Darknets – die anonymen Seiten des Netzes

Wer das Internet nutzt, hinterlässt Datenspuren. IP-Adressen, Logfile-Einträge, nachvollziehbare Aktivitäten. Vieles davon ist selbst mit Hilfe von Browsern wie Firefox oder Chrome , die einen „Privatmodus“ kennen, nicht zu vermeiden. Und beim Einsatz von anderen Netzprogrammen für Chats, Filesharing oder Usenet-Nutzung erst recht nicht.

Pädophile, Stalker, Abmahnbetrüger, Datensammler für Spammer und andere „Parasiten des Netzes“ suchen gezielt solche Daten. Oft auch mit Hilfe von Firmen wie Logistep, proMedia und anderen, die solchen zwielichtigen Gruppen im Nahmen sog. „Anti-Piracy“-Programmen zur Kriminalisierung von Tauschbörsenbenutzern zuarbeiten.

Doch bereits seit Jahren beschäftigen sich Gruppen von bürgerrechtsaffinen Netzbewohnern damit, solche Umtriebe durch neue Netzstrukturen einzudämmen, in die Anonymität und Datenschutz schon von Beginn an eingebaut sind. Vollverschlüsselung von Daten, Mixe und Proxys, Mehrfachverschlüsselung, Abschirmung realer IP-Adressen, Tunneling, Datenredundanz etc. sind technische Ansätze hierzu. Ausspähung, Cyber-Stalking, Abmahnbetrug etc. sollen technisch nahezu unmöglich gemacht werden. Ebenso aber auch Vorratsdatenspeicherung durch bzw. für staatliche Stellen.

Realisiert werden die Ideen in Form sog. „Darknets“. Der Begriff geht auf einen Fachartikel zurück, in dem Microsoft-Angestellte die These aufstellen,  dass die Existenz solcher Systeme ein wesentliches Hindernis für die Entwicklung funktionierender Techniken zur digitalen Rechteverwaltung seien (womit sie wahrscheinlich recht haben dürften).

The Darknet and the Future of Content Distribution (PDF, 360 Kb)

Wirklich anonymer, selbstbestimmter und zensurfreier Informations- und Datenaustausch ist nur in solchen, datenschutztechnisch besonders gehärteten Netzen möglich. Implementierte Referenzbeispiele für Darknet-Architekturen sind Freenet, Tor oder I2P.

Zu den Nachteilen bisheriger Darknets zählte stets die Notwendigkeit, spezielle Software installieren und konfigurieren zu müssen. Sowie sich mit den Grundprinzipien der jeweils zugrunde liegenden Protokolle befassen zu müssen. Sie kamen daher als „von Hackern für Hacker“ entwickelte Programme nie so recht aus dem Experimentier- und Bastelstadium heraus.

Auf der derzeit (25.-30. Juli) stattfindenden Konferenz „Black Hat 2009 – Digital Self-Defence“ plant ein Entwicklerteam von HP ein rein browserbasiertes Darknet namens „Veiled“. Es handelt sich um einen Proof-of-Concept-Prototypen, der weder als kommerzielles Produkt, noch als Open-Source-Software veröffentlicht werden soll. Die HP-Forscher wollen in ihrer demnächst von der Konferenzwebseite herunterladbaren Präsentation jedoch genügend Hinweise zu den jeweiligen von ihnen geschaffenen Problemlösungen geben, sodass Entwickler aus der Community eine eigene Implementation erstellen können.

Uli Ries beschreibt die Wirkungsweise von Veiled auf Heise.de so:

Dabei bilden alle Systeme, die zu einem Zeitpunkt eine bestimmte URL geöffnet haben, ein gemeinsames Netz. In das kann man Daten einspeisen und dann auch wieder abrufen. Auf Client-Seite steckt die gesamte Intelligenz in ein wenig JavaScript-Code, der mit einem PHP-Skript auf dem Server kommuniziert. Dabei können die Clients ihre Nachrichten an einzelne Clients oder an alle per Multicast verschicken. Die Kommunikation zwischen den Clients wird per RSA verschlüsselt.

Um die Ausfallsicherheit zu erhöhen, kann man die PHP-Applikation auf mehrere Webserver verteilen. Beim ersten Aufruf teilt der ursprüngliche Server den Clients die übrigen Adressen mit, sodass sich der Browser im Falle eines Ausfalls an einen der Backup-Supernodes wenden kann.

Wie bei anderen Darknets auch gibt es keinen zentralen Speicherort für die unter den Darknet-Nutzern ausgetauschten Dateien. Vielmehr gibt jeder Anwender eine frei definierbare Menge an Plattenplatz frei, die Darknet-Software verteilt alle vorhandenen Files dann stückchenweise auf die verfügbaren Platten.

Da Veiled auf HTML5 basiert, muss der Browser dieses vollständig unterstützen (was z.B. bei Firefox 3.5 der Fall ist).

Neben dem Datenaustausch umfasst Veiled noch eine AES-verschlüsselte Chatfunktion, eine Web-in-Web-Funktion (HTML-Files, die auf im Darknet gespeicherte Files verweisen) und eine Distributed-Computing-Funktion (Grid-Computing – alle Clients arbeiten gemeinsam eine Aufgabe ab). Alle Funktionen sind vollständig in JavaScript implementiert.

Doch warum eine weiteres Darknet-System anstatt ein bereits bestehendes Open-Source-Projekt mit Entwicklerkapazitäten zu stärken? Die HP-Entwickler Hoffman und Wood dazu: „Weil wir demonstrieren wollten, dass ein Browser nicht nur stupide Webseiten anzeigen kann. Außerdem sind wir davon überzeugt, dass Darknets wesentlich weiter verbreitet wären, wenn die Einstiegshürden wie Download, Installation und Konfiguration der Client-Software nicht existierten“.

Hoffman sieht dank Browser-Darknet zudem auch die Chance, dass legale Anwendungen Verbreitung finden und die Darknet-Technologie somit aus den „Grauzonen des Internets“ zu holen. So kann er sich eine Darknet-basierte Version der Whistleblower-Site Wikileaks vorstellen, die aufgrund des Aufbaus weniger anfällig gegen rechtliche Konsequenzen oder Sabotage durch Geheimdienste wäre als die klassische, auf Webservern aufbauende Version.

Vom Standpunkt der Informationssicherheit sind Darknets jedoch auch kritisch zu bewerten. Denn die Aspekte der Datenintegrität, der Authentizität von Quellen oder der schlichten Verfügbarkeit der Systeme kommen ihn ihnen konzeptbedingt zu kurz.

Doch die zunehmenden Bestrebungen von Rechteverwertern, Medienkonzernen und Regierungen, das Internet in ein nationalisiertes und territorialisiertes Shoppingnetz umzubauen machen solche technologischen Gegenentwürfe notwendig.

Wenn das Internet vergesslich wird

Das Internet vergisst nichts. Alles was an Informationen hineingerät ist potentiell für ewig darin gespeichert. Weil es von Suchmaschinen indiziert und in Cache-Speicher kopiert wird. Weil öffentliche Internetarchive es erfassen und langfristig speichern. Weil Informationen über P2P-Netzwerke, Filesharing, Blogs, Chats oder Aggregationsdienste weitergetragen und verteilt werden. Oder weil zunächst „flüchtig“ angelegte Systeme wie Usenet-Newsserver mit einer Informationsvorhaltezeit von einigen Wochen mittlerweile Archive haben, die zehn und mehr Jahre zurückreichen (bsp. Google-Groups). Das Internet ist aufgrund seiner verteilten, dezentralen und redundanten Infrastruktur der wohl ausfallsicherste und stabilste Datenspeicher der Welt.

Datenschützer fordern daher schon länger „das Internet müsse vergessen lernen“. Was an sich widersprüchlich klingt, wurde kürzlich von Informatikern der University of Washington softwaretechnisch realisiert. Sie entwickelten „Vanish“, ein Open-Source-Programm dass dem Internet Alzheimer einpflanzen würde, wenn es in der Fläche zum Einsatz käme.

Mit ihm kann der Ersteller einer Information jedem Posting, jeder Mail und jedem anderen Informationsfragment, das er in die Welt setzt, ein Verfallsdatum zuteilen, nach dessen Erreichen die Information automatisch verschwindet.

Vanish erzeugt für jede Information, die mit einem Browser online gestellt wird, einen geheimen Schlüssel, mit dem diese verschlüsselt wird. Niemand, auch nicht der Sender, kennt diesen Schlüssel. Der Schlüssel wird anschließend aufgeteilt und zufällig auf mehrere Computer verteilt, die P2P-Netzwerken angehören. Da sich solche Netze laufend verändern, indem Computer neu hinzukommen und andere verschwinden, verschwindet der Schlüssel allmählich aus dem Netz. Nach einer gewissen, vom Nutzer vorgegebenen, Zeit lassen sich die Informationen daher nicht mehr entschlüsseln und werden so zu Datenmüll.

Voraussetzung ist, dass  bei jedem Zugriff auf die Information, der zeitlich nur begrenzt verfügbare Schlüssel erneut aus dem Netz geholt werden muss – die Informationen also nicht offline genutzt werden (können).

Um zu funktionieren, müssen alle Beteiligten Vanish installiert haben, das auch als Firefox-Plugin verfügbar ist.  Allerdings kann das Programm nicht verhindern, dass Nutzer die Informationen retten, indem sie diese ausdrucken bzw. per Screenshot oder Copy & Paste in ein anderes Programm übernehmen.

Ähnliche Ansätze gibt es im Bereich des Enterprise Rights Management (DRM für vertrauliche Unternehmensdaten). Dort sorgen aber stets eine abgeschlossene IT-Umgebung sowie homogene gemanagte Systeme für deren Funktionieren.

Allerdings wirft die Diskussion um das „vergessliche“ Internet einige Fragen auf: Einer der großen Vorteile des Internets ist seine globale Verfügbarkeit verbunden mit dem Zugriff auf potentiell alle jemals darin gespeicherten Informationen. Produkte wie „Vanish“ einzusetzen, käme der Informationsfreiheit in etwa so entgegen, als würde man in einer Bibliothek Buchwürmer aussetzen, um in ihr das Überhandnehmen an Gedrucktem einzudämmen.

Neben den Nutzern sozialer Netzwerke oder von Cloud-Computing-Diensten sind es vor allem Urheber und Rechteinhaber, die zunehmend ein „vergessliches“ Internet fordern. Sie wollen die Kontrolle über „ihre“ (??) Informationen sogar dann noch behalten, wenn sie diese bereits gegen Geld verkauft haben. Wie es kürzlich Amazon-Kunden in den USA feststellen mussten, denen gekaufte und bezahlte e-Books von ihren Kindle-Readern gelöscht wurden.

Technologien wie Vanish könnten daher im Erfolgsfall einen weiteren Beitrag zur Verschiebung der Kräfteverhältnisse weg von der Allgemeinheit und hin zu den Rechtemonopolisten darstellen.

Von der Leyen fordert Internet-Verhaltenskodex

Bundesfamilienministerin Ursula „Zensuschi“ von der Leyen verkommt zunehmend zum laufenden Blondinenwitz der Bundesregierung. So trat die vehemente Befürworterin der Internetzensur kürzlich mit einer Forderung nach Benimmregeln für das Internet im Rahmen eines Interviews mit der „Rheinischen Post“ an die Öffentlichkeit.

Ursula von der Leyen:

Ich möchte gemeinsam mit den Verantwortlichen solcher Kommunikationsforen, aber auch mit der Kompetenz der Jugendlichen einen Verhaltenskodex entwickeln. Es geht um achtsamen und wachen Umgang miteinander. Minderjährige müssen beispielsweise wissen, dass sich Erwachsene mit üblen Absichten in ihre Chats einschleichen können. Sie können soziale Kompetenzen im virtuellen Miteinander ebenso erwerben wie im realen Leben. Mobbing im Netz kann nicht toleriert werden. Respektvoller Umgang muss in Chats, blogs oder Foren so selbstverständlich sein, wie wir das auch im Schulalltag mit Streitschlichtern oder Vertrauenslehrern einfordern.

Dumm nur, dass „die Verantwortlichen“ hierzu die Ministerin gar nicht benötigen. Und das Problem selbst bereits vor etwa 30 Jahren gelöst haben. In Form der sog. „Netiquette“, einer weltweit akzeptierten informellen Norm zum guten Umgang mit den diversen Kommunikationsmöglichkeiten im Internet. Die Netiquette entstand zunächst in den Newsgroups des Usenet als informeller Standard des guten Umgangs miteinander und mit der Technik und kann bis in die 80er Jahre des letzten Jahrhunderts zurückverfolgt werden.

Sie fand daher auch bereits 1995 in Form des RfC1855 Eingang in die globalen technischen Normungsprozesse im Internet. Und wurde im Wesentlichen unverändert lediglich fortgeschrieben, wenn neue Kommunikationssysteme wie Chats, Webforen oder soziale Netzwerke die bestehenden wie E-Mail oder Usenet ergänzten.

Kurz: Die Welt im Internet funktioniert auch ohne die Vertreter der Internetausdrucker aus Berlin. Und das seit Jahrzehnten. Zumindest solange man sie denen überlässt, die darin leben und ihr Lebensumfeld selbst gestalten.

Zumal die gerade im christlich-konservativen Lager zunehmend verfolgbare Tendenz hin zu einem staatlich reglementierten „Jugendschutz für Erwachsene“ sich mit den Prinzipien der freiheitlich demokratischen Grundordnung unseres Staates ohnehin kaum in Einklang bringen lässt.

Am Drucker erlauscht

Über Drucker fand schon so manches Datengeheimnis seinen Weg an die Öffentlichkeit. Meist dadurch dass es jemand ausdruckte und den Druckauftrag nicht abholte. So dass er entweder weggeworfen wurde oder in die falschen Hände geriet. Oder weil Ausgedrucktes sich langfristig in den Plattenspeichern des Gerätes hielt und bei der Rückgabe von Leasinggeräten oder im Rahmen von Reparaturen aus dem Unternehmen herausleakte.

Über einen weiteren Weg, Druckern ihre Geheimnisse zu entreißen, berichtet die Fachzeitschrift „Computer und Arbeit“ in ihrer aktuellen Ausgabe 7/209.

Nadeldrucker erzeugen bei der Ausgabe eines Zeichens charakteristische unterscheidbare Geräusche. Zeichnet man sie auf, so lassen sich die ausgegebenen Zeichen mit hoher Wahrscheinlichkeit daraus korrekt wiedergewinnen, ohne dass man Zugriff auf den Drucker oder seine Datenspeicher haben muss.

Zwar sind Nadeldrucker nicht mehr allzu weit verbreitet. Sie werden aber nach wie vor überall dort eingesetzt, wo es darauf ankommt, Durchschläge drucken zu können. Beispielsweise in Arztpraxen oder Banken. Laser- oder Tintenstrahldrucker sind dazu technisch bedingt nicht in der Lage.

Einer Forschungsgruppe an der Universität des Saarlandes gelang es kürzlich mit Hilfe einer Kombination aus automatischer Spracherkennung und maschinellem Lernen über die Druckgeräusche etwa 70% der auf einem Nadeldrucker ausgedruckten Texte zu rekonstruieren.

Dazu hatten die Informatiker zunächst ein Wörterbuch gedruckt und die dabei entstehenden Druckgeräusche aufgezeichnet. Später ordneten sie datentechnisch jedem Wort die entsprechende Geräuschsequenz zu und konnten so ein Programm entwickeln, dass einerseits Störgeräusche wegfiltern und aus den verbleibenden Audiodaten anhand dieser Datenbank die gedruckten Zeichen mit hoher Treffsicherheit wiedergewann.

Etwa 70 % der Wörter der für die Tests verwendeten Patientenakten, Kontoauszüge und Geheimnummern von Konten konnten sie aus den Druckgeräuschen herausfiltern.

In vorangegangenen Studien hatten andere Forscher bereits nachgewiesen, dass man Daten aus den Abstrahlungen des Kabels eines LCD-Bildschirms ablesen kann und dass es möglich ist, Wörter über die Tastaturgeräusche beim Tippen herauszufiltern (Seitenkanal-Attacken).

Interview Michael Backes, Professor für Kryptografie und Informationssicherheit, auf Manager-Magazin.de

Die Datenschlampe in Kino

Wer sich gerne neue Blockbuster im Kino anschaut, muss damit rechnen, selbst beobachtet und ggf. auch gefilmt zu werden. Weil Warner Bros. (u.a. Verwerter der Harry-Potter-Filme) befürchtet, dass der Film sonst heimlich mit Handykameras (!) aufgenommen wird.

Kinobesucher in Magdeburg sind einem Zeitungsbericht zufolge mit Nachtsichtgeräten observiert worden. Sie hatten während der Filmvorführung Security-Leute bemerkt, die den Besucherraum mit Hilfe kameraähnlicher Geräte beobachteten. Als sie die Kinobetreiberin zur Rede stellten erklärte diese, dass die Männer im Auftrag der Warner Bros. tätig seien. Und sie vom Verwerter verpflichtet wurde, dies in seinem Kino zu dulden. Ein weiteres Beispiel dafür, wie Rechteverwerter mit Hilfe privatrechtlicher Vertragsvereinbarungen ihre Interessen durchzudrücken versuchen.

Gedeckt und befürwortet wird diese in etwa zehn Kinos angelaufene Spähaktion von der Gesellschaft zur Verfolgung von Urheberrechtsverletzungen (GVU), einer Lobbyorganisation der Verwerterindustrie, die in der Vergangenheit bereits mehrfach im Zusammenhang mit Abmahnbetrug, Tricksereien im Zusammenhang mit Urheberrechtsprozessen sowie der interessensgeleiteten Beeinflussung von Staatsanwaltschaften bei deren vorprozessualer Ermittlungsarbeit auffällig wurde.

Wieder einmal werden Datenschlampereien und Grundrechtsverletzungen mit dem Urheberrecht begründet. Als sei dieses eine Art Schweizer Taschenmesser, mit dem sich jedes Grundrecht problem- und folgenlos aushebeln lässt. Die Notwendigkeit einer grundlegenden Reform des Immaterialgüterrechts wird von Tag zu Tag deutlicher.

Sachsen-Anhalts Datenschutzbeauftragter Harald von Bose hält die Spähaktion für rechtlich fragwürdig und hat daher ein datenschutzrechtliches Ermittlungsverfahren gegen Warner Bros. eingeleitet.

Angriffsziel Auto – wie sich Fahrzeuge hacken lassen

Autos werden bereits seit Jahren informationstechnisch immer weiter getunt. Elektronische Stabilitätsprogramme (ESP), Drive-by-Wire, Chip-Tuning – das Auto wird zu einem fahrenden Computer mit diversen Schnittstellen zur Außenwelt. In jedem Mittelklasse-PKW steckt bereits ein kleineres Netzwerk, bestehend aus mehreren Embedded Systems zur Steuerung diverser Fahrzeugfunktionen, verbunden durch ein genormtes Bussystem (das Control Area Network, auch CAN-Bus genannt).

Zudem sollen Fahrzeuge bald auch untereinander und mit ihrer  Umgebung telematische Daten austauschen, um so z.B. ortsbasierte Dienste wie Staualarm, Navigation unter Einbeziehung der Verkehrslage oder Bestimmung der optimalen Geschwindigkeit für flüssiges Vorankommen zu ermöglichen.

Das aber lässt Hacker und IT-Sicherheitsspezialisten aufhorchen. Denn alles, was programmgesteuert rechnet und kommuniziert, kann auch gehackt werden.

Das beginnt bei nachgemachten Datenfunkgeräten, um Wegfahrsperren ausschalten oder verschlossene Fahrzeuge per Knopfdruck öffnen und starten zu können. Es geht weiter beim Zugriff per Laptop auf das Bordnetz eines Autos, um z.B. elektronisch gespeicherte Servicedaten und Funktionsparameter zu verändern oder veränderte Steuersoftware einzuspielen.

Sicherheitsexperte Marko Wolf hierzu in einem Heise-Interview:

Was bereits massenhaft gemacht wird, ist Chip-Tuning, wodurch andere Parameter eingestellt werden, um mehr PS zu bekommen und etwa die Abgasreinigung zu deaktivieren, weil die eben Leistung kostet. Wenn das schief geht, spielen viele dieser Nutzer die ursprüngliche Version wieder auf und sagen zum Hersteller: „Mein Motor ist schon nach 40.000 Kilometern kaputt gegangen, das ist ein Garantiefall!“ Ziemlich oft wird der Kilometerstand manipuliert, entweder nach unten, um den Wagen dann teurer verkaufen zu können, oder nach oben, um die Steuer zu betrügen.

So hatten Hacker auf der kanadischen Sicherheitskonferenz „CanSecWest“ bereits 2007 gezeigt, wie leicht Autofahrer über Navigationssysteme mit Meldungen über angebliche Unfälle oder Baustellen in die Irre geleitet werden können. Dazu nutzten sie Schwächen im Traffic Message Channel (TMC) aus, mit dem sich per Funk Telematikinformationen verbreiten lassen, die im Auto verarbeitet werden.

Diagnosesysteme zum Auslesen von KFZ-Systemdaten, zum Verändern von Parametern oder zum Neueinspiele modifizierter Steuersoftware kann man heute problemlos kaufen. Hilfe bei deren Nutzung bieten Autobastler-Foren und Tuning-Comunities.

Daher gewinnt das Thema IT-Sicherheit auch für die Bordnetze von Fahrzeugen zunehmend an Bedeutung. Denn wo andere IT-Systeme Sicherheitslücke haben, gibt es im Auto bislang noch so gut wie gar keine Sicherheitsarchitekturen in der KFZ-IT.

Typische Sicherheitsziele dafür formuliert Wolf in einem Arbeitspapier  (PDF, 380 Kb):

•    Schutz gegen unautorisierte Manipulationen durch externe und interne Angreifer.

•    Erhöhung der Fahr- und Betriebssicherheit sowie der Zuverlässigkeit von Fahrzeugen.

•    Sicherstellung der Vertrauenswürdigkeit und Vertraulichkeit im Umgang mit Fahrzeugdaten.

•    Schutz vor unberechtigten Forderungen im Rahmen der Produkthaftung und Gewährleistung.

•    Schutz vor Produktfälschungen und Sicherung von gewerblichen Schutz- und Urheberrechten.

•    Schutz vor unberechtigten Eingriffen an Anwendungen, Daten und Geschäftsmodellen von Herstellern, Zulieferern, Gesetzgeber, Behörden und Drittanbietern.

Wichtige Bereiche sind dabei die Absicherung der Steuergeräte-Software, die Verschlüsselung von Fahrzeug-Speichern sowie die Absicherung der Kommunikation innerhalb und außerhalb des Fahrzeugs.

Ein großes Problem hierbei sind derzeit die geschlossenen proprietären Systemarchitekturen der Autohersteller. Über deren Reifegrad und Eigenschaften lässt sich mangels offener Quellen und freier Plattformen nur das sagen, was die Autobauer selbst bekanntgeben. Oder was Dritte durch Reverse Engineering herausgefunden haben. Andererseits könnte genau das eine Herausforderung für die Homebrew-Bewegung unter den Hackern und Entwicklern werden.

So forderte die Technology Review bereits 2005 in einem Artikel „Plug’n Drive“ (PDF, 840 Kb) offene Standards für automobile Informationsysteme.

Daran wird sich leider mittelfristig auch wenig ändern, da die Hersteller ihre KFZ-Informationstechnik als wettbewerbsrelevant ansehen und lieber bei jeder Modellreihe erneut das Rad neu erfinden anstatt standardisierte Softwaresysteme zur Steuerung ebenso standardisierter Hardwarekomponenten zu verwenden.

Wahrscheinlich werden daher Transparenz- und Compliance-Auflagen deutlich nachgeschärft werden müssen, um Willkür und Wildwuchs in den Bordcomputern der Autos einzudämmen.

Wenn die Bücher plötzlich weg sind – Der e-Book-Reader als Problem

Zu den immer zahlreicher werdenden Verirrungen des Urheberrechts zählt mittlerweile auch das Löschen gekaufter Bücher auf e-Book-Lesegeräten zentral gesteuert durch den Buchhandel.

So wurde kürzlich bekannt, dass Amazon auf Lesegeräten vom Typ „Kindle“ ohne zuvor das Einverständnis der Besitzer einzuholen, die Orwell-Bücher „1984“ sowie „Farm der Tiere“ ferngesteuert aus dem Speicher der Lesegeräte löschte, obwohl deren Besitzer sie gekauft und bezahlt hatten.

Die Überraschung und Empörung der Benutzer entwickelte sich inzwischen zum PR-Gau für Amazon. Nach massiven Beschwerden der Kunden hat Amazon zumindest die Rückerstattung des Kaufpreises zugesagt.

Nur gut, dass Amazon dieser Lapsus in den USA und nicht in Deutschland unterlief. Hierzulande sind Datenveränderung und Computersabotage (§§ 303a und 303b StGB) strafbar.

Zu sicher sollte man sich aber auch nicht wiegen. Denn zum einen kennen auch die USA entsprechende Straftatbestände sowie noch deutlich härtere Strafen. Und zum anderen versuchen sich Hersteller zunehmend die Durchsetzung ihrer kommerziellen Interessen auf den Rechnern ihrer Kunden mit Hilfe einschlägiger Lizenzverträge, AGBs, EULA’s oder Supportabkommen zu sichern. In der Regel stets auf das Urheberrecht begründet. Viele dieser Verträge würden wohl einer genaueren juristischen Prüfung in Hinblick auf Sittenwidrigkeit oder die Benachteiligung zahlender Kunden nicht standhalten.

Ziel ist es, die Grenze zwischen „mein“ und „dein“ zunehmend zugunsten der Hersteller und Distributoren aufzuweichen. Nur weil jemand etwas gekauft und bezahlt hat, soll es ihm noch lange nicht gehören. Oder die Verfügungsgewalt des Verkäufers darüber enden.

Zumindest sehen das speziell Unternehmen aus der Copyright- und Verwertungsindustrie so. Daher hatte auch der Vorfall bei Amazon urheberrechtliche Gründe. Der Einzelhandelsgigant wurde demnach von Rechteinhabern dazu aufgefordert, die Werke aus seinem Online-Sortiment zu entfernen. Kurz darauf verschwanden die digitalen Bücher auch von den e-Book-Readern der Kunden.

Zum Vorteil von Amazon hat sich für die dubiose Aktion die Mobilfunkverbindung entpuppt, mit der die Kindle-Geräte standardmäßig ihre Daten beziehen. Neben dem hauptsächlichen Zweck der Verteilung von digitalen Werken scheint man auf diese Weise die Bücher auch löschen zu können. Welche weiteren „Hintertürchen“ die Kindle-Reader noch haben und welche Steuerungsoptionen auf diesem Weg in die Geräte eingespeist werden können, ist noch unklar.

Dies zeigt ein generelles Problem solcher Geräte auf. Ihre Hersteller wollen sich zur Durchsetzung ihrer Ansprüche, Möglichkeiten offenhalten, die ihnen nach gesundem Rechtsempfinden nicht zustehen. Und die diese Geräte zu unverkäuflichem Elektronikschrott machen würden, legte man sie offen.

Neben dem Kindle dürfte es auch in anderen Consumergeräten wie Spielkonsolen, Smartphones etc. ähnliche eingebaute Sicherheitsprobleme geben. Schließlich basieren sie i.d.R. auf proprietärer Technologie und nicht offengelegten Quellcodes. Eine unabhängige Analyse ist daher nicht möglich.

Da dürfte durch so manchen „Wartungszugang“ eine vom Kunden weder gewollte noch bewusst herbeigeführte (z.B. im Rahmen der Auslieferung von Updates oder Patches) Verbindung zu Hersteller-Rechnern möglich sein, mit der Anweisungen zur einseitigen Interessensdurchsetzung des Herstellers gegenüber seinen Kunden auf deren Systemen landen und dort zur Ausführung kommen.

Ein weiterer Grund, um  freie (keine kommerziellen Interessen, keine „Urheberrechts“-Risiken) und quelloffene (unabhängig prüfbar, keine versteckten „Hintertürchen“) Systeme zu bevorzugen. Und auf allerneueste Technik (Probleme noch unentdeckt und ungelöst) zu verzichten, wo diese nicht unbedingt erforderlich ist.

Zudem sollte Consumer-Elektronik grundsätzlich nicht in Unternehmens-IT mit eingebaut werden. Meist ist sie für die dort höheren Ansprüche an Verfügbarkeit, Zuverlässigkeit, dauerhaften Betrieb sowie Betrieb mit Lastspitzen gar nicht ausgelegt.

Gleichzeitig wird so klar, dass es Produkte mit einem eingebauten Rechtemanagement (DRM) mit dem der Hersteller einseitig seine Interessen auch gegen den Willen des Kunden durchdrücken kann, am Markt immer schwerer haben werden. Entweder wird man deutliche „Minderwertigkeits-Preisabschläge“ wie bei Mängelware und Ausschuss vornehmen müssen. Oder die Produkte bleiben gleich unverkäuflich.

Warum auch sollten Kunden für Produkte mit eingeschränkter Funktionalität und Gebrauchstauglichkeit den vollen Preis bezahlen?

Von Fischern und Farmern

Zu den seit Jahren beliebten und zunehmend eingesetzten Methoden des Trickbetrugs im Internet zählen Phishing und Pharming. Wie in der Überschrift bereits angedeutet, geht es dabei um das „Einfangen“ bzw. „Abernten“ von Informationen, die es ermöglichen, jemanden finanziell zu schaden.

Beim Phishing (password fishing) werden Internetnutzer dazu verleitet, eine Webseite aufzurufen und dort z.B. Identifikations- und Transaktionsdaten für einen Bankkontenzugriff einzugeben. Beispielweise, in dem sie eine Mail erhalten, der entnommen werden kann, dass ihre Sparkasse etwas an ihrem Online-Banking-System umgestellt hätte und daher ein erneuter Login mit PIN, TAN und Bestätigung erforderlich sei, um das Bankkonto weiter nutzen zu können.

Das ist zwar Unsinn und die Banken warnen inzwischen regelmäßig ihre Kunden, dass sie grundsätzlich von sich aus keine Zugangsdaten per Mail abfragen. Aber es funktioniert immer wieder. Waren die Phishing-Mails vor Jahren noch an ihrer meist kruden Orthografie erkennbar, sind sie heute i.d.R. professionell getextet und layoutet und so von einer „offiziellen“ Mail eines Unternehmens kaum zu unterscheiden.

Erfordert aber das Fischen nach Bankdaten per Mail immerhin noch die aktive Reaktion darauf durch den Nutzer, kommt eine weiter entwickelte Variante dieses Angriffes – das Pharming (password harvesting)  – ohne dessen bewusstes Zutun aus.  Dazu wird ein Trojaner auf dem Rechner des Benutzers platziert (z.B. durch einen „Drive-by-Download“). Sobald dieser die Webseite seiner Bank aufruft, wird er durch den Trojaner auf eine andere, optisch aber identisch wirkende Webseite umgeleitet. Dort gibt er dann seine Konten- und Transaktionsdaten direkt ins Datenbanksystem des Passwortabfischers ein, in der Annahme im Online-Banking-System seiner Bank zu arbeiten.

Angriffe dieser Art werden auch als „Man-in-the-middle-attack“ (Mittelsmann-Angriff) bezeichnet, da sich ein Dritter in eine geschäftliche Transaktion einklinkt, um unbemerkt die Transaktionsdaten abfischen zu können. Und es müssen nicht nur Bankdaten sein, auf die man es absehen kann. Auch Zugänge zu kostenpflichtigen Online-Diensten wie World-of-Warcraft oder Bezahlsystemen wie Pay-Pal etc. haben ihren Wert.

Technisch steht dabei eine Manipulation des DNS-Systems dahinter. Wird eine WWW-Adresse (URL) in einen Browser eingegeben, so schickt dieser die Eingabe an einen DNS-Server. Bevor er das tut, wird geprüft, ob diese URL kürzlich schon mal aufgerufen wurde. Dann steht die IP-Adresse meist bereits in einer bestimmten Datei des Betriebssystems und die Wartezeit auf die Antwort des externen DNS-Servers kann übersprungen werden. In dieser sog. „Hosts-Datei“ kann ein Trojaner unbemerkt eine andere IP-Adresse interlegt haben, so dass der Aufruf z.B. einer Bank-URL tatsächlich auf eine andere Seite führt, die nur genauso aussieht.

Doch was tut man gegen solche Angriffe? Wie schützt man sich persönlich davor?

Wie bei den meisten Internet-Gefahren für Endnutzer durch eine wirkungsvolle Kombination aus Technik und gesundem Menschenverstand.

Bei Phishing-Mails wird häufig mit HTML-Formatierungen im Mailtext gearbeitet. So kann z.B. ein Link eine Originaladresse anzeigen, während das unsichtbare Linkziel auf die Adresse der gefälschten Webseite verweist (sog. „Link-Spoofing“). Gängige Mailprogramme erkennen das und zeigen beim Klick darauf einen Warnhinweis an.

Das kostenlos erhältliche Programm „Spybot Search & Destroy“ von Safer Networking hilft Spyware, Trojaner etc. vom heimischen PC fernzuhalten. Zusätzlich enthält es eine laufend aktualisierte Liste gängiger Betrugswebseiten und vermerkt in Ihrer Host-Datei, dass Aufrufe solcher Seiten durch Umleitung auf die IP-Adresse Ihres eigenen Rechners (127.0.0.1) blockiert werden. Browser geben dann lediglich eine Fehlermeldung aus. Welche Seiten Spybot so sperrt, können Sie im Programm nachbearbeiten, falls wider Erwarten auch mal eine für Sie wichtige Seite in den Sperrfilter hineingeraten ist.

Speziell beim Online-Banking und –Broking kann der Einsatz spezieller Software statt der Weboberflächen im Browser Phishing und Pharming deutlich erschweren.

Neuere Sicherheitspakete für PCs enthalten neben einem Virenschutz meist auch eine Komponente zur Vorfilterung von Mails nach potentiell gefährlichen Code-Elementen. Falls noch nicht vorhanden, sollte ein solcher Schutz nachgerüstet werden.

Wenn Sie eine Bankseite aufrufen, sehen Sie sich nach dem Seitenaufbau die URL im Browser nochmal genauer an. http://www.volksbank.de ist nicht dasselbe wie http://www.volksbank1.de oder http://www.volksbánk.de (ja auch solche Sonderzeichen sind in URLs mittlerweile möglich, aber noch sehr selten).

Und nicht zuletzt, sollte jeder Text (egal oder Mail oder Webseite), der eine kommerzielle Transaktion auslöst, sehr sorgfältig gelesen, verstanden und ggf. auch inhaltlich hinterfragt werden.

Lawrence Lessig erklärt den Kampf gegen „Piraterie“ für gescheitert

Der Playboy veröffentlichte kürzlich ein Interview mit dem US-Rechtsgelehrten und Copyright-Kritiker Lawrence Lessig. Ein ungewöhnlicher Ort für so ein Interview, zumal auch der Playboy von der Content-Verwertung lebt. Soviel Progressivität hätte ich dem Bunny-Magazin nicht zugetraut.

In dem Interview kritisiert Lessig das (amerikanische) Urheberrecht und dem Kampf gegen illegalisiertes Filesharing. Er sieht das Heraufziehen einer weiteren Prohibition (diesmal gegen die Nutzung von Kulturgütern). Und die hat ja auch beim letzten Mal nicht funktioniert, als es noch um Alkohol ging.

Lessig: „Im vergangenen Jahrzehnt haben Urheberrechtsextremisten einen zunehmend bösartiger werdenden Krieg gegen unsere Kinder geführt, um das Heiligtum des Urheberrechts zu schützen. Sie hatten mindestens ein Dutzend Mal Erfolg dabei, die Gesetze zu verschärfen.“

Zudem kritisiert er, dass diese prohibitive Haltung der Verwerterlobby zu völlig unangemessenen Effekten führt, wie beispielsweise dem Ausschluss Einzelner von der Internetnutzung (Three-Strikes-Regelungen) oder dem Rauswurf aus dem College wegen von der Industrie aufgezwungener „Anti-Piracy-Regeln“.

Sind der Verlust von Bildung und die Mittel, um an einem demokratischen Staat mitwirken zu können, wirklich die vermeintlichen Verluste durch Filesharing bei der Musik- und Filmindustrie wert, hinterfragt Lessig kritisch. Eine Frage, die sich angesichts stetig verschärfter Regeln zum Immaterialgüterrecht auch die Europäer stellen müssen.

„Ein wichtiger Test, ob ein Gesetz existieren sollte, besteht darin, ob es funktioniert. Nicht weil wir das Gesetzbuch nicht mit sinnlosen oder ineffektiven Regelungen füllen sollten, sondern weil eine Gesellschaft, die in Gesetzen schwimmt, die sie nicht respektiert, eine Kultur darstellt, die Verachtung für das Gesetz und die Rechtsstaatlichkeit entwickelt.

Das ist genau dass, was mit unseren Kindern passiert. Seit dem Jahrzehnt, in dem wir diesen Urheberrechtskrieg begonnen haben, erreichten wir keine Reduzierung von P2P-Filesharing. Stattdessen  hat es weiter zugenommen. Wir haben auch nicht die Masse der Kinder reduziert, die dieses Verhalten praktizieren, wissend das es falsch ist. Wir haben nur dafür gesorgt, dass diese Masse gewachsen ist, weil immer mehr Menschen erfahren haben, dass dieses Verhalten illegal ist, und trotzdem daran teilhaben“, so Lessig.

Dabei geht der anerkannte Professor auf einige wichtige Dinge ein, die bislang in der Urheberrechtsdebatte noch selten so klar zur Sprache kamen: „Gemessen am Erfolg, war dieser Krieg ein Fehlschlag: Die Künstler haben nicht mehr Geld, die Wirtschaft hat keine klaren Regeln für ihr Geschäft bekommen. Und eine ganze Generation an Kindern wuchs heran, die denken, dass das Gesetz für den Arsch ist und deshalb ignoriert werden kann. … Aber nach zehn Jahren des Versagens mit buchstäblich Millionen von Leuten, die außerhalb des Rechts leben, ist es an der Zeit für den Gesetzgeber zu erkennen, dass diese Fantasiepolitik zugunsten Hollywoods ein Ende finden muss.“

Und er fordert daher den US-Kongress dazu auf, das Immaterialgüterrecht grundlegend zu reformieren und dabei Lösungen für Remixing, standardisierte Kollektiv-Lizenzen (z.B. creative commons) sowie Entlohnung von Künstlern für Filesharing-Nutzung vorzusehen.

Desweiteren soll klarer gefasst werden, „wem eigentlich was gehört“. Kreativ Schaffende sollen mehr Rechte erhalten, Knebelverträge und Monopole des „korrupten Copyright-Regimes“ (gemeint ist die Verwerterlobby) verschwinden.

Sein treffender Schluss-Satz: „Diese Reformen werden uns helfen, ein System aufzubauen indem Künstler bezahlt werden, anstatt dass nur unsere Kinder kriminalisiert werden“.

Lawrence Lessig ist Herausgeber des Buches „Remix – Making Art and Commerce thrive in the Hybrid Economy”, dass er zum kostenfreien Download ins Internet gestellt hat. (PDF, 4,8 MB – zu finden bei Bloomsbury Academic).

Richter Hoeren kritisiert Konzept des „Geistigen Eigentums“

Im Elektrischen Reporter ist ein interessantes Videointerview mit dem IT-Rechtsexperten Thomas Hoeren, Richter am Oberlandesgericht Düsseldorf und Lehrstuhlinhaber für Informationsrecht und Rechtsinformatik an der Universität Münster erschienen.

Darin fordert Hoeren – auch aus Sicht der Justiz – eine grundlegende Erneuerung des Immaterialgüterrechts sowie eine Neubewertung des Begriffes vom sog. „Geistigen Eigentum“.

Insbesondere die besondere Dreierbeziehung zwischen Nutzern, Schöpfern und Verwertern von Kreativgütern komme darin derzeit nicht angemessen zur Geltung. Speziell das Urheberrecht ist einseitig an den Interessen der Verwerter ausgerichtet, was auch deren massive Lobbytätigkeit auf europäischer Ebene zeigt, um diesen Zustand erhalten und sogar noch ausbauen zu können.

Auch die Kriminalisierung neuer Nutzungsformen von Kulturgütern wie etwa Filesharing oder Remixing zeigt deutlich den Einfluss der um ihre Pfründe kämpfenden Verwerterlobby.

Hoeren sieht die Situation der Verwerter von Kulturgütern daher im dramatischen Wandel. Schon heute treffen minderwertige oder in ihrer Gebrauchstauglichkeit und Nutzbarkeit künstlich beschränkte Kulturgüter (DRM,  UnCD’s, Lizenzbeschränkungen) auf immer weniger Akzeptanz am Markt. Erste Lösungsansätze künftiger Monetarisierung von Kulturgütern könnten sich aus Ideen wie der Kulturflatrate, standardisierten Creative-Commons-Lizenzen und der Open Content / Open Access Bewegung ergeben.

Aber auch dann wird es für Mittelsmänner zwischen Kulturschaffenden und Kulturnutzern immer weniger Bedarf und somit auch immer weniger Einkommensmöglichkeiten geben.