Benutzer:Matthias M/Blog:2012 October 18 10:00:00 CEST
Offener Brief an GdP
„GdP warnt vor anonymisiertem Zugang zu öffentlichen WLAN-Netzen“
Sehr geehrter Herr Witthau, sehr geehrter Herr Holecek, liebe Mitglieder der Gewerkschaft der Polizei (insbesondere aus MV),
in einer Pressemitteilung der Polizeigewerkschaft sprechen Sie sich gegen eine Förderung freier WLANs aus und fordern von der Politik eine noch umfassendere Regelung zur Erfassung von Telekommunikationsdaten. Als Vereinsmitglied, das selbst viel Freizeit in den Aufbau einer freien Infrastruktur für die Bürger investiert, widerspreche ich Ihrer reißerischen Darstellung vehement!
Sie schreiben von „staatlich organisiert“, obwohl es meines Wissens bisher keinerlei Initiativen gibt, die freie Funknetze im Auftrag von Gemeinden erstellen. Richtig ist, das dies häufig durch private Initiativen entstehen, wie etwa Freifunk oder Fonera. Eine mangelnde Differenzierung zeugt auch bei der Betrachtung der „anonymer Internetkriminelle“, als ob freie Infrastruktur ausschließlich durch kriminelle Elemente genutzt wird. Aller Wahrscheinlichkeit stellen diese lediglich einen kleinen Bruchteil dar, die Mehrheit der Nutzer genießt einfach den Zugang zum Netz für ihre Freizeitgestaltung, oder um zu arbeiten. Es wäre so gefährlich, wenn in diesem Szenario “nicht zu wissen, wer den virtuellen Raum betritt“ können wir nicht nachvollziehen. Zunächst wäre eine Verkomplizierung des Zugangs für die meisten Nutzer eine Last und Gefährdung ihrer Privatsphäre. Auf der anderen Seite suggerieren Sie, dass durch eine vollständige Protokollierung alle Straftaten im Reich der Computerkriminalität aufgeklärt werden könnten. Das ist schlichtweg falsch, wie auch die von Ihnen zitierte Polizeiliche Kriminalstatistik von 2010 ausweist. So liegt die Aufklärungsquote bei knappen 36% deutlich unter der gesamten Aufklärungsquote von 56%. Warum das so ist und das sich das auch bei größten Anstrengungen nicht ändern wird, möchten wir Ihnen im Abschnitt „Technische Unverständnis“ erläutern.
Überhaupt ist ihre Aussage, das die Computerkriminalität “rasant wachse“ merkwürdig , da sonst (in abs. Zahlen) ja auch Anzeigen zu Betrug und Beleidigung in ähnlichen Umfang bei der Polizei gestiegen sind. Sollten Ihrer Aussage nach dann nicht auch deshalb überall Kameras und Mikrofone im öffentlichen Raum aufgestellt werden? Falls Sie meinen der Vergleich hinke, so darf ich als sog. Digital native (neusprech) anmerken, dass das Internet genau das ist für uns: ein öffentlicher Lebensraum, der wie unsere Umgebung eher dereguliert gehört, um Kreativität und unzensierten (manche nennen es freien) Austausch von Informationen zu gewährleisten. Der von ihnen genannte Schaden (der in der Realität sehr schwer realistisch zu bestimmen sein wird, siehe Kriminalitätsstatistik), macht auch nur einen extrem geringen Anteil des deutschen Internetverkehrs aus. Laut Bitkom etwa, wurde alleine durch die Informations- Telekommunikations-Branche ein Umsatz von 150 Millarden Euro erwirtschaftet. Nach Ihrer Rechnung wäre das also 0,00047%, Jedoch hinkt dieser Vergleich natürlich gewaltig, da dort die Wertschöpfung des Internet noch nicht einmal gesamtgesellschaftlich betrachtet wird, was schließlich ist der Wert von Wikipedia oder von allen OpenSource-Projekten? Natürlich ist es für den Einzelnen sehr ärgerlich, wenn man bei eBay geprellt wird, dann macht es meist aber viel mehr Sinn, die Geldflüsse zurückzuverfolgen, denn dort kann man sich schon wesentlich schlechter verstecken (Wirtschaftskriminalität hat sagenhafte 91% Aufklärungsquote laut PKS 2010).
Sie beteuern, dass die Behörden “nicht in Datensammelwut ausbrechen“, verschweigen jedoch, dass eine Protokollierung der Verbindungsdaten nicht anders möglich ist, als jeden Nutzer unter Verdacht zu stellen. Die Informationen werden dabei pauschal und von allen Deutschen, die sich im Internet bewegen (50 Mio. laut Bitkom) und die Polizei dürfte sich im Verdachtsfall diese dann von einzelnen Personen einsehen. Die von Ihnen dafür vorgeführten “schwere Straftaten“ stellen sich laut Gesetz ein klein wenig anders da... Mir persönlich ist der inflationärer Gebrauch von Cybercrime, Cyberwar, … allerdings über. Er zeugt von einer immer zunehmenden verwischen von Polizeilicher Arbeit, zivilrechtlicher Verfolgung und der Arbeit von anderen Ermittlungsbehörden, die sich etwa in der Antiterrordatei sehr anschaulich zeigt. Der Begriff „innere Sicherheit“ und seine ungenaue Definition lässt vermuten, dass die GdP die Verkehrsdaten für noch weitere Verwendungen verwerten möchte. Schön ist auch, dass Sie mit sicherheitstechnischen Schlagworte die selektive Auswertung probieren etwas harmloser zu verpacken. Da Bürger aber keinerlei Einsicht in die über Sie gespeicherte haben, fehlt dabei eindeutig ein Augenpaar im Kontrollprozess.
Die Politik hat bereits ausreichend (einige sind auch der Meinung eher zu stark) den Betrieb von Infrastruktur vorgeschrieben. Einige Stichworte wären hier etwa Abmahnungen, Mitstörerhaftung, Domainregistrierung, Mobilfunkdaten... Bisher hat sich die Polizei weder durch Transparenz, noch durch Effektivität einen guten Ruf bei der massenhaften Sammlung von Daten erarbeitet (siehe Funkzellenabfrage, Gefährder, Antiterrordatei …), so dass ich persönlich abseits aller bisherigen Bedenken, eher eine ausufernde Nutzung und eine Beweislastumkehr für möglich halte („Warum hatten Sie ihr Laptop denn nicht mit?“)
Technische Unverständnis
Da die GdP weiterhin in der Annahme ist, dass durch eine vollständige Erfassung der Verbindungsdaten Kriminelle aufzuhalten sind, hier einige Fakten einfach aufbereitet, um zu zeigen, dass dies nicht der Fall ist. Bisher werden völlig die technischen Möglichkeiten und die Grenzen von Ermittlungen (Stichwort Internationale Ermittlung) außer Acht gelassen. Zum einfacheren Verständnis möchten wir einfache Vergleiche mit dem weniger komplexen Telefonnetz (POTS) machen. Übertragen ließe sich das natürlich jederzeit auch auf die Post oder den öffentlichen Raum (Passanten)
Die genannten Verbindungsdaten im Internet umfassen insbesondere die IP-Adresse zu einem bestimmten Zeitpunkt, über diese Details lässt sich unter Mitwirkung des Providers (etwa T-Online, Arcor, …) der Anschlussinhaber identifizieren. <Schema> (Es ist also ähnlich, als wenn man beim Telefon die Rufnummer sieht und dann bei seinem Anbieter dafür eine Sperre schalten lässt) Bereits hier ist die eindeutige Zuordnung aber trügerisch. Jeder etwa, der einen Router nutzt, „versteckt“ mehr als ein eindeutiges Gerät, da alle zusammen nach außen hin nur unter einer IP zu erkennen sind. Das kann ungewollt sein (etwa schlecht gesichertes privates WLAN) oder auch beabsichtigt sein (z.B. eine ganze Familie teilt einen Anschluss). Eine Aussage „zur Zeit X hat IP 123.123.123.123 illegale Inhalte heruntergeladen und dass muss somit Inhaber Y sein“ ist also alleine schon auf technischer Ebene völlig absurd. Ähnlich sehen das auch US Gerichte.
Allerdings muss man bei Ermittlungen eher anders herum denken. Es wird etwa ein Server angegriffen und dessen Betreiber konnte die IP-Adressen des Angreifers aufzeichnen. Damit kann er dann Anzeige erstatten, etwa wegen Computersabotage <Schema> Im Internet ist allerdings immer nur der letzte Rechner für den Server-Betreiber zu sehen. Das muss keinesfalls auch der Rechner des richtigen Angreifers sein: <schema> Denkbar ist auch: Proxy (Server der zwischenspeichert) eines Anbieters z.B. bei Smartphone-Browser Anonymisierungsdienst z.B. TOR, ANON, Freenet, … anonymer Zugang z.B. unregistriert gekaufte SIM-Karte für Handy, Telefonzelle+Akkustikkoppler, Anzapfen fremder Telefon-Hausanschlüsse VPN-Verbindungen (quasi verschlüsselte Tunnel zu einem weiteren Rechner, von dem aus dann es erst in das Internet geht. z.B. bei Firmen mit Außendienststellen) gekaperter Rechner eines Opfers offener Router eines anderen „Opfers“ Auf den letzten Fall stellt die GdP hier ab, da dann natürlich Ende im Gelände ist und der Faden verloren wurde (es sei denn der Router schreibt die MAC Adresse der fremden WLAN-Karte auf). Für den Anbieter des offenen Routers kann das ganze dann durch die Störerhaftung sehr unangenehm werden, was unter anderem derzeit auch für viele freie Projekte ein Problem darstellt.
Selbst wenn das die richtigen IPs sind (etwa weil durch Investitionen die Provider Lauschzugänge anbieten würden), können weitere Probleme auf die Ermittler zukommen -ausländische IP -> internationales Hilfeersuchen -zu viele IP-Adressen, etwa bei einem DDOS Angriff (das lasse ich mal das Känguru erklären, kennt man ja von Anonymous) Für Vereine und bewußt „offene“ Netze, in denen alles dokumentiert und einsehbar ist, scheiden diese zusätzlichen Lauschzugänge natürlich komplett aus, so dass diese ihren Betrieb einstellen müssten. Ich probiere es noch mal mit dem guten alten Telefon darzustellen: Proxy: man hängt 2 Telefone in Reihe und ruft dann über nur über das zweite ein 3. Telefon des Ziels anrufen Anonymisierungsdienst: Man wählt beliebig viele Leute an und bittet denjenigen immer einen weiter zu verbinden. Nur man selbst weiß dann wo der Anfang war und was das Ziel ist VPN: Man verfremdet die Stimme beim sendenden Telefon und entzerrt diese dann erst wieder bei einem 2. Telefon dass dann ein 3. Telefon des Ziels anruft gekapert: von der Telefonzelle, oder einem Fremden, oder einem Telefon-Mast aus telefonieren Was man bräuchte um diese eindeutig zu identifizieren, wäre also eine Ausweispflicht bei allen Telefonen und eine vollständige Überwachung des Netzes auf Manipulationen. Vielleicht wird jetzt ein wenig verständlicher, wieso Verbindungsdaten nicht das non-plus-Ultra sind und so schon auf keinen Fall sich Leute erwischen lassen, die wirklich schwere Straftaten begehen. Diesen steht ja mit der nötigen „kriminellen“ Energie und Finanzen ganz andere Möglichkeiten offen: Verstecken von Informationen etwa in Bildern (Steganographie) oder auf neutralen großen Plattformen Verschlüsselung der Datentransfers, von Sprache und Daten auf eigenen Festplatten Anmietung von Anschlüssen durch Dritte Großflächiges Kapern von Rechnern (Botnetze) Da herrscht die Meinung vor, dass deshalb zusätzlich aufgerüstet werden muss, um auch die Inhalte verschlüsselter Kommunikationssysteme (Mail, VoIP, …) anzuzapfen, was in dem Bundestrojaner resultierte, der von den Leuten vom Chaos Computer Club sorgfältig zerlegt und für Schrott befunden wurde.
Verständnis
Natürlich habe ich in gewisser Weise auch Verständnis für diejenigen Polizisten, die sich durch die moderne Technik ihre Arbeitsgrundlage entzogen kriegen. Es ist sicherlich deprimierend, wenn man eine Lücke in der Beweiskette hat und diese vielleicht mit der Vorratsdatenspeicherung hätte schließen können. All diese sehen jetzt aber bestimmt ein, dass eine Methode, die wie ein Schleppnetz erst einmal alle Nutzer verdächtig, nur um dann einige wenige Verdächtige zu Identifizieren, wenig geeignet ist um wirkungsvoll Vergehen aufzuklären und so Sicherheit für unsere Gesellschaft zu erzeugen. Zum anderen sollte nun auch jedem klar sein, dass die VDS eben kein Allheilmittel ist und sich Personen eben beliebig in Netzwerken verstecken können. Ich möchte nicht so weit gehen, das Internet „rechtsfrei“ zu nennen, allerdings ist es eben “recht frei“ :)
(mega) Her(t)zlichst, Matthias Meißer
P.S. Also liebe Jungs und Mädchen, baut unbedingt viele sinnlose Verbindungen zu allen möglichen beliebigen IPs auf, damit die Leute vom BKA auch etwas auf ihren Monitoren sehen...
