- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Interview über Anonymisierungsdienste: Wollen sich die Menschen noch eine Privatsphäre leisten?

Rolf WendolskyRolf Wendolsky, Dipl.-Wirtschaftsinformatiker und Geschäftsführer der den JAP-Nachfolger JonDonym [1] vertreibenden JonDos-GmbH, spricht über JonDonym, Tor, Steganografie, die Vorratsspeicherung sowie Datenschutz in unserer heutigen Gesellschaft und gibt praktische Tipps zum Schutz vor dem Bundestrojaner.

Herr Wendolsky, JonDonym als Nachfolger von JAP ist einer der hierzulande bekanntesten Anonymisierungsdienste. Warum ist Otto-Normal-Surfer nicht anonym?

Wer ins Internet geht, bekommt automatisch ein Identifikationsmerkmal vom Provider zugewiesen, die IP-Adresse. Der Provider kann diese Adresse über seine Kundendatenbank auf konkrete Personen oder Organisationen zurückführen. Ferner übermittelt der Webbrowser beim Surfen viele weitere Daten ins Internet. Anhand der IP-Adresse und der übermittelten Daten kann der gleiche Websurfer nach Monaten oder sogar Jahren von Webseiten und Providern wiedererkannt werden. Surfdaten werden von Werbenetzwerken zentral gesammelt und weiterverkauft. Auch Geheimdienste durchstöbern das Netz und schneiden den Datenverkehr vieler tausend Surfer zur Auswertung mit. Mittlerweile führen außerdem viele Staaten eine für Provider verpflichtende Internet-Vorratsdatenspeicherung ein, die dazu führen wird, dass man die Benutzer bestimmter IP-Adressen auch noch nach Monaten oder sogar Jahren identifizieren kann, sei es von der Polizei, Geheimdiensten, den Providern oder Hackern, die mit kriminellen Methoden Zugriff auf einige der vielen Datenbanken erlangen.

Welche Risiken sehen Sie darin?

Die daraus resultierenden Risiken sind vielfältig. Von Einzelpersonen, die ja meistens denselben Rechner benutzen und deren IP-Adresse nur selten wechselt, können Beobachter detaillierte Interessens- und Verhaltensprofile erstellen. Diese sind natürlich umso aussagekräftiger, je intensiver jemand das Internet nutzt und je länger die Surfdaten gespeichert werden. Konkrete Folgen der Beobachtung können zunächst harmlos erscheinen, wie die Präsentation selektiver Angebote im Internet: Man bekommt nur noch diese Informationen präsentiert, von denen ein Anbieter glaubt, dass sie einen interessieren könnten. Dies schränkt aber das Blickfeld und die Mündigkeit des Surfers ein. Ich persönlich möchte nicht, dass jemand mir individuell vorgeben kann, was ich sehen soll und was nicht.

Durch Surfdaten kann man auch Neigungen verraten, die nicht unbedingt jeder wissen soll, zum Beispiel Homosexualität, Vorlieben für erotische Bilder und Videos oder eine bestimmte religiöse oder politische Überzeugung. Bestenfalls kostet das Ansehen, vielleicht sogar den Arbeitsplatz oder die Ehefrau. Schlimmstenfalls gerät man unschuldig ins Visier von Polizei oder Geheimdiensten. Das kann beim Besuch religiös-fundamentalistischer Webseiten passieren, beim Besuch von Webseiten, die neben legalen auch illegale Inhalte enthalten (auch wenn man diese Seite sofort wieder verlässt!), oder sogar auf Webseiten von Behörden, wie das Beispiel der BKA-Seiten zur „Militanten Gruppe“ zeigt. Ohne Anonymität muss man sich vor falschen Klicks auf Links also sehr in Acht nehmen.

Schließlich können die über Surfdaten gesammelten Informationen auch missbraucht werden, nämlich dann, wenn sie in die „falschen Hände“ fallen. Herumliegende Datenberge, die meist auch schlecht geschützt sind, locken Kriminelle an wie das Licht die Fliegen. Das können Hacker, Provider-Mitarbeiter oder Behörden sein. Denkbar sind etwa Erpressungsversuche oder Social-Engineering-Angriffe, mittels derer erst mal so viel wie möglich über eine Person in Erfahrung gebracht werden soll, um dann die eigentliche Straftat basierend auf den vorher gesammelten Daten zu begehen (Einbruch, Betrug etc.).

Worin liegt nun der konzeptionelle Unterschied zwischen JonDonym und anderen Anonymisierungsdiensten wie Steganos Internet Anonym VPN oder Trackbuster, um sich vor den beschriebenen Risiken zu schützen?

Die primäre Aufgabe von Anonymisierdiensten ist es zu verhindern, dass Dritte sehen, wer welche Internetseiten aufruft (Beziehungsanonymität), bzw. welche Internetseiten jeweils dieselbe Person aufruft (Senderanonymität). Im Internet wird das so gemacht, dass Zwischenstationen (Proxys, VPN-Gateways) jeweils die IP-Adresse eines Nutzers durch eine andere IP-Adresse austauschen, die von vielen Surfern gemeinsam verwendet wird. Daneben wird bei Anonymisierdiensten wie den oben genannten auch noch eine verschlüsselte Verbindung zu den Anonymisierservern aufgebaut, damit der eigene Provider nicht in die Datenverbindung hineinsehen kann.

Grundsätzlich kann man die genannten Anonymisierdienste in zwei „Lager“ aufteilen: Zunächst sind da die „klassischen“ kommerziellen Dienste wie Steganos Internet Anonym VPN und Trackbuster mit jeweils einem zentralen Anbieter und zentralen Servern, über die der ganze Datenverkehr der Nutzer geleitet wird. Da hier keinerlei räumliche oder organisatorische Verteilung der Server vorliegt, können diese Dienste nicht vor einer Beobachtung durch den Betreiber (Steganos bzw. Trackbuster) selbst schützen, der theoretisch den gesamten Datenverkehr der Nutzer auf seinen Servern überwachen kann. Sie sind auch vollständig abhängig von der Telekommunikations-Gesetzgebung im Land des Betreibers und können deshalb relativ einfach (soweit es eben die Gesetze zulassen) zu einer kurz- oder längerfristigen Überwachung ihrer Nutzer durch Behörden gezwungen werden.

Dienste wie Steganos Internet Anonym VPN und Trackbuster schützen deshalb maximal vor Webseitenbetreibern und Providern.

JonDonym bietet die Sicherheit der „klassischen“ Dienste, schützt durch die Verteilung auf mehrere Server und unabhängige Betreiber aber zusätzlich vor einer Beobachtung durch die Dienstbetreiber selbst. Der Dienst integriert zu diesem Zweck auch ein Vertrauensmodell, das es den Nutzern ermöglicht, die einzelnen, voneinander unabhängigen Dienstbetreiber zu identifizieren und danach selbst über deren Vertrauenswürdigkeit und die Vertrauenswürdigkeit der Server zu entscheiden.

Was unterscheidet JonDonym vom Internet-Anonymisierer Tor?

Tor wird als eine Art Community-Netzwerk betrieben. Wie bei JonDonym gibt es keine zentrale Instanz, die Zugriff auf die Server hätte, sondern die einzelnen Server werden von vielen verschiedenen Organisationen und Privatpersonen betrieben. Die Nutzer werden immer über drei verschiedene Server geleitet, und es werden alle paar Minuten automatisch Verbindungen zu anderen Servern aufgebaut. Dadurch soll das System, ähnlich JonDonym, einerseits vor einer Beobachtung durch die Serverbetreiber selbst schützen, andererseits auch vor Dritten Beobachtern wie Providern, die größere Teile des Netzes überwachen können.

Die Tor-Software ist, wie auch die Software von JonDonym, quelloffen und kann von Experten auf „bösartige“ Inhalte hin überprüft werden. Bei JonDonym kann sogar das Nutzerprogramm JonDo leicht „rückübersetzt“ und analysiert werden.

Im Gegensatz zu den VPN-Diensten schützt Tor auch wirklich vor dem Provider. Es gibt nämlich Techniken, um mit etwa 95%-iger Sicherheit aufgerufene Webseiten trotz verschlüsselter VPN-Verbindung richtig zu erraten (laut Ergebnis unserer eigenen Experimente). Durch geschickte Wahl von Paketgrößen bei Tor (übrigens auch bei JonDonym) ist diese Analyse praktisch wirkungslos.

Ein Nachteil von Tor ist, dass im Prinzip jede Organisation Tor-Server unkontrolliert und ohne eindeutige Identifikation aufsetzen kann. Deshalb häuften sich in letzter Zeit Meldungen von über Tor gesnifften Zugangsdaten und von Geheimdiensten kontrollierte Tor-Serverfarmen. Es gibt auch immer mal wieder Tor-Server-Betreiber, die versuchen, sich in verschlüsselte Verbindungen einzuschalten. Anwender merken dies bei über HTTPS gesicherten Internetseiten daran, dass der Browser plötzlich ein Zertifikat für ungültig hält. Außerdem ist es schwer, von den freiwilligen Tor-Betreibern bestimmte QoS-Merkmale wie einen minimalen Datendurchsatz oder einen Kapazitätsausbau bei Performanceengpässen zu verlangen. Deshalb wird das Tor-Netzwerk oft als recht langsam wahrgenommen.

Der Dienst JonDonym versucht, die Vorteile beider „Lager“, der kommerziellen Dienste und von Tor, zu kombinieren: Die Server (jeweils drei in einer fixen Kette/Kaskade) werden nicht von der Dachorganisation JonDos betrieben, sondern von unabhängigen Betreiberorganisationen. Im Prinzip kann auch bei JonDonym jeder, der möchte, Betreiber der Community werden. Allerdings muss man sich dann einer genauen Identitätsprüfung unterziehen (persönliche Treffen, Ausweiskontrolle, Adressverifikation mittels Postversand etc.). Dies soll viele Missbrauchsmöglichkeiten ausschließen oder zumindest nachverfolgbar machen. Neben dem kostenlosen JonDonym-Dienst gibt es dann auch noch den kostenpflichtigen, in dem die Betreiber sogar vertraglich zum Einhalten hoher Sicherheitsstandards verpflichtet werden. Die Betreiber haben außerdem eine maximale Unabhängigkeit von der Dachorganisation, so dass eine (möglicherweise bösartige) Kündigung einzelner Betreiber nur mit Zustimmung der Mehrheit aller Betreiber erfolgen kann. JonDos hat auch jenseits der allgemeinen Sicherheitsregeln und der Abrechnung keinen Einfluss auf den Mixbetrieb der einzelnen Organisationen. All diese Maßnahmen sollen es erschweren, dass sich „schwarze Schafe“ bei den Betreibern einschleichen, um Nutzer zu überwachen, und ermöglichen deren sofortige Verfolgung, Bestrafung oder zumindest einen Ausschluss aus dem System. Gleichzeitig soll die Dachorganisation, JonDos, keine Weisungsbefugnis haben, um etwa Überwachungsmaßnahmen (vielleicht unter Zwang) anordnen zu können. Die Nutzer erhalten eine hohe Transparenz, und können sich über die Client-Software genau entscheiden, über welche Betreiber sie surfen möchten.

Was sagt Ihnen eigentlich der Personalausweis eines Mixbetreibers darüber, ob hinter ihm ein Nachrichtendienst steht?

Nichts. Dies ist lediglich eine von mehreren Sicherheitsmaßnahmen, die wir für verschiedene Angriffszenarios von Betreibern einplanen. Es gibt ja auch „Hacker“ und Datensammler, welche „auf eigene Rechnung arbeiten“. Diese werden durch eine Identifikationspoflicht abgeschreckt.

Das JonDonym-Modell schafft durch die Möglichkeit zur Refinanzierung des Serverbetriebs außerdem neue Anreize zum Betrieb von (verteilten) Anonymisierungsservern. Bisher gibt es nur zwei: erstens Menschenfreundlichkeit gepaart mit Technikbegeisterung, zweitens das Abgreifen von Nutzerdaten. Tendenziell bietet letzterer Anreiz hohe Gewinnchancen, weshalb sich in freien und unkontrollierten Netzen vermehrt „Spitzel“ ansammeln können. Sofern ein ordentliches Gewinnpotential wie bei unserem Dienst auch allein durch Weiterleitung des Datenverkehrs gegeben ist, und es einzelne Organisationen unverhältnismäßig schwer haben, einen bedeutenden Teil des Netzes zu infiltrieren, ist die Gruppe der seriösen Betreiber hoffentlich höher als die der potentiellen Beobachter.

Natürlich spielt auch die menschliche Komponente bei der Beurteilung von Betreibern eine große Rolle. Mit den meisten Betreibern stehen wir in intensivem Kontakt, sei es durch persönliche Treffen, Messenger- oder Telefon. Durch solcherart „Social Engineering“ und Empathie kann man oft auf die Motive einzelner Personen schließen: Kennt man sie vielleicht aus Forschungsumfeld, oder aus anderweitigen vorherigen Beziehungen? Welche Meinung haben Sie zu Anonymisierung und Datenschutz? Wie verhalten Sie sich bei Verhandlungen? Welche Technikkenntisse haben Sie? Welche Produkte und Dienstleistungen bieten sie sonst noch an?

Als zukünftige Maßnahme ist ferner eine Mehrfachzertifizierung von Betreibern geplant: Nur, wenn ein Betreiber sich von drei oder sogar mehr unabhängigen Organisationen zertifizieren lässt (JonDos, Datenschutzbehörden, Gutachter…) wird ihm der Betrieb gestattet werden. Ferner können die Betreiber demnächst jährlich einer Betriebs- und Organisationsprüfung durch unabhängige Gutachter unterzogen werden. Damit schaltet JonDos konsequent weitere „Single-Points-of-Failure“ in der Organisationsstruktur von JonDonym aus. Sollten sich dann doch einzelne „Schwarze Schafe“ einschleichen, so dürften diese nur einen marginalen Einfluss auf das gesamte Netz haben.

Vor fünf Jahren wurde der JonDonym-Vorläufer JAP gerichtlich zumindest zeitweise verpflichtet, bestimmte Seitenaufrufe vorratszuspeichern. Inwieweit besteht diese Gefahr heute noch?

Wir sehen momentan diese Möglichkeit nur bei in einem einzelnen Land (z.B. in Deutschland) bzw. von Betreibern eines einzigen Landes gehosteten Kaskaden. International ist es, von schwersten Straftaten wie einer kurzfristigen, konkreten internationalen Bedrohung durch Dritte einmal abgesehen, bei der es zu einer effizienten internationalen Zusammenarbeit kommen könnte, kaum möglich, das JonDonym-Kaskaden behördlich überwacht werden. Aber in einem solchen Fall (von mehreren Richtern bestätigt) wäre es wohl auch allgemein akzeptiert. Selbst vor fünf Jahren waren nicht alle Dienste betroffen, sondern nur der Dresden-Mix – der wird aber auch nur von einem anzeigen Betreiber kontrolliert und auf einem einzigen Server betrieben und ist deshalb prinzipiell anfälliger gegen Angriffe auf die Anonymität als komplette Kaskaden.

Man könnte noch auf die Idee kommen, dass JonDos selbst verpflichtet wird, in die Clientsoftware eine Überwachungsfunktion einzubauen, statt die Überwachung in den Mixen aktivieren zu lassen. Dies ist aber unrealistisch, da es einerseits in Deutschland – JonDos’ Standort – kein entsprechendes Gesetz gibt, andererseits eine solche Manipulation leicht von irgendeinem fachlich versierten Nutzer entdeckt könnte (Dekompilierung, Untersuchung des Quelltextes, Analyse des Kommunikationsverhaltens etc.). Auch den Betreibern kann eine heimlich gepatchte Software nicht untergeschoben werden, da diese den Quelltext der Mix-Server grundsätzlich selbst kompilieren und gehalten sind, die Unterschiede zu den letzten Versionen zu begutachten. Optimal wäre noch, wenn wir den Kompilationsprozess so stark vereinfachen könnten, dass analog eine nicht zu vernachlässige Menge von Benutzern die Software selbst übersetzen und Änderungen am Programm vorher prüfen könnte.

Demnach läuft auch die Vorratsdatenspeicherung bei Ihnen leer, sofern der Nutzer internationale Mixkaskaden nutzt, bei denen ja gemäß Betreiberverträgen maximal einer von drei Mixservern vorratsspeichern darf?

Sehr wahrscheinlich ist es sogar so, dass, selbst wenn alle Server einer Kaskade vorratsspeichern, keine Nutzer-IPs aufgedeckt werden können. Wir analysieren gerade die rechtlichen Vorgaben im Rahmen eines wissenschaftlichen Artikels und möchten den Widerspruch zu technisch notwendigen Maßnahmen und den im Gesetz vorgeschriebenen Umsetzungspflichten aufzeigen. Natürlich kann man Gesetze noch verschärfen und – vielleicht basierend auf unserer Analyse – einen wirksamen gesetzlichen Rahmen schaffen. Die derzeitige Fassung erscheint uns im Hinblick auf Anonymisierungsdienste jedoch praktisch unwirksam, vor allem da die Speicherung von Zieladressen (Server-IPs und DNS-Namen) ausdrücklich verboten ist.

Gegeben eine wirksame rechtliche Vorgabe wäre es aber in der Tat so, dass alle unter solche Gesetze fallende Server einer Kaskade eingehende und ausgehende Kennungen bzw. Adressen speichern müssten, um eine Aufdeckung einzelner Nutzer zu ermöglichen. Die Verteilung auf verschiedene Server böte – auf rein nationalen Kaskaden – dann immer noch einen vernünftigen Schutz vor Hackern, aber prinzipiell wären die Daten vorhanden und eine Aufdeckung nach den rechtlichen Rahmenbedingungen wäre möglich.

Sofern bei internationalen Kaskaden aber nicht alle Betreiber bei der VDS mitwirken, ergibt sich kein brauchbares Gesamtbild, weil die einzelnen Kennungen nicht zusammengesetzt werden können. Es wird aber tendenziell leichter, mit Hilfe zeitlich begrenzter Überwachungsbeschlüsse in den „fehlenden“ Ländern und bei internationaler Zusammenarbeit der Behörden (Cybercrime-Konvention) eine begrenzte Deanonymisierung einzelner Nutzer vorzunehmen. Freilich ist das immer noch so schwer, dass von diesem Mittel nur selten jemand Gebrauch machen dürfte. Gleichzeitig ist es natürlich auch eine Legitimation für den Dienst gegenüber der Politik, denn prinzipiell besteht ja eine Aufdeckungsmöglichkeit, aber eben nur in den allerschwersten und von internationalen Behörden überprüften Fällen.

Gegen digitale Verwanzung der Anfangs- oder Endpunkte, wo die Daten zwangsläufig im Klartext vorliegen, wie durch den sog. Bundestrojaner sind JonDonym oder andere Verschlüsselungsprodukte aber machtlos. Welche konkreten Schutzmaßnahmen raten Sie Internetnutzern?

Hat der „Feind“ mal den Rechner übernommen, hilft keine Software mehr. Deshalb muss jeder Nutzer seinen eigenen Rechner so gut wie möglich absichern. Dabei ist sowohl die Online- wie auch die Offline-Absicherung wichtig.

„Online“-Absicherung heißt zunächst, ein sicher konfiguriertes Betriebssystem zu verwenden (Vista, Linux im User-Modus, MacOS X), regelmäßig Software-Updates einzuspielen, keine nicht bestellten E-Mail-Anhänge zu öffnen, nicht jede Fun-Powerpoint-Präsentation von Bekannten anzusehen und keine Programme von unseriösen Webseiten herunterzuladen und auszuführen.

Im WWW ist es außerdem wichtig, den Browser sicher zu konfigurieren, etwa Plugins und Skripte standardmäßig zu deaktivieren. JonDos bietet dafür (und auch für eine bessere Anonymisierung) ein vorkonfiguriertes Firefox-Profil (JonDoFox, http://www.jondos.de/de/jondofox [2]) kostenlos an, um den Nutzern diese Arbeit abzunehmen.

Flash-Videos sollten möglichst heruntergeladen und nicht im Flash Player sondern in einem Videoplayer, beispielsweise VideoLAN, angesehen werden. Speziell bei Downloads und Installationen von Software erreicht man beste Sicherheit, wenn man diese nicht sofort nach dem Herunterladen installiert. Es empfiehlt sich eine sofortige Virenprüfung, und eine weitere in paar Tage später mit aktualisierten Virensignaturen, bevor man die eigentliche Installation vornimmt.

Wenn möglich sollte der Rechner sich auch nicht direkt ins Netz einwählen, sondern über einen Router ins Internet gehen. Damit ist er von außen für Hacker meist nicht erreichbar, es sei denn, sie knacken den Router. Zusätzlich kann es sinnvoll sein, eine Personal Firewall und einen Virenscanner auf dem Rechner zu installieren. Beides kann zumindest manche Software abwehren, die bereits in den Rechner eingedrungen ist, und weitere Angriffe erschweren.

Sinnvoll ist auch ein Programm zum Management der eigenen Passwörter in einer verschlüsselten Datei. Es ist sinnlos, immer das gleiche Passwort zu verwenden, und niemand kann sich mehr als fünf Passwörter dauerhaft merken. Wenn möglich sollte zum Speichern eine Software mit wirksamer Verschlüsselung eingesetzt werden (etwa AES, Blowfish, nicht DES oder proprietäre Verfahren). Wer ganz auf Nummer sicher gehen will, kann die Passwortdatei nur auf einem Rechner öffnen, der nicht ins Internet geht, so dass niemals alle Passwörter auf einmal durch einen Online-Angriff gestohlen werden können. Und natürlich sollten die Passwörter sicher gewählt sein!

„Offline-Absicherung“ bedeutet zunächst eine Komplett-Verschlüsselung der Festplatte, etwa über Bitlocker, Loop-AES, TrueCrypt oder DM-Crypt plus ein geeignetes Authentisierungsverfahren (Chipkarte, TPM-Modul, gutes Passwort etc.). Damit wäre man schon recht gut davor geschützt, dass jemand „mal schnell“ fremde Software auf dem Rechner aufspielt, die zur Überwachung dienen könnte, oder bei Verlust der Festplatte Zugriff auf alle Daten erhält. Mittels TPM hilft das eventuell sogar gegen den Einbau fremder Hardwarekomponenten, sofern es sich nicht um manipulierte Mäuse und Tastaturen handelt. Damit Dritte nicht die Zeit haben, um solche Hardware zu platzieren, sollte man den Rechner nicht unbeaufsichtigt lassen oder zumindest sicher verwahren (physische Sicherheit).

Unabhängig davon sollte aber jedem klar sein, dass man sich vor gezielter Einzel-Überwachung als normaler Bürger nicht schützen kann. Dabei können vielfältige Verfahren zum Einsatz kommen wie Verwanzung, Videoüberwachung mit versteckten Kameras, Messung der Monitor- und Rechnerabstrahlung, Social Engineering etc. Für die meisten Bedrohungen reichen die oben genannten Maßnahmen jedoch aus.

Wie stehen die Chancen auf einen JonDonym-Client, der auch nicht proxyfähige Anwendungen erfasst?

Mittels Programmen wie „socksify“ können auch nicht-proxyfähige Anwendungen dazu gebracht werden, einen Proxy zu benutzen. Die Unterstützung für das Socks-Protokoll ist in JonDonym schon integriert, aus rechtlichen Erwägungen aber bisher nicht aktiviert. Für die Zukunft wäre aber eine Lösung mittels „socksify“ oder einem ähnlichen Programm denkbar.

Ist in absehbarer Zeit mit echtzeitanwendungstauglicher Performance bei JonDonym zu rechnen?

Echtzeitanwendungen wie VoIP oder Videokonferenzen werden wohl erst in einigen Jahren unterstützt werden können. Das liegt zum einen an den immensen Leistungs- und Trafficanforderungen, zum anderen daran, dass wir das nicht guten Gewissens anbieten könnten: Durch Traffic-Analyse dieser Anwendungen wären (abhängig vom gewählten Beobachter) Gesprächspartner allzu leicht enttarnbar. Es braucht noch einigen Aufwand in der Forschung, um eine anonyme, leicht bedienbare und dann auch noch bezahlbare Punkt-zu-Punkt-Kommunikation in Echtzeit zu ermöglichen. Wir möchten diese Forschungsarbeit aber fördern und setzen dabei wie bisher auf die Zusammenarbeit mit deutschen Universitäten.

Halten Sie es für sicherheitstechnisch darstellbar, dass ein größerer Internetprovider wie Arcor IP-Adressen seiner Nutzer sofort nach Verbindungsende löscht? Würden Spam und Hacking überhand nehmen?

Sofern geeignete verdachtsabhängige Möglichkeiten gefunden werden, kriminelle Spammer und Hacker bei Folgeversuchen über eine gezielte Speicherung und Verfolgung zu enttarnen, ist das durchaus vertretbar. Meist gibt es zusätzlich auch Möglichkeiten außerhalb des Internets (Zahlungstransaktionen, von Spammern beworbene Firmen, unvorsichtige Enttarnung in öffentlichen Foren etc.), über die eine Verfolgung von Straftätern möglich wäre. Gerade Kleinkriminelle, die sich durch die Löschung dieser Daten eventuell sicherer fühlen würden als bisher, könnten deshalb wohl dennoch oft zur Rechenschaft gezogen werden. Und Spamming läuft meist sowieso über ausländische Rechner, auf die eine Nicht-Speicherung deutscher Provider keinen Einfluss haben dürfte.

Für wie aussichtsreich halten Sie technisch staatliche Verschlüsselungsverbote und Verpflichtungen zur Schlüsselherausgabe (wie in Großbritannien), angesichts Steganografie?

Ich halte solche Unterfangen nicht für aussichtsreich bei der Kriminalitätsbekämpfung, sondern für eine unverantwortliche Einschränkung der Freiheitsrechte. Profis wissen ihre Kommunikation zu schützen, ohne dass jemand anderes bemerkt, dass überhaupt kommuniziert wird. Es ist sogar möglich, Authentisierungsverfahren zur verschlüsselten Datenübertragung einzusetzen. Authentisierungsverfahren hingegen können nicht verboten werden, bzw. man kann niemanden zwingen solche Schlüssel herauszugeben, ohne dass die Sicherheit des Internets komplett zusammenbrechen würde. Das war vor vielen Jahren das Totschlag-Argument gegen die U.S.-Clipper-Chip-Debatte. Außerdem lassen sich lokale Daten in versteckten Containern speichern, die nur sehr schwer aufdeckbar sind. Massentaugliche Anwendungen für Steganographie und die anderen genannten Konzepte gibt es leider nicht, Experten und professionelle Kriminelle können sich aber dadurch bereits jetzt effektiv vor einer Überwachung Ihrer Kommunikation schützen.

Halten Sie das gesellschaftliche Bewusstsein für Datenschutz im Internet für zeitgemäß?

Leider nicht. Der Trend geht sogar immer mehr zu exhibitionistischen Techniken wie den sozialen Netzwerken (Facebook, Orkut, StudiVZ…), einem Kernelement des Web-2.0-Hypes. Dabei fehlt es den meisten Internetnutzern am Verständnis für das Missbrauchspotential, auch wenn wie vor kurzem (http://www.heise.de/newsticker/meldung/102490) mal jemand einige Tausend solcher privaten Datensätze im Internet veröffentlicht, um auf die Missstände aufmerksam zu machen. Das Bedürfnis für solche sozialen Netze ist da, aber die Technik ist hinsichtlich Datenschutz längst nicht so weit, dass man sie den Menschen bedenkenlos anbieten könnte. Allerdings sind die potenziellen Gewinne durch den Verkauf und die Vermarktung der Nutzerdaten riesig, und so fragt kein Investor lange nach den Gefahren für die Nutzer.

Vermuten Sie, dass sich Privatsphäre in Zukunft zu einem Luxusgut entwickelt, dass wir uns wegen angeblich steigender Kriminalität und Gefahren immer weniger leisten können?

Schwer zu sagen, wer der größere Gegner für unsere Privatsphäre ist: unser Exhibitionismus oder unsere Angst. Dabei stellt sich grundsätzlich die Frage, ob die Menschen sich überhaupt noch eine Privatsphäre leisten wollen. Denn der Nachteil, auf neue Technologien wie die sozialen Netzwerke zu verzichten, und die Angst vor drohenden Gefahren wie Terrorismus und Kriminalität ist bei vielen Menschen wohl stärker als der Wunsch nach Privatheit.

Dennoch scheint es eine kleine, aber wachsende Gruppe zu geben, die ihre Prioritäten anders setzt, wie den Arbeitskreis Vorratsdatenspeicherung. Auch grundlegende Veränderungen in der Gesellschaft und der Technik können das Blatt wieder wenden: Sofern Techniken zum Schutz der Privatsphäre einfach zu bedienen sind und keine größeren Einschränkungen für die eigenen Gewohnheiten bringen, lassen sich viele Leute von deren Einsatz sicher überzeugen. Auch datenschutzfreundliche Pendants zu den aktuellen Web-2.0-Techniken könnten gut angenommen werden, sofern sie über eine vergleichbare Funktionalität verfügen und nicht zu teuer oder zu imperformant angeboten werden.

Auch Veränderungen auf politischer Ebene sind denkbar, etwa friedliche Lösungen für kulturelle Konflikte: Wenn die Ursachen für den weltweiten Terrorismus gefunden, allgemein erkannt und mit entsprechender Diplomatie bekämpft werden können, wäre ein Rückgang von Anschlägen und damit einer Legitimation für Überwachungsmaßnahmen die Folge. Vielleicht lassen sich auch Medienvertreter von Boulevardmagazinen dazu bewegen, weniger reißerisch von ständig steigender Kriminalität zu reden (was nicht wahr ist), die mit härteren Mitteln bekämpft werden muss, sondern Politiker mit überzogenen Überwachungsforderungen abzustrafen. In der Politik könnte ferner die Einsicht einkehren, dass statt immer neuer Überwachungsgesetze besser mehr Geld und Energie in Personal, Ausbildung und Ausrüstung der Polizei- und Verfassungsschutzorgane gesteckt werden müsste, was aus Polizeikreisen schon seit Jahren gefordert wird. Durch all diese Maßnahmen könnte einerseits die tatsächliche Sicherheit auch ohne allumfassende Überwachung in der Bevölkerung gestärkt werden, andererseits der Bevölkerung die Angst genommen werden, die sie momentan immer stärkere Überwachung tolerieren lässt. Vielleicht haben wir dieses Glück, so eine Entwicklung kann aber viele Jahre dauern.

Wie stehen Sie zur Missbrauchsgefahr JonDonyms zu kriminellen Zwecken, in der Vergangenheit etwa zum Download kinderpornografischen Materials? Was ist von einer verdachtsbezogenen Speicherung à la Quick Freeze zu halten?

Leider können wir einen Missbrauch nicht ausschließen. Im Rahmen des Dienstes wird deshalb zumindest der Zugriff auf Webseiten gesperrt, deren Eigentümer das ausdrücklich wünschen, etwa weil ein Hacker von JonDonym aus deren Seiten angegriffen hat. Auch die Ausgangsadressen des Dienstes werden veröffentlicht, so dass Webseitenbetreiber, die keine anonymen Besucher haben möchten, den Zugang für diese leicht blockieren können. Das schützt auch die Mixbetreiber vor möglichen Schadenersatzforderungen.

Weiterhin gilt es auch gesellschaftlich, abzuwägen, ob eine starke Verfolgung der Abrufer von Informationen wirklich gewollt ist. Denn die eigentlichen Verbrecher sind doch jene, welche illegales Material ins Netz stellen, hosten und verbreiten. Diesen kann man durch Schließung der entsprechenden Server und Rückverfolgung der Zahlungen für diese Server begegnen. Auch internationale Abkommen zu auf Webservern tolerierten und nicht tolerierten Inhalten dürften weiterhelfen.

Ein Quick Freeze ist zur Aufdeckung von geplanten oder wiederholten Verbrechen, etwa dem wiederholten Download strafrechtlich relevanten Materials, recht gut geeignet. Diese Technik kann auch datenschutzfreundlich durchgeführt werden, sofern dieser zeitlich begrenzt stattfindet, sich nur auf relevante Zugriffe auswirkt, die Zusammenarbeit und Kontrolle der Rechtmäßigkeit aller Mixbetreiber einer Kaskade erfordert und keine dedizierten Schnittstellen für Dritte im System voraussetzt. Ein Teil unserer Forschung geht deshalb in Techniken, um eine in dieser Hinsicht datenschutzfreundliche Quick-Freeze-Überwachung zu ermöglichen. Wie diese dann juristisch gesehen bei einem international verteilten Dienst eingesetzt werden kann, ist jedoch auch Sache der Politik und nicht primär von unserem Unternehmen zu planen. Wir schaffen aber zumindest die technischen und organisatorischen Möglichkeiten dafür.

Haben Sie Anhaltspunkte dafür, die auf die Verdächtigenquote von JonDonym-Nutzern im Vergleich zu anderen Providern schließen lässt?

Laut einer Studie des unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein liegt das Missbrauchspotential bezogen auf die gesamte Nutzerzahl weit unter dem Promillebereich. Ein deutlicher Unterschied zu anderen Providern war in dieser Studie nicht erkennbar. Wahrscheinlich nutzen Kriminelle lieber ihre eigenen Methoden zur Tarnung wie Botnetze oder gekaperte Proxys.

Die Studie des ULDs basiert aber auf Anfragen von Strafverfolgern auf Rückverfolgung der IP-Adresse. Die c’t zitierte dazu einmal einen Vertreter der Staatsanwaltschaf, der meinte, die Strafverfolger würden bei den JAP-Servern wegen Aussichtslosigkeit erst gar nicht mehr anfragen.

Über die Jahre haben sich Ausgangsadressen und Betreiber teilweise geändert. Mag das bei Dresden vielleicht zutreffend gewesen sein, so ist das bei den anderen Betreibern nicht unbedingt der Fall, weil sie von Ermittlern zunächst gar nicht als zu AN.ON/JonDonym gehörig erkannt werden können. Die zurückverfolgte IP-Adresse führt normalerweise zunächst zu einem normalen Hosting-Anbieter, und dann erst zum eigentlichen Betreiber eines Servers.

In der Tat konnte ich bei einer Kaskade normale IP-Adressen wie von Host Europe feststellen, so dass eigentlich nicht sichtbar ist, dass JonDonym dahinter steht. Es sei denn, es sind feste IP-Bereiche reserviert.

Genau. Eine Ausnahme ist die Piratenpartei, die sich einen solchen IP-Bereich hat reservieren lassen. Das kann für die Betreiber Vorteile haben, da dann nicht der Hoster mit Anfragen belästigt und eventuell verärgert wird.

Wie ist das Verhältnis Ihres Unternehmens zu den Sicherheitsbehörden?

Wir selbst haben kaum Kontakt zu Sicherheitsbehörden, da wir praktisch keine Mixdienste betreiben. Die Behörden wenden sich deshalb direkt an die Betreiber von JonDonym. Allerdings würden wir diesen Kontakt gerne intensiv herstellen, weil wir glauben, die Sicherheitsbehörden bei Ihrer Arbeit sogar beraten und unterstützen zu können. Anonymität kann auch unserer Polizei und den Geheimdiensten bei ihren Ermittlungen nützen. Zumindest wissen wir aus der Auswertung von Referrer-Daten auf unserer Homepage (IPs und Browserkennungen speichern wir ja nicht), dass der BND sich für den Dienst interessiert: Es fanden sich Referenzen auf interne BND-Seiten auf denen wir wohl verlinkt sind und auf einen BKA-Proxy.

Ferner sind wir wie bereits beschrieben durchaus bereit, eine technische Unterstützung der Strafverfolgung über JonDonym vorzusehen, soweit das datenschutzfreundlich möglich ist.

Herzlichen Dank für das Interview und Ihnen für die Zukunft alles Gute!

Das Interview führte Jonas am 05.02.2008.