Internetsperren umgehen
In meinem vorigen Beitrag wurde dargelegt, weshalb es gute Gründe gibt, die vom Bundestag beschlossenen Internetsperren zu umgehen. Hier wird erklärt, wie das technisch möglich ist.
Dabei beschränke ich mich nicht nur auf die hinreichend bekannte Änderungsmöglichkeit der genutzten DNS-Server. Denn seit Einführung der seit 2009 überwiegend praktizierten Vorratsdatenspeicherung empfiehlt sich für nicht netzexhibitionistisch veranlagte Surfer ohnehin die Benutzung von Internet-Anonymisierungsdiensten. Diese habe ich auf ihre Sperrfestigkeit und die Speicherpraxis von DNS-Abfragen (also Domaineingaben ihrer Nutzer) befragt. Dabei habe ich mich, wie nach meinem Test von Internet-Anonymisierungsdiensten vom Januar 2009 vielfach angeregt, auf vorratsspeicherfreie Anonymisierungsdienste beschränkt.
Stufe 1: Änderung des DNS-Servers
Nach § 2 Abs. 2 des beschlossenen Zugangserschwerungsgesetzes müssen Provider zumindest DNS-Anfragen, können aber auch URLs und IP-Adressen blockieren. „DNS“ bedeutet in diesem Zusammenhang „Domain Name System“. DNS-Server sind dafür verantwortlich, eingegebene Domains (z.B. www.wolfgang-schaeuble.de) ähnlich einem Telefonbuch in die tatsächliche IP-Adresse des Zielservers (z.B. 213.218.169.222) zu übersetzen, unter der dieser nur erreichbar ist. Die IP-Adresse kann man übrigens auch direkt in das Adressfeld des Browsers eingeben und wird, soweit unter der IP-Adresse nur eine einzelne Website erreichbar ist, zur selben Seite wie bei Eingabe der Internetadresse gelangen. Theoretisch könnte man also ohne DNS-Server auskommen, müsste die IP-Adresse dazu aber erst einmal kennen beziehungsweise mühsam bei den internationalen Registrys in Erfahrung bringen. In der Praxis ist man daher auf DNS-Server angewiesen, und zumindest solche DNS-Server der größeren Internetprovider werden künftig kraft Gesetzes die sogenannte Namensauflösung einer Domain in die zugehörige IP-Adresse verweigern. Allerdings ist der für die jeweilige Internetverbindung verwendete DNS-Server leicht austauschbar. Das heißt, der eigene Computer zieht einfach nicht mehr den korrupten DNS-Server des eigenen Providers zu Rate, sondern den eines Dritten, wahlweise außerhalb des deutschen Territoriums. Geht man davon aus, dass die Provider aus Kostengründen bis auf Weiteres nur DNS-Server und damit quasi nur die „Umleitung“, nicht aber die IP-Adressen selbst sperren werden, lassen sich die Sperren leicht umgehen.
Öffentliche DNS-Server zum Eintragen sind etwa hier, hier oder hier zu finden. Bei unbekannten IP-Adressen empfiehlt es sich, bei der regionalen Registry durch Eingabe der IP-Adresse des DNS-Servers in das WhoIs-Feld herauszufinden, wer der Betreiber des DNS-Servers ist. Wer etwa T-Online-Kunde ist und den andernorts empfohlenen DNS-Server 195.50.140.71 verwenden möchte, wird so herausfinden, dass es sich dabei um einen Server von Arcor handelt, mit dem er lediglich vom Regen in die Traufe gelangt. Zu bedenken ist bei der Auswahl fremder DNS-Servers ferner, dass der amtlichen Regierungsbegründung zufolge auch Staaten wie
- Finnland und
- Italien kraft Gesetzes;
- Norwegen,
- Dänemark und
- Schweden kraft Sperrvertrags;
- USA kraft Selbstverpflichtung;
- Großbritannien,
- Niederlande,
- Schweiz,
- Neuseeland,
- Südkorea,
- Kanada und
- Taiwan auf unbekannter Rechtsgrundlage
staatlich gesperrte DNS-Server verwenden (obwohl zumindest keiner der von mir befragten Anonymisierungsdienste in diesen Ländern von entsprechenden Verpflichtungen weiß), so dass auch deren Benutzung nicht risikolos ist. Es ist mir auch nicht bekannt, inwieweit in diesen Ländern Anfragen oder Anfrageversuche der „falschen“ Seiten, was durchaus nicht kriminell motiviert sein muss, zur Strafverfolgung genutzt werden und fix eine polizeiliche Hausdurchsuchung nach sich ziehen können. Liegt der gewählte DNS-Server andererseits zu weit ab vom Schuss, können die Anfragen entsprechend länger dauern.
Benutzer von Anonymisierungs- oder sonstigen VPN-Diensten mit PPTP-Einwahl unter Windows sollten bedenken, dass sich Windows aus irgendeinem Grund trotz aktiver VPN-Verbindung teils nach wie vor der DNS-Server der Originalverbindung (z.B. T-Online) bedient, man also unnötig von Sperren betroffen sein könnte. Das sollte man überprüfen, auch nach der Änderung der DNS-Server, statt sich in falscher Sicherheit zu wiegen. Manchmal erkennt man den tatsächlich verwendeten DNS-Server daran, dass man bei URL-Vertippern zu einer anbieterspezifischen Fehlermeldung oder Suchmaschine umgeleitet wird. Ansonsten kann man unter Windows in der Dos-Box „nslookup“ eingeben. Die Zuteilungsnehmer der dann angezeigten IP-Adressen können wie oben beschrieben über die Registrys ermittelt werden.
Bild1/2: durchklicken.
Bild2/2: durchklicken und anstelle der Zahlen 1.2.3.4 und 5.6.7.8 den gewünschten DNS- und gegebenenfalls Ersatz-DNS-Server eintragen.
Der österreichische Anonymisierungsdiensteanbieter Surfonym empfiehlt gar, einen eigenen DNS-Server zu betreiben und hat dazu eine Anleitung veröffentlicht. Der Vorteil dessen liegt darin, dass man seine Daten dann keinem zentralen DNS-Server eines Dritten mehr anvertrauen muss, der theoretisch URL-Anfragen sperren oder mitschneiden könnte. Andererseits übernimmt ein fremder DNS-Server eine gewisse Pseudonymisierungsfunktion: Der Rootserver, an den jeder DNS-Server seine Anfragen rückreicht, sieht im einen Fall nur die IP-Adresse des anfragenden Dritt-DNS-Servers, im anderen ist diese aber, wenn man den DNS-Server selbst betreibt, die eigene. Zwar soll die Betreiberin der Rootserver, ICANN, derzeit wegen der großen Datenmengen (wohl praktisch alle URL-Eingaben weltweit) angeblich nicht die Absicht haben, Anfragen zu speichern. 1961 hatte aber auch niemand hat die Absicht, eine Mauer zu errichten.
Anfragen bei den Pressestellen der Internetanbieter
- United Internet,
- Arcor,
- Hansenet,
- Versatel,
- QSC,
- Manitu,
- Kabel Deutschland und
- Kabel BW
ergaben übereinstimmend, dass bislang weder DNS- noch IP-Sperrungen vorgenommen würden (was zumindest bei großen Providern mit Sitz in NRW auf Grund der Büssow’schen Sperrverfügungen erstaunlich erscheint). Nach Inkrafttreten der Sperrverpflichtung wolle man bis auf Weiteres nur auf DNS-Ebene sperren. Bislang würden DNS-Anfragen auch nicht vorratsgespeichert. Skepsis scheint bei Unitymedia angebracht: Dort sperre man zwar nichts. Unitymedia beschränkte sich hinsichtlich der DNS-Speicherung aber auf die etwas kärgliche Aussage, es würden „keine personenbezogenen Daten gespeichert“. Das ist nicht selten ein Euphemismus dafür, dass doch IP-Adressen gespeichert werden (deren Personenbezug geleugnet wird, weil das Speichern wegen des Personenbezugs in der Regel rechtswidrig ist). T-Online will zwar nicht speichern, bekennt sich aber als Sperrer rechtswidriger Inhalte zumindest auf den eigenen Servern. Der Geschäftsführer des Internetproviders Manitu äußerte auf Anfrage, heute wie künftig nichts zu speichern und nichts zu sperren; inwieweit das Vorhaben rechtlich Bestand haben wird, wird sich zeigen. Das Sperrgesetz sieht im Übrigen vor, Anbieter mit weniger als 10.000 Nutzern von der Verpflichtung auszunehmen (§ 2 Abs. 1), was man bei der Auswahl des DNS-Servers ebenfalls berücksichtigen sollte. Letztlich wird es aber wohl ohnehin keine Möglichkeit geben, alle DNS-Betreiber zu ermitteln, um die Sperrpflicht vollständig durchzusetzen.
Stufe 2: Anonymisierungsdienst
Wie lange sich die Internetprovider auf DNS-Filter beschränken und der nach eigener Einschätzung netzignorante Gesetzgeber nicht neuerlich auf dumme Gedanken kommt, ist ungewiss. Speziell Unternehmen des staatsnahen Telekom-Konzerns (der zu rund 32% der Bundesrepublik gehört) haben in der Vergangenheit Jahre lang eine Vorratsdatenspeicherung (wenn auch, hoffentlich, nicht von DNS-Anfragen) betrieben, ohne dazu verpflichtet oder auch nur berechtigt gewesen zu sein, oder die Aktivierung von Prepaidkarten ohne Not von der Vorlage eines Ausweises abhängig gemacht (zur Umgehung siehe Alternativanbieter sowie unseren Kartentausch). Es ist also nicht gesagt, dass alle Provider bei den Mindestanforderungen bleiben werden. Letztlich empfiehlt sich schon heute und allein zur Umgehung der Vorratsdatenspeicherung die Benutzung eines Internet-Anonymisierungsdiensts. Damit surft man im Internet nicht nur unter nicht zuordenbarer IP-Adresse, sondern es wird auch der DNS-Server des Anonymisierungsanbieters benutzt und IP- und URL-Sperren des Internet-Zugangsproviders laufen leer. Auch bekommt der Internetprovider praktisch den gesamten Datenverkehr mit dem Anonymisierungsdienst nur noch in verschlüsselter Form zu Gesicht. Das schadet auch unabhängig von Sperr- und Vorratsdatenspeichergesetzen nichts, da der Bundesnachrichtendienst bekanntlich gemäß §§ 1, 5 G10-Gesetz ohne gerichtliche Anordnung den gesamten dort auflaufenden Telekommunikationsverkehr direkt beim Provider abhören, aufzeichnen, nach Stichworten durchsuchen und weiterübermitteln kann, wobei schon der Verdacht auf Drogendelikte als Anlass genügt. In den USA haben Geheimdienste noch weitergehende Befugnisse.
Anlässlich des Sperrgesetzes habe ich daher alle im Januar getesteten, vorratsspeicherfreien Anonymisierungsdienste befragt, welche DNS-Server dort für die Nutzer zum Einsatz kommen und welche Praxis hinsichtlich der Speicherung von DNS-Anfragen und der Filterung jeweils gilt. Die Speicherung von DNS-Anfragen ist auch insofern relevant, als sich durch sie Surfprofile erstellen ließen, die in ihrer Aussagekraft die bisher auf Vorrat gespeicherten Verbindungsdaten deutlich übersteigen – jede Menge Stoff also für den geneigten Symbol- und Überwachungsgesetzgeber im Lauf der kommenden Legislaturperioden. Offen ist noch, ob dies unter der Überschrift „Terrorismus-“ oder „Kinderpornografiebekämpfung“ stattfinden wird. Bei der aktuellen Einschränkung durch das Sperrgesetz haben sich Bundesregierung und Gesetzgeber für Letzteres entschieden, so dass turnusmäßig als nächstes wieder die Terrorbekämpfung an der Reihe sein könnte.
a. ANON/Jondonym
Bei den Mixkaskaden von ANON/Jondonym ist der letzte Mix für die Wahl des DNS-Servers verantwortlich. In der Regel, aber nicht immer, komme der DNS-Server des jeweiligen Hosters zur Anwendung, so Jondos-Geschäftsführer Rolf Wendolsky, so dass Sperrungen nicht ausgeschlossen erscheinen. Es empfähle sich zumindest, darauf zu achten, dass der letzte Mix der Kaskade keiner eines sperrpflichtigen Staats ist. Leider gibt es zur Zeit keine Kaskade, deren letzter Mixserver nicht in einem der obigen gefährdeten Länder steht. Speicher- und – bis auf die Jondos-eigene empfohlene Sperrliste – sperrfreie DNS-Server erwarten die Nutzer bis auf Weiteres bei den Endmixen
- „Jupiter“ (=Kaskade „Zeitwort-Speedpartner-Galaxyconsult“),
- „Saturn“ (=Kaskade „Opossum-Unsu-Saturn“),
- „GPF“ (=Kaskade „Jondos-GPF“),
- „Exarkun“ (=Kaskade „Euklid-Rose-Exarkun“),
- „Secure Internet 1″ (=Kaskade „Pimenidis-Behrens-Secure Internet“) und
- „Nicole“ (=Kaskade „Circinus-Benda-Nicole“), wobei die beiden Letztgenannten aus der Schweiz auch die von Jondos empfohlenen Seiten nicht sperren.
Einige andere Mixbetreiber haben nicht geantwortet. Das Ausweichen auf fremde DNS-Server ist für Nutzer des Diensts leider nicht ohne Weiteres vorgesehen oder höchstens per aufwändiger SOCKS-Applikation, was ein Nachteil ist. Demnach bietet Jondonym zwar gute Anti-Sperr-Maßnahmen an, man muss aber die richtigen Kaskaden kennen und verwenden und kann sich nicht generell darauf verlassen. Andererseits ist eine dezentrale Netzarchitektur einem zentralistischen System letzten Endes überlegen.
Informationsfreiheits-Note: +.
b. Perfect Privacy
Der internationale Anonymisierungsdienst Perfect Privacy stellt seinen Nutzern automatisch von ihm selbst betriebene, sperr- und speicherfreie DNS-Server bereit. Nur ersatzweise kämen DNS-Server lokaler Netzbetreiber zum Einsatz, die nicht zwingend Perfect-Privacys Datenschutzstandards erfüllten. Allerdings sei ein Ausfall der eigenen DNS-Server selten und es sei wegen der großen Datenmenge bei DNS-Servern derzeit unüblich Zugriffe zu speichern. Damit ist Sperrfestigkeit bei Perfect Privacy insoweit gegeben, als die eigenen DNS-Server nicht ausfallen. Perfect Privacy weist darauf hin, dass Nutzer jederzeit andere DNS-Server eintragen können, und dass ein großer Teil der internationalen Netzbetreiber offene DNS-Server betreibt. OpenVPN-Nutzer sollten dazu in die .ovpn-Datei die Zeile „dhcp-option DNS x.x.x.x“ einfügen sollten, wobei „x.x.x.x“ für die IP-Adresse des DNS-Servers steht. Die Zeile kann auch mehrfach hintereinander eingefügt werden, wobei jene Server ersatzweise zum Einsatz kommen.
Informationsfreiheits-Note: +.
c. Linkideo
Der Low-cost-Anonymisierer Linkideo aus Jersey betreibt keine eigenen DNS-Server, sondern verwendet die DNS-Server seiner Hoster. Über Logging- und Sperrpraxis sei ihm nichts bekannt, bisher seien ihm keine Einschränkungen bekannt geworden. In meinem Test stellte ich Server in den Niederlanden, Großbritannien und den USA fest. Alle diese Länder sind sperrgefährdet. Linkideo-Nutzer, die auf eine Einwahl per PPTP angewiesen sind, können und sollten für die Verbindung abweichende DNS-Server einstellen.
Informationsfreiheits-Note: O.
d. Xerobank
Beim panamaischen Anonymisierungsspezialist Xerobank kommen nur eigene, selbst betriebene DNS-Server des jeweils letzten Mixservers zur Anwendung. Diese seien nach außen hin verschlüsselt und speicherfrei. Irgendeine Form von Sperrung finde nicht statt und werde strikt abgelehnt. Damit bleiben Xerobank-Nutzer von Sperrungen verschont. Ein Wechsel der DNS-Server sei für OpenVPN-Nutzer unter den gleichen Voraussetzungen wie bei Perfect Privacy möglich. Xerobank hält die eigenen DNS-Server aber für sicherer. Alles Genannte gilt in gleicher Weise für das Light-Produkt „ShadowVPN“.
Informationsfreiheits-Note: ++.
e. Trackbuster
Eigene DNS-Server betreibt auch der Anonymisierungsdienst Trackbuster, der seit einigen Wochen die Vorratsdatenspeicherung ausgesetzt hat und derzeit mit Hilfe einer Mannheimer Anwaltskanzlei daran arbeitet, dies rechtlich durchzusetzen. Wie auch bei den anderen Anbietern sind die DNS-Server nicht von Nichtkunden nutzbar. Eine Speicherung oder irgendeine Form von Sperrung finde nicht statt. Sperrfestigkeit erscheint zur Zeit gegeben, da der Anbieter zwar in Deutschland sitzt und operiert, derzeit aber nur eine dreistellige Zahl von Kunden hat. Die Verwendung eigener DNS-Server ist wie oben geschildert möglich.
Informationsfreiheits-Note: +.
f. Surfonym
Surfonym betreibt eigene DNS-Server in Österreich, die soft- und hardwaremäßig in der Kontrolle des Anbieters sind und nichts sperren oder speichern und ebenfalls nur für Kunden zugänglich sind. Für staatliche Sperrungen bleibt bei Surfonym sonach nach aktueller Kenntnis kein Raum. Die Verwendung eigener DNS-Server ist Kunden möglich.
Informationsfreiheits-Note: ++.
Keine Antwort erreichte mich vom Schweizer Anonymisierungsdienst Ivacy.
Jonas
22.003mal gelesen |
![]() |
![]() |
Verwandte Artikel
Weitere Artikel zum Thema Internet-Unternehmen, Internet-Zugangsprovider, Metaowl-Watchblog, Sonstiges
Direkte Eingabe der IP — 11. Juli 2009 @ 18.50 Uhr
„Die IP-Adresse kann man übrigens auch direkt in das Adressfeld des Browsers eingeben und wird, soweit der DNS-Server nicht etwa auf Grund des neuen Sperrgesetzes manipuliert ist, zur selben Seite wie bei Eingabe der Internetadresse gelangen.“
Das funktioniert nur, solange unter dieser IP nur diese eine Domain erreichbar ist. z.B. weil diese Seite auf einem eigenen Server liegt oder SSL betreibt. Normalfall im Massenhosting ist aber, daß auf einer IP einige hundert bis tausend Domains untergebracht sind. Die Auswahl der richtigen Seite erfolgt in diesem Fall über die Angabe im HTTP-Header.
Danke, ist ergänzt.
Direkte Eingabe der IP — 11. Juli 2009 @ 18.52 Uhr
Dadurch kommen auch die enormen Kolateralschäden bei Sperren auf IP-Basis zustande.
Direkte Eingabe der IP — 14. Juli 2009 @ 13.56 Uhr
Noch ein Fehler im gleichen Satz… 😉
Bei direkter Eingabe der IP kommt DNS überhaupt nicht ins Spiel.
Danke. „Webseite“ ist zwar wahrscheinlich auch unpräzise, ich will aber nicht zu speziell werden.
Andere interessante VPN-Provider — 16. Juli 2009 @ 20.21 Uhr
Schade, dass der Tunnel service (OpenVPN) von prq.se nicht getestet wurde. Dort werden eingehende Verbindungen für alle Ports weitergeleitet.
Ich habe PRQ noch im Test hinzugefügt, halte es aber wegen der individuellen IP-Adressen als Anonymisierungsdienst nur bedingt empfehlenswert.
Weitere interessante VPN-Provider — 19. Juli 2009 @ 22.17 Uhr
Der VPN-Anbieter Torrent Freedom erscheint mir interessant. Hier gibt es eine Pro-P2P-TOS. OpenVPN. Kein Loggen. Unbegrenzte Bandbreite. Server-Farm in den Niederlanden, deren IPs nach aussen erscheinen. Es werden echte öffentliche IPs benutzt, so dass kein Port-Forwarding notwendig ist. 1 Monat für 17 $, 3 Monate für 47 $ usw.. Es gibt ein Interview bei Torrentfreak vom Februar 2008. Dort sagt Herr Faust von Torrent Freedom, dass der Anbieter dafür sorgt, dass man von der öffentliche IP, mit der der Kunde online ist, keine Verbindung zu den Account-Infos des Kunden herstellen kann, weil diese Informationen im EDV-System des Anbieters entkoppelt sind.
Ich habe Torrent Freedom zum Test hinzugefügt. Die Entkopplung der Zahlungsdaten per Hash habe ich dort auch angesprochen, eigene DNS-Server zur Sperrvermeidung stellt der Anbieter nicht zur Verfügung.
Vorratsdatenspeicherung — 19. November 2010 @ 19.41 Uhr
Hallo,
ich denke wenn man sich etwas mit der Materie auseinandersetzt kann man ganz leicht einen eigenen DNS Server im lokalen Netzwerk einrichten jeden hat sicher einen alten Computer den er mit einem Linux oder sogar freeBSD als DNS Server zum funktionieren bringen kann.
Ich selber arbeite mit Mac und habe mir da den Bind Nameserver selbst einkompiliert.
Nun wo steht den geschrieben das der ISP nicht den HTTP Header mit Protokoliert der über sein Gateway läuft.
In dem Fall kann man nur mit einem IPsec Internetzugang verhindern, den auf dem Weg zum Ausländischen Proxy muß man erstmal durch das Gateway beim Provider wer ein bisschen Kenntnisse über Unix und dem Syslogd hat weis das so logging nicht so schwer zu Programmieren ist.
Ich wüsste gerne wie genau diese Vorratsdatenspeicherung funktioniert. Denn bei Logging der http header am Gateway kann man nicht viel unternehmen.
Philipp