Mitternachtshacking

Soso, es gibt also eine „Govware“. Golem schreibt in einem Artikel

„BND-Vizechef Arndt Freiherr Freytag von Loringhoven hat vor den Mitgliedern des Parlamentarischen Kontrollgremiums (PKG) eingeräumt, mit dem Bundestrojaner Computer im Ausland attackiert zu haben. In den vergangenen Jahren sei in mindestens 90 Fällen im Ausland mit der Govware operiert worden.“

Im Artikel des Focus, auf den sich Golem zwar bezieht aber vielleicht aus Scham nicht direkt verlinkt, steht kein Wort von „Govware“, da heißt die Software ganz klassisch weiter „Bundestrojaner“. Ich fürchte, das war Golem für einen Artikel nicht schmissig genug.

So eine Schweinerei. Mein Virenscanner schützt zwar vor Adware und Spyware aber noch nicht vor „Govware“. Ich glaube, da muss ich mal reklamieren.

Niemand darf gezwungen werden, sich selbst anzuklagen oder sich selbst zu belasten. Das Aussageverweigerungsrecht ist ein wichtiger und notwendiger Rechtsgrundsatz. Laut Wikipedia handelt es sich hier um ein Derivat aus dem Achtungsgebot der Menschenwürde, ein sogenanntes Justizgrundrecht.

In den USA ist das Recht zu Schweigen und damit die Verfassung (zumindest der 5. Verfassungszusatz) sowie die Menschenwürde nun ebenso wie in Großbritannien hinfällig.

Aber gut, das ist ja nichts neues.

Wieder mal ein schönes Beispiel, dass man der Polizei auf gar keinen Fall vertrauen darf. Rechtsstaatliches Vorgehen? In Deutschland? Lächerlich. Die Polizei trickst, mogelt und schummelt in einer Art und Weise, die in anderen Ländern gar nicht zulässig ist. Für mich ist die Polizei vom „Freund und Helfer“ längst zum „Feind und Gegner“ mutiert und der Bundesinnenminister sowie seine Länderkollegen tun alles, dieses Bild zu verstärken. Da bleibt nur der Hinweis von Fefe: nie, niemals, auf keinen Fall irgendetwas sagen oder zugeben!

Traurig, die Entwicklung des ehemaligen Rechtsstaates Bundesrepublik Deutschland.

Mir ist beim Durchblättern des gestrigen Focus (Ausgabe 9, 21. Feb. 2009, Seite 99) etwas skurriles aufgefallen. „Bosch-Mann“ Bernd Bohr, Vorsitzender für Kraftfahrzeugtechnik der Bosch Gruppe orakelt dort, dass Strom für den Antrieb eines Autos zukünftig anders besteuert werden könnte.

Benzin und Diesel ist ja nur deshalb so teuer, weil der größte Verbrecher im Staat, der Staat selbst, mit indirekten Steuern (Mineralöl- und Mehrwert-) massiv zulangt. Ansonsten wäre Tanken zu einem Bruchteil des jetzigen Preises möglich. Mein Dieselauto würde zwar prinzipiell auch mit Heizöl fahren denn technisch besteht zwischen Diesel und Heizöl nicht wirklich ein großer Unterschied (naja, ein paar Additive und bei Minusgraden bildet Heizöl Flocken, aber egal). Das jedoch wäre Steuerhinterziehung und ist strafbar, weil Diesel anders besteuert wird als Heizöl. Praktisch sind Kontrollen dadurch möglich, dass Heizöl rot gefärbt ist und man die Farbe mit bloßem Auge nachweisen kann. Im Ergebnis kostet mich ein Kilometer etwa 7-8 Cent Treibstoff, wenn ich vernünftig fahre.

Elektroautos (von der kurzen Reichweite mal abgesehen) „tankt“ man aktuell etwa für 2-3 Cent pro Kilometer, weil durch die Mineralölsteuer Strom billiger wird als Benzin oder Diesel, obwohl in vielen Kraftwerken praktisch auch nichts anderes verfeuert wird und auf dem Transportweg auch noch Energie verloren geht. Wenn sich Elektro- oder Hybridautos jedoch massiv ausbreiten, dann wird es mit der Mineralölsteuer ein Problem geben. 2005 hat laut Wikipedia der Staat den Bürger damit um 42 Milliarden Euro geschröpft. Die Gier des Finanzministers beschädigt dabei gerne auch wichtige Umweltziele, weil bei der letzten Steuer“reform“ die Ermäßigung für umweltfreundlicheren Biodiesel entfallen ist.

Ich kann mir sehr gut vorstellen, dass dem Obervampir Finanzminister demnächst einfällt, dass es ja einen Unterschied macht, ob man Strom für das Beleuchten und ggf. Heizen der Wohnung (vgl. Heizöl) oder für das verheizen auf der Autobahn (vgl. Benzin/Diesel) verwendet. Und dann bekommt vermutlich jedes Haus einen zweiten Stromzähler, der für den „Autostrom“ verwendet werden muss, weil da höhere Steuersätze drauf sind. Technisch wäre die Überwachung sogar kein echtes Problem. Man müsste die Verbrauchsmessgeräte nur für Stromzähler erweitern.

Oder ist das zu abwegig?

Der Wissenschaftliche Dienst des Bundestags hat ein recht ordentlich gemachtes Gutachten (PDF) zu den von der Leyen’schen Internetsperren erstellt. Die Geschichte und Struktur des Internets wird darin kurz zusammengefasst. Außerdem wird im Detail auf die unterschiedlichen Aspekte von Content-Provider (Inhaltsanbieter), Host-Provider (Hostinganbieter) und Access-Provider (Zugangsanbieter) eingegangen. Für mich wirkt das zwar etwas knapp aber korrekt und ordentlich. Von einem „unterirdischen“ Gutachten wie die beratungsresistente Blindgängerin von der Leyen behauptet, kann jedenfalls nicht die Rede sein.

Der zweite Teil des Gutachtens beschäftigt sich mit den rechtlichen Aspekten. Und weil nicht jeder Lust hat, die 27 Seiten zu lesen, hier ein paar Kernaussagen:

• Eine Sperrungsverfügung ist nur dann rechtmäßig, wenn sie auch verhältnismäßig ist. Die Verhältnismäßigkeit ist dann gegeben, wenn die Maßnahme zur Erreichung des Zieles geeignet, erforderlich und angemessen ist.
• Es gibt drei Möglichkeiten zur Sperrung:
  • Manipulation der DNS-Einträge am DNS-Server des Access-Providers
  • die Benutzung eines Proxy-Servers (wie in Großbritannien)
  • die Sperrung der IP-Adresse am Router (wie von Arcor probiert)
• Sperren von IP-Adressen ist trotz Kollateralschaden prinzipiell zulässig.
  • Das VG Düsseldorf stellte dazu fest: „Dass mit der Sperrung einer IP-Adresse wegen Rechtswidrigkeit eines Angebots auch andere legale Angebote mit betroffen sein können, macht diese Methode nicht im Rechtssinne zur Gefahrenabwehr ungeeignet. […]“
• Jede der drei aufgeführten Sperrtechniken kann mit einem vergleichsweise geringen Aufwand vom Nutzer oder den Anbietern der Inhalte umgangen werden.
• Um im Internet Sperrverfügungen sinnvoll und effektiv umsetzen zu können, müsste die Struktur des Internets komplett neu gestaltet werden.
• Hält man sich das große Missbrauchspotenzial, das gerade bei zentralen technischen Filtersystemen besteht, und die Bedeutung der Kommunikationsfreiheit für eine freiheitliche Demokratie vor Augen, so muss diese Gefahr als besonders schwerwiegend angesehen werden.

Was mir in dem Gutachten fehlt, ist eine kurze Analyse anderer Sperrsysteme. Die chinesische Internetsperre „Great Wall of China“ und das dahinter liegende technische Verfahren wird zwar kurz erwähnt, das umfangreiche Jugendschutz-Filtersystem in Großbritannien, das Proxy-basiert ist und erst kürzlich zu erheblichen Problemen bei britischen Zugriffen auf Wikipedia geführt hat, ist leider außen vor geblieben. Ist aber eigentlich auch egal, hätte Frau von der Leyen eh nicht verstanden.

Sehr schön finde ich auch den folgenden, wörtlich übernommenen Satz: „Bei der Betrachtung der Umgehbarkeit einer Maßnahme ist außerdem der Kenntnisstand der jeweiligen Zielgruppe nicht außer Acht zu lassen.“ Übersetzung: Nur weil Frau von der Leyen zu dumm ist, eine solche Sperre zu umgehen, gilt das nicht für den Rest der Bevölkerung! 🙂

In den letzten Tagen sind über 6000 bisher geheime Dokumente des Congressional Research Service bei Wikileaks aufgetaucht. Der Congressional Research Service ist die Forschungs- und Informationsgruppe des US Congress mit einem Budget von etwas über 100 Millionen USD pro Jahr. In Deutschland gibt es so etwas ähnliches, da nennt sich das „Wissenschaftliche Dienste des Bundestags„. Ein Ärgernis des CRS ist vor allem, dass die dort erstellten Berichte und Empfehlungen zwar qualitativ sehr hochwertig sind, der Öffentlichkeit jedoch nicht zur Verfügung stehen. Einzelne Berichte sind zwar bei OpenCRS aufgetaucht, nicht jedoch komplette Jahresarchive. Wikileaks hat das jetzt ein wenig geändert. Ein paar der Reports sind auch für IT-Security-Leute interessant, den einen oder anderen möchte ich deshalb hier kurz erwähnen.

CRS Report RL31787: Information Operations, Electronic Warfare, and Cyberwar: Capabilities and Related Policy Issues

Der Bericht RL31787 vom 5. Juni 2007 beschäftigt sich mit den Möglichkeiten des US Department of Defense zur elektronischen Kriegsführung. Sehr interessant finde ich bereits die Begrifflichkeiten, die das DoD verwendet:

• DoD Information Operations Core Capabilities
  • Psychological Operations (PSYOP)
  • Military Deception (MILDEC)
  • Operational Security (OPSEC)
  • Computer Network Operations (CNO)
    • Computer Network Defense (CND)
    • Computer Network Exploitation (CNE)
    • Computer Network Attack (CNA)
  • Electronic Warfare (EW)
    • Domination of the Electromagnetic Spectrum
    • Electromagnetic Non-Kinetic Weapons

Das DoD verwendet dafür generell den Überbegriff „Information Operations (IO)“, der Fokus von IO liegt darin, den Entscheidungsprozess des Gegners zu stören bzw. zu beeinflussen. Explizit genannt wird die Beeinflussung von Computersystemen durch Schadprogramme, die Zerstörung von Computersystemen durch Hochenergie-Impulse (vermutlich EMPs) sowie die Störung von Sensoren und Radar.

Die Unterscheidung zwischen Computer Network Exploitation (CNE) und Computer Network Attack (CNA) liegt hauptsächlich darin, dass für die Exploitation die Hackingtools so modifiziert werden müssen, dass die Systeme selbst nicht zerstört werden, gleichwohl aber sensible Daten von diesen Systemen gesammelt werden können (Intelligence Collection). Allerdings scheint es dazu noch keine abschließenden Strategien zu geben (wörtlich: „CNE is an area of IO that is not yet clearly defined within DOD“). Unter CNA dagegen versteht das DoD die Zerstörung der Systeme durch einen geeigneten Datenstrom (vermutlich sind Viren, Trojaner oder andere Exploits gemeint). Die Zerstörung oder Beschädigung durch einen Hochenergie-Impuls wird im Gegensatz dazu als Electronic Warfare (EW) bezeichnet. Electromagnetic Non-Kinetic Weapons sind beispielsweise (meist nicht-lethale) hochenergetische Microwellenemitter, die Schmerzen und Verbrennungen einige Millimeter unter der Hautschicht erzeugen können.

Mein persönlicher Eindruck ist, dass das US-Verteidigungsministerium (noch) zu viel Wert auf technologischen Vorsprung legt. Dazu gehört die Dominanz in wichtigen elektromagnetischen Frequenzbereichen, Mikrowellenwaffen, Elektromagnetische Impulse und in Flugzeugen montierte Laserwaffen (Airborn Laser Weapons). Das klassische Hacking, d.h. Einbrechen in Computersysteme mittels Exploits hat sich noch nicht so recht bis zum Militär durchgesprochen. Vermutlich liegt das auch in der Philosophie des US-Militärs begründet, Gefechte primär mit dem Säbel und weniger mit dem Florett auszufechten.

Zumindest Stand dieses Reports mache ich mir persönlich mehr Sorgen um die hervorragend organisierten staatlichen chinesischen Hacker und weniger um amerikanische Hacker. Aber wie ich schon schrieb: die USA geben solche Aufgaben gerne auch mal in private Hände ab … irgendwo findet sich garantiert ein Schwarzwasserhacker.

Soso, die Bundeswehr gründet eine Cyberwar-Einheit, die „Abteilung Informations- und Computernetzwerkoperationen“ schreibt der Spiegel. 76 Mann stark und abgeschottet in einer Kaserne. Das kann nicht funktionieren. Gerade Hacking lebt stark vom Austausch mit anderen, die neue Verfahren entwickeln, Sicherheitslücken analysieren und Ideen ausprobieren. Und eine „geheime“ Bundeswehrtruppe ist ungefähr genau das Gegenteil davon.

Andererseits tut sich mir da eine prima Geschäftsidee auf. Genau wie es in konventionellen Konflikten private Söldnertruppen gibt, beispielsweise die berüchtigte Blackwater, deren Leute neulich erst aus dem Irak rausgeflogen sind, könnte man sich das im Cybewar doch auch vorstellen.

Wenn also dieses Blog hier demnächst unter der URL www.schwarzwasserhacking.de erscheint … 😉

Nachtrag:

Fefe lästert auch schon fleißig 🙂

Dieses Urteil ist anscheinend an mir vorbeigegangen, daher hier der Nachtrag:

Störerhaftung des WLAN-Netzbetreibers – Der Betreiber eines WLAN-Netzes haftet erst ab Kenntnis konkreter Missbrauchsfälle und nicht bereits wegen der abstrakten Gefahr einer rechtswidrigen Nutzung durch beliebige Dritte. Sicherung des WLAN-Netzes nur im verhältnismäßigen Umfang erforderlich.
OLG Frankfurt a.M, Urteil vom 01.07.2008 – Az. 11 U 52/07

mehr bei Medien, Internet und Recht.

Die Portalwut der Bundesregierung, insbesondere im Rahmen des Bürgerportalgesetzes beschränkt sich nicht nur auf E-Mail, diverse andere lustige Sachen wie Online-Datenspeicher sollen auch fleißig reguliert werden. Die Bundesregierung nennt das dann De-Safe.

Ich bin ja mal gespannt, was so ein De-Safe dann kosten soll. Vermutlich wird den niemand verwenden wollen weil ein sicherer Truecrypt-Container bei Amazon S3 ist billiger, schneller und besser als alles, was uns der Staat da unterjubeln kann. Egal.

Falls sich doch jemand für Details interessieren sollte, gibt es eine nette FAQ dazu, die ich neulich entdeckt habe. Die von den Bürgern in der Mitmachphase abgegebenen Kommentare hat man anscheinend vorsichtshalber aus dem Netz entfernt, im Gesetzestext wurden die eh nicht berücksichtigt. Dazu gibt es aber bei Gelegenheit noch einen anderen Beitrag.

Ein paar allgemeine erhaltene Beiträge will ich hier jedenfalls dokumentieren, bevor sie auch verschwinden:

• Die „zuständige Behörde“ (BSI) ist nicht vertrauenswürdig, siehe § 3 Abs. 6 BSIG. Da kann ich meine gesamte Kommunikation sowie alle sozialen Kontakte und privaten Dokumente auch gleich selbst dem Verfassungsschutz zuleiten. Das beauftragte Unternehmen (Telekom) ist ebenfalls nicht vertrauenswürdig, denen würde ich noch nicht einmal die Uhrzeit glauben.

• Ich vertraue doch dem Staat meine Dokumente nicht an. […] In Zeiten von Bundestrojaner, Vorratsdatenspeicherung, Steueridentifikationsnummer & Co. ist es wichtiger denn je, seine Daten zusammenzuhalten und nicht auf einem Silbertablett zu liefern.

• Alleine die Idee mit der Speicherung von Daten für über 30 Jahre an einer zentralen Stelle ist für mich keine Sicherheit, sondern ein Alptraum.

• Steckt hinter dem ePort vielleicht die Absicht, die DE-Mail zur Pflichtadresse zu machen?

• Ich halte das Projekt einzig und allein für eine Methode, T-Systems & Co. möglichst unauffällig Steuergelder zukommen zu lassen.

• Ich finde es wirklich dreist, das ganze „Bürgerportal“ zu nennen! Es ist nicht für den Bürger, sondern für den Staat, damit dieser besseren Überblick der Bürger hat.

• Mir ist die Koppelung von „Sicherheit“ und Aushorchung des Bürgers zu unheimlich.

Hihi, gerade den letzten Satz finde sich lustig. Dabei liegt es doch auch im Interesse von uns Bürgern, dass uns der Staat nicht nur zufällig sondern endlich auch mal sicher und zertifiziert ausspähen kann. Oder?

Nokia übt laut Heise Druck auf den finnischen Gesetzgeber aus, um zukünftig die Mails aller Mitarbeiter umfassend zu überwachen. Zur Anwendung kommt das klassische Erpressermuster: Wenn wir das nicht dürfen, verlagern wir die 16.000 Arbeitsplätze halt in ein Land in dem wir das dürfen. Unglaublich.

Ich frage mich ja, in wie weit die deutschen Mitarbeiter betroffen sind, da deren Mails ja auch über finnische Server laufen. Kann ich als deutscher Mitarbeiter meinen deutschen Arbeitgeber verklagen, wenn er nicht für den notwendigen Datenschutz der Mails sorgt? Ok, wird in der aktuellen wirtschaftlichen Lage niemand machen aber so vom Prinzip her?

Und die EU könnte ruhig auch mal reagieren. Einfach 100% Strafsteuer für alle Unternehmen, die sich nicht an EU-Recht halten. Fertig. Die USA machen das doch fast genauso.