So verhindern Sie Internet-Spionage

Viele beginnen sich zu fragen, ob das Internet Amerikas großes „Trojanisches Pferd“-Geschenk an die Welt war, eine clevere Möglichkeit, Barrieren zu überwinden und in die privaten Informationen aller einzudringen. Besonders die jüngsten Spionage-Enthüllungen von PRISM haben dazu beigetragen verärgerte Europäer. Aber es gibt Techniken, sich zu wehren, sagt der niederländische Technologieexperte Arjen Kamphuis.

Von Arjen Kamphuis

Am 11. Juli 2001 veröffentlichte das Europäische Parlament a berichten über das Echelon-Spionagenetzwerk und die Auswirkungen auf europäische Bürger und Unternehmen. Spekulationen Über die Existenz dieses Netzwerks von Großbritannien und seinen ehemaligen Kolonien gab es schon seit Jahren Diskussionen, aber es dauerte bis 1999, bis ein Journalist eine veröffentlichte berichten Das brachte das Thema aus der Alufolienhut-Zone.

Der Bericht des EU-Parlaments enthält sehr praktische und sinnvolle Vorschläge, die jedoch aufgrund der Ereignisse zwei Monate später jenseits des Atlantiks nie umgesetzt wurden. Oder sogar weiter besprochen.

Unter der Überschrift „Maßnahmen zur Förderung des Selbstschutzes von Bürgern und Unternehmen“ listete der Bericht mehrere konkrete Vorschläge zur Verbesserung der Datensicherheit und der Vertraulichkeit der Kommunikation für EU-Bürger auf. Das Dokument forderte das Parlament auf, die Bürger über die Existenz von Echelon und die Auswirkungen auf ihre Privatsphäre zu informieren, und fügte hinzu, dass diese Informationen „von praktischer Unterstützung bei der Gestaltung und Umsetzung umfassender Schutzmaßnahmen, einschließlich der Sicherheit der Informationstechnologie, begleitet werden müssen“.

Der Bericht forderte außerdem „geeignete Maßnahmen zur Förderung, Entwicklung und Herstellung europäischer Verschlüsselungstechnologien und -software und vor allem zur Unterstützung von Projekten zur Entwicklung von Benutzerverschlüsselungstechnologien, die Open-Source sind“ und „Softwareprojekte zu fördern, deren Quelltext veröffentlicht wird, Dadurch wird gewährleistet, dass die Software keine „Hintertüren“ eingebaut hat (die sogenannte „Open-Source-Software“).“

Das Dokument verwies auf die Unzuverlässigkeit von Sicherheits- und Verschlüsselungstechnologien, deren Quellcode nicht veröffentlicht wird. Dieses Thema ist in den niederländischen und britischen Diskussionen über die IT-Strategie für Regierungen streng tabu (wahrscheinlich, weil bestimmte große NATO-Partner beleidigt sein könnten).

Außerdem müssten die Regierungen einander und ihren Bürgern ein gutes Beispiel geben, heißt es in dem Bericht, indem sie „die Verschlüsselung von E-Mails systematisch nutzen, damit dies längerfristig zur normalen Praxis wird.“ Dies soll in der Praxis dadurch umgesetzt werden, dass „die Schulung und Veröffentlichung ihrer Mitarbeiter im Umgang mit neuen Verschlüsselungstechnologien und -techniken durch die erforderlichen praktischen Schulungen und Kurse sichergestellt wird.“

Auch EU-Beitrittskandidaten sollten unterstützt werden, „wenn sie aufgrund mangelnder technologischer Unabhängigkeit nicht den notwendigen Schutz bieten können“, heißt es in dem Bericht.

Dieser eine Absatz aus dem Sommer 2001, bevor rationale Sicherheitsrichtlinien durch den 9. September völlig zerstört wurden, beschrieb die Grundlage für eine solide IT-Richtlinie, um die Sicherheit und Privatsphäre der Bürger vor Bedrohungen sowohl durch ausländische Akteure als auch durch die Regierung selbst (historisch gesehen immer die größte) zu gewährleisten Bedrohung für seine Bürger und der Grund, warum wir Verfassungen haben).

Wären diese Maßnahmen im letzten Jahrzehnt umgesetzt worden, wären die jüngsten PRISM-Enthüllungen größtenteils auf Gleichgültigkeit gestoßen. Europäische Bürger, Regierungen und Unternehmen würden den Großteil ihrer Datenverarbeitung und Kommunikation auf Systemen durchführen, die von europäischen Organisationen kontrolliert werden und Software ausführen, die in Europa mitentwickelt wurde und sich physisch auf europäischem Boden befindet.

Ein amerikanisches Problem mit einem übermächtigen Spionageapparat wäre genau das gewesen, ein amerikanisches Problem wie Teenager mit Maschinengewehren oder das Fehlen einer allgemeinen Gesundheitsversorgung, nur eines dieser verrückten Dinge, die sie in den USA tun, um ihre „Freiheit“ zu haben.

Von der Bratpfanne zum Feuer

Ungefähr zu dieser Zeit sprach ich mit Kees Vendrik (niederländischer Abgeordneter) über den problematischen europäischen Softwaremarkt. Es war nicht nur unmöglich, einen Marken-Laptop zu kaufen, ohne eine Microsoft Windows-Lizenz kaufen zu müssen, auch der Besuch vieler Websites (Gemeinden, Bahnhöfe und viele andere) war ohne den Internet Explorer nicht möglich. Seitdem hat sich letzterer Bereich erheblich verbessert und ich kann heute mein Leben mit dem Betriebssystem und den Browsern meiner Wahl führen.

Die niederländische Abhängigkeit von Produkten wie MS Windows/Office hat jedoch trotz aller vom Parlament geäußerten Wünsche und Versuche nicht wirklich abgenommen Regierungspolitik. Heutzutage ist es als Schüler nicht mehr möglich, die weiterführende Schule zu beenden, ohne mehrere Teile proprietärer Software zu besitzen und zu verwenden, was die Schüler anfällig für Ausspionieren macht.

Stellen Sie sich vor, Sie würden eine bestimmte Stiftmarke für Schulen zur Pflicht machen und eine Stiftmarke auswählen, die mit einem Spionagemikrofon ausgestattet ist (das nicht unter der Kontrolle des Benutzers steht). Dies ist unter anderem in den Niederlanden und im Vereinigten Königreich die aktuelle Situation in der Praxis. Deutschland, Frankreich und Spanien schneiden etwas besser ab, wenn sie das Problem zumindest anerkennen.

Unterdessen ist der technologische seismische Wandel, der Bill Gates von Microsoft im Jahr 1995 so sehr erschreckte (Das Web macht das Betriebssystem irrelevant) wird schnell Realität. Fast alle Neuentwicklungen, die von IT-Power-Playern und -Spezialisten diskutiert werden, sind webbasiert oder basieren auf offenen Spezifikationen, und die am häufigsten verwendeten Anwendungen laufen recht gut als Dienst in einem Browser.

Während also das 15 bis 20 Jahre alte Problem der Softwareabhängigkeit nie wirklich gelöst wurde (Regierungen mit Zehntausenden von IT-Mitarbeitern sind immer noch nicht in der Lage, sich vom vertrauten Microsoft-Technologie-Stack zu lösen), zeigen sich seine Auswirkungen langsam weniger relevant. Unterdessen erweisen sich neue Abhängigkeiten, die auf „Cloud“-Anbietern basieren, als noch schädlicher.

Der übermäßige Einsatz proprietärer Software birgt das Risiko fremder Manipulation und möglicher Angriffe auf kritische Infrastrukturen (vgl Stuxnet). Aber zumindest wenn Ihre Systeme auf diese Weise angegriffen werden, gibt es einige Möglichkeiten, dies zu verfolgen. Wenn Sie an einem Computer arbeiten, der Ihnen nicht gehört, der sich in einem fremden Land befindet und von Leuten, die Sie nicht kennen, auf eine Weise verwaltet wird, die Sie nicht überprüfen können, wird es sehr schwierig sein, die Kontrolle darüber zu behalten was mit Ihren Daten passiert.

Die alte Annahme, dass der Einsatz lokaler Server Teil der Lösung sein könnte, scheint im Nach-9/11-Imperium leider eine Illusion zu sein. Alle „Cloud“-Dienste, die von Unternehmen mit Sitz in den USA angeboten werden, unterliegen der US-Gesetzgebung, auch wenn sich die Server physisch in einem anderen Land befinden. Und das US-Recht ist mittlerweile etwas, sagen wir mal, problematisch.

Allein mit dem Vorwurf der Beteiligung am „Terrorismus“ können auch ohne Beweise Systeme geschlossen oder übernommen werden – ohne Vorwarnung oder die Möglichkeit einer kontradiktorischen gerichtlichen Überprüfung. Der Begriff „Terrorismus“ wurde so weit gedehnt, dass jeder, der angeblich gegen US-Recht verstößt, auch wenn er kein US-Bürger ist und sich nicht in den USA aufhält, immer noch als „Terrorist“ gelten kann. einfach auf das Wort eines der vielen aus drei Buchstaben bestehenden Dienste (FBI, CIA, NSA, DIA, DHS, TSA usw.).

Die EU war darüber nicht erfreut, wollte aber bis zum PRISM-Leak nicht so weit gehen, ihren Bürgern und anderen Regierungen zu empfehlen, solche Dienste nicht mehr zu nutzen. PRISM macht es erstmals möglich, zumindest eine ernsthafte Diskussion darüber zu führen.

Der lange Arm des US Patriot Act geht noch weiter als nur die Server von US-Unternehmen auf europäischem Boden. Dadurch können Domains „beschlagnahmt“ und in höchst nachteiliger Weise gekennzeichnet werden, wie zum Beispiel „Diese Seite war am Umgang mit Kindern beteiligt Pornographie.“ Versuchen Sie, dies als Unternehmen oder gemeinnützige Organisation Ihren Kunden, Mitwirkenden oder Geschäftspartnern zu erklären.

Verwenden Sie jetzt einfach eine .com-, .org- oder .net-Erweiterung als Ihren Domainnamen macht Sie nach US-amerikanischem Recht haftbar. Alle Europäer können jetzt aus ihren Häusern verhaftet werden, weil sie gegen US-Recht verstoßen. Ein .com-Domainname macht Ihren Server also praktisch zum US-Territorium.

Uns war bereits bewusst, dass proprietäre Plattformen wie Windows und Google Docs keine geeigneten Systeme für wichtige Dinge wie den Betrieb öffentlicher oder kritischer Infrastrukturen waren. Nun stellt sich jedoch heraus, dass jeder Dienst, der über eine .com-, .org- oder .net-Domain bereitgestellt wird, Sie de facto unter ausländische Kontrolle stellt.

Lösung? Wechseln Sie so weit wie möglich zu freier/Open-Source-Software auf lokalen Servern. Glücklicherweise gibt es in Europa eine ganze Reihe kompetenter Hosting-Unternehmen und Unternehmen. Verwenden Sie lokale Länderdomains wie .nl, .de, .fr oder, wenn Sie ganz sicher sein wollen, eine .ch-Domain. Diese werden verwaltet von a Schweizer Stiftung und diese Menschen nehmen ihre Unabhängigkeit ernst.

Wenn Sie weiterhin Google (einschließlich Google Docs), Facebook, Evernote, Mind Meister, Ning.com, Hotmail oder Office 365 verwenden möchten, tun Sie dies bitte im Bewusstsein, dass Sie keine Privatsphäre und weniger Bürgerrechte haben als englische Adlige in der Jahr 1215.

Übeltäter bekämpfen

Vor einigen Monaten verteidigte ein Regierungssprecher das „Clean IT“-Projekt auf einer Sitzung von RIPE (die Organisation, die IP-Adressen für Europa und Asien vertreibt). Putze es ist ein europäisches Projekt niederländischen Ursprungs, das sich zum Ziel gesetzt hat, die „Nutzung des Internets für terroristische Zwecke“ zu bekämpfen. Das Problem bei diesem Ziel besteht darin, dass „Internet“, „Nutzung“ und „Terrorismus“ weiterhin undefiniert bleiben, und es scheint auch nicht, dass irgendjemand daran interessiert ist, dies zu klären.

Dieser Mangel an Klarheit an sich kann nützlich sein, wenn Sie eine Regierung sind, da Sie dann ein Projekt in jede gewünschte Richtung lenken können. Ein bisschen wie damals, als die Vorratsdatenspeicherung 2005 durch das EU-Parlament gepeitscht wurde mit dem Versprechen, sie nur gegen „Terrorismus“ einzusetzen – ein Versprechen, das innerhalb weniger Monate gebrochen wurde.

In Deutschland wurde die Vorratsdatenspeicherung inzwischen für verfassungswidrig erklärt und abgeschafft, während in den Niederlanden die Telefonüberwachung weit verbreitet ist, obwohl keinerlei Beweise für die Wirksamkeit dieser Maßnahmen vorliegen. Dass alle Datenbanken gespeicherte Telekommunikationsdaten enthalten werden selbst zur Zielscheibe scheint in den Bedrohungsanalysen nicht ernsthaft berücksichtigt zu werden. Alles ziemlich besorgniserregend für eine Regierung, die in der Regel immer noch nicht in der Lage ist, ihre eigenen Systeme ordnungsgemäß zu sichern oder sicherzustellen, dass externe Auftragnehmer dies tun.

Auch beim Vortrag zum Thema Clean-IT wurde großer Wert auf die öffentlich-private Partnerschaft gelegt, um das Publikum zu beruhigen. Es ist seltsam, dass sich eine Regierung zunächst selbst inkompetent macht, indem sie sämtliches Fachwissen auslagert, und dann nach zehn Jahren zurückkommt und behauptet, sie könne dieselben Unternehmen und auch deren Subunternehmer nicht kontrollieren.

Der letzte Schritt besteht dann darin, die Aufsichtsfunktion auch an Unternehmen auszulagern und den Bürgern zu versichern: „Wir lassen die Unternehmen machen!“ Machen Sie sich keine Sorgen, dass wir die schwierigen technischen Dinge selbst erledigen würden. Alles wurde ordnungsgemäß an dieselben Parteien ausgelagert, die die vorherigen 25 Projekte durcheinander gebracht haben.“

Terrorismus ist offensichtlich der „Zugangspass für alle Bereiche“ – trotz der Tatsache, dass viel mehr Europäer durch Ausrutschen unter der Dusche oder durch schlecht sitzende Mopedhelme sterben als durch „Terrorismus“. Darüber hinaus haben wir als Europäer Erfahrung im Umgang mit Terrorismus. ETA, IRA und RAF wurden in den vergangenen Jahrzehnten durch polizeiliche Ermittlungen, Verhandlungen und Abkapselung unschädlich gemacht. Dies geschah, ohne die Bürgerrechte einer halben Milliarde europäischer Bürger zu gefährden. Selbst als in London regelmäßig Bomben der IRA explodierten, schlug niemand vor, weißen Phosphor auf Dublin oder Belfast abzuwerfen.

Ich hoffe, dass die Vision des EU-Parlaments vor dem 9. September irgendwann wiederentdeckt wird. Es wäre schön, wenn einige Teile des „Freien Westens“ eine Politik entwickeln könnten, die unsere moralische Überlegenheit gegenüber Russland rechtfertigen würde, wenn wir von ihnen einen Stopp fordern politische Zensur unter dem Deckmantel der „Sicherheit“.

Backup-Plan

Wenn alles andere fehlschlägt (und das ist nicht ganz unwahrscheinlich), brauchen wir einen Ersatzplan für die Bürger. Denn trotz aller Petitionen, Anträge, Aktionen und sonstiger Initiativen nehmen unsere bürgerlichen Freiheiten immer noch rapide ab. Irgendwie hat es einen Unternehmenscoup in Zeitlupe gegeben, bei dem die Regierung die „Effizienz“ steigern will, indem sie sich auf viele MBA-Fachkenntnisse und Unternehmensführungsweisheiten verlässt, die im Bankensektor so gut funktioniert haben.

Dass damit die primäre Funktion des Staates verflüchtigt wird, scheint die meisten Beamten nicht zu stören. Und inzwischen sind die Unternehmen selbst offenbar zu sehr damit beschäftigt, Gewinne zu machen und sich gegenseitig zu bekämpfen, als dass sie sich um Bürgerrechte und andere veraltete Konzepte aus der zweiten Hälfte des 20. Jahrhunderts kümmern könnten.

Anstatt also immer zu versuchen, ein politisches System zu beeinflussen, das unsere Interessen so deutlich ignoriert, können wir uns einfach direkt um uns selbst und einander kümmern. Diese Schlussfolgerung ist vielleicht nicht erfreulich, aber sie gibt Klarheit darüber, was wir tun müssen.

Ein gutes Beispiel wäre die Bereitstellung von Bildungs- und Bürgerrechtsorganisationen wöchentliche Workshops an Bürger, wie sie Verschlüsselungssoftware installieren und verwenden können, um etwas Privatsphäre wiederherzustellen. Diese Organisationen sollten ihren Einfluss nutzen, um den Slogan „Krypto ist cool“ in aller Munde zu machen.

Technologen und Designer sollten ihre Energie darauf konzentrieren, die hippen und benutzerfreundlichen Aspekte dieser Software zu fördern. Das macht möglicherweise viel mehr Spaß als Lobbyarbeit bei verknöcherten politischen Institutionen und liefert tatsächlich konkrete Ergebnisse für den Datenschutz.

Seit 2006 stelle ich meine E-Mail-Privatsphäre sicher, indem ich mich nicht mehr auf das Gesetz verlasse, sondern indem ich einen Server außerhalb der EU verwende und eine SSL-Verbindung zu diesem über einen VPN-Tunnel herstelle, der auch außerhalb der EU in das offene Internet gelangt. Ich verschlüssele so viele E-Mails wie möglich einzeln mit starker Krypto (mit Free GPG-Software).

Die Tatsache, dass all diese Horden von Terroristen (die, wie unsere Regierung behauptet, den Planeten überschwemmen), zweifellos auch solche Maßnahmen ergriffen haben – für weniger als 20 Euro im Monat, machen die meisten Spionageaktivitäten auf niedriger Ebene zu einer völligen und sinnlosen Verschwendung von Ressourcen . Geht man davon aus, dass es tatsächlich um die Bekämpfung des „Terrorismus“ geht, erscheint das angesichts des oben Gesagten etwas zweifelhaft.

Ungeachtet dessen, was einige der „Aber ich habe nichts zu verbergen“-Apologeten sagen, haben wir Rechte auf Privatsphäre und andere bürgerliche Freiheiten aus demselben Grund, aus dem wir eine Verfassung haben. Nicht für Situationen, in denen alles in Ordnung ist, sondern für die seltenen Situationen, in denen etwas nicht in Ordnung ist.

Privatsphäre ist die letzte Verteidigungslinie gegen Regierungen, die ihren Existenzgrund (dem Volk zu dienen) aus den Augen verlieren. Datenschutz ist daher nicht der Feind der Sicherheit, sondern der grundlegendste Teil davon, denn Regierungen sind viel furchteinflößender als mögliche Cyberkriminelle oder sogar Terroristen. Kriminelle stehlen vielleicht etwas Geld und Terroristen töten vielleicht ein paar Menschen, aber wenn es um Kriege, Massenrepression oder Völkermord geht, braucht man immer eine Regierung.

Es liegt auf der Hand, was die europäischen Regierungen tun sollten, um die Sicherheit ihrer Bürger und Staaten zu fördern. Sie haben es bereits im Sommer 2001 niedergeschrieben. Die Tatsache, dass diese Maßnahmen niemals Teil aktueller politischer Vorschläge zur „Cybersicherheit“ sind, sollte die Menschen sehr misstrauisch machen, zumindest gegenüber der Kompetenz ihrer Regierungen.

Arjen Kamphuis ist Mitbegründer und Chief Technology Officer von Gendo. Er studierte Naturwissenschaften und Politik an der Universität Utrecht und arbeitete für IBM und Twynstra Gudde als IT-Architekt, Trainer und IT-Strategieberater. Seit Ende 2001 berät Arjen Kunden zu den strategischen Auswirkungen neuer technologischer Entwicklungen.