Benutzer:Matthias M/Blog:2012 October 18 10:00:00 CEST: Unterschied zwischen den Versionen

Version vom 17. Oktober 2012, 21:13 Uhr

Der folgende Text ist alleinig meine privat-persönliche Meinung und muss nicht zwingend die Meinung des ganzen Vereins(tm) widerspiegeln.

Offener Brief an GdP

„GdP warnt vor anonymisiertem Zugang zu öffentlichen WLAN-Netzen“

Sehr geehrter Herr Witthau, sehr geehrter Herr Holecek, liebe Mitglieder der Gewerkschaft der Polizei (insbesondere aus MV),

in einer Pressemitteilung der Polizeigewerkschaft sprechen Sie sich gegen eine Förderung freier WLANs aus und fordern von der Politik eine noch umfassendere Regelung zur Erfassung von Telekommunikationsdaten. Als Vereinsmitglied, das selbst viel Freizeit in den Aufbau einer freien Infrastruktur für die Bürger investiert, widerspreche ich Ihrer reißerischen Darstellung vehement!

Sie schreiben von „staatlich organisiert“, obwohl es meines Wissens bisher keinerlei Initiativen gibt, die freie Funknetze im Auftrag von Gemeinden erstellen. Richtig ist stattdessen, das dies häufig durch private Initiativen entstehen, wie etwa Freifunk oder Fonera. Gegenüber kommerziellen Zugangsanbietern hat die Polizei ja bereits erhebliche Mittel, um Daten abzugragen.
Eine mangelnde Differenzierung zeugt auch bei der Betrachtung der „anonymer Internetkriminelle“, als ob freie Infrastruktur ausschließlich durch kriminelle Elemente genutzt wird. Aller Wahrscheinlichkeit stellen diese lediglich einen kleinen Bruchteil dar, die Mehrheit der Nutzer genießt einfach den Zugang zum Netz für ihre Freizeitgestaltung, oder um zu arbeiten. Es wäre so gefährlich, wenn in diesem Szenario “nicht zu wissen, wer den virtuellen Raum betritt“ können wir nicht nachvollziehen. Zunächst wäre eine Verkomplizierung des Zugangs für die meisten Nutzer eine Last und Gefährdung ihrer Privatsphäre. Auf der anderen Seite suggerieren Sie, dass durch eine vollständige Protokollierung alle Straftaten im Reich der Computerkriminalität aufgeklärt werden könnten. Das ist schlichtweg falsch, wie auch die von Ihnen zitierte Polizeiliche Kriminalstatistik von 2010 ausweist. So liegt die Aufklärungsquote bei knappen 36% deutlich unter der gesamten Aufklärungsquote von 56%. Warum das so ist und das sich das auch bei größten Anstrengungen nicht ändern wird, möchten wir Ihnen im Abschnitt „Technische Unverständnis“ erläutern.

Überhaupt ist ihre Aussage, das die Computerkriminalität “rasant wachse“ merkwürdig , da sonst (in abs. Zahlen) ja auch Anzeigen zu Betrug und Beleidigung in ähnlichen Umfang bei der Polizei gestiegen sind. Sollten Ihrer Aussage nach dann nicht auch deshalb überall Kameras und Mikrofone im öffentlichen Raum aufgestellt werden? Falls Sie meinen der Vergleich hinke, so darf ich als sog. Digital native (neusprech) anmerken, dass das Internet genau das ist für uns: ein öffentlicher Lebensraum, der wie unsere Umgebung eher dereguliert gehört, um Kreativität und unzensierten (manche nennen es freien) Austausch von Informationen zu gewährleisten. Der von ihnen genannte Schaden (der in der Realität sehr schwer realistisch zu bestimmen sein wird, siehe Kriminalitätsstatistik), macht auch nur einen extrem geringen Anteil basierend auf dem deutschen Internetverkehr aus. Laut Bitkom etwa, wurde alleine durch die Informations- Telekommunikations-Branche ein Umsatz von 150 Millarden Euro erwirtschaftet. Nach Ihrer Rechnung wären das also 0,00047%, Jedoch hinkt dieser Vergleich diesmal wirklich, da dort die Wertschöpfung des Internet noch nicht einmal gesamtgesellschaftlich betrachtet wird, was schließlich ist der Wert von Wikipedia oder von allen Open Source-Projekten? Natürlich ist es für den Einzelnen sehr ärgerlich, wenn man bei eBay geprellt wird, dann macht es meist aber viel mehr Sinn, die Geldflüsse zurück zu verfolgen, denn dort kann man sich schon wesentlich schlechter verstecken (Wirtschaftskriminalität hat sagenhafte 91% Aufklärungsquote laut PKS 2010).

Sie beteuern, dass die Behörden “nicht in Datensammelwut ausbrechen“, verschweigen jedoch, dass eine Protokollierung der Verbindungsdaten nicht anders möglich ist, als jeden Nutzer unter Verdacht zu stellen. Die Informationen werden dabei pauschal und von allen Deutschen aufgezeichnet, die sich im Internet bewegen (50 Mio. laut Bitkom) und die Polizei dürfte sich dann im Verdachtsfall diese von einzelnen Personen einsehen. Die von Ihnen dafür vorgeführten “schwere Straftaten“ stellen sich laut Gesetz ein klein wenig anders da ... Mir persönlich ist der inflationärer Gebrauch von Cybercrime, Cyberwar, ... allerdings über. Er zeugt von einem immer weiter zunehmenden Verwischen von polizeilicher Arbeit, zivilrechtlicher Verfolgung und der Arbeit von anderen Ermittlungsbehörden, die sich etwa in der Antiterrordatei sehr anschaulich zeigt. Das Ziel „innere Sicherheit“ und seine ungenaue Definition lässt vermuten, dass die GdP die Verkehrsdaten für noch weitere Verwendungen verwerten möchte. Schön ist auch, dass Sie mit sicherheitstechnischen Schlagworte die selektive Auswertung probieren etwas harmloser zu verpacken. Da Bürger aber keinerlei Einsicht in die über Sie gespeicherten Informationen haben, fehlt dabei eindeutig ein Augenpaar im Kontrollprozess.

Die Politik hat bereits ausreichend (einige sind auch der Meinung eher zu stark) den Betrieb von IT-Infrastruktur vorgeschrieben. Einige Stichworte wären hier etwa Abmahnungen, Mitstörerhaftung, Domainregistrierung, Mobilfunkdaten... Bisher hat sich die Polizei weder durch Transparenz, noch durch Effektivität einen guten Ruf bei der massenhaften Sammlung von Daten erarbeitet (siehe Funkzellenabfrage, Gefährder, Islamistendatei, Datei Gewalttäter Sport), so dass ich persönlich abseits aller bisherigen Bedenken, eher eine ausufernde Nutzung und eine Beweislastumkehr für möglich halte („Warum hatten Sie denn ihr Smartphone nicht mit?“)

Technisches Unverständnis

Da die GdP weiterhin der Annahme ist, dass durch eine vollständige Erfassung der Verbindungsdaten Kriminelle aufzuhalten sind, hier einige Fakten einfach aufbereitet, um zu zeigen, dass dies nicht der Fall ist. Bisher werden völlig die technischen Möglichkeiten und die Grenzen von Ermittlungen (Stichwort Internationale Ermittlung) außer Acht gelassen. Zum besseren Verständnis möchten wir zusätzlich einfache Vergleiche mit dem weniger komplexen Telefonnetz (POTS) machen. Übertragen ließe sich das natürlich jederzeit auch auf die Post oder den öffentlichen Raum (Passanten)

Die genannten Verbindungsdaten im Internet umfassen insbesondere die IP-Adresse zu einem bestimmten Zeitpunkt, über diese Details lässt sich unter Mitwirkung des Providers (etwa T-Online, Arcor, …) der Anschlussinhaber identifizieren. <Schema> (Es ist also ähnlich, als wenn man beim Telefon die Rufnummer sieht und dann bei seinem Anbieter dafür eine Sperre schalten lässt) Bereits hier ist die eindeutige Zuordnung aber trügerisch. Jeder etwa, der einen Router nutzt, „versteckt“ mehr als ein eindeutiges Gerät, da alle zusammen nach außen hin nur unter einer IP zu erkennen sind. Das kann ungewollt sein (etwa schlecht gesichertes privates WLAN) oder auch beabsichtigt sein (z.B. eine ganze Familie teilt einen Anschluss). Eine Aussage „zur Zeit X hat IP 123.123.123.123 illegale Inhalte heruntergeladen und dass muss somit Inhaber Y selbst gewesen sein“ ist also alleine schon auf technischer Ebene völlig absurd. Ähnlich sehen das auch US Gerichte.

Allerdings muss man bei Ermittlungen eher anders herum denken: Es wird etwa ein Server angegriffen und dessen Betreiber konnte die IP-Adressen des Angreifers aufzeichnen. Damit kann er dann Anzeige erstatten, etwa wegen Computersabotage <Schema> Im Internet ist allerdings immer nur der letzte Rechner in der Kommunikationsreihe für den Server-Betreiber zu sehen. Das muss keinesfalls auch der Rechner des richtigen Angreifers sein: <schema> Denkbar sind auch andere Weiterleitungen:

• Proxy (Server der zwischenspeichert) eines Anbieters z.B. bei Smartphone-Browser
• Anonymisierungsdienst z.B. TOR, ANON, Freenet, …
• anonymer Zugang z.B. unregistriert gekaufte SIM-Karte für Handy, Telefonzelle + Akustikkoppler, Anzapfen fremder Telefon-Hausanschlüsse
• VPN-Verbindungen (quasi verschlüsselte Tunnel zu einem weiteren Rechner, von dem aus dann es erst in das Internet geht. z.B. bei Firmen mit Außendienststellen)
• gekaperter Rechner eines Opfers
• offener Router eines anderen „Opfers“

Auf den letzten Fall stellt die GdP hier ab, da dann natürlich Ende im Gelände ist und der Faden verloren wurde (es sei denn der Router schreibt die MAC Adresse der fremden WLAN-Karte auf). Für den Anbieter des offenen Routers kann das ganze dann durch die Störerhaftung sehr unangenehm werden, was unter anderem derzeit auch für viele freie Projekte ein Problem darstellt.

Selbst wenn das die richtigen IPs sind (etwa weil durch Investitionen die Provider Lauschzugänge anbieten würden), können weitere Probleme auf die Ermittler zukommen -ausländische IP -> internationales Hilfeersuchen -zu viele IP-Adressen, etwa bei einem DDOS Angriff (das lasse ich mal das Känguru erklären, kennt man ja von Anonymous) Für Vereine und bewußt „offene“ Netze, in denen alles dokumentiert und einsehbar ist, scheiden diese zusätzlichen Lauschzugänge natürlich komplett aus, so dass diese ihren Betrieb einstellen müssten. Ich probiere es noch mal mit dem guten alten Telefon darzustellen:

• Proxy: man hängt 2 Telefone in Reihe und ruft dann über nur über das zweite ein 3. Telefon des Ziels anrufen
• Anonymisierungsdienst: Man wählt beliebig viele Leute an und bittet denjenigen immer einen weiter zu verbinden. Nur man selbst weiß dann wo der Anfang war und was das Ziel ist
• VPN: Man verfremdet die Stimme beim sendenden Telefon und entzerrt diese dann erst wieder bei einem 2. Telefon dass dann ein 3. Telefon des Ziels anruft
• gekapert: von der Telefonzelle, oder einem Fremden, oder einem Telefon-Mast aus telefonieren

Was man bräuchte um diese eindeutig zu identifizieren, wäre also eine Ausweispflicht bei allen Telefonen und eine vollständige Überwachung des Netzes auf Manipulationen. Vielleicht wird jetzt ein wenig verständlicher, wieso Verbindungsdaten nicht das non-plus-Ultra sind und so schon auf keinen Fall sich Leute erwischen lassen, die wirklich schwere Straftaten begehen. Diesen steht ja mit der nötigen „kriminellen“ Energie und Finanzen ganz andere Möglichkeiten offen:

• Verstecken von Informationen etwa in Bildern (Steganographie) oder auf neutralen großen Plattformen
• Verschlüsselung der Datentransfers, von Sprache und Daten auf eigenen Festplatten
• Anmietung von Anschlüssen durch Dritte
• Großflächiges Kapern/Mieten von Rechnern (Botnetze)

Da herrscht die Meinung vor, dass deshalb zusätzlich aufgerüstet werden muss, um auch die Inhalte verschlüsselter Kommunikationssysteme (Mail, VoIP, …) anzuzapfen, was in dem Bundestrojaner resultierte, der von den Leuten vom Chaos Computer Club sorgfältig zerlegt und für Schrott befunden wurde. Die Leute sind durchaus auch in der Lage, ihre Rechner wasserdicht zu machen, so dass da kein staatlich beauftragter Bösewicht einfach mal so rein kommt...

Verständnis

Natürlich habe ich in gewisser Weise auch Verständnis für diejenigen Polizisten, die sich durch die moderne Technik ihre Arbeitsgrundlage entzogen kriegen. Es ist sicherlich deprimierend, wenn man eine Lücke in der Beweiskette hat und diese vielleicht mit der Vorratsdatenspeicherung hätte schließen können.
All diese sehen jetzt aber bestimmt ein, dass eine Methode, die wie ein Schleppnetz erst einmal alle Nutzer verdächtig, nur um dann einige wenige Verdächtige zu identifizieren, wenig geeignet ist um wirkungsvoll Vergehen aufzuklären und damit ein Gefühl der Sicherheit in unserer Gesellschaft zu erzeugen. Zum anderen sollte nun auch jedem klar sein, dass die VDS eben kein Allheilmittel ist und sich Personen eben beliebig in Netzwerken verstecken können.
Ich möchte nicht so weit gehen, das Internet „rechtsfrei“ zu nennen, allerdings ist es eben “recht frei“ und bis jetzt läuft es ja ganz gut :)

(mega) Her(t)zlichst,
Matthias Meißer

P.S. Also liebe Jungs und Mädchen, baut unbedingt viele sinnlose Verbindungen zu allen möglichen beliebigen IPs auf, damit die Leute vom BKA auch etwas auf ihren Monitoren sehen...