Seele an den Teufel verkaufen

Früher gab es immer das Bild, daß man die Seele an den Teufel verkauft, und dafür eine Gegenleistung bekommt. Dieser Teufelspakt war stets unheimlich und verhängnisvoll.

Heutzutage verschenken wir unsere Seele im Form unserer privaten Daten, wie etwa Vorlieben, Aufenthaltsorte, Krankheiten, Beziehungen zu anderen Menschen, Kaufverhalten, etc. Manchmal gibt es dafür eine kleine Belohnung etwa in Form von Bonuskarten, meistens geben wir sie aber kostenlos aber und manchmal zahlen wir sogar noch dafür, wenn wir uns ein Daten sammelndes Gerät oder eine entsprechende App kaufen.

Leider sehen viele Menschen nicht wie unheimlich und verhängnisvoll dieser Pakt mit den Datensammlern ist und noch wird.

Messenger – Teil 2 (Alternativen)

Im ersten Teil dieser kleinen Artikelserie schrieb ich, warum ich kein WhatsApp nutze, jetzt schreibe ich über mögliche Alternativen und warum die für mich nicht in Frage kommen. Ich habe die Messenger nicht testen können, da ich keine sichere Testumgebung (also ohne private Daten) zur Verfügung habe. Die Aussagen habe ich also aus Beschreibungen und Tests herausgenommen.

Threema

Threema ist nicht Open-Source. Das ist für eine Software, nicht vertrauensfördernd. Außerdem gibt es eine zentrale Serverstruktur, die einzig in der Hand des Anbieters liegt. Alternativserver sind nicht vorgesehen.

Signal

Signal ist eine Open-Source-Software. Bis vor kurzem wurden aber Google-Play-Dienste genutzt. Das war für mich schon Ausschlusskriterium genug, da ich keine Google-Dienste auf meinem Smartphone haben möchte. Seit kurzem gibt es auch eine Variante, die ohne Google-Play auskommt. Die Serverinfrakstruktur ist ebenfalls zentral. Technisch wäre dezentrale Server möglich, allerdings möchte der Hauptentwickler diese Funktion nicht implementieren.

Telegram

Telegram ist wie WhatsApp an die Telefonnummer gebunden. Die Weitergabe des kompletten Adressbuches an den Anbieter kann wohl mittlerweile unterbunden werden. Die Client-Software ist zwar Open-Source, die Server-Software allerdings nicht. Die Kontrolle über die Server liegt allein beim Hersteller. Andere Server zu nutzen ist nicht vorgesehen.

Fazit

Man sieht schon, daß die Hersteller versuchen Kritikpunkte zu beseitigen, so hat ja sogar WhatsApp eine Ende-zu-Ende-Verschlüsselung eingeführt. Allerdings gibt es nicht DIE Rundum-Sorglos-Wohlfühl-Lösung. Allen alternativen Lösungen gemeinsam ist die Tatsache, daß die Nutzerbasis und somit die Zahl der erreichbaren Kontakte um Größenordnungen geringer ist als bei WhatsApp. Das sollte aber kein Ausschlußkriterium sein, schließlich kann man problemlos auch mehrere Messenger parallel nutzen.

Was ich schließlich gemacht habe, beschreibe ich im dritten Teil.

Verdächtigt durch Funkzellenabfrage

Nahezu jeder von uns trägt ein Handy bei sich und fast alle sind eingeschaltet. Ein eingeschaltetes Handy nimmt ständig Kontakt zu den umliegenden Funkmasten auf. Anhand der Signalstärke kann man den Abstand von den einzelnen Funkmasten recht gut schätzen. Anhand der Entfernungen kann man daraus ziemlich gut den genauen Aufenthaltsort ermitteln. Diese Daten werden unentwegt ermittelt und ist eine technische Voraussetzung für das Mobilnetz. Somit läßt es sich bis auf wenige Meter nachvollziehen wo sich wann welches Handy, und somit der Nutzer, befindet.

Diese Daten werden auch gespeichert und werden gerne von den Ermittlungsbehörden von den Mobilfunkanbietern angefordert. Bei schweren Straftaten werden dann Daten abgefragt, über alle Personen/Mobiltelefone die sich zum Tatzeitpunkt in der Umgebung des Tatortes befanden. Dabei werden in erster Linie Daten Unschuldiger erfasst. Welches Ausmaß die Abfragen annehmen, hat die Schleswig-Holsteinische Piratenfraktion durch ein kleine Anfrage herausgefunden. Danach wurden allein in Schleswig-Holstein im Jahre 2016 schätzungsweise 13 Millionen Datensätze an die Behörden übermittelt. So geriet jeder Schleswig-Holsteiner durchschnittlich 4 mal ins Visier der Polizei.

Der Journalist Wolfram Hammer hat einen Artikel (leider hinter einer Paywall) geschrieben in dem er seine Erlebnisse schildert, wie er von der Polizei zur Aussage gedrängt wurde.

Es geht um einen Mordfall, der schon einige Monate her ist. Der Journalist befand zufällig zur Tatzeit in einem Lokal in der “Nähe” (700 Meter vom Tatort). Er erhielt eine Anruf auf seiner Mobilbox, er möge sich doch dringend bei der Kripo melden. Er wurde dann genötigt noch am gleichen Tag bei der Kripo zu erscheinen und eine Aussage zu machen. Rein rechtlich sind solche Forderungen der Polizei aber nur Bitten. Der Rechtsanwalt Udo Vetter schreibt in seinem Lawblog regelmäßig darüber, daß die Polizei Zeugen oder Beschuldige oft nicht über ihre Rechte informiert. Nur einer Ladung der Staatsanwaltschaft muß man nachkommen, alles andere seien Einladungen zu freiwilligen Gesprächen.

Bei der Kripo erfährt Hammer er sei die Spur 4152. Der Beamte sei “ein wenig enttäuscht”, da er nicht wie die Person auf Phantombild aussehe. Dieser Aussage nach ist Hammer wohl nicht nur als Zeuge einbestellt worden, sondern als Verdächtiger. Obwohl der Journalist keine Hinweise geben kann, wird er 15 Minuten befragt.

Wie viele Menschen wurden denn so von der Polizei so “eingeladen”; bei 4152 Spuren? Kann so eine Ermittlungsmethode wirklich sinnvoll sein, wenn Tausende Unschuldige ihre Unschuld beweisen müssen? Das ist ähnlich wie bei den Massengentests. Auch da müssen Tausende aktiv, durch Abgabe einer Speichelprobe, nachweisen, daß sie unschuldig sind. Wer da nicht mitspielt, macht sich noch verdächtiger, obwohl eigentlich kein begründeter Verdacht vorliegt.

Zu prüfen ist stets ob man Zeuge oder Verdächtiger ist. Die Rechtslage ist hier unterschiedlich. Auch wenn man unschuldig ist, aber verdächtig wird, sollte man sich lieber Rat bei einem Anwalt suchen. Auch die Tatsache, daß man sich rechtlich beraten läßt, darf nicht zu seinem Nachteil ausgelegt werden.

Auf jeden Fall ist das mal wieder ein Beispiel, daß man häufiger sein Mobiltelefon abschalten oder in den Flugmodus versetzen sollte.


Nachtrag 29.03.2017

Wenn Standortdaten abgefragt werden, sollten die Betroffenen im Nachhinein darüber informiert werden. Dies geschieht in der Regel aber nicht, bei den Betroffenen bestünde angeblich kein Interesse. Also ich hätte schon Interesse daran und ich finde es auch wichtig, alle zu informieren. So wird den Bürgern mal vor Augen gehalten, wie umfangreich diese Maßnahmen sind. Dadurch wir sicherlich dem Einen oder Anderen ein Licht aufgehen und sich zukünftig mehr für Datenschutz interessieren.

Messenger – Teil 1 (Kein WhatsApp)

Ich gehöre zu den wenigen Menschen, die zwar ein Smartphone besitzen, aber kein WhatsApp benutzen, und zwar bewußt. Ich mag WhatsApp nicht und mochte auch schon nicht, als sie noch nicht zu Facebook gehörten. Die grundsätzliche Idee eines Messengers auf einem Mobilgerät finde ich nicht grundsätzlich verkehrt, auch wenn das für mich keine der Hauptanwendungen ist. Ich habe auch schon früher wenig SMS geschrieben. Das lag nicht nur an den Kosten, sondern daran, daß ich meistens alternative Kommunikationswege wie E-Mail oder Telefonanruf gewählt habe. Chatten war auch nie mein Thema. Zu Zeiten meiner Anfänge im Internet gab es IRC, was viele Leute benutzt haben, dann kam irgendwann ICQ noch mehr nutzen das. Gruppenchats empfand ich als unübersichtlich (Wer antwortet da auf wen?) und ich empfand es wie einen Raum, in dem alle einfach durcheinander reden. Eins-zu-eins-Chats mochte ich ebenfalls nicht, da ich nicht sonderlich schnell tippen konnte, und deswegen war für mich diese Kommunikation einfach völlig unproduktiv.

Ich habe aber mittlerweile auch festgestellt, daß eine SMS oder eine Nachricht über einen Messenger doch schneller ankommt, damit meine ich nicht die reine Datenübertragung, sondern auch das Lesen durch den Empfänger. Es gibt durchaus Situationen in denen das sinnvoll sein kein. Ein Messenger wäre also doch nicht so schlecht. Aber warum nehme ich nicht einfach WhatsApp (WA), wie fast alle Anderen?

Ein Punkt, der mich massiv an WA stört, ist eigentlich auch einer der Punkte warum WA so erfolgreich ist. WA ist an die Mobilfunknummer gebunden, obwohl die Kommunikation über eine normale Datenverbindung stattfindet. Dadurch kann man mit Menschen über WA kommunizieren, wenn man die entsprechende Telefonnummer hat. Das ist DER Grund warum WA eine solche breite Nutzermasse hat.

Die Nummern hat man oft in dem Adressbuch seines Smartphones gespeichert. Bei der Installation von WA werden alle Kontakte zu den WhatsApp-Servern hochgeladen. Das ist in mehrfacher Hinsicht hochproblematisch. Der Anbieter sitzt in den USA, mit faktisch kein gültiges Datenschutzabkommen mehr besteht; Safe Harbour ist tod und Privacy Shield ist praktisch auch nicht mehr anwendbar. Man mag sich vielleicht fragen, ob WA überhaupt die ganzen Kontaktdaten haben darf. Und da haben die sich etwas Tolles ausgedacht: Der Nutzer ist verpflichtet zu überprüfen, ob er die Daten Dritter zur Verfügung stellen darf. WA schiebt also die Verantwortung auf die Nutzer. In den WhatsApp-Nutzungsbedingungen (Stand 25. August 2016) heißt es:

Du stellst uns regelmäßig die Telefonnummern von WhatsApp-Nutzern und deinen sonstigen Kontakten in deinem Mobiltelefon-Adressbuch zur Verfügung. Du bestätigst, dass du autorisiert bist, uns solche Telefonnummern zur Verfügung zu stellen, damit wir unsere Dienste anbieten können.

Diese Bedingungen hat jeder WA-Nutzer akzeptiert und wahrscheinlich hält sich niemand daran. Alle die meine Handynummer gespeichert haben und WA nutzen, verstossen auf jeden Fall gegen die Bedingungen. Ich habe niemanden erlaubt, meine Kontaktdaten der Firma WhatApp zur Verfügung zu stellen. WA ist ja raus, soll ich nun also meine Freunde verklagen, weil sie widerrechtlich meine Daten weitergegeben haben? Bei der Installation wird einem allerdings auch keine Wahl gelassen, ob man die Daten hochladen möchte oder vielleicht einzelne Kontakte sperren möchte. Alles oder Nichts ist die Option. Alle Daten oder man kann die App nicht nutzen. Daher ist es fraglich, ob dieser Passus deutschem Recht standhält. Eine Klage dagegen wäre wünschenswert.

Ein weiterer Grund gegen WA, ist die Tatsache, daß ich keine Monopolisten mag. WA ist ein Monopolist, auch wenn es andere Anbieter gibt, alle zusammen spielen die hier nur eine untergeordnete Rolle. Monopolisten bestimmen die Spielregeln, ob sie einem passen oder nicht. Die Dienste könnten theoretisch von einem Tag auf den anderen kostenpflichtig oder eingestellt werden.

Die Nachrichten werden mittlerweile Ende-zu-Ende-verschlüsselt, da die Software aber closed-source ist, der Quellcode also geheim ist, lässt sich das nicht überprüfen. Außerdem fallen trotzdem Metadaten an, also wer wann von wo mit wem kommuniziert. Und WA hat ausnahmslos sämtliche Metadaten von allen Kommunikationen und Nutzern zur eigenen Verfügung. Ein riesiger Datenschatz über die Nutzer.

Ich bin eher der Freund von dezentralen Lösungen und Open-Source-Software. Deswegen habe ich mich nach Alternativen umgesehen. Um diese geht es dann im zweiten Teil dieser kleiner Artikelreihe.

Wie viel Überwachung noch?

Nach jedem Terroranschlag, ob in Deutschland oder sonst wo in der “westlichen Welt”, nach jeder schlimmen Gewalttat, kommen sie aus den Löchern und rufen “Mehr, mehr, mehr…”. Mehr Überwachung, mehr Einschränkungen der Freiheit, mehr Kontrolle, mehr Geheimdienste, mehr Speicherung von Daten, mehr Polizei mehr Macht…

Ich habe mich gefragt, ob eigentlich irgendwann mal Schluß ist. Wann wären die Innenminister, Rechtspopulisten, Hinterbänkler, Präsidenten von Geheimdienst- und Polizeibehörden und Vorsitzende von Polizeigewerkschaften eigentlich zufrieden? Wie sähe ein Staat aus, in dem sie zufrieden wären? So zufrieden, daß sie nicht nach jeder (vermeintlichen) Bedrohung wieder “Mehr, mehr, mehr” rufen müssen. Bitte liebe Überwachungsbefürworter: Karten auf den Tisch! “Wünsch Dir was!”

Vielleicht sollten mal ein paar Journalisten den entsprechenden Personen nachfragen, wie ihr Konzept für einen wirklich “sicheren” Staat aussähe.

Ich fürchte das wäre für die Bürger, die Demokratie und die Freiheit ein Schreckensszenario. Aber wie weit wollen wir denn noch gehen? Es gibt ja dieses Bild von dem Frosch der sofort wieder aus dem Wasser springt, wenn er merkt, daß es zu heiß ist. Erhöht man jedoch die Wassertemperatur nur langsam merkt er das nicht und wird am Ende bei lebendigen Leibe gekocht. Wir dürfen uns nicht kochen lassen!

Passwort separat schicken

Zugangsdaten sollte man nicht komplett über unverschlüsselte Kanäle verschicken. Am besten man nimmt sichere Kanäle oder zwei getrennte. Aber irgendwie hat sich mal eingebürgert, den Nutzernamen in eine und das Passwort in eine zweite E-Mail zu packen, die man gleich darauf an die gleiche Mail-Adresse schickt. Ich weiß nicht, was das für einen Sinn haben soll. Wenn ich irgendwie den Traffic belauschen kann, dann kann ich auch zwei Mails belauschen und deren Inhalt zusammenführen. Und wenn ich Zugang zum E-Mail-Postfach habe, sehe ich da auch beide Mails.

GMX mag kein https

Meine E-Mails rufe ich mit verschiedenen Clients ab. Ab und zu nutze ich aber auch Webmail zum Beispiel bei GMX. Die Startseite rufe ich über https://www.gmx.de auf. Wenn alles richtig läuft, bleibt GMX auch bei einer verschlüsselten Verbindung. Macht man beim Login einen Fehler, so ist die folgende Seite, auf der man erneut seine Userdaten eingeben soll unverschlüsselt.

Ich weiß nicht, ob das Absicht oder ein Versehen ist. Aus Absicht würde man so etwas tun, weil man es nicht geschafft hat die Werbung über https auszuliefern. Das kann GMX aber. Ein Versehen wäre aber auch unverzeihlich. Schließlich ist das ein Fehler, der nicht irgendwo eine Option in einem Unter-Unter-Unter-Menü, welches kaum einer nutzt, betrifft; sondern es betrifft die Startseite.

Aber demnächst wird Firefox ein wenig offensiver vor solchen unverschlüsselten Eingabefeldern warnen.

Datenreichtum und Industriespionage

Auf der einen Seite stehen die Firmen, die um ihre Geschäftsgeheimnisse bangen und ihre Daten sichern wollen, auf der anderen Seite stehen die gleichen Firmen, die sagen, man solle sich doch von der Datensparsamkeit hin zum Datenreichtum wenden. Warum in aller Welt sollten Geschäftsdaten einen höheren Schutz genießen, als private Daten von einzelnen Menschen?

Es ist echt verrückt, zur Zeit gibt es vermehrt Stimmen, daß die deutsche Wirtschaft unbedingt die “Schätze” aus “Big Data” heben müsse, sonst sei sie nicht wettbewerbsfähig. Ich denke, umgekehrt wird ein Schuh draus. Deutschland sollte sich zum Schutz privater und geschäftlicher Daten bekennen. So könnten Dienstleistungen angeboten werden, die auf hohe Vertraulichkeit setzen.

Es wird ja auch diskutiert, wem welche Daten gehören; zum Beispiel Daten, die ein Fahrzeug während der Fahrt erzeugt oder sammelt.

Für mich ist das ganz klar. Wenn Geräte, die mir gehören, Daten sammeln oder erzeugen, gehören diese Daten mir. Daten die sich auf meine Person beziehen oder auf mich zurück verfolgbar sind, gehören mir. Es dürfen auch nicht ohne mein Wissen pseudonymisierte oder anonymisierte Daten gesammelt werden. Automatische Datensammlungen müssen “Opt-In” sein, ich muß mich dazu bewußt und separat dazu entschieden haben. Die Grundfunktionen von Geräten dürfen nicht von einer Zustimmung zur Datensammlung und -weitergabe abhängig sein.

Passwort-Manager

Seit einiger zeit nutze ich einen Passwort-Manager. Damit kann ich die Flut unterschiedlicher Passwörter in Griff kriegen. Bekannterweise soll man ja für unterschiedliche Dienste unterschiedliche Passwörter benutzen, am besten lang und komplex.

Das ist mit einem Passwort-Manager kein Problem. Man kann dort komplexe Passwörter generieren lassen und verschiedene Einträge speichern. Meine Wahl ist auf das Open-Source-Tool KeepPass 1.x gefallen. Es gibt zwar auch die 2.x-Version. Diese läßt sich aber nicht portabel auf einem USB-Stick nutzen.

Die Datenbankdatei mit den Passwörtern mir von Keepass mit AES verschlüsselt. Ich synchronisiere die PW-Datei über mehrere Geräte, damit ich überall den gleichen Stand habe. Damit ich aber Herr über meine Daten bleibe, nutze ich dafür Nextcloud (Nachfolger/Fork von Owncloud) wofür ich einen eigenen kleinen Server betreibe; über den ich übrigens auch Kalender und Kontakte mit der Familie teile. Von proprietären PW-Managern, die ihre Daten auf deren eigenen oder fremden Servern speichern, ist abzuraten.

Natürlich muß die Datei mit einem SEHR guten Passwort geschützt werden. Das ist hier soll nicht das schwächste Glied sein. Denn wer Zugriff auf die entsperrte Datei hat, hat Zugang zu allen gespeicherten Online-Konten.

Bei der Benutzung von KeePass kann man nicht nur Benutzernamen und Passwörter kopieren und in die jeweilige Anwendung einfügen, es gibt es Auto-Type-Befehle, die beides gleichzeitig machen oder noch weitere Felder für den Login ausfüllen.

Leider gibt es immer mal wieder Dienstanbieter, die meinen, man müßte das Einfügen von Daten aus der Zwischenablage aus mir unerklärlichen Gründen sperren. Aktuell ist es Ebay, die so verhindern, daß man starke Passwörter nutzt. Wer weiß, wo man sich mal bei Ebay beschweren kann, bitte Info an mich.


Nachtrag 15.11.16

Das Ebay-Problem ist wohl ein wenig komplexer. KeePass kann zwar Passwörter und Benutzernamen in die Zwischenablage kopieren. Die Autotype-Funktion arbeitet aber anders. Hier werden wohl die Tastaturdrücke simuliert. Um bei Ebay ein neues Passwort einzugeben muß man also die Auto-Type-Sequenz anpassen, daher hier das Einfügen über die Zwischenablage nicht funktioniert.

Außerdem komme ich aber auch mit dem Auto-Type; und natürlich mit den richtigen Zugangsdaten nicht in meinen Account. Nach dieser Prozedur akzeptiert Ebay nicht mal mehr meine manuell eingetippten Login-Daten.


Nachtrag 29.11.16

Jetzt funktioniert es bei Ebay wieder.

Überwachungskameras sind kein Allheilmittel

Immer wenn irgendwo etwas Schlimmes passiert, kommen die Politiker und wollen uns davor schützen. Gerne wird Überwachung als Schutzmittel angepriesen. So soll beispielsweise Videoüberwachung Gewalttaten verhindern. Das funktioniert aber nicht so. Jede einzelne Gewalttat, die von Kameras aufgezeichnet wurde, ist ein Beweis, daß Kameraüberwachung nicht funktioniert.

Anfang des Jahres wurde eine Frau im Bahnhof von Bad Schwartau vergewaltigt. Es hingen dort im Gebäude Überwachungskameras, die aber nicht funktionierten. Das konnte der Täter allerdings nicht wissen. Die Polizei hatte also keine Videoaufnahmen vom Täter. Und, oh Wunder, der Täter konnte trotzdem gefasst werden; ganz einfach mit klassischer Polizeiarbeit. Somit konnte er auch schließlich verurteilt werden. Was war aber die Konsequenz aus diesem Fall? Ganz klar, es wurden mehr Kameras installiert! Irgendwie scheinen die Leute nicht richtig nachzudenken…