Datenspionage

[itari]

Schützen können sich die Unternehmen nach Aussagen vieler Experten allerdings kaum gegen Angriffe der Geheimdienste, wenn diese Ernst machen. „Wenn wir von den großen, technischen Nachrichtendiensten sprechen: Die können alles“, sagte Sandro Gaycken von der Freien Universität Berlin dem Handelsblatt.

Er ist Experte für Cyber-Krieg und Hochsicherheits-Infrastrukturen. Technische Geheimdienste kämen auch in geschlossene Netzwerke hinein. „Die Sicherheitsstandards der meisten Unternehmen und Internetfirmen sind nicht so gut, um solche Nachrichtendienste aufzuhalten, von Privatleuten ganz zu schweigen.“

Auch Verschlüsselung hilft nur bedingt. „In Abhängigkeit vom Produkt entscheidet der Nutzer dennoch lediglich nur, welcher Nachrichtendienst mithört“, so Experte Schnapp. „Hinzu kommt, dass mit entsprechenden Hochleistungsrechnern auch starke Verschlüsselungen geöffnet werden können.“

http://www.fr-online.de/wirtschaft/spionage-nsa-angriffe-aus-dem-netz,1472780,23790968.html

Itari

 

[Tommes]

Sicher ist nur der Tod

Tommes.

 

[klaas]

Sicher ist nur der Tod

Tommes.

Nicht vergessen: Es gibt zwei Dinge, die absolut sicher sind: Tod und Steuern.

Klaas

 

[Ap0phis]

... und Steuern

... sagt "Otto Normalverbraucher"!?

 

[Tommes]

... Sagt "otto normalverbraucher"!?

 

[Mike0185]

Ich möchte hier mal noch was nachreichen, was ich gerade auf Chip-Online gelesen habe:

26.07.2013, 13:00
NSA: HTTPS-Masterkey und Passwörter verlangt

Die Überwachungsbegierde der amerikanischen Behörde NSA treibt immer buntere Blüten: Jetzt wurde bekannt, dass die Spione auch hinter https-Schlüsseln her seien und dass sie Firmen zu überreden versuchten, pauschal ihre Kundendaten - vor allem aber deren Passwörter - preiszugeben. Das berichtete das Magazin Cnet unter Berufung auf anonyme Quellen und zugespielte Dokumente.

Die Passwörter von Nutzerkonten werden meist in verschlüsselter Form vorgehalten - so will es der Kunde und so will es in den meisten Ländern auch der Gesetzgeber. Wer die Passwörter hat, kann im Namen des Kunden alles Mögliche publizieren - Geheimnisse gibt es nicht mehr. Ein anonymer "Branchenvertreter" wird mit den Worten zitiert, er selbst habe Anfragen der NSA nach diesen verschlüsselten Kunden-Passwörtern erhalten, diese aber nicht so ohne Weiteres herausgerückt. Andere Anfragen der Behörden (in den USA und bei US-Firmen) hätten sich um die Sicherheitsfragen und -Antworten gedreht, mit denen ein Nutzer identifiziert wird.

Ein ständiges Kräftemessen
Von Microsoft und Google heißt es in dem Bericht, sie hätten auf Nachfrage verneint. Auch andere IT-Firmen hätten die klare Haltung, dass der Kundendatenschutz vorgeht. Man weise den Behörden auf solch pauschale Anfragen hin die Tür, hieß es. Dass solche Anfragen auf der Ebene "Rücken Sie bitte alle Kundendaten und Passwörter heraus" existieren, leugnete allerdings demnach keine Firma. Damit hat die Datensammelwut der NSA eine neue Qualität erreicht. (kas)

Hier der Link zum Artikel / Quelle

 

[süno42]

War irgendwie zu vermuten, daß der Ruf nach den privaten Schlüssel ertönt.

Aber wer sagt eigentlich, ob die Geheimdienste nicht schon Freunde bei den CA-Unternehmen (oder Internediate-CA-Anbieter) haben beziehungsweise eigene Leute eingeschleust haben. Dann wäre es eigentlich möglich, Zertifikatdubletten auszustellen. Diese könnten dann für eine Man-In-The-Middle-Attacke genutzt werden. Vermutlich würde kein Browser meckern, da die Zertifikatkette in Ordnung ist. Nur der Fingerabdruck des Zertifikats wäre anders. Aber welcher Browser würde meckern, wenn er innerhalb des Gültigkeitszeitraumes zwei von der Zertifikatkette her gültige Zertifikate präsentiert bekommt, die sich nur in den Fingerabrücken unterscheiden. Vermutlich bleibt es unbemerkt.


Viele Grüße
Süno42

 

[itari]

bei der Recherche, ob die NSA auch mal etwas mit der Stasi zu tun gehabt hat (hat sie *gg*), bin ich auf folgenden historischen (1987) Artikel gestoßen: http://www.spiegel.de/spiegel/print/d-14010746.html

es wird klar, dass

(1) die NSA schon immer (deutsche Politiker) in West-Deutschland ausspioniert hatte
(2) es kein großes deutsches Interesse dafür gab, als die Unterlagen in der Gauck-Behörde lagerten
(3) es offensichtlich völlig ohne Anweisungen von Ministerien oder parlamentarischer Aufsichtsgremien möglich war, die Unterlagen (so 13.000 Seiten) in die USA verschwinden zu lassen
(4) es wohl kein Neuland ist, weder für die Geheimdienste noch für die Politik
(5) Whistle-Blower richtig arg verknackt werden

Itari

 

[maDDin_1338]

natürlich wird / kann jeder Bürger ausspioniert werden..

wär ja gelacht wenn nicht...

es wird hald nicht breitgetreten..

nochdazu geben ja sehr viele leute ihr privatleben öffentlich (facebook und co.)
es kommt davon hald wenig ans licht, bzw. 99% der facebook user ist es ja egal (sollen sie es doch wissen, is doch mir egal)

aber dann nen rießen aufschrei machen, wenn es doch im vorfeld absolut klar ist, was mit den daten passiert..

hollywood erfindet ja nicht nur märchen (z.B. Datenspionage in Bourne, ist für mich immer das klassische beispiel)

 

[jahlives]

@Mike0185

meine privateKeys (SSL) könnte ich der NSA ohne Sorge geben. Damit können die genau nichts entschlüsseln Nennt sich perfect forward secrecy (http://de.wikipedia.org/wiki/Folgenlosigkeit_(Kryptographie))
Mit dem PrivateKey können die Sitzungsschlüssel zwischen Server und Client eben nicht gebrochen werden, wenn man entsprechende PFS-fähige Ciphren auf dem Server anbietet. Hier kann man seine HTTPS Server recht ausführlich testen und es gibt sehr viel Infos zum Thema (https://www.ssllabs.com/ssltest/index.html)

 

[itari]

natürlich wird / kann jeder Bürger ausspioniert werden ...

es sind verschiedene Dinge, die man nicht vermengen sollte

(a) man gibt selbst Informationen wissentlich über ein soziales Netz an die Welt ... das ist in meinen Augen ok ... es wäre aber schon nicht mehr ok, wenn jemand dieses Wissen benutzt, um mir zu schaden (Arbeitgeber, Nachbarn usw.), denn das gehört sich nicht. Es sollte zum Beispiel die Möglichkeit geben, das gerichtlich zu unterbinden wie bei einer üblen Nachrede ... es sollte so sein, dass du etwas weißt als Leser, es aber nicht benutzen darfst, selbst wenn es öffentlich ist ... schwer zu verstehen, aber so etwas wäre fair. Und klar, wenn ich irgendwann der Meinung bin, die Information zu ändern(berichtigen) oder zu löschen, dann muss man das dürfen/veranlassen können und auch ein Klagerecht dafür erhalten

(b) man gibt selbst Informationen unwissentlich ins Netz ... dann sollte man die Möglichkeit haben, zu erfahren, wer es weiß (wo es gespeichert ist) und das Recht erhalten, diese Information zu löschen, zu berichtigen, zu ändern, ggf. ein Verfallsdatum definieren können usw. wie bei (a)

(c) man gibt selbst Informationen verschlüsselt ins Netz ... dann sollte man darauf vertrauen können, dass niemand ein Recht hat, diese Verschlüsselung aufzuhebeln und es auch nicht tut (egal aus welchem Grund) ... mir ist klar, dass wenn man Recht hat, nicht unbedingt auch sein Recht durchsetzen kann, aber es macht die Geschichte ausgewogener ... ansonsten gilt (a)

(d) man wird im Netz beobachtet ... dann sollte man das Recht haben, den Anlass, Zeitraum, Qualität usw. der Beobachtung zu erfahren und gerichtlich dagegen vorzugehen bzw. die Beobachtung zu unterbinden und einen möglichen Schaden einklagen zu können ... das mag alles aufwendig sein, gehört sich aber so

(e) man sollte sich fragen, ob ein Geheimdienst effektiv ist, der bislang weder die weltweite Kriminalität beseitigt noch sämtliche mafiösen Organisationen zerschlagen hat, es aber von sich behauptet, äußerst wirksam genau solches zu tun ...

noch eine Anmerkung zu Bourne-Filmen ... wie kontrolliert man die Kleingeistigkeit der Akteure, denn das ist ja die Story

Itari

 

[jahlives]

a) viele Arbeitgeber googlen einem heute bevor sie jemanden einstellen
b) und wenn die Infos schon in alle Welt kopiert wurden z.B. durch SuMas und deren Caches?
c) und wenn man via verschlüsselte Verbindung z.B. Kipo verteilt? Sollten dann die Behörden nicht das Recht haben diese Verschlüsselung versuchen zu brechen und an die Inhalte zu kommen?
d) da stimme ich dir vollumfänglich zu. Sollte wie bei einer physischen Beobachtung geschehen. Mindestens im Nachhinein muss man über die Überwachung informiert werden
e) von den Geheimdiensten zu erwarten dass die alles Böse besiegen könnten ist etwas utopisch, oder?

Wie "effektiv" Überwachung sein kann zeigen die europäischen Länder mit den schlimmsten Anschlägen (England und Spanien). Trotz mehr Videokameras als Einwohner (England) gingen dort Bomben hoch. Auch in Spanien explodierten mehrere Bomben.

 

[itari]

hi Tobi,

meine Aufzählung klingt etwas utopisch. aber angesichts der technische Möglichkeiten bleibt uns ja nur das Rechtssystem, um die Privatheit zu garantieren ... ich mach mal ein Beispiel: wir drehen uns bei Fremden um, wenn sie sich entblößen, weil wir das Schamgefühl akzeptieren ... freiwillig. Und genauso sollte es auch bei Fotos sein oder anderen Privatheiten ... und ganz ehrlich, eine Scharia braucht es bei mir nicht, um das zu respektieren (selbst wenn ich ganz neugierig bin) ... aber bei den Daten muss man erst das Bewusstsein schaffen, deswegen Rechte

wenn wir hier im Forum jemanden darauf aufmerksam machen, dass er seine Daten allzu öffentlich macht ("isch hab alle 45000 Filme raubkopiert - verstehst eye - jetzt brauch isch was zum Speichern"), dann halten wir uns an (a) und (b)

natürlich dürfen Geheimdienste und Polizei und Staatsanwalt mehr als andere ... und sie können von mir aus auch (nach entsprechendem Gerichtsbeschluss) auch Verschlüsselungen brechen ... aber die Frage wäre, ob sie die dann gewonnenen Erkenntnisse auch für ein Verfahren einsetzen dürfen - ich denke an die nicht ganz unumstrittene Steuer-CD-Geschichten ... ist nicht so glanzklar, es bleiben trübe Flecken

noch eine schöne kleine filmische Darstellung: http://mediathek.daserste.de/sendun...5949726_orwell-2-0-wie-glaesern-ist-der-user-

Itari

 

[jahlives]

Hoi itari,

natürlich dürfen Geheimdienste und Polizei und Staatsanwalt mehr als andere ... und sie können von mir aus auch (nach entsprechendem Gerichtsbeschluss) auch Verschlüsselungen brechen ... aber die Frage wäre, ob sie die dann gewonnenen Erkenntnisse auch für ein Verfahren einsetzen dürfen - ich denke an die nicht ganz unumstrittene Steuer-CD-Geschichten ... ist nicht so glanzklar, es bleiben trübe Flecken

das Problem beginnt für mich schon früher, bei der Aufzeichnung der Daten. Das Ganze "wir zeichnen mal präventiv alles auf und gucken dann was wir wirklich brauchen" ist für mich die eigentliche Problematik. Weil wenn man die Daten mal hat ist ja eigentlich bereits ein Bruch des Rechts auf informelle Selbstbestimmung erfolgt. Bei Post und Telefon ist es ja recht klar, dass ohne Gerichtsbeschluss noch nichtmal aufgezeichnet werden darf, geschweige denn ausgewertet.
Das mit den Steuer-CDs ist auch so eine Sache: eigentlich ist das ähnlich zu sehen wie ein Whistleblower. Denn nach CH-Recht ist Steuerhinterziehung sehr wohl nicht erlaubt und auch strafbar. Wenn also eine (oder mehrere) Banken sich an Steuerhinterziehung dumm und dämlich verdienen, dann kann ich schon verstehen wenn es Whistleblower gibt. Die Frage wie man an diese Daten gekommen ist, ist für mich jetzt nicht so wichtig. Ob dabei Gesetze gebrochen wurden sollte auch keine Rolle spielen dürfen. Denn sonst gibt es ja gar keine Möglichkeit für Whistleblower, da sie wohl immer Gesetze brechen müssen. Manning und Snowden haben massiv gegen US-Recht verstossen.
Jetzt kommt es zu der Gretchenfrage: Darf der Zweck die Mittel heiligen? Und darüber könnte man wohl ganze Bücher schreiben

Gruss

tobi

 

[itari]

das Problem beginnt für mich schon früher, bei der Aufzeichnung der Daten. Das Ganze "wir zeichnen mal präventiv alles auf und gucken dann was wir wirklich brauchen" ist für mich die eigentliche Problematik. Weil wenn man die Daten mal hat ist ja eigentlich bereits ein Bruch des Rechts auf informelle Selbstbestimmung erfolgt.

das mag man so sehen ... ich denke nur, dass es rein pragmatisch nicht möglich ist, die Aufzeichnung zu verhindern ... das ist so, wie Daten im Cache oder Router oder in der Swap ... wie willst die verhindern ... du kannst nur ans 'weggucken' appellieren und denjenigen, der trotzdem hinguckt, ächten

über das Gretchen wurden schon Bücher geschrieben gab es da nicht auch mal was Historisches in der Schweiz, wo gegen alle Gesetze ein Tyrannenmord legalisiert wurde?

Itari

 

[Theslowman]

Es ist schon viel zu spät für Privatsphäre, aber viel interessanter ist doch das man Datenschutzverletzungen ( siehe Europe gegen facebook als Beispiel ) nicht einklagen kann...... Ist schon clever gemacht....

 

[Frogman]

aber viel interessanter ist doch das man Datenschutzverletzungen ( siehe Europe gegen facebook als Beispiel ) nicht einklagen kann...... Ist schon clever gemacht....

Dazu mal der Hinweis auf das Safe Harbor-Abkommen, was das Ganze aus wirtschaftlichen Interessen heraus legalisiert hat - wenn es inzwischen auch bewiesen hat, wie wenig US-Firmen, wenn sie sich mit einem europäischen Sitz schmücken (bspw. Facebook in Irland), damit im Zaum gehalten werden können, solange es Dinge wie den Patriot Act gibt... Ich sehe es so wie jahlives auch - das Problem ist bereits das massenhafte Beiseitelegen von gecachten Daten, nur um darin nach etwas zu suchen, von dem man vorher noch gar keine Ahnung hatte. Es gibt keine Unschuldsvermutung mehr, sondern pauschale Schuldvermutung.

 

[jahlives]

Das wird ein interessanter Thread

@itari
nur weil man etwas nicht verhindern kann, kann man es doch trotzdem gesetzlich verbieten, oder? Sonst bräuchte man ja (fast) keine Gesetze ;-)
Es braucht griffige Gesetze, die solche "Taten" unter Strafe stellen und es müssen alle bestraft werden: der Hacker-Schorsch genau gleich wie NSA & Co. Man könnte dann ja als Konsequenz den beteiligten Diensten die Budgets zusammenstreichen und Verantwortliche persönlich (vor Gericht) zur Rechenschaft ziehen.

Nicht falsch verstehen: gegen eine gezielte Überwachung, bei konkreten Verdachtsfällen auf schwere Straftaten halte ich eine noch so umfangreiche verdeckte Überwachung der Verdächtigen für voll okay. Aber es kann doch nicht sein, dass man die Unschuldsvermutung der breiten Masse einfach so übern Haufen wirft, nur weil man eventuell 1 oder 2 schwere Straftaten verhindern kann.

Oft hört man in Diskussionen zu diesem Thema: "Ach mich betrifft das ja nicht, ich mach ja nichts Böses". Das ist gelinde gesagt einfach nur blauäuigig und sehr egoistisch. Ein einzelner kann gut mit geschlossenen Augen über die Strasse gehen. Er/Sie dürfte das wohl ziemlich sicher überleben. Machen das jedoch morgen 4 Mrd Menschen, dann haben wir am Abend 500 Mio weniger Erdenbürger
Was für den Einzelnen okay ist muss noch lange nicht gut sein für die Gesellschaft als Ganzes.

Gruss

tobi

 

[itari]

es gibt da eine öfters (im Indernetz) zu lesende Geschichte, die ein wenig nachdenklich machen sollte ...

hast du mal falsch geparkt in Holland oder bist im Parkverbot gewesen oder die Parkzeit war abgelaufen oder gar zu schnell gefahren? Nichts Schlimmes eigentlich ... da kriegst halt ein Knöllchen. Irgendwer ermittelt über das Kfz-Kennzeichen deine Adresse ... und jetzt kommst es: du warst es nicht und fällst aus allen Wolken, wieso nach dir gefahndet wird als wärst ein Schwerverbrecher ... solltest den Mut haben trotzdem noch nach Holland zu fahren, wirst verhaftet und nur gegen eine hohe Kaution wieder frei gelassen. und du behauptest, du wärst unschuldig und keiner glaubt dir ...

es liegt an den deutschen Nummernschildern, denn die haben einen Bindestrich und trennen damit Ortvorwahl von der Durchwahl *gg* ich mach das mal fiktiv: ABC - D 123 und wenn du AB - CD 123 zufällig hast, dann hast sehr schlechte Karten. Warum? Weil die Holländer keinen Bindestrich kennen und ihr Kennzeichen (meist 6stellig) in einem Rutsch durchschreiben und gar nicht auf den Gedanken kommen, dass es anders sein könnte ... ganz schlimm wird es, wenn der Gesuchte ABC - D 363 hat und du AB -CD 636, weil dann auch noch ein Zahlendrehen drinne ist ... getoppt kann das nur noch durch ne 4stellige Nummer werden: Also ABC - D 1234 wird gesucht, aber nach der 3. Zahl abgeschnitten, weils nicht mehr aufs Formular passt (oder die Eingabemaske) und du hast AB - CD 123 ... ganz schlecht ...

wieso ist das alles so ein Problem? Du könntest das ja einfach Richtigstellen und korrigieren ... ganz schlechter Ansatz ... denn keiner mag dich ... weder in Deutschland noch in Holland ... keiner will wahrhaben, dass da ein Fehler ist, weil man ja diese Masche kennt *gg* Du musst dich entscheiden: nie wieder Holland - zumindest nicht mehr mit _dem _Auto oder internationalen Prozess führen ... (ich hab ein wenig übertrieben, aber so kommst dir halt vor, wenn dich das Schicksal erwischt hat)

Moral der Geschichte: du kannst durch falsche Daten und sture Bürokraten ganz schon in die Scheiße reiten ... und genau das ist das Gegenargument zu: 'Ach betrifft mich nicht ... hab ja nichts zu verbergen'

du glaubst nicht? aber warum ist zwischen den Einwohnermeldeämtern und dem Zensus eine Abweichung von mehreren Prozenten? das müsste dich hellhörig machen oder den Glauben verlieren lassen oder so

Itari

 

[Frogman]

Gegenargument zu: 'Ach betrifft mich nicht ... hab ja nichts zu verbergen'

Mein Gegenargument: doch, ich habe etwas zu verbergen - meine Privatsphäre. Wie jeder andere auch.

Es ist beileibe keine ferne Utopie mehr, dass Menschen machtlos zusehen müssen, wie sie virtuell nicht nur durchleuchtet werden, sondern damit auch ohne ihr Wissen kategorisiert werden. Heute reden wir noch von emails, Facebook-Fotos und vielleicht auch mal 'nem heissen Skype-Chat mit der Freundin - doch morgen könnten noch ganz andere Dinge Ziel der Begierde sein: elektronische Identitäten, DNA-Daten für Biometriesysteme, Krankenakten. Wer weiß, vielleicht sind sie es schon? Wer möchte sich dann noch auf vermeintlich sichere staatliche CAs, Signaturen und Verschlüsselungssysteme auf bereits vom Hersteller verseuchten Computern verlassen? Wer würde sich dann noch wundern, wenn bspw. sein Antrag auf eine Lebensversicherung abgelehnt wird, weil man dort über eine Genanalyse mehr über die eigene Zukunft wüßte als man selbst? Wie würden man sich fühlen, wenn man sich plötzlich dem öffentlichen Pranger ausgesetzt sähe, man hätte mit seiner persönlichen Signatur diese oder jene Aussage öffentlich legitimiert, was aber nie geschehen ist?
Man sollte sich außerdem bewußt sein, dass es hierbei nicht nur um staatliche Gewalt geht, was schon fast Gefühle der Ohnmächtigkeit erzeugt - nein, hinter all denn Datensammler-Konzernen und -Diensten stecken Menschen, von denen manche vielleicht auch nur ihren eigenen Vorteil suchen, indem sie diese Daten zu Geld machen. Sei es der Konkurrent um ein lukratives Geschäft oder der unbequeme politische Gegner: intimste persönliche Informationen sind in unserer Gesellschaft Milliarden wert - wo doch schon ein einfacher frischer Gesamtdatensatz eines Durchschnittsbürgers (Name, Anschrift, email-Adresse, Telefonnummern) auf dem Datenmarkt erheblich mehr als 1000 EUR bringt. Da erscheint dann der persönliche Online-Rachefeldzug des Typen, dem man die Freundin ausgespannt hat, ja fast schon als Kindergartengeplänkel - doch auch dieser dürfte ziemlich weit über die heutigen Mobbing-Grenzen hinausschießen, wenn sich dann auf dem grauen Datenmarkt für'n lumpigen Fuffi Geschütze aller Kaliber beschaffen lassen...