1 From: Boris Kraut <krt@nurfuerspam.de>
2 To: undisclosed-recipients: ;
3 Date: Sat, 15 Nov 2014 23:16:28 +0100
4 Message-ID: <20141115231628.NNi3UK@edupad.local>
5 Reply-To: Boris Kraut <krt@nurfuerspam.de>
6 Subject: [.plan] Panopticon 2014
8 Ich habe eine ganze Weile nichts mehr geschrieben, was nicht daran lag, dass
9 es keine Themen mehr gibt. Das Gegenteil ist der Fall.
11 Einige -- zumindest die Leser des Feeds -- werden wissen, dass ich inzwischen
12 aus dem Karlsruher CCC ausgetreten bin, weshalb ich auch deren Infrastruktur
13 nicht mehr nutzen will (und irgendwann auch nicht mehr koennen werde). Doch
14 was noch viel tiefer sitzt als der Verlust der "Nutzungs-Moeglichkeiten" --
15 Hardware und Software kann man ersetzen -- ist der Verlust des Vertrauens.
16 Und auch wenn es im konkreten Fall sich nur um eine Person handelt, hat das
17 ganze doch Auswirkungen auf mein komplettes Verhalten gehabt: Vertrauen in
18 Anbieter, Technik und Mitnutzer -- das waren zentrale Punkte in einigen
19 meiner Vortraege und mit den gemachten Erfahrungen musste ich auch andere
20 Vertrauensbeziehungen bzw. -annahmen gruendlichst ueberdenken.
22 Das tut mir natuerlich fuer die vielen Leute leid, die mir sofort digitalen
23 Unterschlupf, Web- und Mailhosting angeboten haben, denn sie wollte ich am
24 aller wenigsten kraenken, doch darf die Frage, wem man vertrauen kann, erlaubt
25 sein, wenn einem selbst Mitstreiter in den Ruecken fallen. Es muss ja nicht
26 immer ein Geheimdienst sein (und wenn doch: Sollte man eher besorgt sein, wenn
27 es ein inlaendischer mit sofortigen Repressionsmoeglichkeiten oder eher der
28 eines "Verbuendeten" mit grossem Einfluss oder gar der eines nicht unwichtigen
29 Drittlandes ist?), auch grosse Unternehmen geniessen eher kein Vertrauen.
30 Doch was ist mit Freunden oder gar dem Partner? Vielleicht rastern die nicht
31 ueber eure Gewohnheiten drueber, aber koennt ihr euch wirklich keine Situation
32 vorstellen, an der selbst diese Leute ein Interesse an euren Daten haetten?
33 Mal fremdgegangen? Mal im Streit eine Mail verfasst und dann doch nicht ab-
34 geschickt? Und auch "Freundschaften" halten ja nicht automatisch fuer immer
35 und ewig. Das alles sind Gruende, warum man evtl. doch nicht nahestehenden
36 Personen vertrauen sollte. Und so sehr mir dieser Punkt bewusst war und ich
37 ihn selbst in Vortraegen angesprochen habe, so sehr habe ich mich doch ver-
38 leiten lassen zu glauben, dass das mir schon nicht passieren wuerde.
42 Das Panopticon ist ein Gefaengniskonzept, das einen von Zellen ringfoermig
43 umgebenen Waerterturm im Zentrum vorsieht. Vom Turm aus kann jede Zelle be-
44 obachtet werden, waehrend Insassen nicht wissen koennen, ob gerade jemand
45 Dienst schiebt, wen er beobachtet oder ob gar nur ein Pappaufsteller fuer
46 Ordnung sorgt. Man kann also nicht sagen, ob man beobachtet wird oder von
47 wem. Die Idee ist, dass allein die Angst vor dem Beobachtetwerden (und die
48 damit verbundene moegliche Sanktionierung) die Insassen in Schach haelt.
50 Mich hat auch eine Angst gelaehmt, die Angst mich freiwillig ein weiteres mal
51 in solch ein Gefaengnis zu begeben. Zentralisierung birgt immer Risiken, denn
52 derjenige der "im Zentrum" steht, hat Macht... und selbst Freunde koennen ggf.
53 nicht mit dieser Macht umgehen. Die Zentralisierung ist natuerlich gerade bei
54 Facebook und Co. ein Problem (hier kommen natuerlich noch andere hinzu, z.B.
55 dass man dort nicht mal mit anderen "Gefaengnissen" reden darf/kann), doch
56 selbst bei Mail- oder Webhosting, ja beim kleinsten denkbaren Multiuser-System
57 ist das Problem gegeben.
59 Einige der Postprivacy-Bewegung gehen daher davon aus, dass nicht Ueberwachung
60 das Problem ist, zumindest keins, das man in Zeiten von Flugdronen, von Smart-
61 phones mit staendig aktivem Mikrofon und von Brillen deren eingebaute Kamera
62 immer mitlaeuft, beheben koennte. Die Freiheit erhaelt man also nicht mehr durch
63 den Widerstand gegen die Ueberwachung, sondern dadruch, dass man die Angst vor
64 dieser Ueberwachung und den moeglichen Sanktionen verliert. Denn niemand wird
65 etwas sanktionieren koennen, was alle machen, denn das ist ja die neue "Norm"
66 -- wenn jeder privateste Details auf Facebook postet, wird sich daran auch kein
67 Arbeitsnehmer mehr stoeren. Der zweite Argumentationspunkt ist der "Kompromat-
68 Koffer", also dass in einer Welt, in der jeder so freizuegig agiert, man immer
69 genuegend negative Informationen ueber eine x-beliebige Person hat, dass man
70 diese ebenfalls blossstellen koennte. Ein Gleichgewicht des Schreckens.
72 Die Argumente sind natuerlich fadenscheinig, denn damit das alles auch nur an-
73 naehernd funktionieren koennte, muessten erst alle Hierarchien geebnet, alle
74 Machtpositionen beseitigt werden. Anstatt von unten, also bei den "kleinen
75 Buergern", anzufangen, sollten die derzeitigen Machthaber -- staatliche
76 Stellen, Unternehmen und ggf. "Promis" -- mehr Offenheit an den Tag legen...
77 und das kann und wird nicht passieren. Und selbst bei aller Offenheit: Es
78 waere nicht das erste Mal in der Geschichte, dass eine kleine Elite zwar
79 offensichtlich Fehler hat wie jeder andere, diese aber nicht sanktioniert
80 werden, waehrend das Gros der Bevoelkerung unter drakonischen Strafen zu
81 leiden hat. Man denke nur an die Schwierigkeiten die man aktuell hat z.B.
82 gegen dokumentiertes Fehlverhalten von Polizisten anzugehen -- "Sie duerfen
83 das nicht!" ist ein sehr schwaches Argument, wenn die Gegenseite das Gewalt-
84 monopol besitzt. Es ist also offensichtlich, dass gerade die Postprivacy-
85 Leute eigentlich fundamental gegen Monopole, gegen Hierarchien, gegen
86 Zentralisierung sein muessten. Sie sind es aber nicht. Sie nutzen solche
87 Dienste wie kein zweiter.
89 Aber zurueck zum eigentlichen Thema: Wenn ich also Dritten nicht vertrauen
90 kann, dann muss ich alles selbst hosten, dann ist ein Freemailer genau so in
91 der untersten Schublade wie ein Hosting bei Freunden oder ein Paymail-Provider
92 -- selbst eigene Server in einer fremden Umgebung, z.B. einem Rechenzentrum,
93 sind dann nicht vertrauenswuerdig. Und was ist mit der Wohnung? So lange man
94 sich darin befindet, mag man sich in Sicherheit wiegen, doch was ist wenn man
95 die Wohnung verlaesst? Bleibt man in dieser -- zugegebenermassen sehr binaeren
96 -- Logik, bleibt nur eine Loesung: Alles am Mann, d.h. ein Geraet das immer
97 dabei ist oder sich in einem gesicherten Zustand befindet: Aus, verschluesselt
98 und weggesperrt. Ja, das ist mit massiven Funktionalitaets-/Bequemlichkeits-
99 einbussen verbunden, aber gibt es denn eine Alternative?
101 Nun, eins der groessten Mankos ist der Verlust der einer Offline-Messaging-
102 Faehigkeit, denn in diesem Setup muessten alle Kommunikationspartner zeit-
103 gleich online sein -- was selbst im Zeitalter mobiler Endgeraete und stetig
104 sinkender Flatratepreise keine Selbstverstaendlichkeit sein duerfte: Immerhin
105 wird gerade das "mobile" Netz immer mal wieder von Ausfaellen oder Ueber-
106 lastungen, wie z.B. an Silvester oder der WM, geplagt und in der heutigen
107 globalisierten Welt duerften auch Kontakte, die sich in unterschiedlichen
108 Zeitzonen befinden, nicht unwahrscheinlich sein. Sobald man aber Nachrichten
109 bei Dritten parkt, vertraut man also komplett darauf, dass die Ver-
110 schluesselung funktioniert. Hat man dieses Vertrauen erreicht -- geht das
111 ueberhaupt ohne mathematisch beweisbare Sicherheit? --, wird eignetlich die
112 Absicherung gegen den "lokalen" Zugriff unnoetig und man braucht sich doch
113 nicht mehr auf ein Geraet beschraenken... und auch nicht auf ein paar wenige
114 (Mail)-Provider: Peer2Peer-Messaging und -Datenhaltung mit starker und
115 funktionierender Crypto! Ein Traum?
117 Fakt ist, dass wir diesen Punkt noch nicht erreicht haben. Crypto ist ein
118 Hemmnis, aber kein 100% Schutz. Wir nutzen Computer, die wir eigentlich
119 nicht kontrollieren koennen, fuer die wir zum groessten Teil gar nicht mal
120 die Moeglichkeit haben, sie zu ueberpruefen -- unfreie Firmwares sei Dank.
121 Aber auch die Hardware an sich ist nicht frei.. und selbst wenn sie frei
122 waere, waere sie noch nicht gleich ueberprueft. Und wenn: Von wem denn?
123 Wie sehr koennen wir OpenSource-Entwicklern /-reviewern trauen? Koennen
124 wir denn uns selbst trauen? Die wenigsten koennen wirklich alles selbst
125 verifizieren und mit gutem Gewissen sagen "das ist sicher" -- die meisten
126 Nutzer (mich eingeschlossen) tun gut daran sich nicht mal die Einrichtung
127 und den Betrieb von kritischer Infrastruktur zuzutrauen. Projekte a la
128 FreedomBox sind da einfach gescheitert. Also was tun?
130 Ich habe erlebt, was Ueberwachung -- oder gar nur die Angst davor -- mit
131 einem macht: Sie laehmt, laesst verharren, laesst verstummen. Genau das
132 ist das Ziel. Ich moechte nicht laenger schweigen, moechte nicht mehr von
133 dieser Angst getrieben sein. Ich brauche eine Loesung des Dilemmas. Ein
134 "action plan" -- mit Betonung auf "Action"...
138 Fuer die ueberwiegende Mehrheit ist so ein Actionplan leicht aufgestellt,
139 weil sie sowieso nicht auf eine 100% Loesung aus sind. Sie akzeptieren,
140 dass sie Dritten vertrauen muessen, merken aber, dass das blinde Vertrauen,
141 das sie z.B. Google, Facebook entgegengebracht haben falsch ist.
144 1) Rechtliche Konsequenzen
146 Wie kann Vertrauen gerechtfertigt werden, wenn Unternehmen einen Dienst zwar
147 kostenlos anbieten und sich ein "Don't be evil"-Image verpassen, sich aber
148 gleichzeitig in den Nutzungsbedingungen weitreichende Rechte einraeumen?
150 Konsequenz muss hier sein, dass die AGB immer gelesen werden muessen und
151 man darf sie nur akzeptieren, wenn man ihnen auch wirklich zustimmt. Die
152 Wahrscheinlichkeit, hier das gewuenschte Schutzniveau zu erreichen, ist
153 natuerlich bei Anbietern hoeher, die sich Datenschutz und Sicherheit auf
154 die Fahnen schreiben und ein klares Geschaeftsmodell haben, das nicht auf
155 dem Abhoeren seiner Nutzer basiert -- was natuerlich meist mit "echtem"
159 2) Technische Konsequenzen
161 Auf der technischen Seite ist Vertrauen in proprietaere und/oder geschlossene
162 Systeme nicht mehr zeitgemaess. Es muss immer die Moeglichkeit geben, den
163 Anbieter schnell wechseln zu koennen, ggf. die noetigen Dienste auch selbst
164 anbieten zu koennen. Konkret heisst das, dass man auf Mails, XMPP (fuer
165 Chat) und CalDAV/CardDAV (fuer Kontakte und Kalender) setzt anstatt z.b. die
166 vollintegrierte Loesung von Google zu verwenden.
168 Auf der Sicherheitsseite gibt es leider wenig neues: OTR sollte in den meisten
169 freien Chatclients zur Inhaltsverschluesselung integriert sein, laeuft aber
170 teilweise im mobilen Bereich -- bruechige Internetverbindung und ggf. mehrere
171 angemeldete Clients -- etwas unrund, wenn auch Besserungen in Sicht sind.
172 Offline-Verschluesselung klappt mit OTR ebenfalls nicht. Es laeuft hier
173 weiterhin auf OpenPGP raus, was erfreulicherweise auch auf mobilen End-
174 geraeten recht einfach einzurichten ist und danach "einfach funktioniert".
175 Mit Vorgriff auf (3) muss hier auch angemerkt werden, dass Inhalts-
176 verschluesselung natuerlich auch die eigenen Geraete trifft. Im Jahr 2014
177 ist FullDiskEncryption, also die Verschluesselung der Fesplatte bzw. des
178 lokalen Speichers, gluecklicherweise meist kein Problem mehr -- man muss
179 es nur machen: Android, Windows, Linux und wahrscheinlich auch bei den Apple
180 Betriebssystemen bieten entsprechende One-Click-Loesungen von Haus aus an; in
181 wie weit man diesen Vertrauen kann ist natuerlich eine andere Frage.
183 Bei der Verschluesselung des Weges haben wir weiterhin mit SSL zu tun, muessen
184 uns also mit kaputten CAs rumschlagen. Prinzipiell darf man den grossen
185 Zertifizierungsstellen eigentlich nicht mehr vertrauen, sondern muss ggf.
186 einzeln pruefen. Es bleibt zu hoffen, dass hier Neuerungen a la CertPinning
187 Verbesserungen bieten.
189 Bleiben als letztes noch die Metadaten: Wann kommunizieren? Wie oft? Mit wem?
190 Ggf. ueber was? Von welchem Rechner? Von wo? Usw. Hier kann man zwar ein paar
191 Vorkehrungen treffen -- z.B. keine Geo- und Zeitstempel in Bildern oder das
192 automatisierte Anonymisieren von Traffic -- aber je nach Kommunikationsart
193 werden hier -- technisch oder sozial bedingt -- zu viele Informationen ver-
194 breitet... man denke nur an staendig eingebuchte Smartphones.
197 3) Verhaltensbasierte Konsequenzen
199 Von vielen oft vernachlaessigt ist eine simple Regel: Daten die nicht anfallen,
200 koennen auch nicht missbraucht werden. Und wenn sie doch anfallen, braucht man
201 nicht alles online: In vielen Faellen reicht es, wenn die jeweiligen Daten nur
202 lokal, verfuegbar sind. Kontakte, Kalender, Daten usw. kann man auch lokal
203 zwischen Smartphone, Laptop und Desktop synchronisieren. Wenn die entsprechende
204 Software einmal eingerichtet ist, funktioniert das sogar ohne Funktionalitaets-
205 oder Bequemlichkeitseinbussen. Auch hier gilt: Man muss es nur machen!
208 Normalerweise halte ich mich ja zurueck mit direkten "Kaufempfehlungen", aber
209 nach so viel Text sollte ich evtl. eine Ausnahme machen. Zwar keine Empfehlung,
210 aber hier eine kurze Zusammenstellung, wie ein Setup aussehen koennte, das man
211 evtl. mal ueberdenken sollte, auch wenn es nicht alle o.g. Aspekte augreift:
213 * Anstatt GMail oder GMX einen Anbieter wie Posteo nutzen. Fuer 1 Euro pro
214 Monat bekommt man Mail-, Kalender- und Kontaktspeicher von einem Anbieter,
215 der sich sowohl um Oekologie wie auch um Privatsphaere bemueht zeigt. Zur
216 Anmeldung wird noch nichtmal eine Postadresse verlangt -- so lange das
217 Geld reinkommt, bleibt das Konto bestehen und selbst wenn nicht, wird es
218 nicht gleich gesperrt. XMPP-Anbieter gibt es wie Sand am mehr, z.B. beim
219 CCC, bei DuckDuckGo oder oder oder...
221 * Android-Smartphone mit aktuellem Android (z.B. Nexus5) mit aktivierter
222 Verschluesselung, der DAVDroid Anwendung fuer Kalender und Kontakte sowie
223 K9-Mail fuer Mails mit OpenKeychain als OpenPGP-Provider. Wer XMPP nutzen
224 will sollte sich den Client Conversations anschauen.
226 * Ubuntu mit FullDiskEncryption (bei der Installation per Klick installierbar)
227 und Thunderbird fuer Mails. Bei Thunderbird gibt es mit Enigmail ein PGP-
228 Plugin, ggf. Seahorse zum verwalten der Keys. Kalender und Kontakte lassen
229 sich in Thunderbird mit den Addons Lightning und SoGo Connector einbinden.
230 Als XMPP-Client duerfte Gajim gute Dienste leisten.
232 Wichtig dabei ist, dass das alles nur ein Vorschlag ist und sich natuerlich
233 nur im einen kleinen Teilbereich handelt, die Welt von Web und Browser habe
234 ich hier noch mit keinem Wort erwaehnt.
236 Aber wenn das alle so einfach ist, warum halte ich mich dann selbst nicht
237 an meinen Vorschlag? Nun, ich selbst bin ein etwas komplizierterer Fall,
238 ich muss fuer mich fundamentale Fragen klaeren und die Antwort macht keinen
241 Ich muss davon ausgehen, dass jede eMail protokolliert und gespeichert wird.
243 Es gibt zwar bessere und schlechtere Provider und es wird inzwischen haeufiger
244 der komplette Weg verschluesselt, aber im Endeffekt liegen die Mails zumindest
245 beim Absender und Empfaenger unverschluesselt rum, aus den Posteo-Datenschutz-
248 > Wir weisen darauf hin, dass es uns aus rein technischer Sicht moeglich ist,
249 > all Ihre E-Mails, Adress- und Kalenderdaten einzusehen, wenn diese nicht von
250 > Ihnen verschluesselt wurden.
252 Kurz: Ich muss hier genau wie bei GMX und Co. den Inhalt der Mail ver-
253 schluesseln. Im Umgang mit Metadaten ist hier natuerlich ein besserer ge-
254 fuehlter Schutz vorhanden, weil ich davon ausgehen darf, dass Posteo nicht
255 versucht Kontakte, Themen und Kommunikationszeitpunkte in ein wertvolles
256 Kundenprofil zu zwaengen -- also Punkt (1) -- ..aber weiss ich das? Email
257 hat leider einige -- aus heutiger Sicht -- sehr unschoene Konstruktions-
258 schwaechen, denn viel zu viele Informationen sind im unverschluesselten
259 Header abgelegt, die dort wenig zu suchen haben: Eigentlich muesste man
260 eine komplette Mail verschluesseln und diese dann in einer sonst leeren
261 Mail verschicken.. oder gleich auf ein andere Transportsystemwechseln?
262 Seufz. Ich schweife wieder ab...
264 Was bleibt am Ende? Keine Loesung, kein richtig, keine "Do"'s, aber jede
265 Menge "Don't"'s. Und trotz allem: Nicht mehr schweigen.
268 [0] https://posteo.de/site/datenschutzerklaerung
projects / krt-msg / blob