Bundestrojaner macht uns alle unsicher
Arbeitet das BKA bei der Vorbereitung der Online-Durchsuchung mit den Herstellern von Virenscannern zusammen? Diese Vermutung äußert der stellvertretende Leiter des Unabhängigen Landeszentrums für Datenschutz in Schleswig-Holstein, Johann Bizer, laut heise online. Hierdurch würden alle Computer zu “unsicheren Systemen”.
Insgesamt malt der Experte ein düsteres Bild von der Maßnahme, für die es derzeit keine Rechtsgrundlage gibt. Er befürchtet eine allgemeine Unsicherheit, weil niemand mehr abschätzen könne, ob er online durchsucht bzw. dauerhaft überwacht wird. Zu den Kolleteralschäden gehöre auch die Gefahr, dass sich der Trojaner unkontrollierbar verbreitet.
Bizer: “Wenn das BKA das kann, wer wird das noch können?”
"Sie haben das Recht zu schweigen."
Bringen Sie das ihrem PC bei und das Thema ist durch. *sfg*
Also die Herstellerfirma von der bekannt wird, dass sie mit dem BKA zusammenarbeitet kann sich doch gleich selbst beerdigen.
@2 (bernd)
schön wärs.
Und wer das dann noch könnte? Alle die genug Ahnung haben. Aber ob der der rechtswidrig meine Daten überwacht nun Kriminalbeamter oder IT-Fachmann ist…
Wie die technische Realisierung aussehen wird, weiß wohl noch keiner. Wahrscheinlich noch nicht einmal Schäuble, Ziercke & Co. Auch wenn morgen im Bundesrat Thüringen einen Antrag pro "Online-Durchsuchung" stellen wird. Für mich ist das ganze eine Phantomdebatte.
Eine mögliche Alternative zum klassischen Trojaner wäre vom Staat gelieferte Software wie ELSTER oder die elektronische ID, die Schäuble auf der Fachtagung "Advancing eGovernment" vorgestellt hat. Da benötigt man nur ein Online-Upgrade und fertig.
Übrigens: Der Upload einer 80GByte-Platte mit einem T-DSL 2000 Anschluss würde ohne Komprimierung etwa sechs Wochen dauern, wenn der Rechner rund um die Uhr online ist und die komplette Bandbreite belegen kann. Mit Komprimierung etwa drei Wochen. Bis dahin ist die Bombe wahrscheinich schon hochgegangen und das Schwarzgeld mit seinem Besitzer in der Karibik. Nur einzelne Dateien zu sichern würde wohl nicht beweiskräftig sein, siehe http://www.edv-beweismittelsicherung.de/edv/richtlinien-zur-erfolgreichen-sicherung-von-edv-beweismitteln.php .
Was heist denn zusammenarbeiten? Heist das die Virenscanner Hersteller nur die Entdeckung durch ihre Scanner verhindern, oder gar für die Verteilung sorgen, oder werden die Scanner selbst verdächtige Dateien suchen und melden? Wie kommt der Herr eigentlich zu der Vermutung gibt es dafür konkrete Anhaltspunkte?
@ 2
Naja, immerhin ist neulich bekannt geworden, dass Microsoft bei der Entwicklung von Vista "freiwillig" mit dem FBI und wohl auch noch anderen US-Diensten zum Zwecke der Etablierung von Backdoors u.ä. in das Betriebssystem zusammengearbeitet haben. Apple hat dergleichen schon vor ein paar Jahren eingeräumt. Wäre mir neu, daß Apple und Microsoft nun keine Käufer für ihre Software mehr fänden.
Daß Deutschland hier nun nacheifert: das musste wohl so kommen, auch wenn man in der Öffetnlichkeit immer davon redet (und mit so etwas sogar erfolgreich Wahlkampf machen kann), dass man keine "amerikanischen Verhältnisse" wolle. Verlogenheit pur.
Offenbar war das <a href="http://www.taz.de/pt/2007/02/08/a0169.1/text" rel="nofollow">Interview</a> mit Schäuble von neulich tatsächlich nur ein kurzer Zwischenstand. Aber nicht etwa dessen, was geplant ist, sondern dessen, was bereits gemacht wird. Zum Kotzen.
Drei Fragen:
Wie möchte die Bundesregierung Microsoft und all die anderen internationalen Antivirensoftare-Produzenten dazu nötigen, den Bundestrojaner zu ignorieren? Was passiert mit denen, die sich weigern?
Wer haftet für entstandene Schäden, wenn fremde Mächte oder Unternehmen die gewollten Sicherheitslücken ausnutzen und deutsche Firmen auf diesem Wege bestehlen?
@4: Die Platte kann man sich auch noch per Hausdurchsuchung besorgen, der Trojaner ist dafür da Beweise/Erkenntnisse zu sammeln die man dadurch nicht bekommt (z.B. Passwörter/Session-Keys).
@ 7
Frage eins und zwei: Per EU-Recht und internationalen Abkommen. Sollte ein hersteller sich weigern, wird sein Produkt für illegal erklärt, wegen Verletzung entsprechenden Rechts, der Vertrieb dieser Produkte untersagt.
Frage drei: Niemand. Oder genauer: jedenfalls nicht der Staat. Denn so weit denkt der Gesetzgeber nicht. Abgeordnete denken höchstens bis zur nächsten Wahl.
@7 (Anonymous): Danke für die Übernahme der Schreibarbeit. Zwei Details möchte ich gerne ergänzen:
* Kommt die Ausnahme nur in der deutschen Version zum Einsatz?
* Wie überreden wir Linus Torvalds, geeigneten Code in deutsche Linux-Distributionen einzubauen?
"Arbeitet … zusammen?"
Hier weiterlesen:
http://www.heise.de/tp/r4/artikel/24/24766/1.html
Wie sieht das eigentlich aus, wenn ich hinter meinem Internetanschluss in Deutschland einen Rechner stehen habe der alle Anfragen an einen Rechner ausserhalb Deutschlands weiterleitet? Damit würde das BKA dann doch evtl. eine Straftat in einem anderen Land begehen, wenn dort sowas unter Strafe steht, oder?
Ich verstehe ja noch, wenn Microsoft in den USA mit Strafverfolgungsbehörden zusammenarbeitet. Immerhin ist das der Heimatmarkt und da wird man sich ungern Repressalien ausgesetzt sehen wollen. Zudem haben sie ohnehin durch derartige Maßnahmen kaum Folgen zu befürchten, der weitaus überwiegende Teil wird deswegen mangels vieler Alternativen nicht auf ein anderes Betriebssystem ausweichen (Insbesondere, da gewohnte Programme oft nur unter Windows laufen und weil Linux den Ruf hat, ungleich komplizierter zu sein).
Aber wie will die deutsche Polizei eine Zusammenarbeit bewerkstelligen? Es gibt unzählige Virenscanner und Schädlingsbekämpfungsprogramme.
Wird bei einem Anbieter eine Zusammenarbeit bekannt, können Nutzer innerhalb von Minuten auf andere Scanner ausweichen. Wer dort Vertrauen verspielt, kann aufgrund der Vielzahl von Alternativen die Auswirkungen nicht absehen. Abgesehen davon werden sich Hersteller aus dem Ausland kaum zu einer Kooperation mit der deutschen Polizei hinreißen lassen.
Daher glaube ich eher, dass die Zusammenarbeit zwar den Wünschen einiger Onlinedurchsuchungsverfechter entspricht, aber in der Form höchstens in Ausnahmefällen vorkommen wird. Der weitaus größte Teil der Virenschutzsoftwareanbieter wird sich zu so einer Kooperation wohl nicht bereiterklären, zumal das für den Hersteller auch keinerlei Vorteil hat…
Wie Detlev T. (4) schon zutreffend angemerkt hat:
Schon der – für die meisten Selbständigen zwingende – Download des "elektronischen Formulars für die Erklärung von in der Bundesrepublik Deutschland steuerlich Veranlagte" kurz: "ELSTER" könnte zum extremen Sicherheitsrisiko werden, falls Wolfgang-ich-bin-anständig-Schäuble & Co. sich durchsetzen.
Mehr zum Thema im Schnüffelblog (Link scheitert leider an U.V.'s Spamfilter).
Na wer sich auf aus dem Internet heruntergeladene "Prüfprogramme" verläßt, der braucht sich doch gar keine Sorgen zu machen, der hat offensichtlich gar keine schutzwürdigen Daten.
Das Problem am Bundestrojaner ist nicht die Technik, sondern daß die das dürfen sollen.
Wir brauchen keinen "Bundestrottel" a la Schwabenschäuble, weil wir bereits ausreichend kontrolliert und überwacht werden.
ja was passiert wenn Daten eines anderen Landes beschädigt werden? Müsste ein deutscher Beamter bei einem Auslieferungsvertrag in dieses Land ausgeliefert werden? Wenn kein Auslieferungsvertrag vorliegt, liegt doch eine völkerrechtlich bedenkliche Verletzung vor? Verletztung des Hoheitsgebiete, kriegerischer Akt? Was würde wohl passieren wenn die Bundestrolljaner ;) den PC von Bush/Putin/Chinesischen Vorsitzenden crackt?
Oh weh denen die nicht wissen welch Büchse der Pandora sie öffnen…
…aber dann ist man ja eh nicht mehr am Ruder oder kann zurücktreten und die Pension geniessen.
Zur 80GB-Platte, die in 6 Wochen über DSL-2000 ans BKA übertragen werden soll:
Prüf mal nach, wieviele Dateien auf Deiner Platte innerhalb der letzten 10 Tage verändert wurden. Wenn Du dabei auf mehr als 100 MB kommst, dürfte die Maschine ein DB-Server o.ä sein. Ein durchschnittlicher Privat-PC-Nutzer schafft das nicht.
Damit sind die 80GB doch auf eine sehr überschaubare Datenmenge geschrumpft und von den 6 Wochen bleibt nicht viel übrig.
Wenn der Trojaners von Leute bedient wird, die etwas mehr Intelligenz investieren, als in den Beitrag #4 geflossen ist, dann holen die sich genau das, was wichtig ist und lassen den Rest wo er ist.
Solche Transfers fallen keinem auf.
Also nix Phantomdebatte, Detlev T.!
@ 11 (mart)
Den Link zum Heise-Beitrag über technische Möglichkeiten des sog. Bundestrojaners findet ihr oben bei @ 11 (mart) oder unten bei mir:
Auszugsweise lt. Heise:
" …. Wie kann der Bundestrojaner technisch funktionieren?
Technisch ist ein Trojaner zum heimlichen Ausspähen ohne große Probleme umsetzbar. Auch wenn die damit befassten staatlichen Stellen wenig auskunftsfreudig sind, so ist eines klar: die Verbreitung als "Trojanisches Pferd", also über einen Social-Engineering-Angriff, hat der Bundestrojaner nicht nötig. Er wird nicht darauf angewiesen sein, dass ein Benutzer mehr oder minder "freiwillig" seinen Schadcode auf den eigenen Computer installiert, wie das beispielsweise bei den so genannten Mailwürmern der Fall ist. Denn der Staat hat bereits eine vollständige Infrastruktur für Man-In-The-Middle-Angriffe auf jegliche elektronische Telekommunikation: die SINA-Boxen bzw. IMS (Interception Management Systems).
Diese Geräte muss ein jeder größerer Provider in seinem Netz installiert haben, dazu verpflichtet ihn die TKÜV. Denn über diese Geräte ist die Möglichkeit des Abhörens jeglicher Telekommunikation implementiert. SINA-Boxen ließen sich ohne großen Aufwand zu weiteren Zwecken umbauen. So könnte der Staat mit vergleichsweise wenig Aufwand in jede beliebige Downloadverbindung Angriffscode "implantieren", eben den Bundestrojaner…"
Wer weiterlesen möchte:
http://www.heise.de/tp/r4/artikel/24/24766/1.html
@14 Nana Herr RA Melchior. Sehr fantasievoll sind sie ja nicht gerade. Ich bin auch selbstständig und benutze 2 PCs. Auf dem einen ist die Software vom Firlefanzelamt, meine geschäftliche Post, Rechnungen etc. Meine Anschläge plane ich mit dem anderen. Dort sind dann auch die Pläne für den Kofferbombenbau etc. Dieser Rechner ist nie am Netz. Apropos Rechner….Ist der Bundestrojaner auch OS/400 kompatibel?
Wir sind das Netz. Wie lange wollen wir uns diese Bespitzelei noch gefallen lassen?
@ 18: Ich würde sagen, die Büchse der Pandora ist bereits geöffnet. Warum sollte man noch einem Staat vertrauen, der seinen Bürgern derart massiv mißtraut, daß er sogar heimlich auf ihren privaten Festplatten herumspionieren will? Oberschnüffelminister Schäuble nennt es "Terrorabwehr", ich nenne es eine Mißtrauenserklärung gegenüber der eigenen Bevölkerung, wie sie viel deutlicher nicht mehr ausfallen kann.
@19: bist Du sicher, dass der sogn. Bundestrojaner nur die Daten der letzten 6 Wochen durchforsten soll/wird? Das wäre eine große Erleicherung für mich, weil ich mich dann um die alten Daten nicht zu kümmern brauche. Ich plane meine Anschläge nämlich immer sehr gründlich. Man hört gelegentlich, dass einige Kampfgenossen sogar Flugausbildungen absolvieren sollen und zuvor studieren. So etwas dauert.
100 MB in 6 Wochen? Das wären ca. 2,3 MB pro Tag. Wenn ich den "anständigen" Herrn Schäuble glauben soll, geht es u. a. um den Zugriff auf das Internet. Du glaubst doch nicht, dass ich mir für läppische 2,3 MB pro Tag eine 16 MBit/s-Leitung gemietet hätte, oder? Schon die ganzen Bombenbastelanleitungen, die ich aus dem Web saugen muss, belegen ein Mehrfaches des zuvor skizzierten Volumens. Da sind die Stücklisten für den Bau, Bestellungen bei diversen Versandhäusern, Memos zu konspirativen Treffen, Mails von Osama, mein Testament, das Videotagebuch für die Famile, die Gebetstexte, diverse MP3s – westlich dekadent, ich weiß – der übliche Spam und die täglichen Hausaufgaben für die Terror-Fernuniversität noch nicht einmal eingeschlossen.
Gruß
Ali
@20
Ohne eine Technik-Diskussion vom Zaun brechen zu wollen, der Artikel ist gelinge gesagt irreführend.
Einfaches Beispiel für eine mögliche Umgehung, Technik-Wissen vorausgesetzt: Sie mieten sich in einem Offshore-Land, zB Panama, für 50 Dollar im Monat einen kleinen Server. Dann nutzen Sie von ihrem heimischen PC einen verschlüsselten Daten-Tunnel (VPN) zu diesem ausländischen Server und routen alle Daten über diesen Tunnel. Alles, was die SINA Box dann noch sieht, ist verschlüsselter Traffic von und nach Panama. Das ist dann ziemlich unspannend. Eine SINA-Box in Panama gibt es bei den dortigen Providern meines Wissens nicht.
Natürlich wird ihr Internet dann ziemlich lahm. Höhere Sicherheit, geringerer Arbeitskomfort und Funktionalität (das Security-Dreieck).
Sie verstoßen damit nicht gegen geltendes Recht. Natürlich könnten die Beamten dann versuchen, den ausländischen Server zu hacken, von dem aus die Daten im Klartext ins Rest des Netzes gehen.
Die Methode schützt allerdings nicht vor trojanischen Pferden. Wenn Ihr Rechner von einem Programm infiziert ist, das eigenständig und unbemerkt Verbindungen nach draußen aufbaut, und Ihr Rechner so konfiguriert ist, dass er ausgehende Verbindungen zulässt (ein Internet-Anschluss wäre ansonsten nicht so nützlich), dann werden ausgehende Daten über Panama ans Ziel finden. Aber auch ein "Application Level Gateway" wäre wegen der prinzipiellen Möglichkeit zur Steganographie zu umgehen. Die Unsicherheit von Desktop-Firewalls wurde schon ausreichend diskutiert.
Ein "intercepten" wäre aber mit VPN in dieser Form nicht mehr möglich, solange der ausländische Server nicht kompromittiert wurde (oder ihr Zertifikat ausgespäht oder die Stellen des ausländischen Staates mitmachen).
Für eine Kritik an dem Artikel zB: http://blog.fefe.de/?ts=bb173f30
Der Bundestrojaner wird natürlich nicht automatisch vor sich hin werkeln, sondern wird von seinem Steuermann Suchkommandos bekommen, um die Menge der abzusaugenden Daten auf das Wesentliche zu reduzieren und das schon mal in mehreren Durchläufen — so wie jeder Hacker das macht.
Wer das Adressbuch von Outlook klauen will, der der wird sich mit mp3s nicht lange aufhalten.
Das Argument, daß der Staat dieselben technischen Möglichkeiten haben muß, wie die Terroristen ist einfach nur absurd: Terroristen können vergewaltigen, erpressen, foltern, morden…
Ein Staat, der dieselben Methoden für sich reklamiert, ist ein Verbrecherregime.
@25 Die SINA Box richtet sich ja nicht gegen Leute, die sich einen Server in Panama, oder Rußland… leisten – also insbesondere nicht gegen international agierende Terroristen o.ä., sondern gegen die Bevölkerung der BRD.
So einfach ist das.
@25:
Das alles sein. Und daher fängt man mit dieser Konzeptideee auch keine hellen Terroristen. Ich weiss nun zwar nicht, ob die alle sonderlich belichtet sind – spielt aber auch keine Rolle: Mit dieser Konzeptidee kann man anschließend sonstwas machen. mp3-Diebe fangen und sowas. – Jede vorhandene Technologie wird früher oder später auch eingesetzt.
BTW: Ich schätze fefe sehr. Aber an dem Punkt liegt er schief. – Faktisch geht nur man-in-the-middle. Aber das muss nun gar nicht diese SINA sein: Als BKA marschierst Du eh bei jedem Provider direkt durch. Und mit diesem (denkbaren) Gesetz gleich gar!
Remember: Wenn BKA ermittelt, dann typischerweise als Hilfsbeamte des Generalbundesanwalts – dann gehts anders ab als in dem Fall der Staatsanwältin Dingsbums in Provinzhausen: Ich habe manchmal den Eindruck, die Kompetenz wird da unterschätzt. Nun möchte ich das BKA keinesfalls als "Gegner" titulieren. Aber an diesem Spruch ist was Wahres: "Unterschätze Deine Gegner nie!"
@ 21 Gerd:
Eh klar, es ging ja nur um das potetielle Risiko.
"OS/400 kompatibel?" Keine Ahnung, aber sicherheitshalbber trotzdem updaten: Seit Version 5 Release 3 (V5R3M0) wurde OS/400 in i5/OS umbenannt. Ab I5/OS V5R3 enthält das IFS integrierte Scan-APIs für Virenscanner. ;-)
@25
Und was nutzt Ihnen Ihr Server in Panama, wenn Ihre lokale Box kompromittiert ist und Schlüssel und Paßworte abgesaugt werden?
1. Das Problem ist nicht die Technik, sondern daß die das dürfen sollen. Wenn sie es dürfen, heißt es "schafft eins, zwei, viele Schnüffelmethoden" incl. "Forschungsgelder".
2. "Technische Mittel" ist schon etwas mehr als nur "Trojaner". Das in den Medien breitgetretene Szenario vom E-Mail-Attachment könnte sogar eine geschickte Ablenkung sein.
3. Mit Virenscannern braucht man gar nicht erst anzufangen.
4. Auch für Schadsoftware ist MITM nicht der einzige Weg. Die gängigen Systeme sind voller Idiotenfehler und Löcher, und es ist manchmal schwer zu entscheiden, ob das noch durch Inkompetenz erklärbar ist. Bis jetzt schützen die hohen Kosten einer gezielten Attacke (Schrotschuß auf Win-DAUs ist billiger). Wenn sich die Obrigkeit dahinterklemmt, die auch noch praktischerweise über die TK-Überwachung gleich ein Nutzerprofil hat, ist das was anderes.
5. Die Hybris "ich hab Linux und bin ein voll sicherer Dschournalist" ist lächerlich.
@31, Pkt 4
* Wirklich handhabbar ist aber nur MIDM bei typischen Update-Downloads.
* Das von fefe benannte Checksumm-Problem erscheint mir lösbar.
* Zum letzten Satz (Pkt 4): Das wissen die dortigen Herren doch alles. Die veröffentlichen den fachlichen Stand nur nicht täglich in BILD …
@29 Punkt geht an Dich, Anwalt. Wikipedia? Aber Vorsicht mit V5R3M0. War das erste Mal in 17 Jahren das Big Blue extra eine Support Hotline für Update-Probleme einrichten musste. Ich bin zwar keine Experte für die Sicherheit dieser Kiste aber ich glaube nicht das irgendetwas oder irgendjemand da etwas abziehen kann wenn der Administrator aufpasst. Ich frag mal in unseren Fachforen die Tekkis. Als IBM Vertriebspartner nehmen wir dann Bestellungen von Anwälten, Urheberrechtsverletzern und Terroristen entgegen…..
Aber ernsthaft. Das interessiert mich jetzt. Ich erkundige mich mal.
Im übrigen glaube ich auch nicht, das das BKA Trojaner entwickeln lassen kann mit denen man gezielt Rechner angreifen kann. Wird wohl darauf hinaus laufen das Provider ein Scheunentor bereit halten müssen über das man ungestört schnüffeln kann. Und wenn dabei mal irgendetwas herauskommt war es dann ein großer Schlag gegen die internationale Sonst-Was.
Für mich amüsant an der ganzen Sache, durch den Bundestrojaner wird das BKA selbst angreifbar, man kann über ihn ja alle möglichen Schadprogramme in die Rechner der BKA einschleußen. Die Datei Bombenbauplan.pdf erweißt sich dann als heimtückisches Killerprogramm. Wie naiv sind die eigentlich?
Geht doch nach drüben, wenn es Euch hier nicht gefällt!
@35
Würd ich ja, aber leider hat uns Helmut diese letzte Rückzugsmöglichkeit verbaut…
Erstens. die sollen das nicht dürfen. Punkt.
Zweitens. Es nutzt Ihnen nichts. Nehmen wir mal an, dass ich tatsächlich böses im Schilde führe. Wie wollen die aus den Terrabytes an MP3s die fünf finden, in denen verbal der Bombenbau beschrieben wird? Man kann auch ganz wunderbar Textinformationen in Bildern, Videos, Musikstücken, anderen Textdateien etc. pp. verstecken. Und glaubt hier wirklich jemand, dass die nur überprüfen würden, ob alle Dateien, die auf .mp3 enden auch tatsächlich MP3s sind und nicht in wirklichkeit getarrte ZIPs von Bombenbauanleitung.pdf sind…
Also ich fange jetzt als erstes mal an eine Kriminalromanserie zu schreiben (Mord, Erpressung, Steuerhinterziehung usw. usf.) und nehme Agentenhörspiele auf (Kampf gegen den weltweiten Terror etc. pp.).
checksum was ist da das Problem für eure B.K.A. ?
Einfach die checksum fälschen, oder ruft ihr etwa jedesmal jemanden an um die zu überprüfen bzw. holt euch diese über SSL?
B.K.A. :(BundesKonspirativenAgiatoren – Sie biegen bis zum brechen eure Verfassung – und damit euren Staat – konspirativ mit Hilfe ein paar Politikern)
@2:
War auch mein erster Gedanke.
Aber vielleicht wollen die Jungs vom BKA ja bei den VirenSCANNERherstellern ja nur die Scantechnologie einkaufen.
Zum allgemeinen Thema:
Ich gehe mittlerweile davon aus das Geheimdienste und Polizei gemerkt haben das die Gesetzeslage ihnen das Ausspähen und Manipulieren von Rechnern schlicht verbietet.
Dies ist zunächst ein Fakt.
Die bestehenden Gesetze zum Abhören von Gesprächen und Telekomunikation decken diesen Themenkreis nicht ab.
Ob man daran was andern kann/muß und ob es sinnvoll ist kann man ja mal diskutieren.
Da aber unsere Herrscher trampelige Elefanten im Porzellanladen sind, die nicht mehr von dieser Welt sind, haben sie eben mal eine Imagekatastrophe angerichtet.
@37: Nicht alles ist .mp3, wo .mp3 draufsteht — das ist nicht neu. Es gibt (u.a. statistische) Methoden, mit deren Hilfe man mit hoher Sicherheit mp3-codierte Audiodateien von anderen unterscheiden kann, die nur zur Irreführung das Anhängsel .mp3 tragen.
Und Tar-, Zip- und was sonst noch so rumfliegt an Archivformaten werden von Virenscannern ja auch durchsucht — ist also auch kein ernsthaftes Problem.
Ich kann nur feststellen: Technisch ist die Online-Schnüffelei kein Problem und als Internetnutzer hat man praktisch keine Möglichkeiten, sich wirksam davor zu schützen. Diejenigen, die hier ihr Technik(halb)wissen auffahren, um das Problem vom Tisch zu wischen, arbeiten mit ihrem Unsinn dem Schnüffelstaat in die Hände.
Das ganze ist ein *politisches* Problem. Es kann nicht sein, daß die 'Sicherheitsbehörden' sich der Methoden von Verbrechern bedienen.
Wie SvenR schreibt: "Die sollen das nicht dürfen. Punkt."
@ 40: Treffer, versenkt.
Es ist ein unerträglicher Zustand, daß der Staat zunächst den Hackern das Hacken verbietet um sich anschließend selbst als Oberhacker zu betätigen.
Wenn Sicherheitsbehörden beginnen, sich der Methoden von Verbrechern zu bedienen, sind sie nicht viel besser als die Verbrecher selbst.
Es wird höchste Zeit, daß der unsägliche Untertanengeist der Deutschen einem gesunden Mißtrauen gegenüber dem staatlichen Handeln weicht.
"Erstens. die sollen das nicht dürfen. Punkt."
Ich sammele grade (hoffentlich unbequeme) Fragen, die ich an einige Politiker und Verantwortliche verteilen will. Input/Anregungen nehme ich gerne entgegen.
snip/
Wenn Sicherheitsbehörden beginnen, sich der Methoden von Verbrechern zu bedienen, sind sie nicht viel besser als die Verbrecher selbst.
/snap
leute, der staat darf gewalt anwenden, auf menschen schießen, abhören etc., und das mit recht.
es wird darauf ankomme, ob hier zielgerichtet ermittelt werden kann, oder ob durch diese art von ausforschung letzlich nur das groß der unbescholtenen bürger betroffen ist, weil das eigentliche ziel, die zu bekämpfenden verbrecher, die methoden zu leicht austricksen oder umgehen kann. wenn eine zeigreichtete ermittlung möglich ist und dann außerdem gesetzlich die restriktiven voraussetzungen geregelt sind, unter denen die eingriffe vorgenommen werden können, und dabei die grundrechte eventuell betroffener ausreichend berücksichtigt werden, dann wird´s das geben, und zwar auch mit recht.
@43 Dann hat Erich Mielke also doch recht gehabt mit seiner Stasi. Die haben sich auch gesetzeskonform verhalten im Rahmen der DDR-Gesetze.
Was die bürgerliche Demokratie vom Feudalstaat oder wie auch immer gearteten Diktatueren unterscheidet ist, daß sie ihren Bürgen mit den Bürgerrechten unveräußerliche Schutzrechte gegenüber dem Staat garantiert.
Bürgerlicher Staat ohne Bürgerrechte ist Faschismus. Die Online-Schnüffelei ist ein weiterer Riesenschritt in diese Richtung. Da helfen auch scheinlegalistische Pseudo-Einschränkungen nicht.
Mir scheint, Du mast es Dir entschieden zu einfach…
@40: Du schreibst: "Technisch ist die Online-Schnüffelei kein Problem und als Internetnutzer hat man praktisch keine Möglichkeiten, sich wirksam davor zu schützen. Diejenigen, die hier ihr Technik(halb)wissen auffahren, um das Problem vom Tisch zu wischen, arbeiten mit ihrem Unsinn dem Schnüffelstaat in die Hände."
Den Vorwurf gebe ich gern zurück. Die Behauptung, dass ein Internetnutzer "praktisch keine Möglichkeiten" hat, "sich wirksam davor zu schützen", ist schlicht Unsinn, soweit es um die sagenhaften Fähigkeit geht, einen Computer "gezielt und online" (!), d. h. ohne Zugriff vor Ort, mit dem sogn. Bundestrojaner zu infiltrieren und unbemerkt (!) Daten nach außen zu transportieren. Wer behauptet, dass er das kann: als Beleg bitte den Abzug meiner Festplatte an mich. Für die Verwertung hätte ich dann das gern noch einmal vor laufenden Kameras. Wobei ich als Target Regierungsmitglieder deutscher Regierungen ab Staatssekretär aufwärts akzeptiere. Die hätten ja ebenfalls "praktisch keine Möglichkeiten, sich wirksam davor zu schützen."
M. Boettcher
@44
die arguemntation stasi ist doch allenfalls effekthascherei. unveräußerliche schutzrechte. klingt gut. aber was wissen wir, welche online schnüffelei geplant ist? nichts genaues weiß man nicht. deswegen geht ihre argumentation auch ins leere.
ich bin einer von denen, die noch gegen die volkszählung demonstriert hat, und sich fragt, wieso heute meine mitbürger so unproblematisch überall ihre persönlichen daten verbreiten. mir liegt gar nichts daran, dem staat ein pauschales schnüffeln zu gestatten. aber in engen grenzen wird es zulässig sein, einen bestimmten kreis von personen oder rechnern oder ip-adressen oder online zugängen und was weiß ich noch zu überwachen, es wird nichteinmal vernünftige gründe geben, die dagegen sprechen. das hat mit stasi nichts zu tun.
scheinlegalistische pseudo-einschränkungen ist ein begriff, der zeigt, daß sie ohnehin kein vertrauen in den rechtsstaat haben, von daher verwundert mich ihr kommentar auch nicht.
@46:
> mir liegt gar nichts daran, dem staat ein pauschales schnüffeln zu gestatten
Hört, hört.
> aber in engen grenzen wird es zulässig sein, einen bestimmten kreis von personen oder rechnern oder ip-adressen oder online zugängen und was weiß ich noch zu überwachen,
Ist es eben nicht. Allerdings sind einige Leute, die offenbar auf das Grundgesetz gerne verzichten würden, der Meinung, daß sie dieses Recht unbedingt brauchen und dazu natürlich auch noch das, diesen " bestimmten kreis von personen…" selbst zu bestimmen. Man kennt das von Hausdurchsuchungen bei 'Gefahr im Verzug' etc. pp.
Ich habe allerdings kein Vertrauen in diesen Staat und er gibt auch alle Gründe, keines zu haben.
Warum haben Sie seinerzeit eigentlich gegen "die volkszählung demonstriert"? War das nicht eher Zeitverschwendung vor dem Hintergrund Ihre jetzigen Argumente?
Die Argumentation geht in meinen Augen überhaupt nicht ins Leere.
So lange von Politikern immer und immer wieder neue Möglichkeiten der Überwachung gefordert werden, ist es wichtig über jede auch nur angedachte Maßnahme ausgiebig zu diskutieren. Und das deswegen, weil sich erischtlich ein Schema abzeichnet, das dergestalt aussieht, dass dem Staat zur Abwehr von Terrorismus oder schwerster Kriminalität bestimmte Befugnisse an die Hand gegeben werden. Dann werden diese Befugnisse gebraucht und entsprechende Daten gesammelt (so weit so gut und dabei habe ich (noch) keine Bedenken). Aber: anschliessend wird gefordert, dass die nunmehr "sowiso" vorhandenen Daten dann für alle anderen denkbaren Zwecke (Abwehr von Kriminalität oder Verfolgung von Ordunngswidrigkeiten oder – wie Grade aktuell – Inhabern von Schutzrechten zur Durchsetzung ihrer Ansprüche) zur Verfügung stehen sollen.
Und an der Stelle platzt mir dann der Kragen. Das ist scheinheilig bis dorthinaus.
Ein "schöner" Bericht über die Zusammenarbeit staatlicher Stellen mit Software- Herstellern findet sich in der Schweizer SonntagsZeitung, s.
http://spitzelblog.blogspot.com/2007/03/anti-antivirenkonferenzen.html
@47
nein, denn es ist ein unterschied, wie 48 zutreffend darstellt, wofür die daten begraucht bzw. verwendet werden. im rahmen der volkszählung sollten eine ganze reihe daten miterhoben werden, die für die volkszählung selbst irrelevant waren.
argumente können aber nicht sein, etwas als stasi-methoden oder methoden zu bezeichnen, die auch verbrecher nutzen. damit kann man nicht überzeugen, sondern nur polemisieren.
@48
snip/ Die Argumentation geht in meinen Augen überhaupt nicht ins Leere. /snap
falls das auf mich gemünzt ist, ich habe die argumentation mit irgendwelchen schlagworten, wie z.b. auch "online-schnüffelei, die 40 verwendet hat, gemeint ("ihre argumentation").
die diskussion des themas ist sehr wohl berechtigt. da kann ich ihren kommentar in 48 mit unterschreiben. aber deshalb wird es dennoch dazu kommen, daß in engen grenzen dem staat über eine entsprechende gesetzliche regelung erlaubt werden wird, zu ermitteln, wie von mir in 43 angesprochen. gegen eine pauschale überwachung habe ich mich ja ebenfalls ausgesprochen, wie aus meinem kommentar ersichtlich ist.
@ 43 (tr):
Ich bezweifle, daß es für eine Online-Durchsuchung einen wirklichen und legitimen Bedarf gibt. Es gibt auch jetzt schon Möglichkeiten, einen Rechner zu beschlagnahmen, Datenleitungen abzuhören, etc. Es bedarf keines Instrumentes, auch noch Festplatten heimlich online durchwühlen zu können. Das ist für mich ein Einbruch in die Privatsphäre, den man sich einfach nicht mehr gefallen lassen sollte. Allein dieses Mittel ist in meinen Augen schon völlig unverhältnismäßig.
@45 (M. Boettcher):
> als Beleg bitte den Abzug meiner Festplatte an mich
Diese Maximalforderung als Beweis dafür zu fordern, daß Online-Ausspähung funktioniert, ist genauso unseriös, wie sie blöd ist, mit Verlaub.
Die Argumentationslinie entnehmen Sie bitte meinem Beitrag #19 in diesem Thread.
#52 ist von mir — sorry.
@51
snip/Allein dieses Mittel ist in meinen Augen schon völlig unverhältnismäßig./snap
ja, da gebe ich ihnen soweit recht, als das genau geprüft und sehr kritisch hinterfragt werden muß.
dabei kommt es mE gar nicht so sehr darauf an, ob sich der bürger dagegen schützen kann. denn der staat will zugriff auf daten nehmen, die nicht für die öffentlichkeit oder ihn bestimmt sind. dafür braucht er eine rechtliche grundlage, die aber mE nicht davon abhängig sein kann, mit welchem aufwand sich der bürger dagegen schützen könnte.
der gesetzgeber muß sich aber mE fragen lassen, ob er überhaupt den erfolg erreichen kann, den die maßnahme ermöglichen soll. und die maßnahme muß so durchgeführt werden können, daß nicht auch unbescholtene bürger (jedermann) bzw. deren rechte übermäßig (unverhältnismäßig) betroffen sind. dagegen spricht mit sicherheit der schutz der privatsphäre. aber es gibt auch ärzte, journalisten, rechtsanwälte und evtl auch noch andere zur berufsverschwiegenheit verpflichtete. auch hier muß der gesetzgeber sicherstellen, daß er nicht zufälligerweise z.b. den rechner von u.v. durchschnüffelt.
deswegen tippe ich auch darauf, daß es allenfalls für einzelfälle dazu kommen wird, daß ein rechner online durchsucht werden darf. denn man könnte in der tat den rechner auch beschlagnahmen. interessanter für ermittlungen sind wahrscheinlich ohnehin mehr die daten, die versendet werden, also per email, upload oder download. also braucht man eigentlich nicht den zugriff auf den privaten rechner zu hause.
@54: Auch im 3. Reich wurden beileibe nicht alle entrechtet. Man 'begnügte' sich mit Juden, Zigeunern, Kommunisten, Homosexuellen, Biebelforschern…
Trotzdem war das Nazireich kein Rechtsstaat.
Der Trick ist uralt: Man rückt Minderheiten — je schlechter deren Ruf in der Bevölkerung ist, desto besser — auf die Pelle und das Ergebnis ist — was Wunder — daß der ganze Rest der Bevölkerung kuscht, aus der nicht ganz unberechtigten Angst, demnächst selbst durch den Fleischwolf gedreht zu werden.
Im Prinzip bedeutet die Legalisierung der Online-Durchsuchung die Umkehr der Beweislast: Der Polizei schnüffelt auf meinem Rechner rum, findet irgendwas, was sie für justziabel hält und überzieht mich mit einem Ermittlungsverfahren, bombardiert mich mit spekulativen Vorwürfen und habe ich meine Unschuld zu beweisen.
Daß das nicht demokratiekompatibel ist, verstehen Sie hoffentlich.
Wo wir hier gerade so schön dabei sind (berechtigte) Horror-Szenarien zu entwickeln, sei der Hinweis auf die folgenden Jahre erlaubt (zumindest die Rufe, die aus Richtung der bekannten Verdächtigen erfolgen werden).
Schritt 1: "Es muss verboten werden, sich anonym im Netz zu bewegen!"
Schritt 2: "Es muss verboten werden, seine Internet-Verbindung zu verschlüsseln!"
Schritt 3: "Es muss verboten werden, seine Daten auf seinem Rechner zu verschlüsseln!"
Schritt 4: "Es muss verboten werden, seine Daten auf seinem Rechner zu verstecken! (Die bekannten Verdächtigen haben gerade erfahren, daß Software wie TrueCrypt existiert…)"
Schritt 5: "Es gibt 'neuerdings' GEHEIME Netzwerke gebildet, so genannte Darknets. Die müssen weg!"
———
Schritt 6:
"Die gewalttätige Wiederstandsbewegung gegen die Staatsmacht wird immer größer! Daran sind… *grübel* …Computerspiele schuld, ja genau! Die bösen, gewalttätigen Egoshooter…"
*Zwischenruf*: "Entschuldigung Herr B., die haben wir doch schon vor Jahren verboten."
"Ach ja. Aber es gibt ein Spiel namens 'Mario', das ich mir habe vorführen lassen. Mir wurde ganz schlecht bei dem Anblick, wie dieser brutale Ausländer auf die unschuldigen Insekten trat und…"
*Zwischenruf*: "Entschuldigung Herr B., das ist auch verboten. Wissen Sie nicht mehr, die Wahl von Herrn S. vor 5 Jahren, als unerwartet nur bayrische Einwohner gewählt haben?"
"Ach ja. Hmmmm… Oh! Natürlich! Gerade informiert mich mein – ääh – unsichtbarer BND-Berater, daß es eine Kommunikationsform gibt, die NICHT KONTROLLIERT WIRD!!! Bombenbaupläne werden da ausgetauscht und und und Gewalt und Kinder! Ääh Dings! Sie wissen schon…
Wie der BND feststellen musste, treffen sich die Terroristen, Kinderschänder, Raubkopierer und Computerspieler auf offener Strasse und REDEN MITEINANDER! Da muss was getan werden!"
@55
den vergleich mit dem 3.reich finde ich ebensowenig passend. wie sie schon sagen, es war kein rechtsstaat. richtig ist aber in jedem fall, aufzupassen, daß sowas nicht wieder passiert.
ansonsten ist ihr beispiel gerade das, was ich ja auch ich nicht befürworte. es kann nicht sein, daß erst geschnüffelt wird, und man dann schaut, was man vorwerfen kann. zum schüffeln auf dem privaten pc muß es vorher entsprechend schwerwiegende anhaltspunkte geben. aber wenn es solche gibt, dann ist die frage, ob dann nicht eine gesetzliche regelung ermöglichen soll, unter ganz engen voraussetzungen eine "durchsuchung" zu ermöglichen.
abgesehen davon vermute ich noch immer, daß die daten, welche bewegt werden durch upload, download und email, grundsätzlich viel interessanter sind, als irgendwelche auf einem computer liegende daten. von interesse ist doch die information, die weitergegeben und mit der z.b. geplant, verabredet oder befehligt wird oder die z.b. kipo beinhaltet. hat man solche informationen, erst dann werden doch spezielle rechner interessant.
@57:
> zum schüffeln auf dem privaten pc muß es vorher entsprechend schwerwiegende anhaltspunkte geben
Dann kann man auch die bereits in der StPO vorgesehenen Mittel nutzen — die Online-Schnüffellei ist unnötig und eröffnet ein bisher nicht dagewesnes Mißbrauchspotential.
> abgesehen davon vermute ich noch immer, daß die daten, welche bewegt werden durch upload, download und email, grundsätzlich viel interessanter sind, als irgendwelche auf einem computer liegende daten.
Und wozu soll dann der Bundestrojaner gebraucht werden?
@52: Ich stellte in #45 fest, dass Deine Behauptung, man hätte "als Internetnutzer praktisch keine Möglichkeiten" sich wirksam vor dem sogn. Bundestrojaner zu schützen, m. E. schlicht falsch und Teil einer Legendenbildung um sagenhafte, nicht gegebene Fähigkeiten Dritter ist. Da hilft Dir das "Volumen-Argument" in #19, das sich auf den Transport von Daten nach der Infiltration mit dem sogn. Bundestrojaner bezieht, kein Stück.
@58
ich glaube, daß es wahrscheinlich ohnehin nicht darum geht, einen bundestrojaner in dem sinne zu haben, daß er einzelne rechner durchschnüffelt. man braucht ihn mE tatsächlich nicht.
@59 (M. Boettcher):
> Deine Behauptung, man hätte “als Internetnutzer praktisch keine Möglichkeiten” sich wirksam vor dem sogn. Bundestrojaner zu schützen, m. E. schlicht falsch
Das hatte ich vor einiger Zeit auch mal gehofft und habe mich mit der Sache ausgiebig beschäftigt — wobei mir mein (abgeschlossenes) Informatikstudium sehr zustatten kam. Leider konnte ich keinem anderen Schluß kommen.
Die Behörden haben die Mittel, 'Man in the Middle Attacken' gegen jeden Internetnutzer zu fahren. Damit hat wirklich kein Internetnutzer eine Chance, sich vor solchen Angriffen wirksam zu schützen. Da hilft auch Polemik nichts.
@60 (tr): Ein Trojaner kann nur einzelne Rechner durchschnüffeln — es kommt nur darauf an, wie er verbreitet wird.
Schrotschuß-Trojaner, die als Malware aufs Netz losgelassen werden, können jeden beliebigen Rechner angreifen, auf dem sie sich einnisten können. Entsprechend ist die Wahrscheinlichkeit sehr hoch, daß er entdeckt wird und die Virenscanner dafür sensibilisiert werden.
Gezielt plazierte Trojaner — für Industriespionage werden sie bereits benutzt und der BR wird auch in diese Kategorie gehören — haben eine entsprechend geringe Entdeckungswahrscheinlichkeit und Virenscanner werden sie i.d.R. nicht entdecken.
Petition Gegen Online Durchsuchungen!
bis 12. März!
Die Formulierung könnte zwar viel besser sein aber na ja besser als nichts oder?
ca. 1500 Unterzeichner
Strafprozessordnung: Elektronische Durchsuchung von Datenbeständen
Eingereicht durch: Gordon Emminghaus am Freitag, 22. Dezember 2006
http://itc.napier.ac.uk/e-Petition/bundestag/view_petition.asp?PetitionID=373
@62: Und warum erfährt man das erst jetzt?
@61 und andere,
in Ergänzung zu meinem Beitrag 25:
-Die fehlende Rechtstaatlichkeit von Online-Durchsuchungen steht für mich natürlich außer Frage und ich kann mir nicht vorstellen, dass diese Maßnahme hier in der BRD so kommt. Was mich am Rande auch noch interessieren würde ist die Frage, wie gerichtsverwertbar denn die so erlangten angeblichen Beweismittel dann wären. Ein Richter wird noch verstehen, dass man von einer beschlagnahmen Festplatte Erkenntnisse ableiten kann, aber auf (technisch obskurem) Weg erlangte Dateien, die irgendwie durch ein Backdoor heruntergeladen wurden –wie angreifbar wären denn solche Beweismittel?
-Es steht außer Frage, dass es vollständig sichere Systeme gibt und dass es eine Myriade von Möglichkeiten gibt, an Informationen zu kommen. Ob die dann gerichtsverwertbar sind, ist eine andere Frage. Und natürlich ist das Wissen und das Budget zur Absicherung für den Durchschnitts-Surfer begrenzt. Je verdeckter die Maßnahmen desto näher bewegen wir uns in Richtung geheimdienstlicher Methoden.
-Gleichzeitig finde ich es trotzdem wichtig zu sagen, dass es SOO einfach nicht ist, in beliebig kurzert Zeit in einigermaßen abgesichert Systeme einzubrechen, selbst wenn diese am Netz hängen aber der Benutzer sich mit Fragen der Sicherheit bisschen auseinandergesetzt hat. Dazu diente der Hinweis, dass mit der Nutzung der SINA Box bei verschlüsselten (oder steganographisch versteckten) Daten erstmal nicht viel gewonnen ist.
Zu Man-in-the-middle Angriffsszenarien: Natürlich gibt es beliebige Möglichkeiten, lokale (und remote-) Systeme zu kompromittieren. Und vielleicht können Sie auch mit beliebig großer Rechenpower Zertifikate brechen oder Kollisionen in Hashverfahren ausrechnen oder die geheimen Schlüssel einfach abziehen oder stehlen lassen.
Aber gehen wir vom "Normalfall" eines etwas mehr abgesicherten Systems aus. Sie haben ein sauberes System und einen VPN Tunnel nach Timbuktu –wie sieht denn hier das MITM Angriffsszenario aus? Sie machen keine Windows-Updates und haben keinen Virenscanner. Sie laden auch keine Executables herunter. Ich bin ja neugierig und lernfähig und bitte ehrlich darum, es mir zu erklären.
Bei MITM Angriffen brauchen sie zwei "men", zwischen die Sie sich setzen können, um einen der beiden zu simulieren. Die Kontrolle über das Routing wird also vorausgesetzt, Sie müssen wissen, wer der "zweite" ist. Wenn Sie meine lokale Firewall angreifen, wird dabei außer Rejects nicht viel rumkommen. Wenn Sie nicht wissen, mit wem der Server in Timbuktu kommuniziert, wie wollen Sie dann der mittlere "man" werden? Und dazu müssten sie ggf. erstmal den (dortigen) DNS auf sich umbiegen (oder die Routing-Protokolle der dortigen Infrastruktur kontrollieren, um die Ziel-IP auf sich umzuleiten, aber vielleicht können Sie ja die dortigen Switches hacken). Und wenn ich meine Linux-RPMs aktualisiere, wie wollen Sie wissen, von welchem Mirror ich sie ziehe, um sie zu fälschen? Die Pakete sind signiert, eine Manipulation würde also auffallen. Oder wollen Sie alle Pakete überall präparieren? Und gleichzeitig die hinterlegten Checksums "updaten"?
Und natürlich können Sie, wenn Sie nur einen Virenscanner-Hersteller haben, dessen Server alle im Inland stehen, diesen zur Mitarbeit "gewinnen" und manipulierte Updates verschicken lassen (Am Rande: Wenn ich es mir recht überlege, fände ich Virenscanner ohnehin ideal: haben Leserechte auf alle Dateien und die permission zum Netzwerkzugriff und sind leicht "updatebar".) Aber wenn ich mein Lieblings-Mainstream-international- vertriebenes-Softwarepaket-XY aktualisiere, woher wollen Sie wissen, von welchem der international verteilten Cluster ich meine Updates beziehen werde? Oder wollen Sie alle und überall "präparieren"? Das geht dann nur wieder mit Mitarbeit der Firma XY.
Also: Nix ist sicher, aber SO einfach ist das, was technisch machbar erscheint, auch nicht. Mit beliebigem Budget und Know How können sie natürlich fast beliebig viel ausspähen.
@64: Korrektur zum zweiten Absatz: es steht natürlich außer Frage, dass es *keine* vollständig sicheren Systeme gibt.
@64:
> Was mich am Rande auch noch interessieren würde ist die Frage, wie gerichtsverwertbar denn die so erlangten angeblichen Beweismittel dann wären.
Ich halte diese Fragestellung für irreführend: Der BT dient — sollte er für zulässig erklärt werden — als Vorermittlungswerkzeug, vergleichbar etwa einem anonymen Hinweis an die Polizei. Wenn sich dann beim Online-Schnüffeln Hinweise ergeben, daß sich ein Verdacht erhärten lassen könnte, kommen ganz 'klassisch' die Herren des Morgengrauens und beschlagnahmen den Rechner.
Gegen unbekannte Angreifer, die sich unbekannter Lücken/Hintertüren etc. pp. bedienen, gibt es keine wirksame Absicherung.
Die Sicherheit von VPN bezieht sich nur auf den auf diese Weise realisierten Datenpfad. Da niemand — auch nicht der Urheber oder legitime Empfänger — mit dem Chiffrat irgendwas anfangen kann, außer es zu dechiffrieren, kommt vor der Nutzung der Daten zwangsläufig die Entschlüsselung; und ab Schlüsseleingabe kommt das Stündchen des Trojaners.
> Sie machen keine Windows-Updates und haben keinen Virenscanner.
Das setzt ein fehlerfreies Windows voraus – dann braucht man keine Updates — aber davon ist nicht nur MS noch Lichtjahre entfernt…
> Sie laden auch keine Executables herunter.
Dann müßten Sie künftig auf dem heutigen Stand der Software arbeiten. Wenn Sie nur Textverarbeitung auf der eigenen Maschine machen und keinerlei Datenaustausch, außer über Papier/OCR/Tastatur benötigt wird, mag das gehen.
Wenn Sie am Internet teilnehmen wollen, dann mit Sicherheit nicht, denn die technischen Standards entwickeln sich rasant weiter.
> Bei MITM Angriffen brauchen sie zwei “men”, zwischen die Sie sich setzen können, um einen der beiden zu simulieren.
Wenn man eine 1:n-Kommunikation hat — das ist auf dem Internet der Normalfall — klemmt sich der Man in the Middle in die Leitung, die Sie mit dem Netz verbindet und entscheidet dann, wo er dazwischen funken will und wo nicht.
Die Firewall können Sie in diesem Zusammehang getrost vergessen, denn die verhindert nur, daß von außen auf bestimmte Resourcen (Ports) zugegriffen werden kann. Wenn vom MitM eine Verbindung mißbraucht wird, die Sie selbst initiiert haben, ist die Firewall überfordert. Ebensowenig kann sie unterscheiden, ob ein Verbindungsaufbau von Ihnen, oder von einem Trojaner initiiert wurde, der sich in ein Programm eingenistet hat, das Sie gerade benutzten, oder zu benutzen pflegen.
DNS-Pharming ist für einen MiM die leichteste Übung — er muß nur den Verbindungsaufbau belauschen und die DNS-Server-Adressen umbiegen.
Das generelle Problem bei der Abwehr von Eindringlingen ist, daß es beliebig viele Möglichkeiten des Eindringes gibt, ich als Anwender aber keine Möglichkeit habe die alle zu überprüfen.
Ein mächtiger Eindringling wird also immer einen Weg finden, mir irgendwelchen Code unterzujubeln, den ich nicht haben will.
Technisch ist das Problem nicht lösbar — es ist ein rein *politisches* Problem, ob es dem Staat erlaubt wird, sich wie ein Trickdieb in die Rechner seiner Bürger einzuschleichen. oder ob er mit offenem Visier antritt.
Die Bürgerrechte sind Schutzrechte des Einzelnen gegenüber dem Staat. Sie wurden den Bürgern nicht geschenkt, sondern als Schutz vor der Willkür der Obrigkeit von den Mutigsten unter ihnen unter großen Opfern erkämpft.
Durch die technischen Möglichkeiten der Datenverarbeitung hat sich das Macht-Ungleichgewicht zwischen dem Einzelnen und dem Staat nochmals stark zugunsten des Staates verschoben; der Bürger braucht also wesentlich stärkeren Schutz, als bisher — nicht weniger, wie im Moment der Trend ist.
@66
Ich stimme Ihnen zu, es ist eine politische Frage, wie weit die Polizei sich der Mittel bedienen darf, die ausschließlich in das Arsenal der Geheimdienste gehören.
Zweck meines Beitrags ist immer noch zu sagen, schau her, es ist ziemlich simpel und kostet nicht viel, die Einbruchversuche sehr stark zu erschweren. Offenbar konnte ich mich aber mit meiner technischen Beschreibung nicht richtig verständlich machen, denn die Maßnahmen des Belauschens funktionieren bei einer ausschließlich getunnelten Verbindung ja gerade nicht, außer sie wären im Ausland vor Ort. Aber lassen Sie uns die Diskussion hier beenden.
Für Interessierte verweise ich noch auf einen Online-Artikel von heise security:
—
Die technischen Optionen eines möglichen Bundestrojaners und die sich daraus ergebenden Konsequenzen erläutert Jürgen Schmidt, Chefredakteur von heise security, in einem Know-how-Artikel:
Bundestrojaner: Geht was – was geht.
http://www.heise.de/security/artikel/86415/0
—
Auszug:
—
Und um Missverständnissen vorzubeugen: Selbstverständlich kann man sich gegen all die hier geschilderten Einbruchsversuche schützen. Gegen Trojaner in der Mail hilft konsequentes Nachfragen beim angeblichen Absender vor dem Öffnen eines Dateianhangs. Eventuelle Manipulationen von Trojaner-Proxies werden durch digitale Signaturen, Vergleiche von Prüfsummen und SSL-Downloads entlarvt. Selbst das Encase FIM Servlet lässt sich ziemlich sicher mit speziellen Antirootkit-Tools und entsprechendem Knowhow aufspüren und neutralisieren. Und die potenziellen Zielpersonen staatlich angeordneter Überwachungsmaßnahmen werden mit bei den ersten sein, die diese Wissen konsequent nutzen, um sich zu schützen.
—
@RA J. Melchior (und wen es sonst noch interessiert)
Am 28.3.07 ist in der Nähe von KA eine Veranstaltung eines Arbeitskreises von AS/400(iSeries, i5)-Anwendern. Ich habe "AS/400 und Bundestrojaner" als eines der Themen vorgeschlagen und hoffe sehr, das ich Ende März etwas darüber berichten kann.
Gerd