Mitternachtshacking

Recht hat er natürlich, auch wenn man das ein wenig anders formulieren könnte. So erreicht er auf seine unnachahmliche Art eigentlich wieder nur, dass ihn niemand ernst nimmt:

„It’s stupidity. It’s worse than stupidity: it’s a marketing hype campaign“

„One reason you should not use web applications to do your computing is that you lose control. It’s just as bad as using a proprietary program. Do your own computing on your own computer with your copy of a freedom-respecting program. If you use a proprietary program or somebody else’s web server, you’re defenceless. You’re putty in the hands of whoever developed that software.“

Recht hat er meiner Meinung. Das Interview führte übrigens Bobbie Johnson vom Guardian.

Die Electronic Frontiere Foundation hat im Rahmen des Information Freedom Acts Dokumente ausgegraben die zeigen, dass das US DHS den Border Agents erlaubt hat, Papiere, Dokumente, Unterlagen, Datenträger und Festplatten von Einreisenden zu kopieren, auch wenn es keinerlei Verdacht für eine Straftat gibt.

Ich kann mir nicht helfen aber so langsam verfestigt sich bei mir der Eindruck, dass es hier schon lange nicht mehr um Kriminelle oder Terroristen sondern längst um Industriespionage geht.

Meine Empfehlung: Alle relevanten Daten in einen Truecrypt Container und verschlüsselt bei Amazon S3 hochladen. Den leeren Rechner in die USA mitnehmen, die Daten von Amazon S3 wieder herunterladen und entschlüsseln. Wenn der Zoll das Notebook wirklich beschlagnahmt, einfach bei Walmart ein billiges neues kaufen, Truecrypt drauf und fertig. Und der Zoll kann mich mal.

Ein einfacher Beispieldialog wie er in den Kommentaren diverser großer Blogs in Deutschland täglich mehrfach vorkommen könnte:

Hans: Du Mike, alter Blogchef, geh’n wir heut‘ Abend auf ein Bier ins Hofbräuhaus?

Mike: Muss es ausgerechnet Hofbräu sein? Davon krieg ich immer Schädelweh. Außerdem ist es im Augustinerkeller viel gemütlicher.

Hans: Meinetwegen, dann peilen wir heute Abend das Augustiner an.

Mike: Außerdem gibt es dort mehr Parkplätze und weniger Touristen.

Hans: So gegen 19 Uhr? Ich schau, dass ich die S-Bahn um 10 vor erwische.

Mike: Jo, passt. Alles klar.

Und hier die Übersetzung:

Hassan: Muhammed, Chef unserer Zelle, machen wir einen Anschlag in Hamburg?

Muhammed: Nein, Hamburg ist weit weg. Ein Anschlag in Berlin wird den deutschen Behörden größere Kopfschmerzen bereiten!

Hassan: Mit Berlin bin ich einverstanden.

Muhammed: Außerdem kann man das Fahrzeug mit den Bomben besser in die Innenstadt fahren und es gibt viel weniger Polizisten.

Hassan: am 19.10.?

Muhammed: ja, so machen wir das.

Abwegig für normale Menschen? Vermutlich.  Abwegig für Geheimdienste die anscheinend die Hälfte ihrer Arbeitszeit mit der Suche nach wirren Szenarien verbringen um ihr Budget zu erhöhen? Offensichtlich nicht (PPT)!

Nachtrag:

Bruce Schneier schreibt zur Gefahr von Terroristen die Pläne für Anschläge in World of Warcraft diskutieren: „My guess is still that some clever Pentagon researchers have figured out how to play World of Warcraft on the job, and they’re not giving that perk up anytime soon.“

Das ist doch mal eine sehr schöne Aktion der PC Games zur bayrischen Landtagswahl:

Die Fotos von Joachim Herrmann (Bay. Innenminister, CSU), Christine Haderthauer (Generalsekretärin der CSU), Markus Söder (Bay. Europaminister, CSU) und Günther Beckstein (Bay. Ministerpräsident, CSU) aufgereiht wie auf einem Wahlplakat und darunter der Slogan: „Ich wähle keine Spielekiller“.

Ausgerechnet die CSU-Landtagsfraktion, also genau die, die sonst gerne Computerspieler pauschal verunglimpfen und diffamieren, hat sich bereits gegen diese Diffamierung gewehrt. Tja schon seltsam, dass der CSU die eigene Medizin nicht schmeckt.

Persönlich halte ich die CSU zur Zeit ja auch für nicht wählbar. Beckstein hat den Schritt vom populistischen Innenminister zum Landesvater nicht geschafft und wird das auch nicht mehr. Die Law-and-Order Mentalität hängt ihm viel zu sehr nach. Beckstein ist beispielsweise für den Einsatz der Bundeswehr im Inneren und hat durchgesetzt, dass in Bayern bereits seit August 2008 der „Bayerntrojaner“ zum Ausspionieren der Bevölkerung eingesetzt werden kann. Dazu gehört auch, dass die Ermittler in Bayern nicht nur Computer verwanzen, sondern sogar die Wohnungen Betroffener heimlich betreten dürfen um Spionagesoftware („Trojaner“) auf Computern zu installieren. Wie das mit dem Grundgesetz vereinbar sein soll, weiß ich allerdings nicht. Einen Mielke 2.0 will ich jedenfalls nicht als Ministerpräsidenten.

Langsam sollte es eigentlich auch der letzte wissen:

In die Allgemeinen Geschäftsbedingungen eine Klausel reinzunehmen, dass Kunden in den Empfang von Werbe-SMS und -E-Mails einwilligen ist unzulässig. Das ist laut BGH eine „unzumutbare Belästigung“ der Verbraucher. Da hilft auch ein Kästchen „hier ankreuzen, falls die Einwilligung nicht erteilt wird“ nicht. Verloren haben übrigens die Datenkraken von Payback, die jedoch weiterhin munter alle Daten sammeln und auch an Werbepartner weitergeben dürfen.

Zusammenfassend:

Für normale Briefpost ist das Opt-out zulässig, notfalls muss man sich auf die Robinsonliste des DDV (Antrag, PDF) setzen lassen. Das ist angemessen, weil der Werbetreibende bereit ist gewisse Kosten für die Briefpost aufzuwenden. Alleine diese Kosten beugen einigem Missbrauch vor.

Für alle neuen Medien (Telefon, E-Mail, SMS) bei denen die Verbreitung von Nachrichten für den Werbetreibenden sehr günstig ist, ist das explizite Opt-in notwendig. Wenn (wie z.B. bei Newslettern) eine Anmeldung auch mit fremden Mailadressen möglich ist, bleibt nur das Double-Opt-in Verfahren.

Ach ja, auf die Frage an der Kasse: „Haben sie eine Payback-Karte?“ antworte ich immer mit „Sind sie völlig wahnsinnig? Dies Datenkraken! Da kann ich ja gleich meine Seele an den Teufel verkaufen!“. Das funktioniert recht gut hier in Bayern.

Ich habe eine Weile überlegt, ob ich zu den aktuellen Datenschutzskandalen überhaupt viel schreiben soll. Einerseits war so ein Skandal längst überfällig, gerade im Hinblick auf die vielen Identitätsdiebstähle in den USA und in Großbritannien. Auf der anderen Seite war vielleicht noch ein wenig die Hoffnung, im Land der Seeligen zu leben.  Zum aktuellen Stand gibt es unten eine kleine Presseschau. Ich selbst will nur zwei Punkte loswerden, die mir persönlich wichtig sind.

1. die Politik 

Wo sind denn unsere heroischen Kämpfer gegen die Kriminalität, wenn die Bürger tatsächlich real durch echte Verbrecher bedroht werden und nicht nur durch terroristische Phantasiespinnereien im Kopf eines Rollstuhlfahrers? Wo ist der GröIaZ Schäuble? Warum fordert er nicht die Todesstrafe, Guantanamo Bay und 150 Jahre verschärfte Einzelhaft? Statt dessen schafft er es gerade mal, zu einem „Kriesengespräch“ ins Bundesinnenministerium einzuladen. Das klingt ganz nach Kohlscher Aussitzungstradition.

Wo ist der bayrische Scharfmacher Beckstein, der geistig Innenminister geblieben ist und nie zum Landesvater reifen wird? Warum genügt es ihm, im Wahlkampfbus durch die bayrische Provinz zu touren und über einzelne kriminelle Ausländer zu referieren statt die echten Probleme der ständigen Erosion des Datenschutzes anzusprechen? Ganz zu Recht wurde er in Freising während seiner gesamten Rede über zwei Stunden ausgepfiffen (ok, es ging mehr um die dritte Startbahn am Münchner Flughafen aber schön fand ich das trotzdem. Ich bin extra hin um mir das anzukucken).

Immerhin spät aber trotzdem peinlich auch der Bundesbeauftragte für den Datenschutz Herr Schaar. Höhere Bußgelder, ist das alles was ihnen dazu einfällt, Herr Schaar? Wie wäre es, die Banken in die Pflicht zu nehmen und bei widerrechtlicher Abbuchung die Rückforderungsfrist auf 12 Monate zu verlängern?

Wenigstens konnte sich der Leiter des Unabhängigen Landesdatenschutzzentrums Schleswig-Holstein, Dr. Thilo Weichert zu konkreten Aktionen aufraffen. Als (soweit ich weiß) einziger Datenschützer stellte er Strafanzeige gegen einzelne Unternehmen bzw. unbekannt. In einer detaillierten Stellungnahme äußert er sich auch zu möglichen Konsequenzen. Voraussichtlich wird von der Politik keine einzige seiner Forderungen umgesetzt.

2. die Datensammelwut des Staates

Eigentlich sollte inzwischen auch die letzte Oma kapiert haben, dass einmal vorliegende Daten auch missbraucht werden. Dabei ist es völlig egal, ob es sich um die Autobahnmautdaten, die biometrischen Reisepässe, die Gesundheitskarte oder die neue Steuerzahleridentifikationsnummer (TIN, Taxpayer Identification Number, welcher Bundesdepp hat sich eigentlich den Anglizismus ausgedacht?)  geht.

Gerade die Steuerzahleridentifikationsnummer ist auf dem besten Weg zum bundeseinheitlichen Personenkennzeichen zu werden. Aber auch die zukünftig auf der Gesundheitskarte gespeicherten Daten die eventuell vielleicht mit der Arzt-PIN ohne Wissen des Patienten abgefragt werden können, weil der Patient ja zu doof ist, seine PIN einzugeben, werden viele Begehrlichkeiten wecken.

Vielleicht kam der Skandal gerade noch rechtzeitig und der „mündige Bürger“ wacht auf und sieht, in welche Richtung sich unser Staat gerade entwickelt.

Begeben Sie sich direkt nach 1984. Gehen Sie nicht über Los. Ziehen Sie nicht 4000 Euro ein. 

Wie schön, dass es in Europa inzwischen sogar zwei Behörden gibt, die uns vor Cyberangriffen schützen sollen. Zum einen haben wir da die ENISA (European Network and Information Security Agency), eine Behörde deren Namen ein wenig an die diversen US-Agencies erinnert und die hauptsächlich mit konstituierenden Sitzungen beschäftigt ist.

Die NATO wiederum plagt sich ja auch schon eine Weile mit dem Gedanken, was in Richtung IT-Sicherheit zu unternehmen. Anscheinend waren die Angriffe auf Estland jetzt so ein Geldbeutelöffner. Inzwischen hat man sich auch zu einer Entscheidung aufgerafft und will  die NATO Communications Services Agency (NCSA) zu einerAnti-Cyberwar-Truppe ausbauen. Immerhin haben die einen deutschen Chef, die „Main Goals (1,5 MB Powerpoint)“ klingen jedenfalls sehr nach blabla.

Ich frage mich ja, wer dann wofür zuständig sein soll. Die ENISA hat den Vorteil, eine rein Europäische Veranstaltung zu sein. Dafür halte ich sie nicht wirklich für eine schlagkräftige Truppe. Die NCSA hat dafür NATO-Ressourcen und eventuell US-Unterstützung im Hintergrund, dafür aber auch eine eher militärische Ausrichtung. Nur … war der Angriff auf Estland jetzt ein Hacker-Angriff von ein paar Kriminellen und damit eher eine ENISA-Angelegenheit oder ein Cyberterroristischer Angriff aus Russland (wie Estland behauptet, auch wenn es keine Beweise dafür gibt) und damit eher eine NCSA-Angelegenheit?

Die EU hat beschlossen, ENISA weitere drei Jahre zu finanzieren. Die Existenz ist daher bis 2012 gesichert. Was danach passiert? Keine Ahnung, auch wenn der ENISA-Direktor Andrea Pirotti erklärt, die EU braucht auch nach 2012 sichere IT-Systeme.

Die EU sollte sich mal dringend ein Beispiel an den USA nehmen. Dort passiert wirklich was, da ist Budget da, da gibt es Kooperationen mit Universitäten und Forschungslabors; nur die Europäer sind wieder zu blöd dafür.

Der Skandal um das mutmaßliche Ausspähen von Daten durch Mitarbeiter der Dt. Telekom zeigt meiner Ansicht nach genau, was die Folge der Vorratsdatenspeicherung sein wird:

1. Sobald Daten erst einmal vorliegen, werden sie auch missbraucht. Da ist es völlig egal, ob es sich um Abrechnungs- und Gesprächsdaten der Telekom oder Vollzugsdaten der Polizei handelt. Der einzige wirksame Schutz ist der Verzicht auf die Speicherung der Daten.
2. Auch wenn heute der Zugriff nur für die Bekämpfung von Terroristen geplant ist, wer definiert denn morgen, was Terroristen sind? Von der CDU-Abgeordneten und ehemaligen Ministerin Reiche werden Umweltschützer die nicht ihrer Meinung sind gerne mal als „Bio-Terroristen“ bezeichnet. Bundestagsabgeordnete sind vor Strafverfolgung leider auch bei Beleidigung geschützt. Die verunglimpften Umweltschützer jedoch können die volle Härte der Terrorgesetze erwarten.
3. Die nächste Hürde die fällt ist der Richtervorbehalt. In Österreich ist es bereits so, dass jeder Polizist unkontrolliert Zugriff auf alle diese Daten hat. Und dann wundert sich jemand über Missbrauch?
4. Jeder von uns hat etwas zu verbergen. Besonders zu nennen ist in dem Zusammenhang der ehemalige Bundesinnenminister Schily. Das ist der Mann, der von uns immer verlangt hat, wir hätten doch nichts zu verbergen. Aber was hat dann Schily zu verbergen? Illegale Einkünfte? Oder warum weigert sich der Mann beharrlich, Gesetze einzuhalten? Und wieso sitzt der überhaupt noch im Bundestag?

Ich hoffe ja, dass endlich ein paar mehr Leute in diesem faulen Staat aufwachen und erkennen, dass etwas ganz grundlegend falsch läuft. Aber vermutlich ist die aktuelle Aufregung lediglich ein winziges Strohfeuer.

In der IEEE Spectrum, der Hauszeitung der IEEE wurde eine interessante Frage aufgeworfen:

„Are chip makers building electronic trapdoors in key military hardware? The Pentagon is making its biggest effort yet to find out“

Das Problem für die USA ist, dass zwar viele Entwicklungen in den USA gemacht, aber in China gefertigt werden und China ist nuja nicht der beste Freund der USA. Jedenfalls gibt es nun massive Bestrebungen, den amerikanischen Militärisch-Industriellen Komplex mit sicherer getesteter Hardware zu versorgen. Das ist gar nicht so einfach denn die ersten Outsourcing-Unternehmungen stammen aus den 60er Jahren und heute betreiben nur noch Intel und vielleicht IBM genug eigene Fabriken um alle Chips selbst fertigen zu können. In den 80er Jahren betrieb das US DoD sogar eine eigene Chipfertigung die jedoch aus Kostengründen eingestellt werden musste.

Und nun fürchtet man, die Chinesen könnten ihnen modifizierte Hardware unterschieben, die z.B. auf ein bestimmtes Signal hin den Geist aufgibt. Ein einem zukünftigen militärischen Konflikt wäre das ein unendlich großer Vorteil.