WLAN-Haftung mit Anonymisierungsdiensten umgehen

Richten Sie einen anonymisierten drahtlosen Internetzugang (WLAN) ein, indem Sie einen WLAN-Router mit einem Anonymisierungsdienst verbinden. So geht’s:

Inhaltsübersicht
1. Anonymisierungsdienste und Vorratsdatenspeicherung
2. Wann ist eine Anonymisierung mehrerer Rechner sinnvoll?
3. Welche Anonymisierungsdienste sind für den Router geeignet?
4. Die DrayTek-Vigor-Modelle im Test
5. Der Linksys WRT54GL mit FreedomRouter-Firmware im Test
6. Fazit

1. Anonymisierungsdienste und Vorratsdatenspeicherung

Vor einiger Zeit hatte ich einen Test zahlreicher Internet-Vollanonymisierungsdienste veröffentlicht, den ich seitdem immer wieder fortgeschrieben habe. Der Schwerpunkt liegt dabei auf solchen Diensten, die den gesamten Datenverkehr möglichst verschlüsselt über einen Mittler-Server des Anonymisierungsanbieters leiten. Man spricht dabei von einem VPN-Tunnel (Virtual Private Network). Vorteil dessen ist, dass nach außen hin die eindeutige Kennung des Nutzers, die IP-Adresse, nicht mehr sichtbar ist, sondern nur die IP-Adresse des Anonymisierungsanbieters.

Nach der Vorratsdatenspeicherung, die nach dem Urteil des Bundesverfassungsgerichts in ihrer ursprünglichen Form zwar wegen mangelnder Schutzvorkehrungen für verfassungswidrig erklärt wurde, aber grundsätzlich wieder eingeführt werden kann und europarechtlich sogar möglicherweise eingeführt werden muss, mussten die Internetanbieter IP-Adresse und Zeit jeder Internetverbindung des Nutzers für 6 Monate speichern – und werden dies möglicherweise auch wieder müssen. Das lässt sich mit Anonymisierungsdiensten zwar nicht direkt verhindern, weil man dazu in das Rechenzentrum des Internetanbieters eingreifen müsste. Wenn man aber im Internet ständig mit anderer IP-Adresse auftritt als mit der vom Internetanbieter gespeicherten, werden quasi mehrere Identitäten geschaffen und die Speicherung der Erstidentität mit Original-IP führt ins Leere. Das setzt voraus, dass der Anonymisierungsanbieter seinerseits nicht auch vorratsspeichert oder zumindest Sammel-IP-Adressen für mehrere Nutzer verwendet (IP-Sharing), so dass eine IP-Speicherung zu keiner einzelnen Person führt. Auch sonst sollte man Anonymisierungsanbieter, zumal wenn rechtlich schwer greifbar, nicht in „Daten-Versuchung“ führen und von einer Datenangabe, auch indirekt durch Bezahlung per Kreditkarte oder Paypal, absehen.

Weiterer Vorteil von solchen VPN-Anonymisierungsdiensten ist es, dass die seit einiger Zeit möglichen Internetsperren kraft Zugangserschwernisgesetz dadurch unterlaufen werden; selbst ohne Zugangserschwernisgesetz bleiben die Seitensperrungen gemäß Rundfunkstaatsvertrag. Es werden mit Anonymisierungsdienst nämlich zur URL-Abfrage nicht die Server des eigenen, sperrpflichtigen Internetanbieters zu Rate gezogen, sondern die des Anonymisierungsanbieters, der sich mit Sitz beispielsweise in Panama wenig um deutsche Sperrvorgaben scheren wird. Die Benutzung von Anonymisierungsdiensten ist legal.

2. Wann ist eine Anonymisierung mehrerer Rechner sinnvoll?

Problematisch ist, dass die genannten Anonymisierungsdienste gewöhnlich nur von einem Rechner aus nutzbar sind: Mit einer Software wird eine verschlüsselte Datenverbindung zum Anonymisierungsdiensteanbieter aufgebaut und fortan werden alle Daten des PCs darüber geleitet.

  • Oft gibt es pro Haushalt aber mehr als einen Rechner, der anonymisiert werden soll, etwa den PC der Eltern und den der Kinder. Das gilt im Besonderen, da die insoweit fehlgeleitete Rechtsprechung zur Haftung offener WLAN-Netze eine ungeschützte Nutzung selbst durch die eigenen Kinder ohne vorheriges Informatikstudium der Eltern zu einem nicht vertretbaren Risiko werden lassen. Selbst wenn nun der Bundesgerichtshof die Haftung des WLAN-Betreibers auf Unterlassungsansprüche begrenzt hat, bleiben erstens die Abmahnkosten, zweitens gilt deren Deckelung bei 100 € ausschließlich im Fall von Urheberrechtsverstößen (§§ 97, 97a UrhG). Gern arbeiten Rechteinhaber hier auch mit zweifelhaften Beweisen mit noch zweifelhafteren Zielen, so dass der Anschlussinhaber unter Umständen in Beweisnot gerät und selbst Schaden erleidet.
  • Außerdem hat sich etwa die Initiative Freifunk zum Ziel gesetzt, aus altruistischen Motiven heraus die Internetzugänge ihrer Mitglieder kostenlos Dritten zur Verfügung zu stellen, um so auch internetlose Gebiete zu versorgen, eigentlich ein erklärtes Ziel der Bundesregierung. Laut obiger Rechtsprechung kann der Betreiber aber selbst dann haften und Opfer teurer Rechtsstreitigkeiten werden, wenn er eigentlich nur helfen wollte und von den Verstößen Dritter weder etwas wusste noch diese wollte noch sie zumutbar verhindern konnte.
  • Weitere Vorteile auch bei Einzelplatznutzung sind, dass man durch Anonymisierung schon des Routers nicht mehr an den Aufbau der VPN-Verbindung denken muss und der eigene Rechner entlastet wird – was bei besseren Verschlüsselungen wie OpenVPN mit AES 256 nicht ganz unerheblich ist, zumal, wenn man mit Laptops arbeitet, die konstruktionsbedingt nicht so leistungsfähig wie Desktop-PCs sind. Gerade bei nicht brandaktuellen Rechnern kann es sogar die beim Rechner ankommende Bandbreite erhöhen, wenn die Verschlüsselungsarbeit nicht vom Rechner erledigt werden muss.
  • Nicht zuletzt muss man, wenn man alle Rechner zu einem Anonymisierungszugang bündelt, diesen nur einmal zahlen. Da die meisten Betreiber Flatrates anbieten, kommt es auf die Nutzungsintensität nicht an, solange der Anonymisierungsanbieter eine gebündelte Nutzung in seinen Nutzungsbedingungen nicht verbietet.

Gewöhnlich verwendet man für die „Verteilung“ eines Internetzugangs an mehrere Rechner einen sog. Router. Wenn sich ein Router nun nicht nur wie üblich über einen DSL-Anschluss einwählt, sondern außerdem anschließend bei einem Anonymisierungsdienst und den Verkehr aller angeschlossenen Rechner darüber leitet, so sind alle angeschlossenen Rechner automatisch anonymisiert. Fortan kann man seinen Zugang z.B. für Nachbarn oder Passanten öffnen, Beschwerden der Verwertungsgesellschaften wegen angeblicher Rechtsverstöße wandern direkten Wegs nach Panama o.ä.

Einerseits ist diese Lösung nicht ganz befriedigend, weil so auch schwere Rechtsverstöße kaum mehr verfolgt oder unterbunden werden können. Andererseits zwingt die fehlgeleitete und letztlich keinen rechten Halt im Gesetz findende Störerrechtsprechung der deutschen Zivilgerichte zu dieser Lösung, weil sonst nicht nur alle WLAN-Bereitsteller, sondern in der Konsequenz auch alle Internetanbieter schließen müssten oder Sperrzustände wie in China bestünden, weil die Nutzung des Internets ebenso wie aller anderen Mittel zu rechtswidrigen Taten nie ganz ausgeschlossen werden kann. Eine Software zur gezielten Verhinderung solcher Handlungen ist nicht konstruierbar: Solange irgendein Kommunikationskanal offen ist, können darüber stets beispielsweise harmlose Informationen oder urheberrechtswidrige Texte verbreitet werden. Eine Beobachtung des Datenverkehrs wäre sinnlos, weil mit Verschlüsselung ein Einblick verwehrt wird. Die Unterbindung von Verschlüsselungen ist unmöglich, weil mit Steganografie Verschlüsselung nicht mehr nachweisbar ist. Man denke an frühere Telefonate zwischen der DDR und Westdeutschland: Hieß es, das Wetter sei schlecht, konnte das ein Hinweis auf die politische Lage sein, aber nachweisbar war das nicht. Man hätte also entweder verbieten müssen, über das Wetter zu reden, oder man hätte Telefonate nicht zulassen dürfen. Übertragen auf die heutige Zeit heißt das: Man müsste das Internet verbieten, um Rechtsverstöße im Internet sicher zu verhindern. Unabhängig davon scheint es bei Abmahnungen immer öfter entweder um die Abmahnkosten zu gehen, oder sie sind sogar betrügerisch motiviert.

3. Welche Anonymisierungsdienste sind für den Router geeignet?

Die Einwahl bei einem Anonymisierungsdienst per Router setzt voraus, dass sich der Anonymisierungsdienst an einheitliche technische Standards hält. Das schließt Dienste mit einer eigenen, inkompatiblen Software, die sich nicht auf Router installieren lässt, aus. Von vornherein scheiden daher Anonymisierungsdienste wie Jondonym, Tor, SAD Cyberghost, Steganos Internet Anonym VPN, Safersurf oder Your Freedom aus.

Es muss eine Einwahl über die Standards OpenVPN, PPTP oder L2TP angeboten werden. OpenVPN setzt auf eine SSL-Verschlüsselung ähnlich wie beim Onlinebanking, die sehr sicher, aber etwas langsamer ist. Das Protokoll L2TP ist dann sicher, wenn es in Verbindung mit IPSec-Verschlüsselung eingesetzt wird, wobei IPSec wieder verschiedene Algorithmen zwecks Verschlüsselung unterstützt. Als wohl sicher gilt insoweit AES. Auch der ältere 3DES („Triple-DES“), der etwas unsicherer ist und mehr Rechenleistung benötigt, sollte für Nicht-Topterroristen ausreichen. PPTP mit MPPE-Verschlüsselung ist unsicherer, dafür leicht zu bedienen und schnell. Wir erinnern uns: Hauptziel sollte nicht sein, auf dem Weg zum Anonymisierungsdienst eine sichere Verschlüsselung zu erreichen und damit stümperhaft gegen Geheimdienste anzukämpfen, zumal die Daten hinter dem Anonymisierungsdienst ohnehin im Klartext ins Internet wandern, sondern die viel dringlichere Vorratsdatenspeicherung zu umgehen. Dazu reicht es, dass die Daten überhaupt über einen Anonymisierungsserver geleitet werden – wie hochwertig auf dem Weg dorthin verschlüsselt wird, ist meines Erachtens nachrangig. Und der Anonymisierungsanbieter sieht die Klartextdaten ohnehin, wenn er denn will, denn an seinem Knoten fließen die Daten unverschlüsselt ins Internet, und er kennt auch die Zuordnung zwischen Original- und Deck-IP, weswegen man zumindest auf vorratsspeicherfreie Anonymisierungsanbieter achten sollte. Der Anbieter Jondonym meint, man könne auch dem Anonymisierungsanbieter nicht trauen, und hat ein dezentrales Konzept entwickelt, wonach jede Verbindung über 3 Anbieter läuft, die nur bei kollusivem Zusammenwirken mitlauschen könnten. Das Verfahren ist gut und dank veröffentlichter Quelltexte auch transparent, kann aber wie erwähnt hier schon mangels Router-Kompatibilität keine Berücksichtigung finden.

Die Möglichkeit, Daten unterwegs zwischen dem eigenen Anschluss und dem Anonymisierungsanbieter abzuhören, haben außer dem Anonymisierungsanbieter selbst in erster Linie Geheimdienste, nicht Polizei- und Strafverfolgungsbehörden (allerdings auch korrupte Telekom-Mitarbeiter). Wer sich diesen entziehen will, kommt mit einem Billig-Anonymisierungsdienst ohnehin nicht weit. Es nützt auch nichts, eine möglichst starke Verschlüsselung zu wählen, da die meisten erfolgreichen Krypto-Attacken ganz anders funktionieren. Wer sicher gehen will, sollte lieber entweder etwas höherwertige Anonymisierungsdienste wie Xerobank bzw. Onyx oder Cryptohippie (oder ohne Router Jondonym) mit mehreren transnationalen Serverketten verwenden oder anderenfalls einfache Anonymisierungsserver in nahegelegenen, demokratischen, kontinentaleuropäischen Staaten mit gezügelten Geheimdiensten wählen. Wer andererseits einen Anonymisierungsserver in dubiosen Staaten mit schwacher Verschlüsselung verwendet, wird sich kaum darauf verlassen können, dass alle Geheimdienste, sonstigen Behörden und Unternehmen unterwegs gesittet weghören. Aus demselben Grund sind auch bei Filesharern beliebte russische Server ein zweischneidiges Schwert: Einerseits schert sich Russland zwar derzeit noch wenig um Urheberrechte, andererseits setzt man sich dem Wohlwollen der russischen Regierung und Wirtschaft aus, und in Russland und sonstigen abenteuerlichen Staaten stehen zwar nicht Urheberrechte, auch eben auch nicht Datenschutz und Menschenrechte weit oben auf der politischen Agenda. Außerdem haben Entwicklungsländer tendenziell eine lausige Internetanbindung, worunter die Geschwindigkeit leidet. Hier sollte man also sinnvolle Prioritäten setzen, für alles gibt es ein Für und Wider. Eine gute Geschwindigkeit von Deutschland aus, günstige Preise und auch sonst keine mir bekannten sicherheitspolitischen Desaster weisen beispielsweise die Niederlanden auf, weswegen auch sehr viele Anonymisierungsdienste dort Server betreiben.

4. Die DrayTek-Vigor-Modelle im Test

Eine Befragung verschiedener Hersteller ergab, dass es kaum Router gibt, die sich ins Internet einwählen und sich darüber als Client bei einem Anonymisierungsdienst einwählen können. Zwar gibt es diverse VPN-fähige Router. Damit ist aber meist nur gemeint, dass sich ferne Rechner über das Internet beispielsweise in das Firmennetzwerk des Routers einwählen können, der Router also als VPN-Server agiert. Bei Anonymisierungsdiensten muss sich aber der Router aber selbst einwählen, das Gegenteil ist also nötig. Soweit mir ersichtlich, bietet das nur der taiwanesische Hersteller Draytek mit seinen Vigor-Modellen an. Eine Auswahl:

  • Draytek bietet mit der Vigor-2820-Serie einen Router mit – nicht abschaltbarem – ADSL-2+-Modem an, wahlweise mit WLAN („n“, siehe Modellbezeichnungen), VoIP („v“) und sogar, z.B. für DSL-Ausfälle, ISDN-kompatibel („i“). Bei derzeit (April 2010) 163 € geht es los.
  • Die Vigor-2710-Reihe mit ADSL-Modem dürfte ebenfalls über die genannten Features verfügen und ist günstiger, ein Modell ist sogar DECT-kompatibel. Preislich beginnen sie derzeit bei 96 €.
  • Draytek Vigor 2110vnOhne DSL-Modem kommt die Vigor-2110-Serie (Foto) aus, auch hier optional mit WLAN („n“) und VoIP („v“). ISDN wird hier nirgends unterstützt, dafür gibt es einen USB-Druckserver. Preisstart: 84 €. Leider stürzte im Test das Modell öfter ab und zeigte sich leistungsschwach; rubuster war die 2910-Reihe.
  • Nennenswert ist noch die modemlose Vigor-2910-Reihe, die sich außer per DSL auch über einen angeschlossenen UMTS-/HSPA-Stick per Mobilfunk ins Internet einwählen kann, was ich leider mangels kompatiblem UMTS-Stick nicht testen konnte. Auch hier gibt es wie üblich Modelle mit WLAN, VoIP, ISDN oder Kombinationen dessen. Untere Preisgrenze: 142 €.

Generell ist eine Voice-over-IP-Unterstützung jedenfalls dann nicht sinnvoll, wenn der VoIP-Verkehr ebenfalls anonymisiert werden soll, Gespräche laufen nämlich nicht über den anonymen Tunnel. Dabei wäre das sinnvoll, die Vorratsdatenspeicherung verpflichtet nämlich auch VoIP-Anbieter zur Speicherung der IP-Adresse. Man könnte versuchen, ein VoIP-Telefon an den LAN-Anschluss des Routers anzuschließen – denn dort wird der Verkehr anonymisiert. Mir ist es nicht gelungen, eine VoIP-fähige Fritzbox dort so anzuschließen, dass an sie angeschlossene VoIP-Geräte funktionieren. Andererseits ist gegenüber dem VoIP-Anbieter wirkliche Anonymität ohnehin schwer herzustellen, weil zum einen als einziger mir bekannter VoIP-Anbieter SimplyConnect mit Ukash überhaupt eine anonyme Zahlungsmöglichkeit anbietet, und weil zum anderen ja auch die Rufnummern ein- und ausgehender Telefonate gespeichert werden und spätestens deren Abtelefonieren Hinweise auf die Identität ergeben dürfte.

Konkret testete ich von den Vigor-Routern den:

  • Vigor-2820n-Router mit ADSL-2+-Modem und WLAN (n), den günstigeren
  • Vigor-2110vn ohne Modem, mit WLAN (n) und VoIP
  • Vigor-2910vg ohne Modem, mit WLAN (nur g) und VoIP.

Draytek Vigor 2820nDie VPN-Konfiguration ist in den Vigor-Routern praktisch identisch, so dass die folgenden Angaben des 2820-Modells (Bild) einheitlich gelten. Zunächst gelang eine DSL-Einwahl problemfrei (einzurichten wie bei allen anderen Routern auch). Nach einigem Probieren war auch eine verschlüsselte VPN-Verbindung über PPTP hergestellt und der Datenverkehr aller angeschlossenen Rechner darüber geleitet. Die VPN-Einrichtung – siehe auch die Bilder unten – funktioniert folgendermaßen: Man wählt in der per Internetbrowser erreichbaren Benutzeroberfläche im Menü „VPN“ den nicht ganz selbsterklärenden Eintrag „LAN to LAN“ an. Dort kann man VPN-Profile verschiedener VPN-Anbieter verwalten, die man dann je nach Wunsch auch gleichzeitig im Menüpunkt „Connection Management“ aktivieren kann. Im VPN-Profil muss man zunächst einen beliebigen Namen eingeben, dann „Enable“ anklicken, bei „Call Direction“ „out“ anklicken (denn der Router soll sich beim Anonymisierungsdienst einwählen und nicht umgekehrt), und wenn man „Always on“ anklickt, baut der Router die VPN-Verbindung automatisch immer neu auf. Da DSL-Verbindungen in der Regel alle 24 Stunden zwangsgetrennt werden und damit natürlich auch die VPN-Verbindung unterbrochen wird, empfiehlt sich die Funktion „Always on“, wenn dauerhaft anonymisiert werden soll. Als nachteilig hat sie sich erwiesen, wenn der VPN-Server ausfällt, der Vigor aber ungeachtet dessen erfolglos versucht sich einzuwählen. Unter „Dial-out-Settings“ werden die Daten des VPN-Anbieters eingetragen. Bei PPTP (was der Anonymisierungsanbieter im Zweifel anbietet) kann man in diesem Abschnitt einfach „PPTP“ anklicken und links den Server und rechts Benutzername und Passwort eintragen. Bei L2TP-Zugängen mit IPSec-Verschlüsselung, wie z.B. vom speicherfreien Anbieter VPNUK angeboten, muss man auf „L2TP with IPSec Policy“ und daneben auf „Must“ klicken. Dann müssen Benutzername und Passwort und der vom Anbieter mitgeteilte „Pre-Shared-Key“ eingegeben werden, außerdem bei „IPSec Security Method“ „High“ sowie eine unterstützte Verschlüsselung. Im Fall von VPNUK waren das „3DES with Authentication“ und „AES with Authentication“. Im Zweifel liefert AES die bessere Sicherheit und Geschwindigkeit. Wer nicht weiß, welche Verschlüsselungsalgorithmen sein Anbieter unterstützt, kann nach einem Klick auf den Button „Advanced“ bei „IKE phase 1 proposal“ den mit Abstand längsten Eintrag auswählen, der automatisch die beste vom VPN-Dienst unterstützte Verschlüsselung aushandelt.

Abschließend muss man noch im Abschnitt „TCP/IP Network Settings“ bei „From first subnet to remote network, you have to do“ „NAT“ einstellen, sonst dürften die meisten Anonymisierungsanbieter nicht funktionieren. Außerdem muss der Haken bei „Change default route to this VPN tunnel“ gesetzt werden, damit der Router den Verkehr auch über den Anonymisierungstunnel leitet. Gespeichert werden die Einstellungen mit „OK“. Wenn man alles richtig gemacht hat und „Always on“ aktiviert hat, sollte der Router den Tunnel in den nächsten Sekunden automatisch aufbauen, und alle an den Router per LAN und WLAN angeschlossenen Computer sollten automatisch darüber surfen. Man merkt das, indem man seine IP-Adresse prüft, die dann nicht mehr von T-Online, Arcor oder dem sonst gewohnten Internetanbieter kommen sollte, sondern je nach gewähltem VPN-Dienst eine nichtssagende IP-Adresse eines Rechenzentrums irgendwo auf der Welt. Unter dem Menüpunkt „Connection Management“ am linken Rand des Routermenüs kann man daneben eine Übersicht aller VPN-Tunnel sehen und sie bei Bedarf auch manuell auf- und abbauen. Vollends lückenlos ist die Anonymisierung durch den Vigor leider nicht: Während des Aufbaus des VPN-Tunnels wird unter der Real-IP-Adresse gesurft, obwohl im VPN-Profil das Gegenteil eingestellt ist. Besonders ärgerlich ist das, wenn der VPN-Server abstürzt und der Router deshalb endlos versucht sich einzuwählen. Allerdings können solche Zwischenfälle mit zuverlässigen Anonymisierungsdiensten vermindert werden.

VPN-Konfiguration PPTP im Vigor 2820
VPN-Konfiguration einer PPTP-Verbindung mit MPPE-Verschlüsselung, beispielhaft im Vigor-2820-Router

VPN-Konfiguration L2TP im Vigor 2110
VPN-Konfiguration einer L2TP-Verbindung mit IP-Sec-Verschlüsselung, beispielhaft im Vigor-2110-Router

Man könnte meinen, dass der schwache Router-Prozessor bei Verschlüsselungen rasch an seine Grenzen gerät und die Datenrate drückt, was ich aber nur bei den günstigen 2110-Modellen bestätigt fand: Im Test des Vigor-2820n konnte ich bei einem deutschen VPN-Server sowohl per PPTP als auch per L2TP/IPSec/AES256 (schwächere Verschlüsselungen wie AES192 und 3DES brachten keinen Geschwindigkeitsvorteil) ohne Weiteres und bei vernachlässigbaren Latenzen einen Datendurchsatz von 8.600 KBit/s im Downstream messen – und hier kann der Flaschenhals mein Internetanschluss sein, der mögliche Durchsatz des Routers dürfte tatsächlich höher liegen, wenn der jeweilige Internetanschluss eine höhere effektive Bandbreite hergibt. Der Geschwindigkeitstest mit dem Vigor-2110vn ergab mit rund 5.900 KBit/s etwas weniger, woran das verwendete externe Modem unschuldig sein sollte. Doch selbst, wenn hier tatsächlich der Vigor-2110 am Ende seiner Leistung ist, wäre die um DSL 6.000 herum liegende Geschwindigkeit beim aktuellen Script- und Plugin-Verseuchungsgrad vieler Webseiten noch brauchbar. Wer anders als per DSL ins Internet geht, dem bleibt ohnehin nichts anderes übrig, als einen modemfreien Router zu verwenden (also keine Vigor-2820-Variante), weil die eingebauten DSL-Modems der Vigor-Modelle zwar gut, aber nicht abschaltbar sind.

Achtung: Oben habe ich geschrieben, dass sich durch VPNs auch die DNS-Internetzensur deutscher Internetprovider umgehen lässt, indem der Router einfach andere DNS-Server zu Rate zieht. DNS-Server sind dafür zuständig, bei Eingabe einer Internetadresse die IP-Adresse des dahinter stehenden Servers mitzuteilen, über die dieser technisch nur erreichbar ist. Das können die Vigor-Router zwar, aber nicht automatisch. Ich musste feststellen, dass trotz aufgebauter VPN-Verbindung eingegebene URLs über die DNS-Server des Original-Internetproviders statt die des Anonymisierungsanbieters geleitet wurden. Besonders, wenn man sein Netz für Dritte öffnet, kann das außer Sperrungen die Folge haben, dass beispielsweise Aufrufe kinderpornografischer URLs dem Anschlussinhaber möglicherweise zugerechnet werden könnten. Man sollte deshalb sicherheitshalber im Router-Menü „LAN“ und „General Setup“ im Abschnitt „DNS Server“ die Option „Force DNS manual setting“ aktivieren, alternative DNS-Server eintragen und den Router neu starten. Obwohl die Funktion unter dem Menüpunkt „LAN“ steht, gilt die Einstellung meinem Test zufolge auch für über WLAN angeschlossene Rechner. Zwar habe ich schon beschrieben, wie man die DNS-Server unter Windows zwecks Zensurumgehung wechselt. Diese Einstellung würde aber nur für den jeweiligen Rechner gelten und daher bei mehreren an den Router angeschlossenen Rechnern nicht ausreichen.

Ein kleiner Wermutstropfen lag darin, dass es mir nicht gelang, Port-Weiterleitungen einzurichten. Port-Weiterleitungen bedeuten, dass der hinter dem Router stehende Rechner aus dem Internet auch dann erreichbar ist, wenn er keine Anfrage gesendet hat. Nötig ist das beispielsweise für einige Online-Spiele, das Anbieten von Servern und für dezentrale Peer-to-peer-Anwendungen wie Tauschbörsen. Das Problem ergibt sich daraus, dass ein Router, an dem mehrere Rechner angeschlossen sind oder zumindest sein könnten, bei ungefragten eingehenden Verbindungen nicht weiß, welchem angeschlossenen Rechner er diese ungefragt ankommenden Daten zuordnen soll, also verwirft er sie. Mit Port-Weiterleitungen kann man einstellen, dass Daten, die auf bestimmten Kanälen (Ports) eingehen, an bestimmte angeschlossene Rechner weitergeleitet werden, so dass der Rechner auf diesen Ports aus dem Internet ansprechbar ist. Zwar bieten die Vigor-Router im Menüpunkt „NAT“ eine Funktion „Open Ports“ zur Portweiterleitung zu einem bestimmten Rechner an. Diese scheint aber nur darauf eingestellt zu sein, Ports aus dem „normalen“ Internetzugang weiterzuleiten, nicht aber solche aus dem VPN-Tunnel. Selbst eine individuelle IP-Adresse des VPN-Anbieters wird „geNATtet“. Der einzige Ausweg, der bei mir funktionierte, war, vom Rechner aus noch einen weiteren OpenVPN-Tunnel aufzubauen, so dass man sich sozusagen „durch den Tunnel tunnelt“. Das funktioniert zwar, dürfte aber wenig begeistern, weil der VPN-Router ja gerade Mehrfach-Anonymisierungs-Accounts überflüssig machen soll. Für wen die genannten Anwendungen allerdings böhmische Dörfer sind, der wird sich an diesem Manko wohl nicht stören – zumal man es auch als zusätzliche Firewall betrachten kann, wenn fremde Verbindungen aus dem Internet abgeblockt werden. Gewöhnliches Surfen, Downloaden, E-Mailen, Skypen etc. ist davon nicht betroffen.

Im Großen und Ganzen also eine feine Lösung: Wer es einfach mag oder wessen VPN-Anbieter nur PPTP unterstützt (z.B. Anonine, Linkideo), der kann sich mit dem Vigor auf diesem Wege einwählen; wer die Verbindung zum VPN-Anbieter dagegen stark verschlüsseln will oder muss, kann den Standard L2TP wählen (z.B. VPNUK, Roadwarrior).

5. Der Linksys WRT54GL mit FreedomRouter-Firmware im Test

Linksys WRT54GLUnter Bastlern beliebt ist der Linksys WRT54GL mit WLAN (ohne VoIP), weil der Hersteller dort aus rechtlichen Gründen den Firmware-Programmcode offenlegen musste, was jedermann Änderungen ermöglichte. Die „Firmware“ ist das Betriebssystem des Routers. Wer den Quellcode kennt und programmieren kann, kann relativ leicht Funktionen verändern und hinzufügen, das Aufspielen der Firmware („Flashen“) ist nicht weiter schwierig. Diese Besonderheit des WRT54GL hat in der Vergangenheit in der Programmiererszene zu einer Vielzahl von variierten Firmwares geführt, darunter „Tomato“, „DD-WRT“, „OpenWRT“ und FreeWRT. Einige von ihnen unterstützen zwar nicht nur eine Einwahl per DSL, sondern auch den Aufbau einer Anonymisierungsverbindung und das Umleiten des Datenverkehrs darüber, im Test musste ich aber feststellen, dass alle genannten Firmwares hinsichtlich des Aufbaus einer Anonymisierungsverbindung entweder fehlerhaft sind oder die Eingabemöglichkeit für wichtige Parameter fehlt oder es – auf Grund doch begrenzter Produktivität der Open-Source-Community – selbst nach Jahren an einer Benutzeroberfläche für den VPN-Teil fehlt, was die Bedienung unzumutbar erschwert, weil eine Bedienung dann nur über Telnet möglich ist. Da sich in den betreffenden Kreisen niemand verantwortlich, geschweige denn verpflichtet fühlt, einen Finger krumm zu machen, gibt es keinen Support, und die Weiterentwicklung stagniert in vielen Fällen seit Jahren bzw. steht und fällt faktisch mit dem Gusto einzelner Privatpersonen. Das oben erwähnte Freifunk-Projekt, das eine Verkettung von Freifunk-Routern erlaubt, basiert ebenfalls auf einer umprogrammierten Firmware für den WRT54GL. Vorteil des Routers ist jedenfalls sein relativ niedriger Preis: Im Internet ist er aktuell ab 44 € zu haben, das ist weniger als alle Vigor-VPN-Router.

Im „Kaufzustand“ hat der WRT54GL mit Anonymisierungsnetzwerken wenig am Hut. Jedoch hat der fränkische Informatiker Thomas Lehner eine quelloffene Firmware namens „FreedomRouter“ kreiert, die eine Einwahl zu Anonymisierungsdiensten über das verbreitete und von den Vigor-Modellen nicht beherrschte Protokoll OpenVPN ermöglicht. Im Gegensatz zu den oben genannten Bastler-Firmwares bietet FreedomRouter auch eine vollständige Benutzeroberfläche. Primär will Lehner mit seinem Projekt „FreedomRouter“ zwar seine eigenen Wimondo-Netzleistungen an Hotels etc. verkaufen, die an sicheren Hotspots interessiert sind, es lassen sich aber ohne Weiteres andere Zugangsdaten eintragen.

Die Einrichtung erfordert zunächst das Aufspielen der Firmware im Router, die diesen erst zur Unterstützung von VPN-Diensten befähigt. Dazu ruft man die Benutzeroberfläche des Routers im Browser auf (meist durch Eingabe von 192.168.1.1 in die URL-Leiste), klickt auf „Verwaltung“ und „Firmware aktualisieren“, wählt dann die von der FreedomRouter-Seite heruntergeladene Firmware (eine .bin-Datei) aus und folgt den Anweisungen.

Flashen der FreedomRouter-Firmware auf den Linksys WRT54GL
Flashen der FreedomRouter-Firmware auf den Linksys WRT54GL

Nach einem Neustart ist die neue Firmware aktiv. Man kann dann die Benutzeroberfläche des Routers neu aufrufen und unter „Setup“ und „VPNR“ die Konfigurationsdaten des VPN-Servers des gewünschten Anonymisierungsanbieters eintragen. Dazu gehören meist je ein Server- und ein Client-Zertifikat („—–BEGIN CERTIFICATE—–…“), ein Client-Key („—–BEGIN RSA PRIVATE KEY—–…“) und eine HMAC-Signatur („—–BEGIN OpenVPN Static key V1—–…“). Teilweise müssen die Daten aus den vom Anonymisierungsanbieter gelieferten Konfigurationsdaten extrahiert werden. Außerdem sind neben dem Servernamen und dem Port oft noch Benutzername und Passwort einzutragen. Weitere eventuell nötige Parameter, die in das Feld „Special Client Parameters“ eingetragen werden können, finden sich meist nebst Servername und Port in einer vom Anonymisierungsanbieter gelieferten .ovpn-Datei, deren Inhalt man im Zweifel einfach vollständig in das Feld kopieren kann. Zu beachten ist noch, dass die gelieferten Zertifikatsdateien oft mit anderen Parametern vermengt sind, die nicht hineinkopiert werden dürfen. Benötigt werden nur die Teile zwischen den und einschließlich den „—–“. Letztlich bleibt es möglicherweise nicht ganz aus, hier etwas zu experimentieren, mein Screen-Shot mit den Daten des Anbieters Ivacy kann ein Ausgangspunkt dazu sein. Im Übrigen bieten viele Anonymisierungsanbieter eine Einrichtungsanleitung für OpenVPN auf ihren Internetseiten an, die weiterhelfen könnte, oder man fragt direkt an, wo sich welche Daten befinden.

OpenVPN-Konfiguration mit dem Anonymisierungsdienst Ivacy unter der FreedomRouter-Firmware des Linksys WRT54GL
OpenVPN-Konfiguration mit dem Anonymisierungsdienst Ivacy unter der FreedomRouter-Firmware des Linksys WRT54GL

Die Einrichtung von Port-Weiterleitungen bei aktiviertem Anonymisierungstunnel gelang mir auch mit der FreedomRouter-Firmware nicht. Es kann sein, dass man hier weiterkommt, wenn man die richtigen Befehle in das untere Feld „Iptables-Postcommands“ eingibt. Programmierer Lehner schwieg sich dazu auf Anfrage aus.

Nachteil beim WRT54GL ist, dass der 200-MHz-Prozessor im Router der aufwändigen OpenVPN-Verschlüsselung nur bedingt gewachsen ist. So ist mit einem Datendurchsatz von ca. 2.200 KBit/s im Downstream das Ende der Fahnenstange erreicht. Mit anderen Worten: Viel mehr als DSL-2.000-Geschwindigkeit wird der WRT54GL unter Einsatz von Anonymisierungsdiensten nicht erreichen. Auch an Latenzzeit kommen ca. 45 ms im Vergleich zu sonst hinzu, das heißt, jede angeforderte Internetseite usw. verzögert sich zusätzlich um diese Zeit, bei fernen Anonymisierungsservern wie dem russischen von Ivacy noch länger, erst recht, wenn ferne Anonymisierungsserver genutzt werden, um auf deutschen Seiten zu surfen, so dass die Strecke zwischen Deutschland und dem jeweiligen Ort auch noch zweimal zurückgelegt werden muss. So brauchte bei Verbindung über den russischen Ivacy-Server ein Ping zu einem deutschen Server in Berlin 85 ms länger als sonst, insgesamt bei mir 135 ms. Befanden sich die aufgerufenen Seiten am selben Ort wie der VPN-Server, waren es immer noch 45 ms mehr als gewohnt. Fraglich ist, ob damit Telefonie und selbst Skype & Co noch sinnvoll möglich sind, weil man sich bei zu starken Verzögerungen ständig ins Wort fallen wird. Aber auch gewöhnliches Surfen ist so nicht besonders schnell, zumal, wenn die Daten noch per WLAN gefunkt werden und weitere Verzögerungen und Verminderungen der Datenrate hinzukommen. Eine Schadenbegrenzung durch Unterstützung des neuen, schnelleren „n“-Standards bei WLAN bietet der WRT54GL auch nicht. Erfahrungsberichte in Foren zeugen davon, dass die mäßige Geschwindigkeit nicht an der FreedomRouter-Firmware liegt, sondern bei anderen bedienerunfreundlicheren Firmwares ähnlich ist. Es nützt also in puncto Geschwindigkeit nichts, sich dort einer vorzeitlichen Bedienerführung per Kommandozeile auszusetzen.

Selbst mit der vermeintlich hohen Sicherheit von OpenVPN ist es mit dem WRT54GL eine ungewisse Angelegenheit: Laut Firmware-Entwickler Lehner ist in der Firmware noch die OpenSSL-Version 0.9.6 enthalten, die auf dem Sicherheitsstand von 2004 ist. OpenSSL ist die für die Verschlüsselung zuständige Komponente in OpenVPN. In den letzten Jahren wurden zahlreiche kleinere und größere Lücken bekannt und in neueren Versionen auch behoben. Ein Aktualisierung von OpenSSL in der Firmware scheitert aber selbst für programmierbefähigte Benutzer am zu geringen Speicherplatz im Router. Abgesehen von diesem Sicherheitsmangel machen die veralteten OpenSSL-Bibliotheken die Firmware leider auch inkompatibel zu vielen Anonymisierungsdiensten. Bei den meisten hat sich nämlich inzwischen der Verschlüsselungsalgorithmus AES 256 durchgesetzt, der von der alten und nicht aktualisierbaren OpenSSL-Version in FreedomRouter aber noch nicht unterstützt wird. Eine Einwahl beim Anonymisierer Perfect Privacy scheiterte deshalb beispielsweisweise konsequent. Lehner empfiehlt insoweit die Benutzung des US-amerikanischen Anonymisierungsdiensteanbieters StrongVPN. Nachdem sich in meinem Test herausstellte, dass StrongVPN nicht nur vorratsspeichert und nicht einmal Umfang und Speicherdauer nennen will, sondern nicht einmal dementieren wollte, sogar aufgerufene URLs vorratszuspeichern, wobei jeder Kundenaccount auch noch an eine individuelle IP-Adresse hat, was eine nachträgliche Identifizierung und das Erstellen von Nutzungsprofilen selbst ohne Vorratsdaten stark begünstigt, und weil StrongVPN nach eigenem Bekunden auch brav Daten an anfragende Behörden herausgibt, kann ich mich dieser Empfehlung nicht anschließen. Erfolgreich war jedoch eine Einwahl beim speicherfreien Anonymisierungsdienst Ivacy, der in Russland einen OpenVPN-Server betreibt – der meinen Tests zufolge allerdings nicht ganz selten ausfällt; die anderen Server von Ivacy sind nicht OpenVPN-kompatibel. Allerdings dürfte sich wahrscheinlich nach einigem Suchen noch der eine oder andere OpenVPN-Anonymisierungsdienst finden, der mit der FreedomRouter-Firmware zusammenarbeitet, oder man überzeugt den eigenen Anonymisierungsanbieter, AES 128 zu unterstützen, so dass die ältere OpenSSL-Version mitkommt. Sicherer als eine schlichte PPTP-Verbindung wäre auch ein OpenVPN mit veralteten SSL-Versionen wohl noch immer.

6. Fazit

Welcher VPN-Router ist der richtige? Für den WRT54GL mit FreedomRouter-Firmware spricht der niedrige Preis von nur gut 40 €, für den man bereits einen WLAN-fähigen Router erhält, mit dem man sich per OpenVPN beim Anonymisierungsdienst einwählen kann – wenn der Anonymisierungsdienst mit den etwas betagten Verschlüsselungstechniken zurecht kommt. Grundsätzlich hat OpenVPN die Vorzüge, verbreitet, flexibel und sicher zu sein. Auch kann, wer will und dazu in der Lage ist, die FreedomRouter-Software im Quelltext auf Fehler überprüfen und möglicherweise ändern, was gerade im Sicherheitsbereich nicht unwesentlich ist.

Für die Vigor-Modelle spricht, dass die Router einen höheren Datendurchsatz und schnellere Reaktionszeiten schaffen, nicht wegen Speicherplatzmangel auf veraltete Verschlüsselungsversionen angewiesen sind, und dass sie die Standards PPTP mit MPPE-Verschlüsselung und L2TP mit IPSec-Verschlüsselung unterstützen, von denen immerhin der eine verbreitet und einfach zu bedienen und der andere sicher ist. Als Maßnahme gegen die Vorratsdatenspeicherung oder die Erstellung von Nutzerprofilen eignen sich alle genannten VPN-fähigen Router. Vorteil der Vigor-Router ist ferner, dass es sie in zahlreichen Varianten (mit und ohne DSL-Modem, WLAN, VoIP, ISDN, UMTS usw.) gibt, so dass für alle Bedürfnisse etwas dabei sein sollte.

Linksys WRT54GL mit FreedomRouter-Firmware
DrayTek Vigor, z.B. 2820, 2710, 2110, 2910
Preis unter 50 €
ja
nein
Einwahl per OpenVPN
ja
nein
Einwahl per PPTP mit MPPE-Verschlüsselung
nein
ja
Einwahl per L2TP mit IPSec-Verschlüsselung inkl. Algorithmen
AES/DES/3DES
nein
ja
Anonymisierung des Datenverkehrs aller angeschlossenen Geräte
ja
ja
Datendurchsatz über 2.000 KBit/s möglich
nein
ja
ADSL-Modem eingebaut
nein
möglich
WLAN
möglich
(811.11 b, g, n)
VoIP
nein
möglich
ISDN
nein
möglich
UMTS/HSPA-USB-Stick-Anschluss
nein
möglich
Open Source
ja
nein

Jonas

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (5 Bewertungen, durchschnittlich: 4,80 von 5)
Loading...
20.336mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Internet-Zugangsprovider, Metaowl-Watchblog, Vorratsdatenspeicherung

3 Kommentare »


  1. Karl Eugen — 18. Juli 2012 @ 7.21 Uhr

    Was alles nichts daran ändert, dass die Polizei zunächst mal MEINE Wohnung durchsucht und MEINEN Rechner samt Peripherie sicherstellt, wenn jemand über mein offenes Wlan böse Dinge treibt…

    Webmaster: Bei Zwischenschaltung eines Anonymisierungsdienstes wird die Polizei deinen Anschluss in der Regel nicht identifizieren können und infolgedessen auch keine Durchsuchung vornehmen können, wenn jemand dein offenes Wlan missbraucht.


  2. WLANNutzer — 31. Juli 2013 @ 7.42 Uhr

    Und das Ergebnis der Beschwerde wird sein, dass das faktisch dennoch frei verfügbare WLAN dann eher abgeschafft wird.

    Super Leistung, Danke.


  3. Verständlich — 12. August 2013 @ 12.52 Uhr

    Die Forderung des Gesetzgebers ist verständlich, es geht ja nicht um Filesharing, sondern eher darum, Straftaten nicht Tür und Tor zu öffnen, die hinter der Anonymität des offenen Zugangs begangen werden können. Illegale Downloads kommen bei der breiten Palette an möglichen Straftaten ganz hinten…

    LG
    Faruk

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: