue Dimension der Beobachtung von Verkehrsteilnehmern möglich wird. Die Zusicherung der Betreiber, dem Datenschutz zu genügen, erscheint uns bei der Größenordnung der Erfassung und den Möglichkeiten der Auswertung nicht angemessen.

Bundeskriminalamt, BKA (Kategorie: Behörden + Verwaltung)

Das Bundeskriminalamt erhält den Big-Brother-Award in der Kategorie Behörden und Verwaltung wegen der Einführung der drei Präventivdateien LIMO (Gewalttäter Links) REMO (Gewalttäter Rechts) und AUMO (politisch motivierte Ausländerkriminalität).