Die Daten-Enteignung

Wie "Big Data" unser Leben verändert

Frankfurter Allgemeine Archiv, Michael Spehr

• Publisher: Frankfurter Allgemeine Zeitung GmbH
• Year: 2014
• eBook ISBN: 9783898432849
• Edition: 1
• Topic: Computer Science
• Subtopic: Cyber Security
• Index: Computer Science

Welchen Status haben Datenschutz und Privatsphäre? Wie und wo wird unsere digitale Kommunikation abgehört und auf unsere Daten zugegriffen? Was ändert sich in unserer Welt, wenn Facebook, Google und Amazon schon heute wissen, was wir morgen tun? Dieses eBook führt uns vor Augen, wie viel Informationen wir selbst im Internet von uns preisgeben, und wo wir alltäglich beobachtet und verfolgt werden. Seit den Enthüllungen der NSA-Aktivitäten ist klar, dass Geheimdienste Telefonate und elektronische Nachrichten aufzeichnen. Doch abgehört wird schon lange nicht nur von oben, sondern auch von Unternehmen, deren digitale Dienste wir nutzen. Das Internet und in noch größerem Maße das stets präsente Smartphone eignen sich bestens für den digitalen Lauschangriff. Selbst beliebte Spiele, der Fernseher in unserem Wohnzimmer und die neue Technik im Auto spähen unseren Standort und unser Verhalten aus. Verschlüsselung und Biometrie gelten als probate Mittel zum Schutz der Privatsphäre. Wie sie funktionieren und welche Werkzeuge sich eignen, um sich etwas sicherer und anonymer in der digitalen Welt zu bewegen, stellt dieser Ratgeber abschließend vor. Mit Buchtipps und Internetlinks und 14 Abbildungen. Herausgegeben von Michael Spehr.

Gefährliche Angriffe auf die E-Mail

Mehr als 30.000 E-Mail-Konten und Passwörter haben Internet-Betrüger allein im Jahr 2010 in Deutschland ausgespäht. Es bleibt nicht bei der Datenspionage.

Von Peter Welchering

Nun häufen sich die Fälle, in denen elektronische Postfächer regelrecht gekidnappt werden. Der E-Mail-Pirat gibt sich dann als der reguläre Besitzer des Postfachs aus und richtet jede Menge Schaden an. Beispielsweise werden von einem gekaperten Postfach Bestellungen von teilweise äußerst hochwertigen Gütern an Online-Händler und Bestellportale versandt. Auch die erbetene Antwort auf die Bestätigungsmail des Händlers bereitet den Betrügern keine Probleme: verfügen sie doch über sämtliche Daten des elektronischen Postfachs und können sich damit jederzeit als der reguläre Inhaber ausgeben. Die bestellte Ware wird an eigens angemietete Tarnadressen geliefert und von dort innerhalb weniger Stunden ins Ausland umgeschlagen. Der wirkliche Inhaber des Postfachs bleibt nicht selten auf den Kosten für die von seinem E-Mail-Konto aufgegebene Bestellung sitzen und muss die Rechnung für Waren zahlen, die er nie erhalten hat.

Geld erbeuten die E-Mail-Kidnapper auch mit der sogenannten Mitleidsmasche. Sie bitten Freunde oder entfernte Verwandte des regulären Postfach-Besitzers, ihm zu helfen. Er habe seine Kreditkarte verloren, sei gerade im Ausland und benötige für die Heimreise und zur Begleichung diverser Kosten vor Ort ganz dringend 300 Euro. Das Geld solle bitte an einen Finanzdienstleister überwiesen werden, der ihm das Geld dann bar auszahle. Statt des Finanzdienstleisters wird auch gern die angebliche Adresse einer Pension, bei der der Freund oder Verwandte gerade untergekommen sei, oder die Bankverbindung einer Reisebekanntschaft angegeben. Allein in Deutschland fallen jeden Monat einige tausend Menschen auf diesen Trick herein und überweisen Geld.

Mitunter wird der Besitzer des E-Mail-Kontos auch direkt erpresst. Die Kidnapper ändern in diesem Fall das Passwort, so dass der reguläre Postfachinhaber keinen Zugang mehr hat. Danach drohen sie dem Postinhaber entweder, seine sämtlichen Adressdaten zu löschen, und verlangen ein entsprechendes »Lösegeld«, oder sie drohen mit der missbräuchlichen Nutzung dieser Adressdaten.

Als besonders fürsorglich wollte sich wohl ein Kidnapper geben, der dem Inhaber des Postfachs mitteilte, welche Sicherheitslücken zum Mail-Napping geführt hätten und dass er als Dienstleister diese Sicherheitslücken gern für den Postfach-Inhaber gegen Entrichtung einer geringen Gebühr schließen wolle. Sobald diese Gebühr per Online-Überweisung eingegangen sei, stünde der Nutzung des »gesicherten« Mail-Postfachs durch den eigentlichen Inhaber nichts mehr im Wege.

An die Kontendaten gelangen die Online-Betrüger auf verschiedenen Wegen. Im Jahr 2009 beispielsweise wurden Benutzerdaten bei gleich vier größeren Mail-Providern gestohlen. Ein Teil dieser Kontendaten wurde dann mit der Beileidsmasche oder als Bestelladresse genutzt. Einigen Opfern wurden die erbeuteten Kontendaten und das per Passwortänderung gesperrte Konto zum »Rückkauf« angeboten.

Eine weitere Methode: Mitunter werden die E-Mail-Nutzer direkt um Angabe der Kontendaten gebeten. So haben Online-Kriminelle vermehrt E-Mails an Postfachnutzer geschickt und diese aufgefordert, eine Sicherheitsüberprüfung ihrer Zugangsdaten zu ermöglichen. Der Link war gleich mit verschickt worden. Wer diesen Link anklickte, landete jedoch nicht auf der Webseite des Mail-Dienstleisters, sondern auf täuschend echt nachgebauten Webseiten. In gutem Glauben gaben sie ihren Benutzernamen und ihr Passwort ein. Mail-Phishing heißt diese Methode und erfreut sich in kriminellen Kreisen großer Beliebtheit.

Ausgespäht werden die Mail-Nutzer von einer technisch hochgerüsteten Computermafia. Das macht den Schutz vor Mail-Kidnapping schwierig. Sicherheitsexperten empfehlen deshalb, das eigene E-Mail-Konto schon beim kleinsten Verdacht auf Missbrauch sofort vom Provider sperren zu lassen. Wichtige elektronische Briefe und Adressverzeichnisse sollten deshalb immer als Sicherheitskopie auf dem eigenen PC gespeichert werden. Wird das eigene Postfach nämlich vom Provider gesperrt, kommt auch der reguläre Inhaber nicht mehr an seine Daten heran. Bei jeder nicht nachvollziehbaren E-Mail sollte unbedingt der Provider eingeschaltet werden. Bei den Providern wird derartigen Hinweisen inzwischen mit großer Akribie nachgegangen. Denn der durch Kidnapping angerichtete Schaden geht nicht nur in die Millionen, sondern sorgt auch für steigendes Misstrauen gegenüber dem E-Mail-Versand.

Abhilfe soll der DE-Mail-Dienst schaffen, für dessen Einrichtung das Bundeskabinett über die rechtlichen Grundlagen beraten hat. Es geht auch angesichts der zahlreichen Missbrauchsfälle durch Internet-Betrüger darum, eine verlässliche Kommunikationsbasis zu schaffen und Mail-Napping möglichst auszuschließen. Mit dem DE-Mail-Verfahren soll sichergestellt werden, dass der Empfänger genau weiß, wer der Absender der E-Mail ist. Und ferner erfährt der Absender verbindlich und rechtswirksam, dass der Empfänger ein Schreiben bekommen hat. Für diesen sicheren Versand von elektronischen Briefen bauen Provider, wie zum Beispiel die Telekom oder United Internet, eigene Mail-Portale auf. Ein erster Pilotversuch zum Test der DE-Mail-Verfahren ist in Friedrichshafen durchgeführt worden. Nutzer von DE-Mail müssen ihre Identität überprüfen lassen, bevor sie eine DE-Mail-Adresse bekommen.

Doch zahlreiche DE-Mail-Interessenten sind verunsichert, weil neue Sicherheitslücken beim DE-Mail-Service aufgetaucht sind. Die per DE-Mail verschickten Daten werden nämlich nicht durchgängig verschlüsselt. Das ist das Grundproblem. Die aktuelle Konzeption des Mail-Transportes bei DE-Mail sieht vor, dass die E-Mail des Nutzers, die er verschlüsselt an den Server seines DE-Mail-Dienstleisters schickt, ebendort entschlüsselt und für den weiteren Versand wieder verschlüsselt wird. Während dieser Zeit liegen die Datenpäckchen mit dem Inhalt des elektronischen Briefes und sämtlichen Versandangaben unverschlüsselt im Klartext vor und können unter Umständen sogar manipuliert werden.

Das zweimalige Verschlüsseln und Entschlüsseln der Datenpäckchen bei DE-Mail ist notwendig, weil an diesem Mail-Versand vier Stellen beteiligt sind, deren Übergabepunkte uneinheitlich strukturiert sind: Der Absender der E-Mail und ihr Empfänger sowie der DE-Mail-Provider des Absenders und des Empfängers. Das von Absender und Empfänger verwendete Verschlüsselungsprotokoll SSL oder TLS verschlüsselt dabei dummerweise nur die Kommunikation zwischen zwei Stationen. Deshalb muss sozusagen umgeschlüsselt, also entschlüsselt und wieder verschlüsselt werden. Denn es sind ja vier Stationen beteiligt.

Wer nun auf die beteiligten Mailserver zugreifen kann, kann die dort entschlüsselten Datenpäckchen nicht nur mitlesen, sondern auch manipulieren. Somit bieten in theoretischer Hinsicht auch Mail-Services nach den aktuellen DE-Mail-Verfahren einige Angriffspunkte für kriminelles Mail-Napping.

Hier liegt also noch ein gewisser Nachbesserungsbedarf vor. So könnte zum Beispiel eine zentrale Stelle im DE-Mail-Service, die den Schlüsselaustausch koordiniert, Abhilfe schaffen. Auch würde eine zusätzliche Sicherheitssoftware, die im Browser ausgeführt wird, für eine direkte Verschlüsselung vom Absender zum Empfänger sorgen können. Dann müsste allerdings ein anderes Verschlüsselungsprotokoll verwendet werden als das bisher für den DE-Mail-Service geplante. Ebenso könnte eine eigene DE-Mail-Software auf den PCs der Nutzer das Problem lösen. Sie müsste dann statt des Browsers verwendet werden, mit dem PC-Anwender den bisherigen Planungen zufolge ihre DE-Mail-Postfächer verwalten sollen.

Frankfurter Allgemeine Sonntagszeitung, 14.11.2010

Apps und andere Späher

Die App, die jeden kennt

Gesichtserkennung für die Google-Datenbrille

Von Stefan Schulz

»Seien Sie kein Fremder. Verbinden Sie Ihre persönlichen Daten mit dem einzigartigsten Merkmal, das Sie haben – Ihrem Gesicht.« Dieser Werbespruch ist als Provokation zu lesen, mit ihm vermarktet das Unternehmen »Facial Network« die wohl erste Gesichtserkennungs-App für Googles Datenbrille, die ebenso per Smartphone funktionieren soll. Google selbst zeigte früh Problembewusstsein. Eine Woche bevor mit Edward Snowdens Hongkong-Interview im Juni 2013 die Spähaffäre begann, gab Google bekannt: »Wir haben die Diskussionen verfolgt. Wir werden zu diesem Zeitpunkt keine Gesichtserkennungs-Apps für unsere Geräte zulassen.« Das Unternehmen hat es sich seitdem nicht anders überlegt. Nun kommt die App aber offenbar trotzdem, wenn auch vorerst nicht auf einfachem Weg in Googles Play Store.

Dass technisch ohnehin nichts mehr gegen diese Apps spricht, beweist Google allerdings selbst – an der Seite der Konkurrenten Apple und Facebook. Gesichtserkennung gehört seit Jahren zu den Vorzügen der kostenlosen Programme, mit denen die Unternehmen es ihren Nutzern erleichtern, Ordnung ins heimische Bilderchaos zu bringen. »Google Picasa« beispielsweise fragt ein paarmal nach, welches Familienmitglied sich auf einem Bild befindet. Danach findet es die genannte Person auf allen anderen Bildern automatisch. Ganz ähnlich funktioniert die Software der anderen Anbieter.

Es ist nur ein kleiner Schritt, diese biometrischen Daten von heimischen Rechnern in eine gemeinsame Datenbank einzupflegen und so jedes nur einmal erkannte Gesicht überall bekanntzumachen. Diesen Weg will »Facial Network« nun gehen. Eine der ersten verfügbaren Datenbanken, die das Unternehmen nutzte, ist das staatliche Register amerikanischer Sexualstraftäter mit 450.000 Einträgen. »Ich glaube, soziale Kontakte werden viel sicherer sein, wir werden besser verstehen, von wem wir umgeben sind«, sagt dazu der Leiter des Entwicklerteams, Kevin Tussy.

Auf der Website des Unternehmens zeigt ein Video, dass die Software rund 15 Sekunden braucht, um zu einem Gesicht aus 2,5 Millionen Datensätzen den richtigen Namen herauszusuchen. Nur die Hardware zeigt noch Schwächen. Der Akku einer Datenbrille Googles hält derzeit weniger als zwei Stunden vor, wenn die Kamera durchgehend eingeschaltet ist und das Bild zur Analyse ins Internet übertragen wird. Diese Erfahrung schilderte Stephen Balaban zum Jahresende auf dem Chaos Communication Congress. Der amerikanische Softwareentwickler, der zu Gesichtserkennung forscht, baute sich daher eine Datenmütze, in der er mehr Elektronik verstauen kann.

Mit dieser habe er über 16 Stunden »alle paar Sekunden« ein Bild machen und seinen Tag lückenlos dokumentieren können. Sein Fazit fiel drastisch aus: »Das ist beängstigend, um ehrlich zu sein. Als ich die Daten das erste Mal sah, dachte ich: Oh Gott, was habe ich getan?« Was er genau meinte, darüber sprach er nicht. Sieht man, mit welchen Mitteln staatliche Institutionen, insbesondere in Europa, diese Forschung fördern, lässt es sich aber erahnen.

Frankfurter Allgemeine Zeitung, 14.1.2014

Angriff aufs Auto

Das Fahrzeug wird zum Computer auf Rädern, es registriert alle Bewegungen. Experten sind alarmiert: Wem gehören die Daten, die es über uns sammelt?

Von Niklas Maak

Ein Popstar, der dadurch dumm auffiel, dass er das Haus seines Nachbarn mit rohen Eiern bombardierte, taucht morgens um vier in Miami mit einem gemieteten Lamborghini auf: Motorenlärm, kreischende Fans, ein Rapper donnert im Ferrari heran. Eindeutiger Fall für die Polizei: Hier findet ein illegales Rennen statt. Der Popstar, Justin Bieber, wird verhaftet, die Polizei gibt der Presse zu Protokoll, der Star sei verantwortungslos durch die Stadt gerast. Gibt es Radaraufnahmen? Nein, und es fragte auch niemand danach. Star, Lamborghini, Lärm: Das reicht der Polizei als Indizien.

Ein paar Tage später berichtet CNN, dass die Polizei sich geirrt hat. Der Autovermieter hat in allen Fahrzeugen ein GPS-Ortungssystem eingebaut, das auch Fahrdaten speichert, Biebers Anwälte haben es auslesen lassen. Das Ergebnis: Bieber ist in der Viertelstunde, bevor er gestoppt wurde, nicht einmal vierzig Meilen pro Stunde gefahren, was für jemanden, der mit allen Kräften an seinem Image als rasender Bad Boy arbeitet, vielleicht gar keine so gute Nachricht ist – aber immerhin haben die Daten, die das Auto sammelte, den Fahrer vor einer Verurteilung wegen Geschwindigkeitsüberschreitung bewahrt.

Eine Spezialkamera hinter dem Innenspiegel soll das Auto der Zukunft von allein in der Spur halten. Der Fahrer hat dann die Hände frei und kann mit dem Smartphone telefonieren oder Kfz-Kennzeichen googeln. Seine Daten werden dabei auf jeden Fall erfasst und übertragen. Foto: Frank Röth

Die Geschichte vom unschuldigen Bieber (der allerdings auch wegen Fahrens unter Drogeneinfluss angeklagt wird) ist die Lieblingsgeschichte aller Befürworter des vernetzten Autos. Wer daraus aber schließt, dass die Datenmengen, die das Auto neuerdings sammelt, seinem Fahrer nur zugutekommen können, wurde Ende Januar 2014 auf dem 52. Verkehrsgerichtstag in Goslar eines Besseren belehrt. Dort schlugen Experten Alarm: Jürgen Bönninger, Geschäftsführer der FSD Fahrzeugsystemdaten GmbH in Dresden und einer der führenden Experten in seinem Feld, fordert ein No-Spy-Zertifikat für Neuwagen und No-Spy-Regeln in das Wiener Weltabkommen über den Straßenverkehr aufzunehmen, außerdem ein Autodaten-Sicherheitsgesetz: Es müsse »verhindert werden, dass digitale Abdrücke aller zukünftigen Autos und damit der Fahrdaten sowie der Fahrzeugzustandsdaten als Bewegungs- und Handlungsprofile hinterlassen oder abgerufen werden«.

Das war eine Bombe: Selten wurde so deutlich benannt, dass moderne Autos in der Lage sind, ihre Fahrer auszuspionieren, personenbezogene Daten zu sammeln und weiterzuleiten, und selten so deutlich, dass das Auto einen grundlegenden Wandel erlebt – der vor allem die Privatsphäre seiner Nutzer betrifft.

Der paradoxe Reiz, der das Auto zu einem der erfolgreichsten Objekte der Moderne gemacht hat, lag darin, dass es Freiheit und Schutz der Privatsphäre zugleich versprach: man kann jederzeit überallhin aufbrechen mit ihm, und in der Ferne ist es ein tröstliches Stück mitgebrachter Heimat: Mit seinen Ledersesseln und dem Holzfurnier im Armaturenbrett ist es eine Art Wohnzimmer auf Rädern, nichts drang ein, nichts heraus. Bisher. Denn in modernen Autos arbeiten bis zu einhundert Datenverarbeitungssysteme; wem gehören die Daten, die das Auto erhebt?

Interessenten gibt es viele. Der Angriff auf die Privatsphäre des Autofahrers wird aus verschiedenen Richtungen geführt. Britische Autoversicherer bieten ihren Kunden schon seit längerem günstigere Tarife an, wenn sie in ihrem Auto eine Blackbox installieren, die den Versicherer mit Daten über das Fahrverhalten des Autofahrers versorgt: So kann leicht ermittelt werden, wer gern scharf in Kurven geht. Seit vergangenem Monat wird ein solches Tarifsystem auch in Deutschland erprobt. Aber wie werden die günstigen Tarife gegenfinanziert? Muss, wer auf seiner Privatsphäre beharrt, sich höhere Tarife gefallen lassen? Die Telematiktarife könnten sich, wenn sie Erfolg haben, zu einer Killerapplikation entwickeln, die das sinnvolle Tarifsystem der Versicherer aushebelt und diejenigen, die sich nicht auf jedem Meter überwachen lassen wollen, am Ende in ein seltsames Licht rückt: Was? Sie wollen keinen Telematiktarif? Sind Sie denn ein Raser? So steht derjenige, der auf seinen Bürgerrechten beharrt, unter Umständen als potentieller Delinquent da.

»Fahrer und Halter von Fahrzeugen dürfen weder r...

Table of contents

• Vorwort
• Privatsphäre und Datenschutz
• Surfen, Shoppen und Soziale Netzwerke
• Online-Banking und Mobile-Payment
• Mobiles Telefonieren, SMS und E-Mails
• Apps und andere Späher
• Cloud Computing und Datenvernetzung
• Verschlüsselung und Biometrie
• Hinweise für die Praxis: So schützen Sie Ihre Daten
• Anhang