Archiv für den Monat: Februar 2018

Überwachungswunschzettel – Teil 5 – Verfassungschutz

Veröffentlicht am von

Bei meiner Wunschzettelaktion ging es darum von führenden Politikern, Amtsinhabern und Funktionären zu erfahren, welche weitere Überwachungsmaßnahmen sie in den nächsten Jahren zu benötigen. Die Fragen gingen auch an Herrn Maaßen vom Bundesamt für Verfassungsschutz (BfV).

Zur sicheren E-Mail-Kommunikation stellt das BfV auf seiner Homepage einen GPG-Schlüssel zur Verfügung. Die Antwort kam jedoch unverschlüsselt und als PDF-Anhang. Als misstrauischer Mensch wittert man in dem PDF ja irgendwelche Schädlinge, die die diversen Sicherheitslücken in verschiedenen PDF-Programmen ausnutzen wollen.

Ein Mitarbeiter des BfV beantwortete meine Fragen, da Herr Maaßen nicht zu aller Post selbst Stellung nehmen kann.

Der Verfassungsschutz sieht sich im Spannungsfeld zwischen der Freiheit des Einzelnen und der Sicherheit der freiheitlichen demokratischen Grundordnung. Um hier das Gleichgewicht zu halten, arbeitet das BfV auf Basis der gesetzlichen Grundlagen, die Befugnisse und Beschränkungen regeln. Genauere Details werden aber verweigert, da der Verfassungsschutz nur der Bundesregierung gegenüber Bericht erstatten muß

Ich solle aber sicher sein, daß der Verfassungsschutz sein Aufgabenspektrum flexibel an veränderte Bedürfnisse anpasst um die Sicherheit der Bürger zu gewährleisten

Der letzte Punkt macht mir am meisten Angst. Ich denke die Aufgaben sind fest definiert und die Verfassungsschützer müssten sich an die, ach so, engen Vorgaben des Gesetzgebers halten? Dass es mir um die Freiheit von 80 Millionen unschuldigen Einzelpersonen geht, hat der BfV-Mitarbeiter auch nicht verstanden.

Vielleicht sollte man den Begriff “Verfassungsschutz” ersetzen. Denn in unserem Grundgesetz ist nicht nur die staatliche Struktur erwähnt, sondern auch die Bürgerrechte. Diese sehe ich nicht vom Verfassungsschutz geschützt.

Breitbandausbau: Quote erreicht!

Veröffentlicht am von

Die beste Nachricht der letzten Wochen: Nach langem Hin und Her steht fest, daß die 60%-Anschluß-Quote für den Glasfaserausbau erreicht ist. Dann kann der zukünftige Betreiber endlich loslegen und die Gemeinde mit einer zeitgemäßen und zukunftssicheren Netzzugangstechnologie versorgen.

Die Tücken des DRM

Veröffentlicht am von

DRM ist eine Krankheit, eine Seuche. DRM steht für Digital Rights Management und soll digitale Inhalte (Musikstücke, Videos, Spiele, etc.) in erster Linie vor unerlaubter Vervielfältigung schützen. Es gibt allerdings noch andere Spielarten, die den Käufer auf andere Arten gängeln sollen. Oft wird bei dieser Technik eine Onlineverbindung zum Server des Herausgebers aufgebaut. Geht der Hersteller pleite oder stellt er seinen Dienst ein, ist der Käufer der Dumme. Er kann die Medien dann oft nicht mehr nutzen. Das ist schon vorgekommen und wird in der Zukunft auch immer wieder vorkommen. Die Hersteller rechtfertigen sich dann immer damit, daß sie nur ein eingeschränktes Nutzungsrecht verkauft haben.

Aber es muß ja nicht immer gleich der Wort-Case sein. Manchmal reicht auch eine Störung des eigenen Internetzugangs. Ich wollte zwischendurch ein wenig GTA V spielen. Bei der Installation mußte man schon zwingend neben dem Steam-Account noch einen Account bei Rock-Star anlegen. Das Spiel schien zu starten, erkannte auch die fehlende Verbindung und bot mir einen Offlinemodus an.

Prima, dachte ich; ich möchte schließlich nicht “GTA Online” spielen. Allerdings kam dann die Ernüchterung, als der “Offline-Modus” eine funktionierende Internetverbindung voraussetzt. Komisches Verständnis von “Offline”.

Game Remakes

Veröffentlicht am von

Am Wochenende habe ich die Sendung Breitband auf Deutschlandradio Kultur gehört. Über einen Beitrag zur Entlohnung von Datenweitergabe habe ich mich ja schon aufgeregt, aber es gab einen weiteren Grund, mich aufzuregen. Diesmal über einen Beitrag über ein Computerspiel das “restauriert” wurde.

Eigentlich ging es darum, daß ein altes Spiel auf eine neue Plattform portiert und dabei modernisiert wurde. Beim Hören habe ich ständig die Hände über den Kopf zusammengeschlagen. Es wurden Vergleich gezogen, in denen physische Kunstwerke verändert wurden und dadurch zerstört, wie etwas Beuys’ Badewanne oder in ihrer Bedeutung geändert wurden. Niemand kam in diesem Beitrag auf die Idee, daß hier etwas Neues geschaffen wurde. Das alte Spiel existiert ja weiterhin, unverändert. Wenn man es unbedingt mit der bildenden Kunst vergleichen will, dann kann man sagen, daß jemand ein Kunstwerk kopiert  und modernisiert hat. Niemand würde sagen, daß dadurch das Ursprungswerk seine Bedeutung verlieren würde.

Überwachungswunschzettel – Teil 4 – BKA

Veröffentlicht am von

Für mein Projekt Überwachungs-Wunschzettel habe ich auch beim Bundeskriminalamt (BKA) nachgefragt.

Die Kommunikation mit dem BKA gestaltete sich zunächst etwas schwierig. Immerhin bietet das BKA an, E-Mails GPG-verschlüsselt zu versenden und dieses habe ich dann natürlich auch genutzt. Den Schlüssel konnte ich von der BKA-Homepage herunterladen. Die im Key hinterlegte E-Mail-Adresse funktionierte allerdings nicht. Ich wählte dann die auf der Homepage angegebene Kontaktadresse. Um diese Adresse und den Schlüssel mit der anderen E-Mail-Adresse zu nutzen, musste ich mein Mail-Programm erst einmal überlisten.

Die Fragen gingen persönlich an den BKA-Präsidenten Holger Münch, geantwortet hat mir aber jemand anderes (aus der Pressestelle?).

Die Antworten waren leider etwas knapp geraten. Bei den Überwachungstechniken  müsse man mit den modernen Kommunikationstechniken Schritt halten. Der Gesetzgeber hat die entsprechenden Gesetze zu erlassen, “selbstredend in strenger Abwägung hinsichtlich von Einschränkungen der im Grundgesetz verankerten Menschenrechte”

Weiterhin solle ich mich doch an das Bundesjustizministerium wenden, da dieses für Gesetzesvorhaben zuständig sei; das BKA sei ja nur Exekutive. Allerdings ging es ja auch um die Forderungen seitens der Exekutive und da hat sich Herr Münch in der Vergangenheit auch nicht zurückgehalten.

Daten als Wirtschaftsgut

Veröffentlicht am von

Letztens gab es in der Sendung Breitband auf Deutschlandradio Kultur einen Beitrag über persönliche Daten und deren Wert. Darin wurden etwa die Fragen erörtert, ob man eine monetäre Entschädigung bekommen sollte, wenn Unternehmen seine persönliche Daten nutzt oder ob man dem Unternehmen etwa sogar Geld zahlen sollte, damit das Unternehmen die Daten NICHT nutzt. Ich finde beides kritisch. Natürlich “zahlt” man viele Dienstleistungen im Internet bereits mit seien privaten Daten. Wer da nicht aufpasst und vor allem wer soziale Netzwerke nutzt, über dem ist vielleicht mehr bekannt, als dem Nutzer lieb ist. Vor allem ist völlig undurchsichtig, an welche Unternehmen oder Institutionen die Daten noch weitergegeben werden.

Versicherungen bieten ja auch schon Tarife an, die dem Nutzer Rabatte versprechen, wenn sie Daten etwa über das Fahrverhalten im Auto oder Daten aus Fitnesstrackern sammeln und übermitteln und diese im Sinne der Versicherung sind. Das untergräbt allerdings das Solidaritätsprinzip der Versicherungen. Gesunde Menschen werden belohnt und die kranken müssen dafür umso mehr bezahlen.

Der oberste Grundsatz heißt “Datensparsamkeit”. Es sollen möglichst wenig Daten erfasst werden. Daten die nicht entstehen, können auch nicht missbraucht werden. Heimliche Erfassung von Daten dürfte nicht erlaubt sein. Das Prinzip des Opt-In sollte Standard sein, ohne daß dem Nutzer Nachteile bei einer Ablehnung entstehen. Erfasste Daten dürften nur zu einem fest definierten Zweck verwendet werden und nicht mit Daten aus anderen Quellen vermischt werden. Eine Weitergabe der Daten darf nicht erfolgen. Die Privatperson ist die einzige Instanz, die entscheiden darf, was mit den Daten passieren darf. Werden Daten Unternehmen zur Verfügung gestellt, so kann man die Nutzungserlaubnis jederzeit widerrufen.

DAS wäre für mich eine Grundlage, wie mit Daten umzugehen ist. Der Souverän ist immer noch der einzelne Mensch.

In dem Radiobeitrag kam auch noch die Frage auf, ob man die Aktionen in sozialen Netzwerken vielleicht sogar als Arbeit definieren sollte, die entlohnt werden müsste. Das würde aber dann zu einem Verhalten führen, dass Nutzer nur noch das machen, was am meisten Geld einbringt. In dem Roman Zero – Sie wissen, was du tust von Marc Elsberg beschreibt der Autor eine Zukunft, in der wir alle mit Datenbrillen ausgestattet sind. Unsere persönlichen Daten haben einen Wert, den wir durch angepasstes Verhalten steigern wollen. Was wir dafür tun müssen, gibt uns das soziale Netzwerk vor. Wir sind dann nicht mehr Menschen, die freie Entscheidungen treffen, sondern unser Handeln wird von Dritten bestimmt.

Probleme mit EBay-Mailsever

Veröffentlicht am von

Ich betreibe seit einiger Zeit meinen eigenen E-Mail-Server. Vielen Dank an dieser Stelle an Thomas Leister für seine umfangreichen und lehrreichen Anleitungen. Ich habe nun für jeden Dienst im Internet bei dem man sich registrieren muß, einen eigenen Alias. Zweck ist daß ich so leichter erkennen kann, daß eine E-Mail auch tatsächlich von dem entsprechenden Anbieter stammt. Sollte die Adresse kompromittiert werden, so kann ich diesen Alias sperren und einfach einen neuen einrichten.

Die Kommunikation hat mit allen Mailservern problemlos funktioniert, mit einer Ausnahme. Ebay wollte mir keine Mails zusenden. In den Logdateien des Mail-Servers war nicht einmal ein Verbindungsversuch zu erkennen. Es folgte ein langer und nicht erfolgreicher E-Mail-Wechsel mit der Supportabteilung von Ebay. Natürlich wird man erst einmal mit Textbausteinen abgefrühstückt “Schauen Sie in den Spam-Ordner”. Auf konkrete Fragen und Problemstellungen wurde nicht eingegangen. Irgendwann habe ich dann einfach deren Antwort zurückgeschickt und gefragt, warum eigentlich keiner liest, was ich schreibe. Ein Mitarbeiter schrieb mir mal, daß er eine Testmail an meine neue Adresse rausgeschickt hat und das sie rausgegangen ist. Das machte mir schon klar, daß man die Anfrage immer noch nicht in eine entsprechende Fachabteilung weitergeleitet hat. Denn zwischen Versenden und Empfangen ist ein großer Unterschied. Normalerweise ist das E-Mail-System aber so aufgebaut, daß ein Absender eine Fehlermeldung bekommt, wenn die Zustellung nicht funktioniert hat. Aber wenn die Leute bei Ebay nur Absenderadressen benutzen, die nie abgerufen werden, erhalten sie auch keine Fehlermeldungen.

Ich finde es immer erstaunlich, wie wenig die Unternehmen darauf geben, den Kunden wirklich zu helfen. Vielleicht ist es ja so, daß mit blöden Textbausteinen ein Großteil der Kundenanfragen abgearbeitet werden können. Aber man sollte doch erkennen, wenn die Kommunikation ohne Lösung des Problems mehrfach hin und her gegangen ist. Spätestens dann sollte sich doch mal jemand tatsächlich die Kunden-Mail durchlesen und wenn die entsprechende Person diese nicht beantworten kann, dann sollte die Mail an Jemanden weitergeleitet werden, der sich damit auskennt. So verärgert man nur die Kunden.

Zwischenzeitlich hatte ich schon überlegt mein Ebay-Konto zu löschen. Verkaufen tu ich da schon lange nicht mehr; allerdings kaufe ich dort ab und zu mal was. Die absolute Ironie ist ja, daß Ebay beim Einloggen oft fragt, ob die Nutzerdaten noch aktuell seien und man doch zur eigenen Sicherheit diese auf dem Laufenden halten soll. Nun war aber vor allem Ebay, die mit den Daten schludrig umgegangen sind, wodurch es den einen anderen Hack Datenreichtum gab. Dadurch gelangten auch meine Daten (mindestens: Name, Adresse, E-Mail-Adresse, Telefonnummer) in die Hände Krimineller. Und nun konnte ich meine bei Ebay hinterlegte E-Mail-Adresse nicht ändern.

Ich habe es allerdings jetzt doch geschafft. Der Hintergrund ist etwas technischer. Zu jeder Domain, die E-Mails versenden gibt es einen zentralen Eintrag, welcher E-Mail-Server für diese Domain zuständig ist, das ist der sogenannte MX-Eintrag. Dieser verweist auf den Namen des E-Mail-Servers. Dann wird die IP-Adresse dieses Servers über den A-Eintrag abgerufen. So weit die Theorie. So war auch alles konfiguriert. Und Testseiten wie etwa mxtoolbox.com haben auch keinen Fehler angezeigt; also alles im Rahmen der Spezifikation. Nun kam mir die Idee, einen weiteren MX-Eintrag vorzunehmen. Für den E-Mail-Server, der auf sich selbst verweist. Dann klappte plötzlich die E-Mail-Kommunikation mit Ebay und nun kann ich endgültig die, vor allem wegen Ebay, verbrannte E-Mail-Adresse in die Tonne treten.

Letsencrypt macht Probleme

Veröffentlicht am von

Letsencrypt (LE) sollte ja für ALLE auf eine einfache eine Verschlüsselung von Webinhalten möglich machen. Dafür stellt LE kostenlose SSL- bzw. TLS-Zertifikate aus. Es gibt veschiedene Tools, mit denen man ein LE-Zertifikat beziehen kann, etwa certbot.  Diese Tools sind in der Regel relativ simpel gestaltet, damit auch wirklich jeder der etwas einen Webserver betreibt auch eine Verschlüsselung anbieten kann.

Damit ein LE-Zertifikat ausgestellt werden kann, muß überprüft werden, ob der Server für den das beantragt wird auch tatsächlich für die entsprechende Domain zuständig ist. Dafür gibt es verschiedene Tests, die von den Tools automatisch ausgeführt werden.Nun wurde festgestellt, daß ein bestimmtes Verfahren nicht ausreichend sicher ist und wurde daher gesperrt.

Der certbot-client wurde schon entsprechend gefixt, nur leider erfolgt die Auslieferung über den Paketmanager nicht. Das ist echt doof. Es gibt zwar etliche Anleitungen, wie man das manuell umgehen kann, aber das entspricht nicht dem Anspruch, eine Lösung anzubieten, die auf weniger versierten Serverbetreibern offen stehen soll.

Eines meiner Zertifikate, welches ich für eine interne Nextcloud-Instanz nutze, läuft nächste Woche aus. Jetzt muß ich mich entscheiden, ob ich einen oder mehrere Workarounds ausprobiere oder ob ich hoffe, daß das neue Certbot-Paket bald ausgeliefert wird und auch entsprechend funktioniert.