NSA-Spähaffäre - Was tun?

[gamer94]

Worum es geht brauche ich wohl nicht erklären, tagtäglich werden neue Snowden-Dokumente veröffentlicht, die von einer massiven Überwachung von Verbindungsdaten und -inhalten von Internetnutzern durch die amerikanischen, englischen und wohl auch deutschen Geheimdienste berichten. Einige werden sich Fragen wie und ob man selber handeln sollte und was man tun kann.
Ich habe mich in den letzten Wochen immer wieder mal in verschiedene Themen eingelesen und etwas rumprobiert. Ich würde gerne, wenn Bedarf besteht zu gewünschten Themen Tutorials veröffentlichen bzw. allgemein hier informieren (so gut ich kann), was sinnvoll ist und was nicht.

Fangen wir mal am Anfang an:
Festplattenverschlüsselung - Einfach und extrem sicher realisierbar mit TrueCrypt. Aber: HDD-Verschlüsselung schießt am Ziel vorbei: Gibt man das Passwort ein werden alle Daten die Programme anfordern On-the-Fly entschlüsselt, auch wenn es ein Trojaner ist. SOLLTE eine Geheimdienst irgendwann direkten Zugriff auf den Rechner erhalten, so sind alle Daten lesbar sobald man den Rechner anschaltet und sich anmeldet. Man könnte natürlich ein Datengrab einrichten auf welches man nur zugreift wenn man kein Internet hat o.Ä. aber ob jemand den Aufwand auf sich nehmen will bezweifel ich TrueCrypt wendet sich vor Allem an Menschen die in undemokratisch(eren ) Ländern leben und eine Verhaftung befürchten müssen und deren Festplatteninhalte ihnen Probleme bereiten können.

Mailverschlüsselung - Da fällt wohl PGP/GPG und S-MIME ein. Zwei Verschlüsselungsmethoden, beide sicher, aber auch das schießt ein wenig am Ziel vorbei: Die Inhalte sind verschlüsselt, aber Header-Daten nicht. Mit wem man wann und wie oft kommuniziert lässt sich weiterhin problemlos mitspeichern. Wenn man Firmengeheimnisse zu bewahren hat lohnt sich das schon eher. S-MIME wird von Thunderbird von Haus aus unterstützt, GPG nicht, lässt sich jedoch mit einem Addon nachrüsten. Hier kommt aber der zweite Knackpunkt: Das Plugin reicht nicht, man braucht zudem die GPG-Engine. Für Windows wäre das Gpg4Win, das ist allerdings vorkompiliert und Gpg4Win hat mal eine sehr großzügige Spende vom BSI erhalten... Da muss jeder selber entscheiden ob er dem Braten traut. Unter Linux kann man wahrscheinlich GPG selber kompilieren, probiert habe ich das bisher aber nicht. Zudem muss der Empfänger ebenfalls GPG benutzen um die Mails lesen zu können.

Anonym surfen - Die einfachste Methode ist ein Proxy, Listen gibt es im Netz. Richtig sicher ist das allerdings nicht und vorallem sind die meisten Proxys nach einigen Tagen wieder verschwunden und man muss einen neuen suchen.
Der nächste Weg wäre Tor. Tor ist ein Netzwerk von Proxys, die Software wird installiert und man richtet einen Port am eigenen Rechner als Browserproxy ein. Die Anfragen gehen dann verschlüsselt über mehrere Proxys hintereinander die über die ganze Welt verteilt sind. Der Datenverkehr wird also viele Male umgeleitet und gelangt gelangt dann zu einem speziellen Proxy der als so genannter Exit-Knoten fungiert. Von dort wird die gewünschte Seite abgerufen und dann über das Proxynetz zurück zum eigenen Rechner geliefert.
Vorteile:
- Es ist schon ein großer Schritt in Richtung Anonymität
- Es funktioniert ziemlich zuverlässig

Nachteile:
- Durch die Umleitungen surft es sich nicht mehr so schnell
- Es gibt viele Knoten (momentan sind fast 4500 online), aber nur wenig Exit-Knoten. Das liegt daran das der Betrieb eines solchen nicht ungefährlich ist. Wenn ein Tor-Nutzer z.B. illegal Musik runterlädt, dann ist der Exit-Knoten-Betreiber der Dumme und muss evtl. blechen.
- Der auf dem Rechner Exit-Knoten-Betreibers wird der Traffic (wohl oder übel um ins Netz zu gelangen) entschlüsselt. Ich rate dringenst davon ab sich per Tor Seiten auf einer Seite einzuloggen oder gar Online Banking zu betreiben oder mit Kreditkarte (bzw. überhaupt) etwas zu bestellen! Ist der Betreiber des Exit-Knoten nicht sauber dürfte das Konto schnell leer sein. SSL hat auch Lücken...

Zum einfachen rumsurfen/googlen ist Tor aber wohl ausreichend und in Ordnung. Und wohl auch den Geheimdiensten ein Dorn im Auge: Eine Sicherheits-Lücke in einer alten Firefox-Version die mit dem Tor Browser Bundle (enthält einen vorkonfigurierten FF) wurde genutzt um Schadcode einzuschleusen, jedoch keine übliche Schadsoftware. Der Code versuchte den Tor-Nutzer trotz Tor eindeutig zu identifizieren. Alles deutet darauf hin, dass die Schadsoftware vom FBI stammt. Deswegen empfehle ich lieber einen aktuellen FF zu nutzen, statt dem enthaltenen.

Eine weitere, jedoch auch drastischere Maßnahme um seinen Traffic zu schützen: Nicht mehr surfen. Zumindest nicht im normalen Internet. Es gibt zwei Projekte, I2P und Freenet, die dem Internet einen neuen "Layer" hinzufügen. Die I2P Software bzw Freenet Software wird gestartet und man richtet einen Proxy im Browser ein. Man kann nun auf zusätzliche Internetseiten zugreifen, nämlich I2P Internetseiten und Freenet Internetseiten. Diese sind komplett verschlüsselt über die Teilnehmerrechner verteilt gespeichert. Jeder kann sich eine oder mehrere Seiten einrichten, man bleibt vollkommen anonym. I2P und Freenet bieten neben HTTP auch Mail und Filesharing/Newsgroup-Protokolle.

Vorteil: Nichts wird irgendwo unverschlüsselt gespeichert oder übertragen, komplett dezentral
Nachteil: Es gibt nur wenige Webseiten, Ziel beider Dienste ist es ein paralleles, anonymes Internet aufzubauen, wer diese Idee Unterstützt sollte selber aktiv werden und Webseiten befüllen.

Verschlüsselt chatten - Hierfür kann man, wenn man auf XMPP umsteigt oder eh schon nutzt, auch GPG nutzen. Wäre also definitiv einen Blick wert wenn man eh schon GPG für seine Mails nutzt.

Ja, das wars vorerst. Wenn sich jemand für ein Tutorial oder mehr Details zu einem der Themen interessiert werde ich das demnächst mal machen
Hat sonst noch jemand Ideen oder Tipps? Nutzt jemand eines oder mehrere der Programme oder ein anderes?

[Lennart]

Ein wirklich interessantes Thema, mr.tommi hatte mir gerade zwei Links dazu geschickt - vielleicht teilt er sie ja später mit euch.

Auf Festplattenverschlüsselung setze ich selbst nicht, da sie, wie du geschrieben hast, ein wenig am Ziel vorbei schießt. Ich verwende aber verschlüsselte USB-Sticks, weil ich die hin und wieder verliere.

Mailverschlüsselung via GPG ist unpraktikabel, weil nur wenige Empfänger sie wirkungsvoll unterstützen. Und auch im Firmenbereich bringt es einem leider nichts, wenn der Empfänger die Mail zwar erhält, sie unterwegs auch keiner lesen kann, aber der Empfänger sie auch nicht lesen kann.

Interessanter Aspekt bei der Mailverschlüsselung bei Anbietern wie GMX, Google, Web.de usw.: Auch wenn mit SSL verschlüsselt wird, ist die Verbindung nicht wirklich sicher - schließlich könnten Organisationen und Geheimdienste irgendwann an den entsprechenden Schlüssel kommen, der vom Server für die SSL-Verschlüsselung benutzt wird. Damit wäre der ganze SSL-verschlüsselte Kommunikationsprozess nachträglich entschlüsselbar.
Zu verhindern ist das, wenn der Schlüssel nicht mit übertragen wird - zum Beispiel mit dem Diffie-Hellman-Verfahren. Nach aktuellen Informationen von Heise verwenden weder Arcor, noch GMX, Hotmail, Web.de, 1&1, Strato, T-Online oder Posteo konstant das Verfahren. Einzig beim "Datenkraken" Google wird das Verfahren bei SMTP, POP, IMAP und Web Interface benutzt.
Bringt mir leider in den seltensten Fällen was - schließlich versende ich ja meine Mails auch an den Kollegen, der GMX nutzt und die Bekannte, die Web.de verwendet.

Chatten tue ich wenig, anonym surfen habe ich mehr oder weniger aufgegeben - zu langsam und bei Späßen wie Werbeblocker oder deaktiviertem Javascript zu unkomfortabel. Ein purer Firefox, immer aktuell gehalten, muss reichen, auch wenn mich das angreifbar macht.

Übrigens: In Frankreich müssen Provider laut Gesetz Daten sammeln - dazu gehören auch Passwörter! Mehr dazu

Wenig Lösung, viele Probleme... ich hoffe, bei der kommenden Bundestagswahl können die Piraten ein Zeichen setzen und so andere Parteien dazu bewegen, mehr über Datenschutz nachzudenken - ohne Unterstützung und Umdenken des Staates wird das in absehbarer Zeit nichts...

[gamer94]

Für alle die, wie ich, auf Suchergebnisse in der Qualität wie Google sie bietet nicht verzichten kann, sollte sich mal http://www.startpage.com anschauen. Die Seite gehört zur Metasuchmaschine ixquick mit Standort in den Niederlanden. Startpage leitet Suchanfragen an Google weiter und gibt die Ergebnisse an den User weiter. So erfährt Google nur die IP von ixquick, erhält allerdings keinerlei Hinweise auf den Suchenden. Die Ergebnisse verlieren so allerdings (logischerweise) ihre automatische Anpassung an das vorherige Suchverhalten, dennoch sind die Ergebnisse definitiv besser als die einer anderen Suchmaschine.

[Lennart]

Kurze Info für alle Tor-Nutzer: Die NSA markiert alle Tor-Nutzer vorsorglich als Extremisten und überwacht sie. Quelle

[Vivienne]

Ja, das habe ich auch schon gesehen. Ich nutze zwar kein Tor, aber wenn das mit den Pauschalisierungen - egal, bei welchem Thema - so weiter geht, ist irgendwann jeder, der auch nur einen Computer besitzt, ein Terrorist... Einfach dämlich!

[mr.tommi]

Bin grade auch auf das Thema gestoßen und wollte es hier bekannt machen - ich hätte hierzu die Version der Tagesschau zu bieten...
Auf Heise ist ja ne umfangreiche Diskussion mit derzeit über 700 Kommentaren entstanden - einen werde ich hier zitieren:

Foucault schlägt wieder zu

Ich habe jetzt den Heise-Artikel und den NDR/WDR-Bericht gelesen und
nirgends wird erklärt wo der Quellcode herkommt. Ich gehe davon aus,
dass der Code, bzw. die Auszüge absichtlich lanciert wurden. Warum?

Weil hier keine wirklichen Ziele benannt werden, also z.B. bestimmte
Personen und Gruppen, die sich dann besser schützen könnten. Statt
dessen erkennt man, dass eine allgemeine, kritische Öffentlichkeit
ins Schleppnetz der Geheimdienste gerät. Das hätte man schon vorher
vermuten können, jetzt "weiss" man es.

Und wozu führt das? Dass diejenigen, die sich gegen den
Überwachungswahn wenden, entmutigt werden, bzw. Angst bekommen. Es
ist die Selbstzensur, die durch solche Berichte gefördert wird, und
das ist der Grund warum solche Informationen gedropt werden. Es
erleichtert den Diensten langfristig die Arbeit. Die Medien haben die
Drohbotschaft für die Dienste verbreitet: Versucht uns zu umgehen,
unsere Arbeit zu erschweren und wer weiß, was wir euch in eurem
zukünftigen Leben für Steine in den Weg legen werden.

Denn das einzige, was wirklich funktioniert, ist, wenn eine kritische
Masse an Aktivisten noch einen Rest (technischer) Freiheit bewahrt
und diese genutzt werden kann. So lange ist die Totalüberwachung
nicht total. Das Ziel muss also sein, diese Gruppe zu
marginalisieren, nicht zuzulassen, dass hier eine große Gegenkultur
entsteht als Keimzelle einer neuen Bürgebewegung, die irgendwann die
Totalüberwachung kippen könnte, wie die Bürgerbewegung in den 60ern
den Rassismus und Sexismus gekippt hat (über 50 Jahre...).

Ich sage nicht, dass NDR und WDR sich hier als willfährige
Laufburschen aufgeführt haben, aber eben auch dieser Aspekt gehört
zum "Sensationsbericht" dazu. Hier wurde weniger "aufgedeckt", hier
wurde nur verbreitet was zugeliefert wurde - ganz im Sinne der
praktischen Quelle. Win-Win für die Dienste und die Medien. Aber
auch für die Rezipientinnen?

Und warum Foucault? In "Überwachen und Strafen" (1975!) nimmt er die
aktelle Entwicklung vorweg. Das gesellschaftliche Bild des
Bentham'schen Panoptikum-Gefängnisses wird gerade elektronisch
realisiert. Der Witz ist nicht, dass man konkret überwacht wird, der
Witz ist der Potenzierungseffekt durch das möglichst weit
verbreitete Wissen, dass man jederzeit überwacht werden *könnte*.
Und dieses Wissen wurde gerade mit dem Artikel wieder mal gestreut
und verankert - ganz im Sinne der Überwachenden.
Diese Schere im Kopf verhindert über die Zeit schon das freie
Denken, zumindest aber die freie Äußerung und den Austausch von
Gedanken und ist damit ein notwendiger Schritt hin zu einer
autoritären Gesellschaft. Diese ist nicht zwingend das Ergebnis,
aber ohne diesen Schritt ist dieser Zustand nicht wirklich
erreichbar.

Eine unfreie Gesellschaft entsteht nicht über Nacht. Sie ist das
Ergebnis vieler kleiner Schritte, die das Denken und
Selbstbewusstsein der Bürger immer weiter einschränkt in einen
Tunnelblick, der unmöglich macht etwas aufzunehmen, was außerhalb
des verengten Tunnel-Weltbildes liegt, bis am Ende Massen an
konformen Duckmäusern stehen, die alles mit sich machen lassen und
im Sinne des Systems funktionieren.

Und danach wundert man sich mal wieder, wie es soweit kommen konnte...

Wir bekommen das doch auf dem Silbertablett serviert, wir sind live
dabei, super informiert und trotzdem offensichtlich nicht in der Lage,
uns auch nur gegen einen dieser Schritte auf dem Weg nach unten zu
wehren.

Jeder Schritt nach oben wird zehnmal so schwer werden, wie der Weg
nach unten.
Jetzt braucht es eine Organisation, die den Widerstand sammelt und
ihn dadurch hörbar macht, am leben hält. Wer das ist ist eigentlich
egal. Es könnten die Piraten sein, aber die haben mit sich selbst
und dem Weg zur Macht mehr zu tun als mit den Aufgaben, für die sie
gebraucht werden.

Vielleicht fasst sich ja der CCC mal ein Herz und bildet die "one
purpose Partei" die die Piraten nicht sein können und wollen. Meine
Stimme und tätige Unterstützung hätten sie.

Gruß
M.

Ein Anderer ergänzt:

Diese Vermutung trage ich auch schon, insbesondere das Timing passt ideal.
Einen Tag vor dem WM-Spiel. Ingesamt befassen sich mit diesem Thema
(gerade bei der WM) sowieso nur diejenigen, die es ohnehin auf dem Plan
haben, und auf diese wirkt es entsprechend, wie du bereits erklärt hast.

Das Thema wird die kommenden Tage untergehen (insbesondere durch das
Spiel heute) und ein Teil von uns, die Adressaten, wurden erfolgreich
eingeschüchtert. "Die anderen" haben dann garnichts davon
mitbekommen, oder wenn doch, dann sind sie ebefalls eingeschüchtert
weil sie wissen, dass wenn sie sich auflehnen,
ebenfalls ins Visier geraten.

Das ist ein hochinteressanter Ansatz und ich finde die aufgezeigte Tragweite echt heftig!